Visie

Schadevergoeding voor schending van de AVG

Inleiding
De bestuursrechter biedt een goed alternatief naast de civiele rechter om schadevergoeding te verkrijgen vanwege een inbreuk door een bestuursorgaan op de AVG. Dat blijkt uit vier uitspraken van 1 april 2020 van de Afdeling bestuursrechtspraak van de Raad van State. De uitspraken vormen de belangrijkste jurisprudentie tot heden om vorderingen van schadevergoedingen voor AVG-schendingen te beoordelen. In ieder van de vier beslissingen zijn kruisverwijzingen opgenomen naar de andere uitspraken. Iedere uitspraak wordt afgesloten met dezelfde korte duiding van de betekenis van de uitspraak meer in het algemeen. De publicatie van de zaken ging vergezeld van een persbericht. De Afdeling heeft met de uitspraken in het belang van de rechtseenheid richting willen geven hoe de bestuursrechter dit soort zaken moet beoordelen.

Bijzonder is dat de hoogste bestuursrechter het civiele schadevergoedingsrecht interpreteert. Zoals de Afdeling aangeeft, zal dat echter vaker voorkomen omdat gedupeerden van een schending van de AVG dikwijls bij de bestuursrechter terecht zullen komen. Art. 8:88 Algemene wet bestuursrecht (“Awb”) geeft een grondslag voor de bestuursrechter om schadevergoeding toe te wijzen tot vorderingen van € 25.000. De Afdeling benadrukt dat degene die op grond van art. 82 AVG schadevergoeding wenst te vorderen van een bestuursorgaan deze vordering ook bij de civiele rechter kan indienen.

Wat heeft de Afdeling in het kort geoordeeld?
De Afdeling heeft in haar uitspraken aangegeven welke omstandigheden van belang zijn om vorderingen voor schadevergoeding toe te wijzen wegens inbreuken op de AVG. Daarbij heeft de Afdeling ook een zekere houvast gegeven om de hoogte van de schadevergoeding vast te stellen. In zaken waarin andere feiten en omstandigheden spelen, zullen aanvullende factoren bij de beoordeling moeten worden betrokken.

Waar gaan de uitspraken over?
De uitspraken hebben met elkaar gemeen dat het steeds om geïsoleerde gevallen gaat. Het gaat in alle zaken om de verwerking van persoonsgegevens van één betrokkene. Bovendien worden de gegevens steeds gedeeld met een beperkt aantal personen. Ten slotte is de duur van de schending in alle uitspraken gering.

In drie zaken (899, 900 en 901) gaat het om de verwerking van persoonsgegevens in het kader van Wob-verzoeken. In die zaken concludeert de Afdeling dat geen recht op schadevergoeding bestaat. In twee van deze zaken gaat het om het niet tijdig voldoen aan een inzageverzoek. In de derde uitspraak vernietigt de Afdeling het eerdere oordeel van de rechtbank dat de betrokkene recht had op betaling van schadevergoeding. In de vierde uitspraak (898) komt de Afdeling tot de slotsom dat er wel recht op schadevergoeding bestaat. Het zijn met name deze uitspraak en de uitspraak waarin het eerdere oordeel van de rechtbank is vernietigd die interessant zijn. Vergelijking van die uitspraken laat immers zien waar volgens de Afdeling de grens ligt.

Wat is opvallend in de uitspraken?
In de eerste plaats is opvallend dat de Afdeling oordeelt dat de uitoefening van het recht op schadevergoeding bepaald moeten worden op grond van nationaal recht. Dit terwijl de Afdeling tegelijkertijd overweegt dat de aanspraak op schadevergoeding rechtstreeks uit de AVG voortvloeit (898: r.o. 14). Omdat in de AVG niet is bepaald op welke wijze immateriële schadevergoeding moet worden vastgesteld en berekend, aldus de Afdeling (898: r.o. 27), past zij hiervoor het nationale recht toe. De AVG is voor de interpretatie daarvan wel van belang, aldus de Afdeling. Het is verder opvallend dat de Afdeling weigert prejudiciële vragen te stellen aan het HvJEU. Volgens de Afdeling is sprake van een acte claire (898: r.o. 25). Het is de vraag of dit oordeel juist is. Dit geldt te meer nu de Afdeling zelf overweegt dat het HvJEU het schadebegrip bij onrechtmatige verwerkingen van persoonsgegevens nog niet heeft uitgelegd, terwijl dit begrip volgens de considerans bij de AVG moet worden uitgelegd overeenkomstig de rechtspraak van het HvJEU (overweging 146). In de derde plaats kan uit de uitspraken worden afgeleid dat relatief snel sprake zal zijn op een aanspraak op schadevergoeding bij een schending van de AVG. Maar niet iedere inbreuk geeft recht op schadevergoeding.

