Open Access Advocate

• 1 Inleiding

  Wanneer heeft een individu recht op schadevergoeding onder de Algemene verordening gegevensbescherming (AVG)? Stel, een bedrijf verwerkt persoonsgegevens van een individu en schendt daarbij de AVG. Geeft dat reeds recht op schadevergoeding? Of moet er een bepaalde drempel ten aanzien van de aard en omvang van leed worden gehaald, voordat een dergelijk recht ontstaat?

  Op 4 mei 2023 heeft het Hof van Justitie van de Europese Unie (hierna: HvJ EU) een interessant arrest gewezen¹x HvJ EU 4 mei 2023, C-300/21, ECLI:EU:C:2023:370 (UI/Österreichische Post). over de uitleg van het schadebegrip onder art. 82 lid 1 AVG.

  Art. 82 lid 1 AVG luidt als volgt:

  ‘Eenieder die materiële of immateriële schade heeft geleden ten gevolge van een inbreuk op deze verordening, heeft het recht om van de verwerkingsverantwoordelijke of de verwerker schadevergoeding te ontvangen voor de geleden schade.’

  De zaak betreft een verzoek om een prejudiciële beslissing, ingediend door het Oberste Gerichtshof van Oostenrijk (de hoogste federale rechter in civiele en strafzaken).

  Ik zal hieronder allereerst de feiten van deze zaak schetsen (par. 2) en vervolgens bespreken hoe het HvJ EU het schadebegrip uitlegt (par. 3,  4 en  5). Vervolgens zal ik de stand van de Nederlandse jurisprudentie bespreken (met name van de Afdeling bestuursrechtspraak van de Raad van State) ten aanzien van art. 82 AVG en trachten een antwoord te geven op de vraag of het arrest van het HvJ EU deze Nederlandse jurisprudentie heeft ingehaald (par. 6 en  7). Ik sluit af met de vraag wat het arrest van het HvJ EU in de praktijk zou kunnen betekenen. Denk bijvoorbeeld aan belangenorganisaties die op dit moment namens individuen massaschadeclaims indienen tegen bigtechbedrijven wegens schending van de AVG. Helpt dit arrest deze belangenorganisaties of (juist) niet?

• 2 Feiten inzake UI/Österreichische Post

  Sinds 2017 heeft Österreichische Post, een handelaar in adressen, informatie verzameld over de politieke gezindheid van de Oostenrijkse bevolking. Met behulp van een algoritme dat rekening hield met diverse sociale en demografische criteria heeft zij adressen ondergebracht in specifieke doelgroepen. Deze gegenereerde gegevens zijn aan verschillende organisaties verkocht om hen in staat te stellen doelgericht reclame te verzenden.

  Op basis van die gegevens heeft Österreichische Post door middel van statistische extrapolatie afgeleid dat UI, de verzoeker in het hoofdgeding, een hoge affiniteit had met de Oostenrijkse politieke partij FPÖ (Freiheitliche Partei Österreichs). UI had geen toestemming gegeven voor deze verwerking van zijn persoonsgegevens, hetgeen volgens hem een schending van de AVG opleverde. Hij vond het beledigend dat hem een affiniteit met de partij in kwestie werd toegeschreven. Het feit dat er gegevens over zijn veronderstelde politieke opvattingen werden bewaard, maakte hem – volgens eigen zeggen – erg boos en zorgde ervoor dat hij zijn vertrouwen verloor en zich voor schut gezet voelde. Uit de verwijzingsbeslissing blijkt dat er geen andere dan deze tijdelijke emotionele schade is vastgesteld.²x HvJ EU 4 mei 2023, C-300/21, ECLI:EU:C:2023:370, r.o. 12.

  UI vordert in eerste instantie schadevergoeding van € 1000. Deze vordering wordt door de lagere Oostenrijkse gerechten afgewezen. UI stelt vervolgens beroep in bij het Oberste Gerichtshof. Het Oberste Gerichtshof dient een verzoek om een prejudiciële beslissing in bij het HvJ EU.³x HvJ EU 4 mei 2023, C-300/21, ECLI:EU:C:2023:370, r.o. 20.

