I.1 Aanleiding en onderzoeksdoel

Het recht op de bescherming van persoonsgegevens heeft als doel de betrokkene te beschermen tegen lichamelijke, materiële en immateriële schade.1 Op een meer abstract niveau streeft het recht naar het beperken van macht en kennis bij de gegevensverwerker ten behoeve van de bescherming van de ‘vrijheid en autonomie van het individu’.2 Het recht op de bescherming van persoonsgegevens beschermt dus zowel concrete als abstracte belangen.

Het recht op de bescherming van persoonsgegevens is een fundamenteel recht. Dit volgt uit artikel 8 van het Handvest van de grondrechten van de Europese Unie. De Algemene verordening gegevensbescherming (‘AVG’) formuleert de voorwaarden waaronder de verwerking van persoonsgegevens is toegestaan.3 Deze verordening verving de Dataprotectierichtlijn4 op 25 mei 2018.5 Wegens ‘technologische ontwikkelingen en globalisering’ en ‘de mate waarin persoonsgegevens worden verzameld en gedeeld’,6 was er behoefte aan een meer doeltreffende bescherming van persoonsgegevens. In de AVG worden daarom de rechten van de ‘betrokkene’ uitgebreid en werden voor de ‘verwerkingsverantwoordelijke’ en ‘verwerker’ nieuwe verplichtingen gecreëerd en oude verplichtingen uitgebreid.7

Een aanscherping van de verplichtingen was volgens de Uniewetgever op zichzelf niet voldoende. De bestaande en nieuwe verplichtingen kunnen alleen een doeltreffende bescherming van persoonsgegevens bewerkstelligen door een ‘strenge handhaving’.8 In de AVG kent de Uniewetgever derhalve een ruime sortering handhavingsmogelijkheden toe aan de toezichthouder, de betrokkene en belangenorganisaties.

In de literatuur ging veel aandacht uit naar de handhaving door de toezichthouder, en dan vooral naar zijn boetebevoegdheid.9 Boetes kunnen oplopen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet. De forse boetebevoegdheid van de toezichthouder ondergraaft de noodzaak van civiele handhaving van de AVG. Dit heeft ertoe geleid dat er in de rechtswetenschap aanvankelijk weinig belangstelling was voor de civiele handhaving van het gegevensbeschermingsrecht.

Aanvullende civiele handhaving, door de betrokkene of door belangenorganisaties die zijn belangen vertegenwoordigen, is echter onmisbaar voor een doeltreffende bescherming van persoonsgegevens.10 Publiekrechtelijke handhaving alleen is daartoe ontoereikend. Aangezien elke organisatie, particulier of publiek, persoonsgegevens verwerkt, kan de toezichthouder Autoriteit Persoonsgegevens (AP) onmogelijk toezicht houden op elke organisatie. Ter illustratie: de AP heeft tussen de inwerkingtreding van de AVG en oktober 2020 slechts vijf boetes uitgedeeld en drie dwangsommen geïnd.11 Daar komt bij dat de AP met onderbezetting kampt.12

Het recht op schadevergoeding lijkt het instrument bij uitstek om het ‘handhavingstekort’13 van het gegevensbeschermingsrecht te dichten. Als gegevens onrechtmatig zijn verzameld of doorgegeven, en zijn gebruikt voor oneigenlijke doeleinden of zijn ingezien door onbevoegden, kan de betrokkene weliswaar een verbodsactie14 of een wissingsverzoek15 instellen om toekomstige overtredingen tegen te houden. Deze middelen maken echter niet goed wat er in het verleden is gebeurd. Alleen een schadevergoeding kan eventuele materiële of immateriële schade van een onrechtmatige gegevensverwerking herstellen. Ook kan een vergoeding een tegenwicht bieden aan de grote voordelen die organisaties behalen door de onrechtmatige verzameling en het onrechtmatige gebruik van persoonsgegevens.16 Daarnaast gaat er voor verwerkingsverantwoordelijken een preventieve werking uit van een mogelijke schadevordering, omdat voor hen een financiële prikkel bestaat om de regels omtrent gegevensbescherming (beter) na te leven.

Er bestaat echter een aantal moeilijkheden bij het verkrijgen van een schadevergoeding wegens de onrechtmatige verwerking van persoonsgegevens. Na een onrechtmatige gegevensverwerking is het bijvoorbeeld vaak onduidelijk wat de feitelijke gevolgen zijn, of deze kwalificeren als juridische relevante schade, hoe schade moet worden begroot, en of er een causaal verband tussen de normschending en het nadeel is. Een andere vraag betreft de invloed van het eigen handelen van de betrokkene op de mogelijke schadevergoedingsplicht van de aansprakelijke verwerkingsverantwoordelijke. Bovendien is het nog maar de vraag of de betrokkene daadwerkelijk een procedure zal starten, gezien het gebrek aan kennis bij hem over de gegevensverwerking en de geringe financiële draagkracht. Daar komt bij dat de kosten van de procedure mogelijk niet of nauwelijks opwegen tegen de baten.17 Ook is het onzeker of ook andere partijen dan de ‘betrokkene’ een recht op schadevergoeding hebben en in hoeverre een collectieve procedure soelaas zal bieden voor de bewijsrechtelijke en financiële obstakels. Doordat de belangstelling vanuit de literatuur vooral uitging naar de publiekrechtelijke handhaving is er weinig onderzoek gedaan naar de civiele handhaving van het gegevensbeschermingsrecht, en meer specifiek in hoeverre het recht op schadevergoeding daaraan kan bijdragen.

Deze problematiek gaf aanleiding voor het schrijven van dit proefschrift. Met mijn onderzoek hoop ik duidelijkheid te verschaffen over verschillende aspecten van het recht op schadevergoeding bij een onrechtmatige verwerking van persoonsgegevens en bespreek ik in hoeverre het recht op schadevergoeding kan bijdragen aan de handhaving van het gegevensbeschermingsrecht. De centrale onderzoeksvraag van dit proefschrift luidt:

In hoeverre kan het recht op schadevergoeding bijdragen aan de handhaving van het gegevensbeschermingsrecht?