Een inbreuk op de AVG geeft niet zonder meer recht op schadevergoeding: Europese ontwikkelingen
De Algemene Verordening Gegevensbescherming (de “AVG”) is één van de meest ingrijpende ontwikkelingen binnen de Europese datastrategie van de afgelopen jaren en nog steeds volop in ontwikkeling. Een groot deel van de AVG is gewijd aan het toezicht en handhaving van de AVG en één van de onderwerpen die recent veel aandacht heeft gekregen in zowel rechtspraak als literatuur is de vergoeding van schade ten gevolge van een inbreuk op de AVG. Specifieker, of het recht op schadevergoeding in de AVG slechts een recht op compensatie van daadwerkelijk geleden schade geeft, of een inbreuk van de AVG zonder concrete schade ook al aanleiding geeft om over te moeten gaan tot uitkering van schadevergoeding. In haar arrest van 4 mei 2023 in de zaak UI/ Österreichische Post AG gaat het Europees Hof van Justitie (het “Hof”) in op de vraag wanneer sprake is van vergoedbare immateriële schade. Het Hof concludeert – naar verwachting – dat de schending van de AVG niet zonder meer recht geeft op schadevergoeding. Daarnaast oordeelt het Hof dat niet is vereist dat de geleden immateriële schade een bepaalde drempel bereikt om een recht op schadevergoeding te geven.
Basis voor schadevergoeding: artikel 82 AVG
Artikel 82 AVG biedt iedereen die materiële of immateriële schade heeft geleden ten gevolge van een inbreuk op de AVG het recht om van de verwerkingsverantwoordelijke of de verwerker schadevergoeding te ontvangen voor de geleden schade. Er moet dus sprake zijn van een inbreuk op de AVG, van materiële of immateriële schade en van een causaal verband tussen de inbreuk en de schade.
Het ontstaan van het recht op schadevergoeding verschilt van het doorgaans gehanteerde regime in Nederland, zoals het leerstuk van de onrechtmatige daad van artikel 6:162 BW: een toerekenbare onrechtmatige daad leidt tot de verplichting geleden schade te vergoeden. Anders dan bij dit Nederlandse regime van aansprakelijkheid hoeft onder de AVG echter geen sprake te zijn van toerekenbaarheid van het schadeveroorzakende feit aan de schadeveroorzakende partij. Hoewel de AVG in artikel 82 niet uitdrukkelijk verwijst naar het nationale recht, ligt het voor de hand om de lidstatelijke regels omtrent schadevergoeding hierop toe te passen.
Immateriële schade
In literatuur en jurisprudentie is nog volop discussie gaande: wanneer is sprake van immateriële schade tegen gevolge van een breuk op de AVG die voor vergoeding in aanmerking komt? Meer specifiek: resulteert een inbreuk op de AVG als zodanig zonder meer in een recht op schadevergoeding? Voorstanders van de opvatting dat een inbreuk op de AVG onder bepaalde voorwaarden automatisch resulteert in vergoedbare schade pleiten voor een autonome en ruime uitleg van artikel 82 AVG. Een belangrijke begrenzing die zij hierbij maken, is dat enkel een substantiële inbreuk zou leiden tot een inbreuk die resulteert in vergoedbare schade, zoals het verlies van controle over de persoonsgegevens door de betrokkene. Het hebben van controle over persoonsgegevens is een van de doelstellingen van de AVG, en het verlies ervan wordt in de considerans genoemd als mogelijke schade.
Tegenstanders van deze opvatting, stellen zich op het standpunt dat de schadevergoeding van artikel 82 AVG zich enkel richt op daadwerkelijk geleden schade. Hierbij dient volgens deze opvatting het artikel zo geïnterpreteerd te worden dat zij enkel een compensatoire functie heeft, en niet zozeer een punitieve. Een dergelijke punitieve functie zou veeleer toekomen aan artikel 83 en 84 AVG, welke zien op de boetes die door de toezichthoudende autoriteiten kunnen worden opgelegd, en zou niet volgen uit de tekst van artikel 82 AVG.
In de Nederlandse jurisprudentie is de lijn redelijk duidelijk. Hoewel er in lagere rechtspraak soms anders over wordt gedacht is de lijn van de hoogste bestuursrechter helder: de Afdeling Bestuursrechtspraak van de Raad van State heeft meermaals geoordeeld dat een inbreuk op de AVG niet zonder meer tot vergoedbare schade leidt (bijvoorbeeld in Raad van State 26 januari 2022, ECLI:NL:RVS:2022:230). Gestelde schade moet met concrete gegevens worden onderbouwd om bijvoorbeeld aan te tonen dat de inbreuk op de AVG leidt tot de aantasting van de persoon en welke nadelige gevolgen dat heeft gehad (Raad van State 1 april 2020, ECLI:NL:RVS:2020:898).