• 3 Is een inbreuk op de AVG genoeg?

  Het Oberste Gerichtshof vraagt het HvJ EU allereerst of art. 82 lid 1 AVG zo moet worden uitgelegd dat een inbreuk op de bepalingen van de AVG op zich volstaat voor de toekenning van een recht op schadevergoeding. Het HvJ EU beantwoordt deze eerste prejudiciële vraag ontkennend. Art. 82 lid 1 AVG moet zo worden uitgelegd dat een inbreuk op de bepalingen van de AVG op zichzelf niet volstaat voor de toekenning van een recht op schadevergoeding.⁴x HvJ EU 4 mei 2023, C-300/21, ECLI:EU:C:2023:370, r.o. 42. Het HvJ EU overweegt daartoe allereerst dat bewoordingen van een Unierechtelijke bepaling in de gehele Unie autonoom en uniform moeten worden uitgelegd. Dit is alleen anders als uitdrukkelijk wordt verwezen naar het recht van de lidstaten. De AVG verwijst wat betreft de begrippen ‘materiële of immateriële schade’ en ‘schadevergoeding voor de geleden schade’ niet naar het recht van de lidstaten.⁵x HvJ EU 4 mei 2023, C-300/21, ECLI:EU:C:2023:370, r.o. 29-30.

  Volgens het HvJ EU blijkt uit de bewoordingen van art. 82 lid 1 AVG duidelijk dat het bestaan van ‘geleden schade’ een van de voorwaarden is voor het in die bepaling bedoelde recht op vergoeding. Hetzelfde geldt voor het bestaan van een inbreuk op de AVG en een causaal verband tussen die schade en die inbreuk. Er moet voor het ontstaan van een recht op schadevergoeding derhalve worden voldaan aan drie cumulatieve voorwaarden:

  • Er moet sprake zijn van een verwerking van persoonsgegevens die inbreuk maakt op de AVG.

  • De betrokkene moet schade hebben geleden.

  • Er moet een oorzakelijk verband zijn tussen de onrechtmatige verwerking en de schade.

  Deze uitleg wordt onder andere bevestigd door overweging 146 van de considerans van de AVG,⁶x Overweging 146 AVG: ‘De verwerkingsverantwoordelijke of de verwerker moeten alle schade vergoeden die iemand kan lijden ten gevolge van een verwerking die inbreuk maakt op deze verordening. De verwerkingsverantwoordelijke of de verwerker moet van zijn aansprakelijkheid worden vrijgesteld indien hij bewijst dat hij niet verantwoordelijk is voor de schade. Het begrip “schade” moet ruim worden uitgelegd in het licht van de rechtspraak van het Hof van Justitie, op een wijze die ten volle recht doet aan de doelstellingen van deze verordening. Dit laat eventuele eisen tot schadeloosstelling wegens inbreuken op andere regels in het Unierecht of het lidstatelijke recht onverlet. Onder verwerking die inbreuk maakt op deze verordening, valt eveneens een verwerking die inbreuk maakt op gedelegeerde handelingen en uitvoeringshandelingen die werden vastgesteld overeenkomstig deze verordening, alsmede het lidstatelijke recht waarin in deze verordening vervatte regels worden gespecificeerd. De betrokkenen dienen volledige en daadwerkelijke vergoeding van door hen geleden schade te ontvangen. (…).’ die specifiek betrekking heeft op het recht op schadevergoeding als bedoeld in art. 82 lid 1 AVG.⁷x HvJ EU 4 mei 2023, C-300/21, ECLI:EU:C:2023:370, r.o. 37. De eerste volzin van die overweging verwijst naar de ‘schade (…) die iemand kan lijden ten gevolge van een verwerking die inbreuk maakt op deze verordening’.

• 4 Bepaalde mate van ernst?

