3.3.3 Immateriële schade

Door het schandaal kan het vertrouwen van de getroffen Facebookgebruiker ernstig zijn geschaad. Daarnaast kan de inbreuk op zijn privacy leiden tot spanning, frustratie en een gevoel van machteloosheid bij de betrokkene.1 De betrokkene kan bovendien toekomstige gevolgen vrezen: wat staat hem te wachten als gevolg van de heimelijke gegevensverwerking?

Voor een immateriële schadevergoeding zal de Facebookgebruiker moeten aantonen dat er sprake is van een ‘aantasting in de persoon’. Afgaande op het feitencomplex is geestelijk letsel als gevolg van het schandaal niet ondenkbaar, maar onwaarschijnlijk. Ook een schadevordering gebaseerd op een schending van ‘de eer of goede naam’ is niet erg kansrijk. Dit type vorderingen betreft over het algemeen onjuiste perspublicaties of andere publieke mededelingen waarvan de dader wist of moest weten dat deze onjuist waren.2 De gegevens in dit schandaal zijn echter niet in het publieke domein terechtgekomen.

Heeft een schadevergoedingsactie tegen Facebook, gebaseerd op integriteitsschade, dan wél een goede kans van slagen? Voor een immateriële schadevergoeding moet de betrokkene aantonen dat hij, door de ernstige inbreuk op zijn fundamentele recht op bescherming van zijn persoonsgegevens,3 in zijn persoon is aangetast in de zin van artikel 6:106 lid 1 sub BW. Voor de beoordeling of hier sprake van is, zijn zowel de bijzondere ernst van de normschending als de ernst van de gevolgen van belang. Zijn de inbreuk en de gevolgen van dit schandaal dan zo ernstig of bijzonder dat er sprake is van integriteitsschade? Het API-design van Facebook faciliteerde de heimelijk gegevensverzameling door Kogan en/of CA. Facebook heeft zijn beveiligingsplicht geschonden en heeft daarmee een ernstige inbreuk gemaakt op het recht op adequate gegevensbescherming van de Nederlandse Facebookgebruiker. Het valt echter ten zeerste te betwijfelen of de gevolgen in dit schandaal zo ernstig zijn dat er sprake is van integriteitsschade. De concrete gevolgen voor Nederlandse Facebookgebruikers blijven immers beperkt tot de ongeïnformeerde verzameling van hun persoonsgegevens. Er zijn geen aanwijzingen dat hun gegevens zijn aangewend voor het genereren van een stemprofiel, waardoor hun stemgedrag kon worden beïnvloed. De rechtspraak indiceert dat er voor integriteitsschade meer aan de hand moet zijn dan slechts de loutere heimelijke gegevensverzameling of de inadequate beveiliging van persoonsgegevens. In de zaken waarin integriteitsschade werd erkend ging het uitsluitend om ernstige, invasieve inbreuken op de fysieke of psychische integriteit van de persoon. De ernst van de inbreuk en gevolgen in dit schandaal lijken - althans voor de Nederlandse Facebookgebruiker - niet zo ernstig. Sterker nog, het lijkt erop dat er geen gevolgen zijn die de Nederlandse Facebookgebruiker rechtstreeks treffen. Op basis van de feiten acht ik een vordering wegens integriteitsschade niet kansrijk.

Evenwel is de omvang van het schandaal onzeker: politieke beïnvloeding in Nederland is niet uitgesloten. Indien blijkt dat gegevens wel degelijk zijn gebruikt voor politieke beïnvloeding, bijvoorbeeld in de aanloop naar de Tweede Kamerverkiezingen, dan kan de Nederlandse Facebookgebruiker stellen dat zijn (democratische) zelfbeschikkingsrecht is aangetast.4 In dat geval zijn er wel gevolgen die hem rechtstreeks treffen en is een succesvolle vordering wegens integriteitsschade plots een stuk realistischer. Dan is echter de vraag in hoeverre het genereren van de stemprofielen door Kogan/CA aan Facebook kan worden toegerekend. Facebook creëerde de profielen immers niet zelf. Evenwel bood Facebook, door het open API-design, Kogan en CA de ultieme gelegenheid om de gegevens te verzamelen.

