7.3.1 Materiële en immateriële schade

Een onrechtmatige verwerking van persoonsgegevens kan een behoorlijke impact hebben op abstracte belangen van de betrokkene, zoals zijn vrijheid en autonomie.1 Toch leidt de onrechtmatige gegevensverwerking niet snel tot vergoedbare schade. Een inbreuk op de AVG zorgt meestal niet voor een aantoonbare aantasting van het vermogen van de betrokkene, tenzij de onrechtmatig verkregen persoonsgegevens worden gebruikt voor het plegen van identiteitsfraude.2 Ook leidt een inbreuk op de AVG zelden tot ‘geestelijk letsel’ bij de betrokkene.3 De onrechtmatige verwerking van persoonsgegevens heeft vaak alleen een lichte immateriële impact. Het gaat dan in de regel om psychisch onbehagen, zoals gevoelens van onzekerheid, frustratie, ergernis of lichte spanningen en emoties. Onder het Nederlandse recht kwalificeren deze gevolgen niet zonder meer als juridisch relevante schade.4 Dit zorgt ervoor dat de betrokkene niet snel een schadevergoeding krijgt.

Ook onder de EBI-formule krijgt de betrokkene niet gemakkelijk een schadevergoeding.5 Op grond van deze formule kan een benadeelde recht hebben op vergoeding van immateriële schade als ‘de aard en de ernst van de normschending en van de gevolgen daarvan voor de benadeelde, meebrengen dat van de in art. 6:106 lid 1, onder b, BW bedoelde aantasting in zijn persoon op andere wijze sprake is. (…) In beginsel zal degene die zich hierop beroept de aantasting in zijn persoon met concrete gegevens moeten onderbouwen. In voorkomend geval kunnen de aard en de ernst van de normschending meebrengen dat de in dit verband relevante nadelige gevolgen daarvan voor de benadeelde zo voor de hand liggen, dat een aantasting in de persoon kan worden aangenomen.’6

Aanvankelijk leek een verordening-conforme toepassing van de EBI-formule door verschillende rechtbanken de weg te plaveien voor het sneller toekennen van een vergoeding voor immateriële schade bij een schending van het gegevensbeschermingsrecht. De Afdeling bestuursrechtspraak van de Raad van State kiest echter in haar ‘1 april’-uitspraken voor een striktere toepassing van de EBI-formule.7

Ik concludeer dat het toepassen van artikel 82 AVG sneller leidt tot het toekennen van een vergoeding van immateriële schade dan onder toepassing van de EBI-formule. Dit komt omdat het begrip schade in artikel 82 lid 1 AVG autonoom moet worden uitgelegd.8 Het heeft als Unierechtelijke lex specialis voorrang op het nationale begrip van schade.9 Een autonome uitleg van artikel 82 lid 1 AVG maakt het mijns inziens mogelijk dat een recht op schadevergoeding ook bestaat voor inbreuken op de AVG waarbij concrete nadelige gevolgen - dat wil zeggen vermogensschade of geestelijk letsel - voor de betrokkene ontbreken.

Bij een autonome uitleg spelen de context van het verwerken van persoonsgegevens en de doelstellingen van de AVG een belangrijke rol.10 Dit betekent allereerst dat een rechter bij het vaststellen van schade niet alleen beoordeelt of de betrokkene vermogensschade of geestelijk letsel heeft, maar dat hij ook de context van het gegevensbeschermingsrecht in ogenschouw neemt en de immateriële, abstracte belangen die het tracht te beschermen. Voorbeelden daarvan zijn de individuele autonomie en het beperken van informatie-asymmetrie tussen de verwerkingsverantwoordelijke en betrokkene.11