Om wat voor een schade gaat het?
Het gaat steeds om immateriële schade. De Afdeling beoordeelt daarbij artikel 6:106 aanhef en onder b BW en de jurisprudentie van de Hoge Raad. De Afdeling volgt de redenering van de Hoge Raad in het EBI-arrest van 15 maart 2019 en oordeelt dat in ieder geval van een “aantasting in de persoon op andere wijze” sprake is wanneer de benadeelde geestelijk letsel heeft opgelopen. Bij schending van de AVG zal echter niet snel sprake zijn van geestelijk letsel. Dat is bij schendingen van fundamentele rechten immers vaak niet het geval. De Hoge Raad heeft in het EBI-arrest geoordeeld dat naast de gevallen met geestelijk letsel ook van een aantasting in de persoon op andere wijze sprake kan zijn gelet op de aard en de ernst van de normschending en de gevolgen daarvan. In zijn NJ-noot onder het arrest geeft Lindenbergh aan dat de Hoge Raad deze categorie niet als uitzondering op het uitgangspunt van geestelijk letsel formuleert, maar als nevengeschikte grondslag. Het cruciale woord “daarnaast” neemt de Afdeling in haar uitspraak helaas niet over, waarschijnlijk omdat zij de minder precieze formulering van de strafkamer volgt in het arrest van 28 mei 2019.

In het EBI-arrest geeft de Hoge Raad aan dat degene die zich erop beroept dat de aard en de ernst van de normschending en de gevolgen daarvan meebrengen dat hij in zijn persoon op andere wijze is aangetast dit met concrete gegevens zal moeten onderbouwen. De Hoge Raad vervolgt echter dat dit in voorkomend geval achterwege kan blijven wanneer de aard en de ernst van de normschending meebrengen dat de in dit verband relevante nadelige gevolgen zo voor de hand liggen dat een aantasting in de persoon kan worden aangenomen. De Hoge Raad volgde met de uitspraak niet het advies van Advocaat-Generaal Hartlief, die van mening was dat bij een inbreuk op een fundamenteel recht schadevergoeding gegeven is.

De Afdeling oordeelt dat met het kader dat volgt uit artikel 6:106 aanhef en onder b BW en de jurisprudentie van de Hoge Raad voldaan kan worden aan de AVG (899, r.o. 27). Op welke wijze dat kader dan tegemoet komt aan de eisen die de AVG stelt, wordt niet duidelijk in de uitspraken. Dat kader is door de Hoge Raad niet eerder toegepast op schendingen van het recht op gegevensbescherming. De Hoge Raad heeft eerder wel schadevergoeding bij andere schendingen van de persoonlijke levenssfeer beoordeeld.

Hoe vertaalt zich dat naar de AVG?
Uit de uitspraken volgt dat volgens de Afdeling niet iedere schending van de AVG dusdanig ernstig is dat deze automatisch recht geeft op schadevergoeding. Er is volgens de Afdeling geen aanleiding te veronderstellen dat een inbreuk op de AVG zonder meer “aantasting van de integriteit van een persoon impliceert en daarmee tot vervoegbare schade leidt” (899, r.o. 33). De Afdeling lijkt voor het recht op schadevergoeding het kader uit het EBI-arrest als leidend te aanvaarden. Dat betekent dat dit afhankelijk is van de aard en de ernst van de normschending en de gevolgen daarvan. Bij de beoordeling van de hoogte van de schadevergoeding betrekt de Afdeling de aard, de ernst en de duur van de inbreuk (898, r.o. 36).

De Afdeling lijkt voor het antwoord op de vraag of aanspraak op schadevergoeding bestaat en, zo ja, de hoogte daarvan zwaar gewicht te verbinden aan de aard van het recht, het recht op bescherming van de persoonlijke levenssfeer. Dat ligt voor de hand nu het op grond van 6:106 aanhef en onder b BW ook moet gaan om “persoonsaantasting”. De Afdeling legt de lat niet bijzonder hoog voor een aanspraak op schadevergoeding. Zij overweegt zonder voorbehoud dat in strijd is gehandeld met het gegevensbeschermingsrecht en daardoor met de persoonlijke levenssfeer, hetgeen kan worden aangemerkt als een aantasting in de persoon als bedoeld in artikel 6:106 lid 1 onder b BW (898: r.o. 36). Uit de opvolgende uitspraak blijkt echter dat er wel een zekere drempel gehaald moet worden. De AVG wordt bij de beoordeling op het recht op schadevergoeding niet wezenlijk betrokken, terwijl die vrij ruimhartig is in de aanspraak op schadevergoeding.