  Daarna behandelt het HvJ EU de vraag van het Oberste Gerichtshof of art. 82 lid 1 AVG zich verzet tegen een nationale regel of praktijk op grond waarvan immateriële schade in de zin van die bepaling slechts kan worden vergoed indien de door de betrokkene geleden schade een bepaalde mate van ernst bereikt. Het HvJ EU overweegt dat art. 82 lid 1 AVG zich daar inderdaad tegen verzet. In art. 82 AVG wordt namelijk enkel bepaald dat niet alleen materiële schade, maar ook immateriële schade recht kan geven op vergoeding, zonder dat enige drempel van ernst wordt genoemd.⁸x HvJ EU 4 mei 2023, C-300/21, ECLI:EU:C:2023:370, r.o. 45.

  Het HvJ EU verwijst ook in dit verband naar overweging 146 van de considerans van de AVG. Volgens die overweging moet het begrip ‘schade’ ruim worden uitgelegd in het licht van de rechtspraak van het HvJ EU, op een wijze die recht doet aan de doelstellingen van de AVG. Indien dat begrip zou worden beperkt tot schade van een bepaalde ernst, zou dat dus in strijd zijn met deze door de Uniewetgever voorgestane ruime opvatting, aldus het HvJ EU.⁹x HvJ EU 4 mei 2023, C-300/21, ECLI:EU:C:2023:370, r.o. 46. Bovendien hebben de bepalingen uit de AVG tot doel om natuurlijke personen binnen de Unie een consistent en hoog niveau van bescherming tegen de verwerking van persoonsgegevens te bieden.¹⁰x HvJ EU 4 mei 2023, C-300/21, ECLI:EU:C:2023:370, r.o. 48. Het HvJ EU voegt daaraan toe dat dit niet betekent dat een persoon die wordt getroffen door een inbreuk op de AVG met negatieve gevolgen voor hem, niet hoeft te bewijzen dat die gevolgen immateriële schade in de zin van art. 82 AVG opleveren.¹¹x HvJ EU 4 mei 2023, C-300/21, ECLI:EU:C:2023:370, r.o. 50.

• 5 Bepaalt de nationale rechtsorde de (omvang van de) schade?

  Tot slot is de vraag of art. 82 AVG zo moet worden uitgelegd dat bij de vaststelling van de hoogte van de schadevergoeding de interne regels van elke lidstaat inzake de omvang van de geldelijke schadevergoeding moeten worden toegepast. En of dat moet met inachtneming van meer Unierechtelijke regels dan alleen de beginselen van gelijkwaardigheid en doeltreffendheid. Het HvJ EU overweegt dat de AVG geen bepaling bevat die tot doel heeft de regels vast te stellen voor de begroting van de schadevergoeding. Bij gebreke aan Unierechtelijke regels is het derhalve een zaak van nationaal recht om regels vast te stellen voor vorderingen die worden ingediend op grond van art. 82 AVG, in het bijzonder de criteria ter bepaling van de omvang van de verschuldigde vergoeding, mits het gelijkwaardigheidsbeginsel¹²x Het gelijkwaardigheidsbeginsel houdt in dat die nationale regels – in situaties waarop het EU-recht van toepassing is – niet ongunstiger mogen zijn dan in soortelijke situaties waar lidstatelijk recht op van toepassing is, zie HvJ EU 4 mei 2023, C-300/21, ECLI:EU:C:2023:370, r.o. 53. en het doeltreffendheidsbeginsel¹³x Wat het doeltreffendheidsbeginsel betreft is het aan het Oberste Gerichtshof om na te gaan of de nationale regeling voor de vaststelling van de schadevergoeding de uitoefening van de door het Unierecht en vooral de AVG verleende rechten in de praktijk niet onmogelijk of uiterst moeilijk maakt, zie HvJ EU 4 mei 2023, C-300/21, ECLI:EU:C:2023:370, r.o. 56. in acht worden genomen.¹⁴x HvJ EU 4 mei 2023, C-300/21, ECLI:EU:C:2023:370, r.o. 54.

