3.2.5.2 Hoofdelijke aansprakelijkheid

76. Hoofdelijke aansprakelijkheid in de AVG. De AVG voorziet in hoofdelijke aansprakelijkheid voor gevallen waarin voor schade als gevolg van een verwerking in strijd met de AVG meerdere verwerkingsverantwoordelijken of verwerkers aansprakelijk zijn. De vraag of een verwerkingsverantwoordelijke of verwerker aansprakelijk is, moet worden beantwoord aan de hand van art. 82 lid 2 en 3 AVG:

In verschillende gevallen is denkbaar dat schending van verplichtingen uit hoofde van de AVG leidt tot hoofdelijke aansprakelijkheid. Daarbij kan het gaan om samenloop van aansprakelijkheid van een verwerker en een verwerkingsverantwoordelijke, maar ook om samenloop van aansprakelijkheid van meerdere verwerkingsverantwoordelijken. Zijn er meerdere verwerkingsverantwoordelijken en/of verwerkers aansprakelijk (op grond van art. 82 lid 2 en 3 AVG), dan “wordt elke verwerkingsverantwoordelijke of verwerker voor de gehele schade aansprakelijk gehouden teneinde te garanderen dat de betrokkene daadwerkelijk wordt vergoed” (art. 82 lid 4 AVG). Hoewel de verordening niet met zoveel woorden spreekt van hoofdelijke aansprakelijkheid, is daarvan mijns inziens wel sprake.1 Dit volgt uit art. 82 lid 5 AVG, waarin een onderlinge verhaalsmogelijkheid is opgenomen voor verwerkers of verwerkingsverantwoordelijken die op grond van lid 4 de volledige schade hebben voldaan:

De gedachte die hieraan ten grondslag ligt, zal zijn dat het voldoen van de hoofdelijke schuld (of een deel daarvan) ook de andere aansprakelijke partijen bevrijdt, maar dat daarbij moet worden voorkomen dat daardoor een vermogensverschuiving tussen de hoofdelijk schuldenaren ontstaat.2 Hiermee voldoet de aansprakelijkheid uit art. 82 lid 4 en 5 AVG aan de definitie van hoofdelijke aansprakelijkheid waarvan ik in dit onderzoek uitga.3 Het doel van deze hoofdelijke aansprakelijkheid is mijns inziens gelegen in bescherming van de belangen van de betrokkene, die “volledige en daadwerkelijke vergoeding” dient te krijgen van zijn schade, waarbij in geval van meerdere betrokken verwerkingsverantwoordelijken en/of verwerkers “zij elk voor de volledige schade aansprakelijk [dienen] te worden gehouden”.4

77. Gezamenlijke verwerkingsverantwoordelijkheid. In de definitie van het begrip ‘verwerkingsverantwoordelijke’ in art. 4, aanhef en sub 7 AVG is opgenomen dat het ook kan gaan om het “samen met anderen” bepalen van het doel en de middelen van de verwerking van persoonsgegevens, en hetzelfde geldt voor de voorloper daarvan in art. 2, aanhef en sub d Richtlijn 95/46/EG. In de AVG is daarnaast voorzien in een nadere uitwerking van gezamenlijke verwerkingsverantwoordelijkheid (art. 26 AVG). Het Hof van Justitie heeft in enkele arresten onder het toepassingsbereik van Richtlijn 95/46/EG nadere invulling geven aan het begrip ‘gezamenlijke verwerkingsverantwoordelijkheid’.

In het arrest Wirtschaftsakademie Schleswig-Holstein ging het om een fanpagina van de Wirtschaftsakademie Schleswig-Holstein op Facebook.5 Facebook Ireland (hierna: ‘Facebook’) verzamelde door middel van het gebruik van cookies gegevens over de gebruikers van die pagina (‘fans’), welke gegevens door Facebook gratis aan de Wirtschaftsakademie ter beschikking werden gesteld. Hoewel de gegevens door Facebook geanonimiseerd aan de Wirtschaftsakademie werden aangeboden, en de Wirtschaftsakademie geen toegang had tot de onderliggende persoonsgegevens, merkte het Hof van Justitie Facebook en de Wirtschaftsakademie gezamenlijk aan als verwerkingsverantwoordelijke in de zin van de richtlijn (en dus niet allebei afzonderlijk):6

Hoewel de aansprakelijkheid van Facebook en/of de Wirtschaftsakademie in het arrest van het Hof van Justitie niet aan de orde was, is het arrest mogelijk relevant voor het bepalen van aansprakelijkheid, óók onder de AVG. Het Hof van Justitie geeft in dit kader een overweging die mogelijk haar schaduw vooruitwerpt naar schadevergoedingskwesties, namelijk dat:7

Hoewel Facebook en de Wirtschaftsakademie gezamenlijk verwerkingsverantwoordelijk zijn voor de aan de orde zijnde verwerking van persoonsgegevens, hoeft dit dus geen “gelijkwaardige verantwoordelijkheid” te zijn.8

