6.6.2 Privaatrechtelijke weg

Wanneer een verwerkingsverantwoordelijke of verwerker de AVG schendt, bijvoorbeeld door na te laten passende beveiligingsmaatregelen te treffen, en zo schade veroorzaakt, kan de schadelijdende partij deze schade op hen verhalen. Vergoedt een van hen de schade, dan kan hij vervolgens regres nemen op de andere betrokken verwerkingsverantwoordelijken en/of verwerkers.1

Onder omstandig­heden kan een partij de door haar betaalde schadevergoeding volledig op een ander verhalen. Uit de AVG blijkt dat een verwerkingsverantwoordelijke dit waarschijnlijk kan doen “indien hij bewijst dat hij op geen enkele wijze verantwoordelijk is voor het schadeveroorzakende feit”,2 en de verwerker indien de schade is veroorzaakt door een schending van een verplichting die niet specifiek tot hem is gericht.3

Naar Nederlands recht geldt in het algemeen dat wanneer op meerdere personen een verplichting rust tot vergoeding van dezelfde schade, deze personen hoofdelijk zijn verbonden (art. 6:102 lid 1 BW). Intern zijn zij draagplichtig naar mate van de aan ieder toe te rekenen omstandigheden die tot de schade hebben bijgedragen, tenzij uit de wet of rechtshandeling een andere verdeling voortvloeit (zie art. 6:102 jo. 6:101 BW). Er bestaat nog onduidelijkheid over welke schade die het gevolg kan zijn van een AVG-schending voor vergoeding in aanmerking komt.4

Overigens kunnen betrokkenen behalve schadevergoeding ook een gebod of een verbod vorderen bij de rechter.5 Omdat deze regels en de verdere regeling over de privaatrechtelijke handhaving verder niet relevant zijn voor de invulling van de AVG-beveiligingsbepalingen, ga ik niet verder op deze regels in.