• 6 Nederlandse jurisprudentie

  Op 1 april 2020, vóór de hier besproken uitspraak van het HvJ EU, deed de Afdeling bestuursrechtspraak van de Raad van State (hierna: de Afdeling) een aantal uitspraken, waarin zij oordeelt over schadevergoeding in verband met het verwerken van persoonsgegevens onder de AVG. De Afdeling zoekt, zoals hierna zal blijken, in deze uitspraken aansluiting bij het nationale schadevergoedingsrecht. Vervolgens is de vraag of dat met de komst van het zojuist besproken arrest van het HvJ EU nog steeds kan.

  Ik zal eerst kort de feiten schetsen in de zaak die bekendstaat als Deventer/X.¹⁵x ABRvS 1 april 2020, ECLI:NL:RVS:2020:899. Vervolgens zal ik hetzelfde doen in de zaak Pieter Baan Centrum.¹⁶x ABRvS 1 april 2020, ECLI:NL:RVS:2020:898.

  De Deventer/X-zaak gaat om een gemeente die de naam en het adres van de eiser had medegedeeld aan een andere gemeente, inclusief de informatie dat ‘hij twee Wob-verzoeken had ingediend’. Volgens de betrokkene ontbrak het de gemeente aan een wettelijke grondslag voor deze verstrekking van persoonsgegevens. De betrokkene had hier namelijk geen toestemming voor gegeven en de verstrekking was volgens hem ook niet noodzakelijk voor de goede vervulling van een publiekrechtelijke taak door de gemeente.

  In de tweede zaak, Pieter Baan Centrum, had de directeur van het Pieter Baan Centrum eenmalig medische gegevens van de betrokkene verstrekt in een tuchtprocedure die de betrokkene tegen hem was gestart. De gegevens waren opgenomen in het verweerschrift van de directeur. Het tuchtcollege had de betrokkene hiervan in kennis gesteld. De betrokkene verzocht het tuchtcollege vervolgens de gegevens buiten beschouwing te laten, aan welk verzoek het tuchtcollege direct gehoor gaf. De betrokkene stelde dat zijn privacy was geschonden, omdat de rapportages strikt vertrouwelijke en gevoelige persoonsgegevens bevatten en hij geen toestemming had gegeven voor verwerking van de gegevens.

  In beide zaken eist de betrokkene immateriële schadevergoeding op grond van art. 82 AVG. De Afdeling gaat in beide uitspraken, onder verwijzing naar vaste rechtspraak van het HvJ EU, uit van ‘de interne rechtsorde van elke lidstaat’:

  ‘Hoewel in artikel 82, eerste lid, van de AVG is vastgelegd dat er volledige vergoeding van de daadwerkelijke immateriële schade ten gevolge van inbreuken op de AVG moet plaats vinden op een wijze die recht doet aan de doelstellingen van de verordening, is in de AVG niet bepaald op welke wijze de immateriële schade moet worden vastgesteld en berekend. Volgens vaste rechtspraak van het Hof van Justitie is het bij gebrek aan communautaire regelgeving een aangelegenheid van de interne rechtsorde van elke lidstaat om de regels vast te stellen voor de uitoefening van het recht op schadevergoeding, mits het gelijkwaardigheidsbeginsel en het doeltreffendheidsbeginsel in acht worden genomen (zie het arrest Manfredi, punt 64).’¹⁷x ABRvS 1 april 2020, ECLI:NL:RVS:2020:898, r.o. 27; ABRvS 1 april 2020, ECLI:NL:RVS:2020:899, r.o. 21.

  De Afdeling oordeelt dat, gezien deze jurisprudentie van het HvJ EU, het nationale recht van belang is bij de beantwoording van de vraag of de gestelde schade voor vergoeding in aanmerking komt.¹⁸x ABRvS 1 april 2020, ECLI:NL:RVS:2020:899, r.o. 23; ABRvS 1 april 2020, ECLI:NL:RVS:2020:898, r.o. 29. Voor de beoordeling van een verzoek om vergoeding van immateriële schade zoekt de Afdeling derhalve aansluiting bij het civiele schadevergoedingsrecht.¹⁹x ABRvS 1 april 2020, ECLI:NL:RVS:2020:898, r.o. 30; ABRvS 1 april 2020, ECLI:NL:RVS:2020:899, r.o. 24.

