6.5.1 Engeland

In Lloyd/Google oordeelde het Engelse Court of Appeal (CoA) over de vergoedbare schade op grond van artikel 23 Dataprotectierichtlijn.1 Het CoA vindt het nuttig om te zien hoe de AVG omgaat met het begrip ‘schade’.2 Het betrekt in zijn oordeel ook Engelse privacygerelateerde zaken.3

In het onderhavige geval maakte Google gebruik van een omzeiling in de standaardbrowser van iPhone (Safari). Hierdoor kon het ‘browser generated information’ (BGI) van iPhone-gebruikers verzamelen, zonder hun wetenschap en toestemming. Lloyd vordert namens 4 miljoen gebruikers schadevergoeding. Hij claimt dat Google op basis van de BGI informatie kon genereren over hun surfgedrag, locatie, interesses, etniciteit, sociale klasse, gezondheid en financiële positie.4 Google verkocht die informatie aan adverteerders, waardoor zij hun advertenties konden aanpassen op bepaalde typen gebruikers.

Het CoA overweegt dat controle van de betrokkene over zijn BGI een (economische) waarde vertegenwoordigt, waardoor het verlies daarvan ook een waarde heeft.5 Dit volgt uit de Engelse benadering van het schadebegrip bij privacyschendingen.6 Het CoA oordeelt aldus dat een betrokkene een recht op schadevergoeding heeft bij het verlies van controle over persoonsgegevens, zelfs als hij geen economische schade of ‘distress’ heeft.7 Alleen op deze manier hebben betrokkenen een ‘effective remedy’ voor inbreuken op het gegevensbeschermingsrecht.8 Het CoA onderkent dat er meer ‘remedies’ bestaan, zoals een gebods- of verbodsactie, declaratoir vonnis en/of het recht op rectificatie, wissing en beperking,9 maar deze kunnen de schending zoals in het onderhavige geval niet verhelpen.

Het CoA benadrukt dat de vergoedbaarheid van het controleverlies niet afhankelijk is van de exceptionele aard van de omstandigheden, maar zegt ook dat triviale schendingen zonder concrete schade niet voor vergoeding in aanmerking komen. Naar Engels recht moet de schending immers voldoen aan de ‘threshold of seriousness’.10 Dit is in lijn met het Unierecht. Hoewel het Unierecht bij aansprakelijkheid tussen private partijen niet de voorwaarde stelt dat de inbreuk ‘voldoende gekwalificeerd’ is,11 moet schade in beginsel wel reëel en zeker geleden zijn. Ook daar komen lichte inbreuken zonder concrete gevolgen dus niet voor vergoeding in aanmerking.