De Conclusie A-G
Inmiddels speelt dezelfde vraag al enige tijd op Europees niveau. Zo heeft een Oostenrijkse burger van de Österreichische Post een schadevergoeding van 1.000 euro geëist omdat het postbedrijf informatie heeft verzameld over de politieke gezindheid van Oostenrijkse burgers met behulp van een algoritme. De betrokken burger stelde dat deze politieke toeschrijving hem erg boos heeft gemaakt en ervoor heeft gezorgd dat hij zijn vertrouwen is verloren en dat hij zich voor schut gezet voelde. Het Oostenrijkse Oberste Gerichtshof stelde hierop prejudiciële vragen aan het Hof met betrekking tot de vaststelling van schade. Samengevat vraagt de Oostenrijkse rechter of de veronderstelling dat immateriële schade altijd aanwezig is bij een inbreuk op de AVG, juist is.
Advocaat-generaal Campos Sánchez-Bordona heeft in oktober 2022 geconcludeerd dat er sprake moet zijn van geconcretiseerde schade bij een beroep op schadevergoeding. Anders dan partijen, vindt de AG niet dat sprake is van een onbetwistbaar vermoeden van schade bestaat zodra een inbreuk op de AVG heeft plaatsgevonden. Dat betekent dat, volgens de advocaat-generaal, een verlies van controle niet onvermijdelijk tot schade leidt. Werkelijke schade zal moeten worden bewezen.
Ook is het niet zo dat alle immateriële schade, ongeacht de ernst, in aanmerking komt voor vergoeding: "ergernis" als gevolg van een inbreuk op de AVG kan niet leiden tot schadevergoeding. Er moet een onderscheid worden gemaakt tussen immateriële schade die voor vergoeding in aanmerking komt en andere ongemakken die weliswaar voortvloeien uit niet-nakoming van de AVG maar vanwege hun geringe belang geen noodzakelijk recht op schadevergoeding geven.
Het Europees Hof van Justitie
Het Hof volgt de advocaat-generaal in zijn advies. Het Hof oordeelt dat het schadebegrip uit de AVG autonoom moet worden uitgelegd, evenals het begrip (im)materiële schade. De enkele schending van de AVG geeft volgens het Hof geen recht op schadevergoeding. Dit zou niet in lijn zijn met de duidelijke bewoordingen van de AVG. Om voor schadevergoeding op basis van de AVG in aanmerking te komen, moet worden voldaan aan drie cumulatieve voorwaarden: er moet sprake zijn van een schending van de AVG, er moet (im)materiële schade zijn en er moet een causaal verband bestaan tussen de schade en de inbreuk.
Tegelijkertijd moet wel een ruime definitie van het begrip "schade" worden gehanteerd. De AVG bevat geen materialiteitsdrempel voor de vereiste ernst van de schade, en een dergelijke nationaalrechtelijke beperking zou volgens het Hof in strijd zijn met het ruime schadebegrip zoals de Uniewetgever dat hanteert. Tegelijkertijd betekent dat niet dat een persoon die is getroffen door een inbreuk op de AVG die voor hem of haar negatieve gevolgen heeft, niet hoeft te bewijzen dat die gevolgen immateriële schade in de zin van artikel 82 AVG vormen. Met andere woorden: als er geen schade is, bestaat er geen recht op schade. Als er wel immateriële schade is, stelt het Hof geen nadere eisen aan de ernst van die schade.
Ten slotte merkt het Hof op dat de AVG geen regels bevat voor de beoordeling van de hoogte van de schadevergoeding. Het is aan de lidstaten om nadere regels vast te stellen over de wijze waarop betrokkenen hun rechten op basis van de AVG kunnen effectueren. Hierbij moet in het bijzonder aandacht worden besteed aan de criteria voor het vaststellen van de omvang van de verschuldigde schadevergoeding, met inachtneming van de beginselen van gelijkwaardigheid en doeltreffendheid. Daarbij merkt het Hof op dat het recht op schadevergoeding uit de AVG een compenserende functie heeft en beoogt tot een volledige en daadwerkelijke vergoeding van de geleden schade te komen.
What's next
Aangezien het Hof heeft bepaald dat een inbreuk op de AVG niet zonder meer leidt tot schade, moet in zaken waar schadevergoeding wordt geëist, de schade concreet aangetoond worden. Zoals al eerder is gebleken in de rechtspraak, is het lastig om dergelijke schade als gevolg van een inbreuk op de AVG te bewijzen en is de hoogte van de schadevergoeding in Nederlandse rechtspraak altijd relatief laag uitgevallen. De uitspraak van het Hof lijkt dus enige comfort en zekerheid te bieden aan organisaties die te maken hebben met schadeclaims op grond van de AVG. Dat de enkele schending van de AVG geen recht op schadevergoeding biedt, zal voor veel organisaties een opluchting zijn, zeker gezien de ontwikkelingen met betrekking tot de Wet afwikkeling massaschade in collectieve actie (WAMCA). Vorderingen en collectieve acties hebben minder kans van slagen wanneer er geen schade is die verder gaat dan “ergernis”. Anderzijds vergemakkelijkt het Hof enigszins het verkrijgen van schadevergoeding, nu zij stelt dat geen materialiteitseis voor de hoogte van de schade mag worden vastgesteld. Hierdoor komt de eerder gehanteerde grens een stuk lager te liggen.
De auteurs danken juridisch-assistent Thijs van Hooren, werkstudent bij de praktijkgroep TMT/IP van Stibbe, voor zijn bijdrage aan dit blogbericht