  De Afdeling noemt art. 6:106 BW, dat als volgt luidt:

  ‘Voor nadeel dat niet in vermogensschade bestaat, heeft de benadeelde recht op een naar billijkheid vast te stellen schadevergoeding:
  (…)
  b. indien de benadeelde lichamelijk letsel heeft opgelopen, in zijn eer of goede naam is geschaad of op andere wijze in zijn persoon is aangetast;
  (…).’

  Daarbij verwijst de Afdeling naar een aantal arresten van de Hoge Raad uit 2019 waarin wordt uitgelegd wat de aantasting in persoon ‘op andere wijze’ inhoudt.²⁰x HR 15 maart 2019, ECLI:NL:HR:2019:376, r.o. 4.2.2; HR 28 mei 2019, ECLI:NL:HR:2019:793, r.o. 2.4.5; HR 19 juli 2019, ECLI:NL:HR:2019:1278, r.o. 2.13.2: ‘Van de in artikel 6:106, eerste lid, aanhef en onder b, van het BW bedoelde aantasting in persoon “op andere wijze” is in ieder geval sprake indien de benadeelde partij geestelijk letsel heeft opgelopen. Degene die zich hierop beroept, zal voldoende concrete gegevens moeten aanvoeren waaruit kan volgen dat in verband met de omstandigheden van het geval psychische schade is ontstaan. Daartoe is vereist dat naar objectieve maatstaven het bestaan van geestelijk letsel kan worden vastgesteld. Ook als het bestaan van geestelijk letsel in voornoemde zin niet kan worden aangenomen, is niet uitgesloten dat de aard en de ernst van de normschending en van de gevolgen daarvan voor de benadeelde, meebrengen dat van de in artikel 6:106, aanhef en onder b, van het BW bedoelde aantasting in zijn persoon “op andere wijze” sprake is. In zo een geval zal degene die zich hierop beroept de aantasting in zijn persoon met concrete gegevens moeten onderbouwen. Dat is slechts anders indien de aard en de ernst van de normschending meebrengen dat de in dit verband relevante nadelige gevolgen daarvan voor de benadeelde zo voor de hand liggen, dat een aantasting in de persoon kan worden aangenomen. Van een aantasting in de persoon “op andere wijze” als bedoeld in artikel 6:106, aanhef en onder b, van het BW is niet reeds sprake bij de enkele schending van een fundamenteel recht.’ De Hoge Raad onderscheidt drie situaties. Ten eerste geestelijk letsel, dat naar objectieve maatstaven kan worden vastgesteld (bijvoorbeeld een in de psychiatrie erkend ziektebeeld).²¹x HR 15 maart 2019, ECLI:NL:HR:2019:376, r.o. 3.2.2. Meer of minder sterk psychisch onbehagen is onvoldoende.²²x HR 13 januari 1995, ECLI:NL:HR:1995:ZC1608, NJ 1997/366 m.nt. C.J.H. Brunner. Ten tweede de situatie dat de aard en de ernst van de normschending en van de gevolgen daarvan voor de benadeelde meebrengen dat van een aantasting in zijn persoon op andere wijze sprake is. Hier geldt dat de benadeelde de aantasting in zijn persoon met concrete gegevens moet onderbouwen.²³x Zie HR 15 maart 2019, ECLI:NL:HR:2019:376, r.o. 4.2.1, waar wordt verwezen naar HR 29 juni 2012, ECLI:NL:HR:2012:BW1519 (Blauw oog). En ten derde kan het zo zijn dat de aard en de ernst van de normschending meebrengen dat de nadelige gevolgen voor de benadeelde zo voor de hand liggen, dat een aantasting in de persoon kan worden aangenomen.²⁴x Zie HR 15 maart 2019, ECLI:NL:HR:2019:376, r.o. 4.2.1. In dit verband verwijst de Hoge Raad ter illustratie naar twee eerdere uitspraken.