Schadevergoeding in de AVG
Art. 82 AVG bepaalt dat een ieder die schade heeft geleden ten gevolge van een schending van de AVG recht heeft op materiele en immateriële schadevergoeding. De verantwoordelijke kan slechts daaraan ontsnappen wanneer hij bewijst op geen enkele wijze verantwoordelijk te zijn voor de schending. Overweging 146 AVG verduidelijkt dat het begrip schade ruim moet worden uitgelegd. Het gaat om “volledige en daadwerkelijke” schadevergoeding. Hieruit leidt de Afdeling niet af dat ook een punitief karakter kan kleven aan de schadevergoeding, zoals de gelaedeerde in zaak 899 had bepleit. “[I]n overweging 146 van de AVG [staat] niet dat schadevergoeding effectief en ‘voldoende afschrikwekkend’ moet zijn.”, aldus de Afdeling. Dat staat echter wel in artikel 84 AVG over sancties. Daar staat dat sancties “doeltreffend, evenredig en afschrikkend” moeten zijn (vgl. ook overweging 152 AVG). Dat is een kwalificatie die vaker in Uniewetgeving wordt gebruikt (zie bijvoorbeeld richtlijn 2004/48 en richtlijn 2006/54).

Bovendien lijkt de Afdeling onder de begrippen “daadwerkelijke schade” in overweging 146 concrete schade te verstaan. Volgens de Afdeling bestaat er geen verplichting om een schadevergoeding toe te kennen die “verder gaat dan volledige vergoeding van de daadwerkelijke geleden schade”. Daar valt ook wel wat op af te dingen. Het woord “daadwerkelijke” in de Nederlandse taalversie van de AVG dekt mogelijk niet de intentie van de Uniewetgever. De Engelse taalversie van de AVG heeft het in overweging 146 over “effective” schadevergoeding; de Duitse over “wirksamen”. Een betere vertaling zou “doeltreffend” zijn geweest.

Ter onderbouwing van haar oordeel dat slechts daadwerkelijke schade hoeft te worden vergoed, verwijst de Afdeling naar het Arjona Camacho-arrest van het HvJEU. Dat overtuigt niet. In die zaak ging het om de vraag of lidstaten bij de omzetting van een richtlijn die discriminatie op grond van geslacht verbiedt ook moeten voorzien in punitieve schadevergoeding. Het HvJEU oordeelt dat de lidstaten hier niet toe verplicht zijn. Het HvJEU overweegt echter ook dat de betreffende richtlijn 2006/54 de lidstaten wel de mogelijkheid biedt om een punitieve schadevergoeding op te leggen. Bovendien heeft het HvJE in het arrest Manfredi bepaald dat toekenning van niet-compensatoire schadevergoeding mogelijk is, voorzover daarbij het doeltreffendheidsbeginsel en het gelijkwaardigheidsbeginsel in acht worden genomen (zie ook HvJEU 25 januari 2017 ECLI:EU:C:2017:36).

Als “daadwerkelijk” begrepen moet worden als “doeltreffend” rijst de vraag wat het recht op schadevergoeding in de AVG beoogt te bereiken (vgl. HvJEU 29 juli 2019, Fashion ID, r.o. 50 en 51). Het herstellen van schade is niet de enige functie van het schadevergoedingsrecht. Hartlief somt in zijn conclusie bij het EBI-arrest verschillende argumenten op om schadevergoeding toe te kennen. De rechtshandhaving van rechten en plichten is er daar één van. Juist wanneer er geen sprake is van aantoonbare immateriële schade kan de sanctionering van rechten en plichten een belangrijke rol spelen, aldus Hartlief (punt 4.4).

Het is een gemiste kans dat de Afdeling niet langer heeft stilgestaan bij het doel van het schadevergoedingsrecht in de AVG. Dit geldt te meer nu overweging 146 AVG voorschrijft het begrip “schade” uit te leggen “op een wijze die ten volle recht doet aan de doelstellingen van deze verordening”. Wanneer de schadevergoeding (mede) tot doel moet hebben bescherming van het gegevensbeschermingsrecht in het algemeen, brengt dat met zich mee dat de sanctionerende werking mag meewegen.

