1.5 Vergoedbare schade onder de AVG

De ruime bewegingsvrijheid die onder de Dataprotectierichtlijn aan de lidstaten werd gegund heeft geleid tot fragmentatie in de implementatie en handhaving van het gegevensbeschermingsrecht, waaronder de aansprakelijkheidsbepaling (artikel 23).1 De richtlijn dicteert geen dwingende voorwaarden voor aansprakelijkheid, maar stipuleert slechts dat de Lidstaat moet regelen dat de betrokkene ‘die schade heeft geleden ten gevolge van een onrechtmatige verwerking’ het recht heeft om van de verwerkingsverantwoordelijke vergoeding van zijn geleden schade te verkrijgen. De richtlijn stelt geen eisen aan de aard en omvang van de vergoedbare schade. Dit werd verder aan de lidstaat overgelaten.2

Onder de AVG heeft de betrokkene recht op vergoeding van zijn (im)materiële schade die hij heeft geleden ten gevolge van een inbreuk op de verordening (artikel 82 AVG). Dit recht op schadevergoeding dient gemeenschapsautonoom te worden uitgelegd. De eerste aanwijzing hiertoe is de opname van het begrip ‘schade’ in de tekst van de AVG.3 De tweede aanwijzing is te vinden in de overwegingen. Hierin is opgenomen dat ‘schade ruim moet worden uitgelegd in het licht van de rechtspraak van het Hof van Justitie, op een wijze die ten volle recht doet aan de doelstellingen van deze verordening’.4 Daarnaast is opgenomen dat de AVG streeft naar ‘een versterking en nadere omschrijving van de rechten van betrokkenen’ en ‘gelijkwaardige bevoegdheden op het gebied van toezicht en handhaving’.5 Mogelijke fragmentatie van verschillende aansprakelijkheidsregimes binnen de Unie ondermijnt de doelstellingen van de AVG en conflicteert met de instrumentele functie van een verordening als zodanig, waardoor een autonome uitleg onontbeerlijk is. Een derde aanwijzing voor een autonome uitleg van het begrip ‘schade’ is het ontbreken van een verwijzing in de AVG naar nationaal recht voor een schadevergoedingsactie.6

De AVG werkt rechtstreeks in de nationale rechtsorde en behoefte geen omzetting naar nationaal recht (artikel 288 VWEU). Op een aantal punten is in de AVG echter ruimte gelaten voor nadere invulling door de lidstaat, hetzij voor concretisering, hetzij voor afwijkingen en uitzonderingen op de bepalingen van de AVG. De Nederlandse wetgever heeft een concept Uitvoeringswet AVG voorgelegd aan burgers, bedrijven en instellingen om hen te informeren over de voorbereiding van de Uitvoeringswet en hen gelegenheid te bieden om op het wetsvoorstel te reageren.7 Opmerkelijk is dat artikel 36 geheel overeenkomt met de tekst van artikel 49 Wbp. De Autoriteit Persoonsgegevens heeft de wetgever geadviseerd de schadevergoedingsbepaling te schrappen.8

Het Hof van Justitie heeft nog geen uitleg gegeven aan de vergoedbare schade bij een onrechtmatige verwerking.9 Een eerste aanzet hiertoe wordt verwacht in HJ/European Medicines Agency.10 Het Hof is in uiteenlopende arresten buiten het gegevensbeschermingsrecht ingegaan op het schadebegrip. Uit de rechtspraak volgt dat een normschending niet per definitie leidt tot schade.11 Schade moet reëel en zeker geleden zijn.12 De gehanteerde standaard voor immateriële schade ligt volgens A-G Wahl hoog.13 Slechts wanneer de onrechtmatige handeling bijzonder ernstig is, en de erkenning van de begane onrechtmatigheid niet volstaat, is vergoeding van immateriële schade gepast, en komen gevoelens van onrechtvaardigheid en frustatie voor vergoeding in aanmerking.14 Volgens A-G Wahl kan immateriële schade niet slechts worden gebaseerd op de subjectieve verklaring van de benadeelde, maar moet de schade ‘uiterlijk en objectief’ zijn te verifiëren, en wordt de noodzaak voor objectieve gronden prangender naarmate de gestelde immateriële schade minder gangbaar is.15 Het is echter de vraag of genoemde criteria, die zijn ontwikkeld buiten het gegevensbeschermingsrecht, richtinggevend kunnen én mogen zijn bij het vaststellen van de vergoedbare schade bij een onrechtmatige verwerking. Er bestaat (nog) geen algemeen EU-aansprakelijkheidsregime voor private partijen.16 Bovendien is het verdedigbaar dat verschillende normen binnen het EU-recht elk hun eigen aanpak vereisen. Een context­afhankelijke interpretatie van de vergoedbare schade bij een onrechtmatige verwerking is daarom – ook gelet op de doelstellingen van de AVG en de autonome schadevergoedingsbepaling – aannemelijker.

