2.3.4 Het niet kunnen vaststellen van een causaal verband

De bewijslast met betrekking tot het aantonen van een causaal verband tussen de inadequate beveiligingsmaatregelen en de schade rust op de betrokkene. Ook dit is (met name in het geval van materiële schade)1 een lastig te nemen horde voor de individuele eiser. Vrijwel elke organisatie verwerkt persoonsgegevens. Hierdoor is het web van mogelijke schadeveroorzakers omvangrijk. Dit betekent dat het voor de betrokkene niet altijd mogelijk is om aan te tonen dat een datalek van die éne verwerkingsverantwoordelijke de oorzaak is van de opgetreden schade.2 Als een andere verwerkingsverantwoordelijke een vergelijkbare dataset verwerkt, kan de schade eveneens zijn ontstaan door een datalek bij die laatste partij. Het is onzeker of de leerstukken van de alternatieve causaliteit (artikel 6:99 BW) en proportionele aansprakelijkheid een oplossing zijn voor de bewijsnood van de betrokkene.3 Het is onduidelijk in hoeverre artikel 6:99 BW mag worden toegepast indien één van de verwerkingsverantwoordelijken, die de schade mogelijk kan hebben veroorzaakt, niet de beveiligingsplicht heeft geschonden.4 Proportionele aansprakelijkheid kan toepassing vinden als één van de mogelijke oorzaken van de schade binnen de risicosfeer van de betrokkene valt, maar moet met terughoudendheid worden toegepast.5