7.2.2 Schadevergoeding op basis van de AVG

Een ander deel van de handhaving van de AVG is privaatrechtelijk van aard en vindt plaats op initiatief van de betrokkenen zelf, of anderen die schade lijden ten gevolge van een inbreuk op de AVG.1 De AVG bevat een zelfstandige, rechtstreeks toepasbare aanspraak op schadevergoeding voor overtredingen van de AVG.2 Er is reeds een lijn van rechtspraak ontwikkeld waarin schadevergoeding wordt toegekend voor iedere (im)materiële schade ten gevolge van een inbreuk op de AVG. Ook deze vorm van handhaving is niet ideaal, onder meer vanwege de relatief lange duur en hoge kosten van een procedure, terwijl de toegekende schadevergoeding per persoon vaak relatief laag is.

Niettemin biedt private handhaving mogelijkheden, vooral omdat de AVG een coulant aansprakelijkheidsregime creëert met minder hoge eisen dan bijvoorbeeld de schadevergoeding uit onrechtmatige daad van artikel 6:162 BW. De AVG bevat geen vereiste van toerekenbaarheid voor aansprakelijkheid, terwijl daar voor een beroep op artikel 6:162 BW in beginsel wel aan moet zijn voldaan. De AVG stelt simpelweg dat “eenieder die materiële of immateriële schade heeft geleden ten gevolge van een inbreuk” het recht heeft om van de verwerkingsverantwoordelijke schadevergoeding te ontvangen voor alle geleden schade.3 De toerekenbaarheid is hier als het ware omgedraaid: alleen als de verwerkingsverantwoordelijke kan bewijzen dat hij op geen enkele wijze verantwoordelijk is voor de schade, moet hij worden vrijgesteld van de verplichting tot schadevergoeding.4 Artikel 82 lid 4 bepaalt ook dat, als meerdere verwerkingsverantwoordelijken betrokken zijn bij dezelfde verwerking en verantwoordelijk zijn voor de schade die is veroorzaakt, zij allen voor de gehele schade aansprakelijk worden gehouden, om te garanderen dat de schade van de betrokkene daadwerkelijk wordt vergoed.

Daarnaast is de kring van personen die vergoedbare schade kunnen lijden door een overtreding van de AVG vermoedelijk ruim. Artikel 82 AVG stelt dat eenieder die schade heeft geleden, het recht heeft om schadevergoeding te ontvangen. In faillissement kunnen in ieder geval de betrokkenen wier persoonsgegevens onrechtmatig worden verwerkt een beroep doen op artikel 82 AVG. In de literatuur is ervoor gepleit dat onder omstandigheden ook concurrenten die schade lijden schadevergoeding kunnen vorderen, bijvoorbeeld als een partij die de AVG niet naleeft beter gepersonaliseerde advertenties kan maken en concurrenten daardoor omzet mislopen.5

Ten slotte is snel sprake van ‘schade’ in de zin van de AVG. Overweging 85 AVG geeft aan dat onder meer kan worden gedacht aan een verlies van controle,6 identiteitsdiefstal, fraude en reputatieschade. De vergoedbare schade van artikel 82 AVG kan niet worden uitgelegd volgens het nationaalrechtelijke kader omtrent de vergoeding van (immateriële) schade.7 Het schadebegrip moet in het kader van de AVG autonoom worden geïnterpreteerd, op een wijze die ten volle recht doet aan de doelstellingen van de verordening.8 Betrokkenen moeten eenvoudig en effectief worden beschermd tegen de onrechtmatige verwerking van hun persoonsgegevens.9 Op grond van verlies van controle over de verwerking van persoonsgegevens kan bijvoorbeeld immateriële schadevergoeding worden gevorderd.10 In de Europese jurisprudentie is dit schadebegrip nog niet uitgekristalliseerd.11 Het Hof van Justitie heeft bepaald dat een enkele normschending niet voldoende is om schadevergoeding vast te stellen: de immateriële schade moet reëel en zeker zijn.12 Tegelijkertijd kan bijvoorbeeld een gevoel van onrust of ‘verlies van controle’ ook vallen onder vergoedbare schade.13 Er lijkt dan ook relatief snel sprake te zijn van immateriële schade, als daarvoor maar bewijs bestaat of de eiser kan aantonen dat het onrechtmatige handelen zo ernstig was dat dit als zodanig wordt geacht immateriële schade te kunnen veroorzaken.14

De Nederlandse rechter sluit voor de uitleg van het schadebegrip, vanwege de onbepaaldheid van het Europese schadebegrip, aan bij nationale wetgeving.15 Hierbij is in de rechtspraak al enkele keren een recht op (immateriële) schadevergoeding toegewezen vanwege een schending van de AVG.16 Een benadeelde moet concreet onderbouwen dat hij in zijn persoon is aangetast voordat sprake is van een recht op schadevergoeding.17 Dat betekent dat de betrokkenen inzichtelijk en aannemelijk dienen te maken dat zij werkelijk en reëel schade hebben geleden.18 Dit zal moeten met concrete gegevens.19 De loutere vaststelling dat de AVG is overtreden, leidt niet zonder meer tot vergoedbare schade.20 Of een schending van de AVG recht geeft op schadevergoeding hangt af van de aard en de ernst van de normschending en de gevolgen daarvan.21 De Afdeling Bestuursrechtspraak van de Raad van State lijkt ruimte te laten om bij “ernstig verwijtbaar gedrag met zo ernstige gevolgen, dat dit als een inbreuk op een fundamenteel recht moet worden gekwalificeerd”22 aan te nemen dat sprake is van schade, zonder dat een betrokkene dit concreet heeft aangetoond. Indien bijvoorbeeld bijzondere persoonsgegevens worden verwerkt, lijkt het aannemelijk dat een recht op schadevergoeding is gegeven.

Indien betrokkenen aannemelijk kunnen maken dat zij schade hebben geleden, hebben zij recht op een volledige en daadwerkelijke vergoeding van de geleden schade.23 De hoogte van de schadevergoeding zal per geval moeten worden bepaald. De toegekende schadevergoeding varieert in Nederland tot nu toe van €100 tot €1.000 per betrokkene.24