Een dergelijke uitleg is reeds toegepast in Leitner, waarin werd bepaald dat ‘gederfd vakantiegenot’ moet worden vergoed, omdat de compensatie ten aanzien van het gederfde vakantiegenot ‘voor de consument zeer belangrijk is’.17 Leczykiewicz stelt dat het schadebegrip met betrekking tot andere EU-normen waarschijnlijk net zo contextafhankelijk is.18 Naar analogie zou het Hof de vergoedbare schade kunnen vaststellen aan de hand van wat ‘voor de betrokkene zeer belangrijk is’, zoals ‘controle over hun eigen persoonsgegevens’ en ‘rechtszekerheid en praktische zekerheid’.19 Daarnaast wordt de contextafhankelijke interpretatie vormgegeven door de doelstellingen van de AVG, zoals een ‘doeltreffende bescherming van persoonsgegevens’.20 Het schadebegrip moet immers recht doen aan de doelstellingen van de AVG.21 Een contextafhankelijk schadebegrip zorgt ervoor dat de betrokkene sneller schadevergoeding wordt toegekend, omdat de drempel voor juridisch relevante schade wordt verlaagd ten opzichte van het huidige recht. Hierdoor kan de onrechtmatige verwerking zonder concrete, merkbare gevolgen van de verwerkingsverantwoordelijke doelmatiger worden aangepakt. De betrokkene kan dan eindelijk rechtshandhavend optreden ten aanzien van zijn (fundamentele) recht op de bescherming van zijn persoonsgegevens. Daarnaast kan de wetenschap dat er sneller schadevergoeding moet worden betaald bijdragen aan een hoger gegevensbeschermingsniveau, doordat de verwerkingsverantwoordelijke wordt geprikkeld om te investeren in gegevensbescherming en cybersecurity.

Zolang gemeenschapsautonome interpretatie uitblijft, zijn nationale regels omtrent schadevorderingen het uitgangspunt.22 Het nationale stelsel zal echter terzijde moeten worden geschoven als zij conflicteert met de EU-beginselen van ‘gelijkwaardigheid’23 en ‘doeltreffendheid’.24 In Kone werd een nationale regel over het causaal verband aan het effectiviteitsbeginsel getoetst. Het Hof concludeerde dat de nationale bepaling een beperking vormde op de effectiviteit van het EU-mededingingsrecht.25 Al eerder bepaalde het Hof dat specifieke schadeposten op grond van het EU-recht wel voor vergoeding in aanmerking komen, terwijl die schade op grond van het nationale recht niet werd gecompenseerd.26

In het verlengde hiervan heeft ook de nationale rechter de plicht om nationaal recht buiten toepassing te laten als het de volle uitoefening van EU-recht verhindert.27 De nationale rechter is immers belast met de toepassing van het gemeenschapsrecht en dient ‘de volle werking van dat recht te verzekeren en de daarin aan particulieren toegekende rechten te beschermen’.28 Bij de interpretatie van een gemeenschapsrechtelijke bepaling moet niet alleen rekening worden gehouden met de bewoordingen, maar ook met de context en doelstellingen die worden nagestreefd door de regeling waarvan zij deel uitmaakt.29 Het is dan ook mogelijk dat een nationale rechter, zo nodig met gebruikmaking van de prejudiciële procedure van artikel 267 VWEU, tot de conclusie komt dat de nationale regels over de vergoedbare schade conflicteren met het doel en de strekking van de AVG. Een schadepost die onder het nationale recht niet voor vergoeding in aanmerking komt, zou dan door de directe werking van de AVG wel moeten worden vergoed.