Schadevergoeding bij de onrechtmatige verwerking van persoonsgegevens (O&R nr. 126) 2021/7.7.1:7.7.1 Sanctioneer substantiële inbreuken

Schadevergoeding bij de onrechtmatige verwerking van persoonsgegevens (O&R nr. 126) 2021/7.7.1

7.7.1 Sanctioneer substantiële inbreuken

Deze functie is alleen te gebruiken als je bent ingelogd.Deze functie is alleen te gebruiken als je bent ingelogd.Deze functie is alleen te gebruiken als je bent ingelogd.

In dit proefschrift betoog ik dat voor substantiële inbreuken op de AVG een recht op schadevergoeding moet bestaan, ook als de onrechtmatige verwerking niet leidde tot concreet nadelige gevolgen. Bij het beoordelen of het gaat om een substantiële inbreuk kan de rechter eventueel aanhaken bij het bestaande begrip van de ‘wezenlijke inhoud’. Dit begrip volgt uit artikel 52 lid 1 van het Handvest. Dat artikel bepaalt:

“Beperkingen op de uitoefening van de in dit Handvest erkende rechten en vrijheden moeten bij wet worden gesteld en de wezenlijke inhoud van die rechten en vrijheden eerbiedigen. (..).”

Het recht op de bescherming van persoonsgegevens is gewaarborgd in artikel 8 van het Handvest.1 Elke beperking daarop moet de wezenlijke inhoud daarvan eerbiedigen. Dit betekent dat de beperking op het fundamentele recht niet zo ver mag gaan dat het de kern raakt van het recht2 of dat het afdoet aan het beginsel of recht ‘als zodanig’.3

Het belang van handhaving van de geschonden regel neemt dan toe als de onrechtmatige verwerking de wezenlijke inhoud aantast van het recht op bescherming van persoonsgegevens. Het begrip ‘wezenlijke inhoud van het recht op de bescherming van persoonsgegevens’ wordt in de AVG4 en rechtspraak5 echter nergens alomvattend gedefinieerd.6

Bij het vaststellen van de wezenlijke inhoud kan de rechter allereerst acht slaan op de verwerkingsbeginselen van artikel 8 lid 2 Handvest of artikel 5 AVG. Het vaststellen van het geschonden beginsel (en de daaruit afgeleide bepaling) kan helpen bij het bepalen van de handhavingsurgentie. Uit artikel 83 lid 4 en 5 AVG volgt immers onmiskenbaar dat de handhaving van sommige beginselen en bepalingen urgenter is dan andere. In dit artikel wordt de boetebevoegdheid bepaald. Hieruit volgt dat ‘lid 5-inbreuken’ kwalijker zijn dan ‘lid 4-inbreuken’.7 De bepalingen in lid 4 betreffen grotendeels verantwoordingsverplichtingen,8 terwijl de bepalingen in lid 5 voornamelijk betrekking op de verwerkingsbeginselen en de rechten van de betrokkenen.9 Handhaving wordt dus belangrijker naarmate het een geschonden bepaling betreft die de kern van het recht op de bescherming van persoonsgegevens raakt. Daartegenover wordt handhaving minder urgent als het gaat om een schending van een norm die de verantwoording over de gegevensverwerking regelt.10

De enkele aantasting van een kernbeginsel leidt niet zonder meer tot aantasting van de wezenlijke inhoud.11 Anders zou vrijwel iedere onrechtmatige verwerking leiden tot een aantasting van de wezenlijke inhoud. De rechter moet dus eveneens kijken naar andere factoren om te bepalen of handhaving urgent is. Hierbij kan hij aanhaken bij artikel 83 lid 2 AVG. Daarin staan gezichtspunten voor het nemen van een besluit door de toezichthouder over het opleggen van een administratieve geldboete en de bepaling van de hoogte daarvan.12 Deze lijst bevat aanknopingspunten voor de beoordeling of handhaving urgent is. De tekst van artikel 83 lid 2 AVG luidt:

a)

de aard, de ernst en de duur van de inbreuk, rekening houdend met de aard, de omvang of het doel van de verwerking in kwestie alsmede het aantal getroffen betrokkenen en de omvang van de door hen geleden schade;

b)

de opzettelijke of nalatige aard van de inbreuk;

c)

de door de verwerkingsverantwoordelijke of de verwerker genomen maatregelen om de door betrokkenen geleden schade te beperken;

d)

de mate waarin de verwerkingsverantwoordelijke of de verwerker verantwoordelijk is gezien de technische en organisatorische maatregelen die hij heeft uitgevoerd overeenkomstig de artikelen 25 en 32;

e)

eerdere relevante inbreuken door de verwerkingsverantwoordelijke of de verwerker;

f)

de mate waarin er met de toezichthoudende autoriteit is samengewerkt om de inbreuk te verhelpen en de mogelijke negatieve gevolgen daarvan te beperken;

g)

de categorieën van persoonsgegevens waarop de inbreuk betrekking heeft;

h)

de wijze waarop de toezichthoudende autoriteit kennis heeft gekregen van de inbreuk, met name of, en zo ja in hoeverre, de verwerkingsverantwoordelijke of de verwerker de inbreuk heeft gemeld;

i)

de naleving van de in artikel 58, lid 2, genoemde maatregelen, voor zover die eerder ten aanzien van de verwerkingsverantwoordelijke of de verwerker in kwestie met betrekking tot dezelfde aangelegenheid zijn genomen;

j)

het aansluiten bij goedgekeurde gedragscodes overeenkomstig artikel 40 of van goedgekeurde certificeringsmechanismen overeenkomstig artikel 42; en

k)

elke andere op de omstandigheden van de zaak toepasselijke verzwarende of verzachtende factor, zoals gemaakte financiële winsten, of vermeden verliezen, die al dan niet rechtstreeks uit de inbreuk voortvloeien.

Deze aanknopingspunten laten bijvoorbeeld zien dat een ernstige en/of langdurige (sub a), opzettelijke (sub b) en/of herhaaldelijke (sub e) inbreuk met betrekking tot gevoelige persoonsgegevens (sub g) uit winstmotieven (sub k) tot handhaving zal noodzaken. Daarentegen zal de handhaving van een kortdurende (sub a), eenmalige (sub e) inbreuk die is ontstaan ondanks de naleving van een goedgekeurde gedragscode (sub j) en waarbij de verwerkingsverantwoordelijke direct in samenwerking met de toezichthoudende autoriteit (sub f en h) is opgetreden om de geleden schade te beperken (sub c), minder urgent zijn.

Deze functie is alleen te gebruiken als je bent ingelogd.