In latere rechtspraak heeft het Hof van Justitie deze overweging herhaald en nader gepreciseerd, eveneens in zaken die vielen onder het bereik van Richtlijn 95/46/EG.9 In het arrest Fashion ID ging het om een website van Fashion ID waarin een ‘like-button’ van Facebook was geïntegreerd, als gevolg waarvan gegevens van de bezoekers van die website werden doorgestuurd aan Facebook Ireland (hierna: ‘Facebook’), mogelijk óók indien die bezoekers niet van de like-button gebruikmaakten en ongeacht of de bezoeker zelf een Facebook-profiel had.10 Ook in die context oordeelde het Hof van Justitie dat Fashion ID en Facebook gezamenlijk verwerkingsverantwoordelijk kunnen zijn.11 Hof van Justitie heeft in Fashion ID voorts een beperking aangebracht ten opzichte van eerdere rechtspraak:12

De ‘gezamenlijke verwerkingsverantwoordelijkheid’ bestaat dus alleen voor verwerkingen waarvoor beide partijen – in dit geval: Fashion ID en Facebook – het doel en de middelen bepalen. Het lijkt er daarbij op dat het Hof van Justitie met zijn oordeel (onder Richtlijn 96/47/EG) tevens invulling geeft aan het begrip ‘verantwoordelijkheid’ dat onder de AVG bepalend is voor de mogelijkheid tot disculpatie (art. 82 lid 3 AVG).13 Voor zover bewerkingen vroeger of later in de keten plaatsvinden en waarvan hij niet het doel en de middelen vaststelt, kan de verwerkingsverantwoordelijke zich dan disculperen.

Tot slot verdient opmerking dat gezamenlijk verwerkingsverantwoordelijken onderling een regeling kunnen treffen voor de verdeling van de verantwoordelijkheden (art. 26 lid 1 AVG). Een dergelijke regeling moet op een voor de betrokkene transparante wijze worden opgesteld en doet geen afbreuk aan de rechten van de betrokkene jegens beide gezamenlijk verwerkingsverantwoordelijken (art. 26 lid 2 en 3 AVG).

78. Hoofdelijke aansprakelijkheid in geval van gezamenlijke verwerkingsverantwoordelijkheid? De hiervoor besproken rechtspraak over ‘gezamenlijke verwerkingsverantwoordelijkheid’ roept tal van vragen op.14 De voor dit onderzoek belangrijkste daarvan is of een onrechtmatige verwerking waarbij sprake is van ‘gezamenlijke verantwoordelijkheid’ leidt tot hoofdelijke aansprakelijkheid of niet.

In het advies van de ‘Artikel 29 Werkgroep’15 uit 2010, dat betrekking had op het aansprakelijkheidsregime uit Richtlijn 95/46/EG, werd die vraag als volgt beantwoord:16

Deze duiding vertoont verrassend veel parallellen met het (latere) oordeel van het Hof van Justitie in Fashion ID, waar het Hof van Justitie de verantwoordelijkheid van ‘gezamenlijk verwerkingsverantwoordelijken’ niet noodzakelijkerwijs gelijk acht.17 In het advies wordt hoofdelijke aansprakelijkheid gezien als een oplossing voor de onduidelijkheden die voor de betrokkene kunnen bestaan over de verdeling van verantwoordelijkheden tussen verschillende gezamenlijk verwerkingsverantwoordelijkheden, en dat voor hoofdelijke aansprakelijkheid alleen ruimte zou zijn “wanneer de betrokken partijen verplichtingen en verantwoordelijkheden niet duidelijk en even effectief hebben belegd of dit niet duidelijk uit de feitelijke omstandigheden blijkt”.18

Daargelaten of dit het regime onder Richtlijn 95/46/EG juist weergeeft, zou ik menen dat het voor aansprakelijkheid onder de AVG precies omgekeerd is. Bij gezamenlijke verwerkingsverantwoordelijkheid voor een verwerking waarbij de verplichtingen voor de verwerkingsverantwoordelijke(n) uit hoofde van de AVG niet in acht worden genomen, meen ik dat beide partijen in beginsel hoofdelijk aansprakelijk zijn tot vergoeding van de daardoor veroorzaakte schade (art. 82 lid 2 en 4 AVG). Kan een van hen zich disculperen, dan is hij niet aansprakelijk (art. 82 lid 3 AVG)19 en dus ook niet hoofdelijk aansprakelijk, maar voor het overige geldt dat een geschonden verantwoordelijkheid – mits ook aan de overige vereisten voor aansprakelijkheid is voldaan – leidt tot aansprakelijkheid.

