4.4.1 Algemeen

In deze paragraaf onderzoek ik wanneer het schadeveroorzakende gedrag van de betrokkene kan worden aangemerkt als een toerekenbare omstandigheid in de zin van art. 6:101 lid 1 BW. Voor een toerekenbare omstandigheid is op zijn minst onzorgvuldig gedrag van de betrokkene vereist (paragraaf 2). Ten aanzien van het (onzorgvuldige) gedrag van de betrokkene maak ik een onderscheid in drie categorieën: de verwerkingsverantwoordelijke adviseert maatregelen maar de betrokkene volgt deze niet op (paragraaf 4.2); een onzorgvuldig handelen van de betrokkene, zonder dat er sprake is van een advies van de verwerkingsverantwoordelijke (paragraaf 4.3); de betrokkene nam geen anticiperende maatregelen (paragraaf 4.4.).1 Bij het bespreken van het gedrag van de betrokkene ga ik telkens uit van aansprakelijkheid van de verwerkingsverantwoordelijke.2

Ik begin met een algemene opmerking over de bruikbaarheid van de bestaande jurisprudentie. Door een schaarste aan (lagere en hogere) rechtspraak zijn er weinig aanknopingspunten voor de beantwoording van de vraag of er sprake is van een aan de betrokkene toerekenbare omstandigheid in de zin van art. 6:101 lid 1 BW. Er zijn mij slechts twee uitspraken bekend waarin een aansprakelijke verwerkingsverantwoordelijke die in strijd handelde met de Wet bescherming persoonsgegevens3 een beroep deed op eigen schuld van de betrokkene.4

Een vergelijking met andere situaties van eigen schuld is lastig. De algemene onrechtmatige daad-jurisprudentie geeft weinig bruikbare en praktische maatstaven voor de beoordeling of er sprake is van een toerekenbare omstandigheid.5 De beoordeling van eigen schuld vindt immers plaats aan de hand van de concrete omstandigheden van het geval, waardoor de inkleuring daarvan casuïstisch van aard is. De toepassing van art. 6:101 lid 1 BW in de rechtspraak, bijvoorbeeld bij arbeidsongevallen6 en bij de optiehandel of effectenlease,7 leent zich daarom slechts in beperkte mate voor het beoordelen van eigen schuld bij een onrechtmatige verwerking van persoonsgegevens.8 De vergelijking tussen het gegevensbeschermingsrecht en andere gevallen is bovenal lastig, omdat de veelal immateriële en abstracte gevolgen van bijvoorbeeld een datalek of een ongeïnformeerde gegevensverwerking op een ander niveau liggen dan bijvoorbeeld inbreuken op de fysieke integriteit of inbreuken die een duidelijkere impact hebben op het vermogen van de benadeelde.9 Ten aanzien van fysiek waarneembare schade of schade die direct de portemonnee treft, is het bovendien meestal een stuk duidelijker wat de benadeelde had kunnen of moeten doen om schade te voorkomen of te beperken.