  Inzake Oudejaarsrellen²⁵x HR 9 juli 2004, ECLI:NL:HR:2004:AO7721. was die aantasting gelegen in de gevoelens van angst, onveiligheid en onzekerheid met betrekking tot het lijf en goed van de benadeelden die een aantal uren in hun woning in een zeer bedreigende situatie verkeerden, terwijl een reactie op hun verzoek om hulp en bijstand van de politie uitbleef. En inzake Wrongful life²⁶x HR 18 maart 2005, ECLI:NL:HR:2005:AR5213. bestond die aantasting in de ernstige inbreuk op het zelfbeschikkingsrecht van de moeder, waardoor zij niet ervoor heeft kunnen kiezen de geboorte van een zwaar gehandicapt kind te voorkomen. Hieruit kan worden opgemaakt dat de Hoge Raad niet snel aanneemt dat de derde situatie zich voordoet, namelijk dat de desbetreffende normschending zo ernstig is dat de nadelige gevolgen voor de hand liggen en de benadeelde de immateriële schade niet hoeft te onderbouwen.

  Terug naar de uitspraken van de Afdeling. In de Deventer/X-zaak komt de Afdeling tot het oordeel dat er geen recht op immateriële schadevergoeding bestaat. De immateriële schade bestaat volgens de betrokkene uit de rechtsinbreuk als zodanig, die moet worden beschouwd als een aantasting in de persoon in de zin van art. 6:106 lid 1 aanhef en onder b BW. Hij stelt dat hij daarom aanspraak maakt op een naar billijkheid vast te stellen schadevergoeding. Volgens de Afdeling was hier echter geen sprake van een situatie waarin nadelige gevolgen van de normschending voor de betrokkene voor de hand lagen.²⁷x ABRvS 1 april 2020, ECLI:NL:RVS:2020:899, r.o. 34.

  In de Pieter Baan Centrum-uitspraak kent de Afdeling wel immateriële schadevergoeding toe. De betrokkene stelt dat hij in zijn persoon is aangetast. De Afdeling is van oordeel dat de betrokkene recht heeft op toekenning van een vergoeding voor immateriële schade. Volgens de Afdeling kan een inbreuk op de persoonlijke levenssfeer van de betrokkene worden aangemerkt als een aantasting in de persoon als bedoeld in art. 6:106 lid 1 aanhef en onder b BW, die aanspraak geeft op vergoeding van immateriële schade. De schade wordt vastgesteld op € 500. De nadelige gevolgen van de verstrekking van de gevoelige persoonsgegevens liggen voor de hand. Van belang is ook dat de gegevens zijn overgelegd zonder dat daarvoor een rechtvaardigingsgrond als bedoeld in art. 9 lid 2 AVG bestond.²⁸x ABRvS 1 april 2020, ECLI:NL:RVS:2020:898, r.o. 36.

  Het belangrijkste verschil tussen beide uitspraken is dat in Deventer/X ‘normale’ persoonsgegevens werden verstrekt zonder grondslag, terwijl inzake Pieter Baan Centrum ‘bijzondere’ persoonsgegevens werden verstrekt, namelijk medische gegevens, zonder grondslag en zonder rechtvaardigingsgrond als bedoeld in art. 9 AVG. In dat laatste geval is de schending van de norm zo ernstig dat de nadelige gevolgen voor de hand liggen, aldus de Afdeling.