Mijns inziens is deze interpretatie in lijn met het arrest Fashion ID. Dat arrest lijkt ruimte te laten voor gezamenlijke verwerkingsverantwoordelijkheid waarbij de verantwoordelijkheid verschillend is, en waarbij dus ook de aansprakelijkheid mogelijk verschillend is. Het Hof van Justitie overweegt immers dat geen verantwoordelijkheid bestaat voor bewerkingen vroeger of later in de keten waarvoor de desbetreffende partij niet het doel en de middelen vaststelt.20

Het begrip ‘verwerking’ ziet op “een bewerking of een geheel van bewerkingen”.21 Waar het begrip ‘gezamenlijke verwerkingsverantwoordelijkheid’ ziet op een verwerking, lijkt het Hof van Justitie in het arrest Fashion ID binnen een dergelijke verwerking – die dus kan bestaat uit meerdere bewerkingen – tussen verschillende bewerkingen te differentiëren, waar het spreekt van “bewerkingen die verband houden met de verwerking van persoonsgegevens”.22 Ik begrijp het arrest zo dat ook in gevallen waarin ten aanzien van een verwerking sprake is van gezamenlijke verwerkingsverantwoordeijkheid, het zo kan zijn dat bewerkingen waaruit die verwerking bestaat, wél vallen onder de verantwoordelijkheid van de ene verwerkingsverantwoordelijke maar niet onder die van de andere.

Complicaties doen zich mijns inziens vooral voor indien de ene bewerking een noodzakelijke voorwaarde is voor een andere bewerking. Enerzijds roept de AVG aansprakelijkheid in het leven voor “schade die wordt veroorzaakt door verwerking die inbreuk maakt op deze verordening” (art 82 lid 2 AVG), waarbij “[d]e verantwoordelijkheid en aansprakelijkheid van de verwerkingsverantwoordelijke moeten worden vastgesteld voor elke verwerking van persoonsgegevens”.24 Een verwerking in strijd met de AVG kan dus bestaan uit verschillende bewerkingen, waarbij een latere bewerking niet mogelijk was geweest zonder een eerdere bewerking, zodat die eerdere bewerking een condicio sine qua non vormt voor de latere bewerking. Anderzijds lijkt uit het arrest Fashion ID te volgen dat de verwerkingsverantwoordelijkheid van een gezamenlijk verwerkingsverantwoordelijke zich niet noodzakelijkerwijs uitstrekt tot latere bewerkingen, in welk geval er géén aansprakelijkheid bestaat voor die latere bewerking (zie voor het huidige regime art. 82 lid 3 AVG). In de eerste interpretatie bestaat hoofdelijke aansprakelijkheid voor de schade als gevolg van de tweede bewerking, terwijl dat in de tweede interpretatie niet het geval is.

Mijns inziens is het het meest in lijn met de AVG om ervan uit te gaan dat indien meerdere bewerkingen tot dezelfde verwerking behoren, er in beginsel gezamenlijke verantwoordelijkheid bestaat, die bij schending van die verantwoordelijkheid leidt tot hoofdelijke aansprakelijkheid (art. 82 lid 2 en 4 AVG), behalve indien een van de (mogelijkerwijs) gezamenlijk verwerkingsverantwoordelijke kan bewijzen dat de schade het gevolg is van een bewerking waarvoor hij niet het doel en de middelen bepaalde, en waarvoor hij dus niet verantwoordelijk is (art. 82 lid 3 AVG). Het arrest Fashion ID drukt daarmee mijns inziens niet alleen het geldende recht uit voor het regime van Richtlijn 95/46/EG, maar ook dat van de AVG.

Tot slot merk ik op dat indien gezamenlijk verwerkingsverantwoordelijken gebruik hebben gemaakt van de mogelijkheid om een regeling te treffen tot verdeling van de verantwoordelijkheid,25 dit mijns inziens geen afbreuk doet aan hun externe aansprakelijkheid, omdat de betrokkene ook dan “zijn rechten uit hoofde van [de AVG] met betrekking tot en jegens iedere verwerkingsverantwoordelijke [kan] uitoefenen” (art. 26 lid 3 AVG).26

79. Verhouding tot nationaal recht. De hoofdelijke aansprakelijkheid waarin art. 82 lid 4 AVG voorziet, heeft directe horizontale werking en kan onmiddellijk worden ingeroepen in een geschil tussen particulieren. Dat laat onverlet dat het Unierecht slechts één (extern) aspect van de hoofdelijke aansprakelijkheid regelt, namelijk de naast elkaar bestaande aansprakelijkheden van verschillende verwerkingsverantwoordelijken en/of verwerkers. Andere kwesties, zoals de inroepbaarheid door een schuldenaar van verweermiddelen waarvan een andere medeschuldenaren zich jegens de schuldeiser kan bedienen – denk bijvoorbeeld aan verjaring –, de gevolgen van insolventie van een van de schuldenaren, of de gevolgen van een door een hoofdelijk aansprakelijke partij met een betrokkene getroffen schikking, laat het Unierecht ongeregeld. Die kwesties zijn daarmee overgelaten aan de procedurele autonomie van de lidstaten.27

Datzelfde geldt voor de procedurele afwikkeling van aansprakelijkheidskwesties. De zojuist28 aangehaalde disculpatiemogelijkheid houdt in dat een aangesproken verwerkingsverantwoordelijke of verwerker niet aansprakelijk is als hij kan bewijzen dat hij “op geen enkele wijze verantwoordelijk is voor het schadeveroorzakende feit” (art. 82 lid 3 AVG). Uit de AVG blijk echter niet wat ervoor nodig is om in dat bewijs te slagen. Deze kwestie is dus overgelaten aan de procedurele autonomie van de lidstaten.29