Ten tweede geven de doelstellingen van de AVG invulling aan het begrip schade.12 Een eerste doelstelling is de controle over persoonsgegevens door de betrokkene.13 ‘Controle over persoonsgegevens’ kan mijns inziens betekenen dat de AVG-beginselen door een verwerkingsverantwoordelijke volledig worden nageleefd. Een inbreuk op de AVG kan dus met zich brengen dat er sprake is van een verlies van controle over persoonsgegevens. Omdat de Uniewetgever in de overwegingen voorts ‘het verlies van controle over persoonsgegevens’ als mogelijke schade benoemt, sluit ik niet uit dat de loutere inbreuk op de AVG schade in de zin van artikel 82 lid 1 AVG kan opleveren.14 Binnen deze opvatting heeft artikel 82 lid 1 AVG, naast een compensatoire functie, ook een functie van rechtshandhaving.15

Dit begrip van schade vindt steun in een andere doelstelling van de AVG, namelijk (de versterking van) de handhaving van het gegevensbeschermingsrecht.16 Deze doelstelling volgt uit de overwegingen van de AVG en het ruime arsenaal aan handhavingsbevoegdheden die de AVG toebedeelt aan betrokkenen en toezichthouders.17

Een rechtshandhavende functie vindt steun in de rechtspraak van het Hof van Justitie.18 Hierin legt het voortdurend de nadruk op de doeltreffendheid en volle werking van het Unierecht. Dit getuigt van het belang van naleving en/of handhaving van het Unierecht. Ook het feit dat de Uniewetgever de rechter de opdracht geeft om schade ‘ruim’ uit te leggen19, en dat het Hof van Justitie vrij activistisch is ten aanzien van het recht op de bescherming van persoonsgegevens en de handhaving daarvan, zijn sterke aanwijzingen om uit te gaan van de mogelijkheid dat een recht op schadevergoeding ook bestaat in de gevallen waarin schade niet aantoonbaar is.20

Welbeschouwd is het toekennen van een vergoeding voor immateriële schade, terwijl concrete gevolgen van de onrechtmatige verwerking ontbreken, ook mogelijk onder de uitzonderingsregel van de EBI-formule. In één uitspraak veronderstelt de Afdeling bestuursrechtspraak immateriële schade omdat het gaat om een onrechtmatige verstrekking van bijzondere persoonsgegevens.21 Dit wekt de verwachting dat andere rechters ook immateriële schade zullen veronderstellen als het bijzondere persoonsgegevens betreft.22 Deze veronderstelling verlicht de bewijsnood van de betrokkene en is een positieve ontwikkeling voor de handhaving van het gegevensbeschermingsrecht. Dit neemt het ‘probleem van schade’ echter niet volledig weg. Een onrechtmatige verwerking betreft immers niet altijd bijzondere persoonsgegevens. In die gevallen dat het gaat om ‘gewone’ persoonsgegevens, moet de betrokkene dus nog steeds concrete nadelige gevolgen aantonen. Een autonome uitleg biedt een meerwaarde ten opzichte van de uitzonderingsregel van de EBI-formule, omdat deze ook ruimte geeft voor een vergoeding van immateriële schade zonder concrete gevolgen bij een verwerking van gewone persoonsgegevens.

Voor een recht op schadevergoeding wegens een onrechtmatige verwerking van persoonsgegevens waarbij concrete gevolgen ontbreken of niet aantoonbaar zijn, moet het ten minste gaan om een substantiële inbreuk op de AVG. Handhaving van die inbreuk moet belangrijk zijn. Daarvan is sprake als het niet kunnen handhaven van de geschonden norm afbreuk zou doen aan de doeltreffendheid en de volle werking van de AVG. Bij kleine of beperkte inbreuken zonder concrete gevolgen is dit niet of minder het geval. In die gevallen weegt het Unierechtelijke vereiste dat schade reëel en zeker geleden moet zijn zwaarder dan het belang om te kunnen handhaven.23 Ik pleit er dus niet voor dat iedere onrechtmatige verwerking als ‘verlies van controle’ kwalificeert en daarmee leidt tot een recht op schadevergoeding voor de betrokkene.24 In paragraaf 7.1 doe ik een suggestie aan de rechter voor aanknopingspunten bij de beoordeling of er sprake is van een substantiële inbreuk.