4.3.2 Eigen verantwoordelijkheid betrokkene volgt uit begrensde verantwoordelijkheid verwerkingsverantwoordelijke

Een eigen verantwoordelijkheid voor de betrokkene volgt indirect uit het feit dat de AVG een risk-based approach hanteert.1 Die benadering gaat ervan uit dat het niveau van de maatregelen die de verwerkingsverantwoordelijke moet treffen, wordt gebaseerd op de risico’s die gepaard gaan met de gegevensverwerking.2 Tegelijkertijd stelt die benadering grenzen aan de verantwoordelijkheid van de verwerkingsverantwoordelijke. Die begrensde verantwoordelijkheid komt bijvoorbeeld tot uitdrukking in de beveiligingsplicht ex art. 32 AVG. Dit artikel bepaalt dat de verwerkingsverantwoordelijke ‘passende technische en organisatorische maatregelen’ moet nemen om ‘een op het risico afgestemd beveiligingsniveau te waarborgen’. Art. 32 AVG vereist niet dat de technische en organisatorische maatregelen moeten beschermen tegen elke onrechtmatige verwerking. Een inbreuk op de beveiliging van de verwerkingsverantwoordelijke duidt dus niet noodzakelijkerwijs op nalatigheid ten aanzien van de beveiligingsplicht.3 In die zin wordt de verantwoordelijkheid van de verwerkingsverantwoordelijke begrensd. Die begrenzing is niet onlogisch, aangezien een verwerkingsverantwoordelijke geen waterdichte beveiliging kan garanderen die beschermt tegen elk denkbaar scenario.4

De begrensde verantwoordelijkheid van de verwerkingsverantwoordelijke volgt ook uit de disculpatieclausule in art. 82 lid 3 AVG. Deze clausule luidt: “Een verwerkingsverantwoordelijke of verwerker wordt van aansprakelijkheid op grond van lid 2 vrijgesteld indien hij bewijst dat hij op geen enkele wijze verantwoordelijk is voor het schadeveroorzakende feit.” De verwerkingsverantwoordelijke wordt bijvoorbeeld van aansprakelijkheid vrijgesteld als de schade het gevolg is van een fout van de betrokkene. Dit blijkt uit overweging 55 van de Dataprotectierichtlijn (de voorganger van de AVG). Hierin staat, ten aanzien van de disculpatieclausule in art. 23 lid 2 van de Dataprotectierichtlijn, dat de (verwerkings)verantwoordelijke niet aansprakelijk is als hij bewijst dat er sprake is ‘van een fout van de betrokkene of van overmacht’. In de finale tekst van de AVG ontbreekt de overweging over een fout van de betrokkene. Dit is opmerkelijk, omdat die overweging wel stond in een eerdere versie.5 Het is onduidelijk waarom deze passage is verdwenen. Er zijn geen aanwijzingen dat de disculpatieclausules van art. 23 lid 2 Dataprotectierichtlijn en art. 82 lid 3 AVG op verschillende manieren moeten worden uitgelegd.6

Het gegevensbeschermingsrecht beoogt geen oneindige verantwoordelijkheid in het leven te roepen voor de verwerkingsverantwoordelijke. Deze begrenzing van de verantwoordelijkheid leidt tot een eigen verantwoordelijkheid voor de betrokkene. Het gegevensbeschermingsrecht gaat er immers vanuit dat de betrokkene in sommige situaties zelf het risico draagt van schade door misbruik van zijn persoonsgegevens. Ook in beleidsstukken veronderstellen de Nederlandse7 en Europese8 overheid een eigen verantwoordelijkheid van de betrokkene. In het licht van die eigen verantwoordelijkheid conflicteert de mogelijkheid van een eigen schuld-verweer door de verwerkingsverantwoordelijke dus niet met de strekking en doelstellingen van het gegevensbeschermingsrecht.9 Dat een eigen schuld-verweer tot de mogelijkheden behoort, wordt zelfs expliciet bevestigd door staatssecretaris Teeven. Hij signaleert dat er mogelijk sprake kan zijn van eigen schuld als de betrokkene na een melding van een datalek geen gehoor geeft aan de door de (verwerkings)verantwoordelijke voorgestelde maatregelen.10