Wanneer geen schadevergoeding?
Met één van de drie uitspraken waarin geen schadevergoeding wordt toegekend (899), wordt een eerdere uitspraak van de rechtbank Overijssel vernietigd. Met die uitspraak van 28 mei 2019 had de rechtbank de primeur: het was de eerste zaak waarin schade op basis van de AVG werd toegekend. Om diverse redenen was dit echter niet de beste testcase denkbaar. Uit de overwegingen van de rechtbank Overijssel, waar de zaak twee keer wordt aangekaart, volgt niet coherent voor welk vergrijp schadevergoeding wordt toegekend. Het ging om de verzending van een e-mail met daarin de naam en woonplaats van de betrokkene aan 44 ambtenaren van andere gemeenten, die werden geïnformeerd dat de persoon in kwestie twee Wob-verzoeken had ingediend. De rechtbank oordeelt in beroep dat de betrokkene als gevolg van het “onrechtmatige besluit” in zijn persoon is aangetast en recht heeft op schadevergoeding. Het college klaagde er bij de Afdeling terecht over dat de aanspraak op schadevergoeding gebaseerd had moeten worden op de schending van de AVG, niet op de onrechtmatigheid van het besluit. Omdat het college echter heeft nagelaten hoger beroep in te stellen tegen de eerste uitspraak (van 18 juli 2018) waarin de rechtbank dit heeft bepaald, is die uitspraak in gezag van gewijsde gegaan, zo oordeelt de Afdeling. Daarmee staat de onrechtmatigheid van het eerdere besluit vast. De Afdeling overweegt dat de verstrekking van persoonsgegevens van de betrokkene daarmee als “onrechtmatig” moet worden aangemerkt (899, r.o. 32). De Afdeling neemt het oordeel van de rechtbank dat sprake was van een schending van de Wet bescherming persoonsgegevens echter niet expliciet over. Denkbaar is dat het op verzoek toezenden van de naam en woonplaats van de persoon in kwestie gerechtvaardigd kon worden vanwege de uitvoering van een publiekrechtelijke taak, al wilde de rechtbank daar in de eerste uitspraak niets van weten. In de andere twee Wob-zaken (900 en 901) oordeelt de Afdeling echter dat het delen van persoonsgegevens op een forum om misbruik van de Wob te voorkomen wel gerechtvaardigd kan worden ter uitvoering van een publiekrechtelijke taak als bedoeld in art. 6 lid 1 onder e AVG.

De Afdeling kent geen schadevergoeding toe omdat de betrokkene, ondanks daartoe te zijn uitgenodigd door de Afdeling, op geen enkele wijze heeft aangetoond hoe hij in zijn persoon is aangetast door de schending. De Afdeling overweegt dat het noemen van een naam in het kader van uitwisseling van informatie over Wob-verzoeken niet vergelijkbaar is met de situatie in de arresten Baby Kelly en Groningse Oudejaarsrellen. Het gaat niet om “ernstig verwijtbaar gedrag met zo ernstige gevolgen, dat dit als inbreuk op een fundamenteel recht moet worden gekwalificeerd” (r.o. 34). Daarmee lijkt de Afdeling indirect te overwegen dat geen sprake was van schending van de AVG. Het gegevensbeschermingsrecht wordt immers in art. 8 van het Handvest als fundamenteel recht beschouwd. De Afdeling verwijst ook naar die bepaling en stelt in haar beoordeling ook voorop dat het verlies van controle over persoonsgegevens een aantasting van een persoonlijkheidsrecht vormt (r.o. 31).

De Afdeling overweegt dat de betrokkene niet inzichtelijk heeft gemaakt waarom het noemen van zijn naam en woonplaats in de mededeling dat hij “twee, niet gespecificeerde Wob-verzoeken heeft ingediend als reactie op een verzoek van een andere gemeente, als aantasting van de persoon kan worden gekwalificeerd”. De Afdeling benadrukt dat de gegevens zijn gedeeld met ambtenaren die uit hoofde van hun functie betrokken zijn bij de behandeling van Wob-verzoeken. Er zijn bovendien geen aanwijzingen dat de gegevens zijn misbruikt (r.o. 37).

