3.3.1 Algemeen

Door het ‘open’ API-design maakte Facebook het mogelijk dat Kogan gegevens van miljoenen Facebookgebruikers kon verzamelen. Hierdoor kan Facebook worden verweten dat het geen ‘passende’ maatregelen heeft genomen om de gegevens van zijn gebruikers te beveiligen.1 Ook informeerde Facebook zijn gebruikers onvoldoende over de mogelijkheid dat gegevens van hen konden worden verzameld via hun Facebookvrienden.2 Omdat Facebook heeft nagelaten om te voldoen aan basale verplichtingen van het gegevensbeschermingsrecht, is de onrechtmatigheid van de ‘verwerking’3 evident. Hiermee is echter niet gezegd dat de Nederlandse Facebookgebruiker ook (im)materiële schade lijdt door de onrechtmatige verwerking van zijn persoonsgegevens, die voor vergoeding in aanmerking komt. Ik behandel dit in de volgende paragrafen.

De onrechtmatige verwerking door Facebook geschiedde vóór de inwerkingtreding (25 mei 2018) van de Algemene Verordening Gegevensbescherming (AVG). Evenwel bepaalde artikel 49 Wet bescherming persoonsgegevens (Wbp) voor inwerkingtreding van de AVG ook al dat schade, als gevolg van een inbreuk op de Wbp, moet worden vergoed. Voor immateriële schade had de benadeelde recht op een naar billijkheid vast te stellen schadevergoeding (artikel 49 lid 2 Wbp). Het Hof van Justitie had de bevoegdheid om het schadebegrip van artikel 23 lid 1 van de Dataprotectierichtlijn4 uit te leggen, zoals het nu de bevoegdheid heeft om schade uit leggen in het kader van artikel 82 AVG.5 De AVG bepaalt dat schade ‘ruim’ moet worden uitgelegd ‘op een wijze die ten volle recht doet aan de doelstellingen van deze verordening.’6 Het Hof van Justitie heeft in een bredere context bepaald dat een schadevergoeding een ‘echt afschrikkende werking’ moet hebben en in ‘passende verhouding tot de geleden schade’ moet staan.7 Het Hof van Justitie heeft zich echter nooit uitgelaten over het schadebegrip bij een onrechtmatige verwerking van persoonsgegevens. Daarnaast heeft de Nederlandse rechter, in die zaken waarin een schadevergoedingsverzoek werd gedaan na een inbreuk op de Wbp, nooit richtlijnconforme interpretatie toegepast of prejudiciële vragen gesteld aan het Hof van Justitie over de omvang van de vergoedbare schade bij een onrechtmatige verwerking van persoonsgegevens. In deze bijdrage ga ik daarom uit van de uitgangspunten van het Nederlandse recht ten aanzien van de vergoedbare schade.

Een onrechtmatige verwerking van persoonsgegevens kan zowel vermogensschade als immateriële schade veroorzaken.8 Beide categorieën komen volgens het Nederlandse Burgerlijk Wetboek voor vergoeding in aanmerking (artikel 6:95 BW). Vermogensschade omvat zowel geleden verlies als gederfde winst (artikel 6:96 lid 1 BW). Ook redelijke kosten gemaakt ter voorkoming of beperking van de schade (lid 2 sub a), ter vaststelling van schade en aansprakelijkheid (lid 2 sub b) en ter verkrijging van voldoening buiten rechte (lid 2 sub c) zijn vergoedbare schadeposten, mits zij de ‘dubbele redelijkheidstoets’ doorstaan.9

Immateriële schade komt voor vergoeding in aanmerking als de benadeelde ‘in zijn persoon is aangetast’ (artikel 6:106 lid 1 sub b BW). De drempel voor de toekenning van een immateriële schadevergoeding is hoog.10 Het enkele psychische onbehagen, zoals frustratie of ergernis, is onvoldoende.11 Voor vergoeding van immateriële schade moet de benadeelde aantonen dat hij ‘geestelijk letsel’ ondervindt. Er moet sprake zijn van een in de psychiatrie erkend ziektebeeld12 dat is vastgesteld aan de hand van concrete en objectieve gegevens.13

Een benadeelde heeft ook recht op een immateriële schadevergoeding als er sprake is van een ernstige inbreuk op een fundamenteel recht,14 ook wel ‘integriteitsschade’ genoemd.15 De schadevergoeding geldt dan als genoegdoening voor de inbreuk op het fundamentele recht. Bij de beoordeling of de schending van een fundamenteel recht leidt tot een persoonsaantasting in de zin van artikel 6:106 lid 1 sub b BW zijn van belang ‘de bijzondere ernst van de normschending en de gevolgen daarvan voor het slachtoffer.’16 De gevolgen van die inbreuk moeten de benadeelde rechtstreeks treffen.17 De rechtspraak laat zien dat terughoudendheid geboden is bij toepassing van de leer van integriteitsschade. Zoals Giesen signaleert: “er moet dus wel echt iets aan de hand zijn.”18 Ten slotte komt de benadeelde een immateriële schadevergoeding toe als hij in zijn ‘eer of goede naam is geschaad’ (artikel 6:106 lid 1 sub b BW).