  Hoewel in de Pieter Baan Centrum-uitspraak de normschending zeker als ernstig te beschouwen is, liggen de nadelige gevolgen voor de benadeelde daar mijns inziens wat minder duidelijk voor de hand in vergelijking met de twee voorbeelden die de Hoge Raad noemt (Oudejaarsrellen en Wrongful life):

  ‘Wat betreft de ernst van de inbreuk overweegt de Afdeling dat de privacygevoelige persoonsgegevens bij een kleine groep professionals terecht zijn gekomen en dat de leden van het tuchtcollege uit hoofde van hun functie een geheimhoudingsplicht hebben. Wat betreft de duur van de inbreuk is van belang dat het Pieter Baan Centrum na het overleggen van de gevoelige gegevens op 15 januari 2018, actie heeft ondernomen om de gegevensverstrekking ongedaan te maken. Het tuchtcollege heeft vervolgens in een brief van 22 januari 2018 aangegeven de toegezonden rapportages buiten beschouwing te laten en niet aan het dossier toe te voegen. Voor zover [appellant] betwist dat dit is gebeurd, gelet op de vragen die aan de directeur zijn gesteld tijdens de hoorzitting bij het tuchtcollege, is van belang dat [appellant] desgevraagd ter zitting niet aannemelijk heeft gemaakt dat dit tot negatieve gevolgen heeft geleid.’²⁹x ABRvS 1 april 2020, ECLI:NL:RVS:2020:898, r.o. 36.

  De Afdeling lijkt daarmee – als we deze uitspraken vergelijken – een lagere drempel te hanteren voor het toekennen van een recht op vergoeding van immateriële schade dan de Hoge Raad.

• 7 Is deze Nederlandse jurisprudentie verenigbaar met het arrest van het HvJ EU?

  Verzet het arrest van het HvJ EU zich tegen toepassing van het nationale recht, zoals de Afdeling heeft gedaan, bij de vraag of er sprake is van immateriële schade in de zin van art. 82 AVG? Het antwoord op die vraag is moeilijk te geven. Het HvJ EU geeft niet expliciet aan wanneer wel of niet sprake is van immateriële schade die voor vergoeding in aanmerking komt, maar geeft wel een aantal regels die de vrijheid om terug te grijpen naar de nationale rechtsorde mogelijk inperken.

  Het HvJ EU overweegt in het arrest (met zoveel woorden) dat de persoon die wordt getroffen door een inbreuk op de AVG met negatieve gevolgen voor hem moet bewijzen dat die gevolgen immateriële schade in de zin van art. 82 AVG opleveren.³⁰x HvJ EU 4 mei 2023, C-300/21, ECLI:EU:C:2023:370, r.o. 50. Tevens overweegt het HvJ EU dat de AVG wat betreft de begrippen ‘materiële of immateriële schade’ en ‘schadevergoeding voor de geleden schade’ niet verwijst naar het recht van de lidstaten en dat deze begrippen in de gehele Unie uniform en autonoom moeten worden uitgelegd.³¹x HvJ EU 4 mei 2023, C-300/21, ECLI:EU:C:2023:370, r.o. 30.

  Hoe het begrip ‘immateriële schade’ uit de AVG dan zou moeten worden uitgelegd, wordt hier echter niet concreet door het HvJ EU beantwoord. Een inbreuk op de AVG alleen volstaat in ieder geval niet voor een recht op schadevergoeding. Het HvJ EU verwijst aan het begin van het arrest wel naar de overwegingen 75³²x ‘Het qua waarschijnlijkheid en ernst uiteenlopende risico voor de rechten en vrijheden van natuurlijke personen kan voortvloeien uit persoonsgegevensverwerking die kan resulteren in ernstige lichamelijke, materiële of immateriële schade, met name: waar de verwerking kan leiden tot discriminatie, identiteitsdiefstal of -fraude, financiële verliezen, reputatieschade, verlies van vertrouwelijkheid van door het beroepsgeheim beschermde persoonsgegevens, ongeoorloofde ongedaanmaking van pseudonimisering, of enig ander aanzienlijk economisch of maatschappelijk nadeel; wanneer de betrokkenen hun rechten en vrijheden niet kunnen uitoefenen of worden verhinderd controle over hun persoonsgegevens uit te oefenen; wanneer persoonsgegevens worden verwerkt waaruit ras of etnische afkomst, politieke opvattingen, religie of levensbeschouwelijke overtuigingen, of vakbondslidmaatschap blijkt (…).’ en 85³³x ‘Een inbreuk in verband met persoonsgegevens kan, wanneer dit probleem niet tijdig en op passende wijze wordt aangepakt, resulteren in lichamelijke, materiële of immateriële schade voor natuurlijke personen, zoals verlies van controle over hun persoonsgegevens of de beperking van hun rechten, discriminatie, identiteitsdiefstal of -fraude, financiële verliezen, ongeoorloofde ongedaanmaking van pseudonimisering, reputatieschade, verlies van vertrouwelijkheid van door het beroepsgeheim beschermde persoonsgegevens, of enig ander aanzienlijk economisch of maatschappelijk nadeel voor de natuurlijke persoon in kwestie. (…).’ uit de considerans van de AVG. In deze overwegingen wordt het begrip immateriële schade specifiek genoemd met een reeks aan voorbeelden. Een opvallend en in de praktijk wellicht veel voorkomend voorbeeld dat in die overwegingen wordt genoemd, is ‘verlies van controle over (…) persoonsgegevens’.