Wanneer wel aanspraak op schadevergoeding?
De meest interessante uitspraak is degene waarin wordt geoordeeld dat wel aanspraak is op schadevergoeding. In die zaak oordeelt de Afdeling dat de betrokkene niet met concrete gegevens hoeft aan te tonen dat hij in zijn persoon is aangetast in de zin van art. 6:106 aanhef en onder b BW. De nadelige gevolgen liggen volgens de Afdeling voor de hand. Omdat bij schendingen van de AVG het dikwijls niet of nauwelijks concreet is aan te tonen welke nadelige gevolgen het voor de betrokkene heeft, laat staan dat sprake is van geestelijk letsel, is het oordeel van de Afdeling dat de nadelige gevolgen voor de hand liggen van groot belang. Waarom daarvan in casu sprake is, wordt niet door de Afdeling onderbouwd. Bij de beoordeling van de hoogte van de schadevergoeding betrekt de Afdeling  de aard, de duur en de ernst van de inbreuk. Die factoren heeft de Afdeling mogelijk afgeleid uit artikel 83 lid 2 AVG, waarin de omstandigheden worden genoemd waarmee de toezichthoudende autoriteit rekening houdt voor vraag of een boete wordt opgelegd en, zo ja, hoe hoog die moet zijn. In artikel 83 lid 2 sub a AVG worden de aard, de ernst en de duur van de inbreuk genoemd. In dit geval lijken doorslaggevend voor de beslissing van de Afdeling de aard van de gegevens. Het gaat om een verstrekking van medische gegevens door de directeur van het Pieter Baan Centrum in een tuchtprocedure die de betrokkene tegen hem was gestart. De gegevens waren opgenomen in het verweerschrift van de directeur. Het tuchtcollege heeft de betrokkene hiervan in kennis gesteld. Deze heeft het college vervolgens verzocht de gegevens buiten beschouwing te laten, aan welk verzoek het tuchtcollege gehoor heeft gegeven. De Afdeling oordeelt dat de gevolgen gering zijn omdat de gegevens zijn verspreid onder professionals met een geheimhoudingsplicht. De duur van de schending is ook kort. De Afdeling rekent het de directeur echter zeer aan dat het bijzondere persoonsgegevens betrof, waarvoor op grond van art. 9 AVG een verzwaard regime geldt. Opvallend is verder dat de Afdeling in deze uitspraak niet verwijst naar de voorbeelden van immateriële schade die in overwegingen 75 en 85 van de AVG zijn gegeven.

Hoogte van de schadevergoeding
De Afdeling kent een bedrag van € 500 aan schadevergoeding toe. De hoogte is naar billijkheid begroot. Bij de bepaling van de hoogte betrekt de Afdeling aard, duur en ernst van de inbreuk, waarbij de kwalificatie van bijzondere persoonsgegevens het meeste gewicht in de schaal legt. De appellante had zich op het standpunt gesteld dat de rechtbank in eerste aanleg een te laag bedrag had toegekend, namelijk € 300. De Afdeling is het daarmee eens, zo kan afgeleid worden uit toekenning van het hogere bedrag. De Afdeling motiveert echter niet waarom toekenning van € 500 schadevergoeding in dit geval billijker is dan € 300. Aangenomen mag worden dat in situaties waarin meerdere factoren in het voordeel van toekenning van schadevergoeding wegen dit ook zal resulteren in een hoger bedrag.

Wat kunnen we leren uit de uitspraken?
De weg naar de bestuursrechter staat open voor verzoeken om schadevergoeding vanwege een schending van de AVG tot een bedrag van € 25.000,00. Dat heeft de Afdeling met deze jurisprudentie willen verduidelijken. Niet iedere inbreuk op de AVG geeft recht op schadevergoeding. Toch kan geconcludeerd worden dat die aanspraak al snel bestaat. Wanneer bijzondere persoonsgegevens worden verwerkt, lijkt op basis van deze uitspraken het recht op schadevergoeding gegeven. Ook wanneer de inbreuk gedurende een lange periode aanhoudt, zal dat gewicht in de schaal leggen om tot een veroordeling van schadevergoeding te komen. Hetzelfde geldt wanneer persoonsgegevens in het bezit zijn gekomen van een grote groep personen. Dergelijke factoren zijn ook terug te vinden in artikel 83 lid 2 AVG en de Boetebeleidsregels van de Autoriteit Persoonsgegevens. In lijn daarmee zal onder meer ook het aantal getroffen betrokkenen en de opzet van de verantwoordelijke aspecten zijn waarmee rekening kan worden gehouden bij het bepalen of recht op schadevergoeding bestaat en, zo ja, wat de hoogte daarvan is.

 

Naar
boven