Er is in de Nederlandse rechtspraak slechts een beperkt aantal Nederlandse civiele en bestuursrechtelijke procedures5 waarin een betrokkene een schadevergoedingsverzoek deed op grond van een onrechtmatige verwerking van zijn persoonsgegevens. Ook uit die rechtspraak blijkt dat in situaties zonder geestelijk letsel de rechter ruimte ziet voor een immateriële schadevergoeding.6 In deze gevallen betreft het meestal een onrechtmatige verwerking met een behoorlijke impact op de persoonlijke levenssfeer van de betrokkene: een persoonlijk of rechercheonderzoek,7 een verzekeraar die geheime adresgegevens verstrekt aan een dreigende ex-echtgenoot,8 een onderneming die onjuiste persoonsgegevens verstrekt aan overheidsinstanties waardoor de betrokkene ten onrechte belastingaanslagen en vorderingen tot terugbetaling van toeslagen en studiegelden ontvangt,9 of het ongeoorloofd delen van een asieldossier.10 Daarnaast valt op dat in die zaken alleen persoonsgegevens van die specifieke betrokkene zijn verwerkt en de consequenties voor hem evident nadelig zijn. De (bijzondere) ernst van die gevallen lijkt moeilijk op één lijn te stellen met de situatie waarin de Nederlandse Facebookgebruiker verkeert.

Wellicht stemt een vonnis van de rechtbank Noord-Nederland de Nederlandse Facebookgebruiker optimistischer.11 Ook in die zaak heeft de onrechtmatige verwerking slechts een beperkte impact op de persoonlijke levenssfeer van de betrokkene. Toch kende de rechtbank een immateriële schadevergoeding toe van 100 euro. In dit geval had een advocatenkantoor WSNP-gegevens van de betrokkene uit de Staatscourant overgetypt. Vervolgens deed het kantoor per post een aanbod voor rechtsbijstand aan de betrokkene. De betrokkene was ‘door het onverwachts vinden van de brief op haar deurmat, geschrokken en geëmotioneerd.’ Omdat de gevolgen in deze zaak niet ernstig zijn, lijkt het erop dat de rechtbank de inbreuk - of de onrechtmatige verwerking - als zodanig heeft willen sanctioneren. Die gedachte is ook terug te zien in een vonnis van de rechtbank Midden-Nederland, die het ‘zonder toestemming en noodzaak verstrekken van medische gegevens’ kwalificeerde als persoonsaantasting in de zin van artikel 6:106 lid 1 sub b BW.12

Levert de inbreuk door Facebook, of de gevolgen daarvan, dan een persoonsaantasting op? Ik sluit het niet uit. Aan de ene kant vereist de rechtspraak voor integriteitsschade een ernstige inbreuk en ernstige, rechtstreekse gevolgen. Het probleem in dit schandaal is echter dat die gevolgen voor de Nederlandse Facebookgebruiker (vooralsnog) ontbreken. De rechtspraak waarbij een immateriële schadevergoeding werd toegekend na een onrechtmatige verwerking, omvat hoofdzakelijk gevallen met een behoorlijke impact op de persoonlijke levenssfeer van de betrokkene. Hiervan lijkt in het onderhavige schandaal, althans voor de Nederlandse Facebookgebruiker, zeker geen sprake. Aan de andere kant zijn er twee recente vonnissen die de inbreuk als zodanig kwalificeren als persoonsaantasting, en minder de nadruk leggen op de (ernst van de) gevolgen voor de betrokkene.

Een claim voor immateriële schade wordt in de toekomst mogelijk kansrijker indien het Hof van Justitie, door middel van autonome en contextafhankelijke interpretatie, de schade bij de onrechtmatige verwerking van persoonsgegevens interpreteert aan de hand van wat ‘voor de betrokkene zeer belangrijk is’.13 In dat geval sluit ik niet uit dat het Hof van Justitie het onrechtmatig verwerken van persoonsgegevens als zodanig kwalificeert als immateriële schade.