2.3.2 Het ontbreken van juridisch relevante schade

Een datalek heeft in de meeste gevallen een immateriële impact.1 Zo kan de betrokkene gevoelens van schaamte en frustratie ervaren en, in een uiterst geval, zelfs reputatieschade ondervinden. Bovendien kan de onzekerheid over potentieel toekomstig misbruik aanleiding geven tot stress of angstgevoelens.2

De lat voor de toekenning van immateriële schadevergoeding ligt hoog.3 Op grond van artikel 6:106 lid 1 sub b BW komen ergernis of ongemak niet voor vergoeding in aanmerking.4 De betrokkene heeft recht op vergoeding van immateriële schade als hij aantoont dat de onrechtmatige verwerking heeft geleid tot ‘geestelijk letsel’, zoals een psychische aandoening.5 Geestelijk letsel als gevolg van een datalek lijkt echter over het algemeen afwezig of moeilijk aantoonbaar te zijn, tenzij er sprake is van een meer extreem geval. Zo een geval kan zich voordoen indien een betrokkene psychische klachten ontwikkelt als gevolg van de openbaarmaking van diens naaktfoto’s door een beveiligingslek bij een cloudprovider.

Daarnaast heeft de betrokkene recht op compensatie indien hij ‘integriteitsschade’ ondervindt.6 Hiervan is sprake bij een ernstige inbreuk, met rechtstreekse gevolgen voor de benadeelde, op een fundamenteel recht dat nauw samenhangt met de geestelijke of lichamelijke integriteit van de persoon.7 Omdat de gevolgen van een datalek in veel gevallen onbekend of speculatief zijn,8 zal integriteitsschade niet snel worden toegekend. Slechts in een uitzonderlijk geval zal dit anders zijn. Te denken valt aan het geval dat de betrokkene reputatieschade oploopt of zich zodanig in zijn persoonlijke levenssfeer voelt aangetast, omdat – door een gebrekkige beveiliging op een online trefpunt voor vreemdgangers – zijn accountgegevens zijn buitgemaakt door een hacker en vervolgens openbaar zijn gemaakt.9

Verder is het niet altijd duidelijk of het datalek materiële schade heeft veroorzaakt. 10 Materiële schade kan bijvoorbeeld ontstaan als persoonsgegevens worden misbruikt in het kader van identiteitsfraude.11 Problematisch is wel dat de vermogensrechtelijke gevolgen zich pas na geruime tijd (kunnen) manifesteren.12 Het potentiële gebruik van data is daarnaast eindeloos: in tegenstelling tot stoffelijke objecten kunnen data wereldwijd door een onbepaald aantal partijen worden (her)gebruikt.13 Het datalek zorgt dus voor een verhoogd risico op (toekomstige) schade bij de betrokkene. Dit verhoogde risico komt echter niet voor vergoeding in aanmerking.

In het geval dat vermogensschade wel intreedt, is dit bovendien voor de betrokkene niet altijd bekend. De betrokkene kan bijvoorbeeld niet zonder meer achterhalen of hij door de gelekte gegevens een lucratieve opdracht is misgelopen of dat hij vanwege zijn medisch verleden herhaaldelijk niet in aanmerking komt voor een sollicitatiegesprek.