  De A-G merkte in zijn opinie bij het arrest van het HvJ EU in dit kader het volgende op:

  ‘(…) Afgezien van het feit dat overwegingen als zodanig geen normatieve waarde hebben, staat in geen van beide te lezen dat de inbreuk op een regel per se schade oplevert die in aanmerking komt voor vergoeding:

  • In overweging 75 wordt het verhinderen van de controle over persoonsgegevens genoemd als een van de mogelijke risico’s van verwerking.

  • In overweging 85 wordt verlies van controle genoemd als een van de gevolgen die kunnen voortvloeien uit een inbreuk in verband met persoonsgegevens.

  Het verlies van controle over gegevens hoeft niet onvermijdelijk tot schade te leiden. De uitdrukking kan worden opgevat als een zinspeling op schade naar aanleiding van een dergelijk verlies, voor zover die schade zich voordoet.’³⁴x Concl. A-G M. Campos Sanchez-Bordona 6 oktober 2022, ECLI:EU:C:2022:756, par. 61 en 62.

  De A-G lijkt te concluderen dat verlies van controle over persoonsgegevens niet per se betekent dat er schade is geleden.

  Beriep de verzoeker in het hoofdgeding, UI, zich ook op ‘verlies van controle over persoonsgegevens’? Wat we in ieder geval weten over UI is dat hij erg boos was en zich voor schut gezet voelde door het feit dat er gegevens over zijn veronderstelde politieke opvattingen werden bewaard door Österreichische Post. Het gaat hier aldus om tijdelijke emotionele schade. Het Oberste Gerichtshof merkt op dat hoewel overweging 85 van de considerans van de AVG melding maakt van het risico van ‘verlies van controle’ over de persoonsgegevens, dit risico in de onderhavige zaak onzeker is omdat de gegevens niet aan een derde partij zijn doorgegeven.³⁵x HvJ EU 4 mei 2023, C-300/21, ECLI:EU:C:2023:370, r.o. 17.

  Het HvJ EU gaat in onderhavig arrest niet in op de vraag of dergelijke tijdelijke emotionele schade een recht op schadevergoeding op basis van de AVG oplevert. Het HvJ EU maakt geen onderscheid tussen enerzijds ergernis en ongemak en anderzijds immateriële schade die voor vergoeding in aanmerking komt.

  Met de oorspronkelijke prejudiciële vraag die het Oberste Gerichtshof aan het HvJ EU stelt, wenst de verwijzende rechter daar echter wel antwoord op. De vraag die wordt gesteld is namelijk of in de AVG voor de vaststelling van immateriële schade wordt verondersteld dat er sprake is van een ‘effect of gevolg van de schending dat op zijn minst van enig belang is en verder gaat dan de door de inbreuk ontstane ergernis’.³⁶x HvJ EU 4 mei 2023, C-300/21, ECLI:EU:C:2023:370, r.o. 20.

  De A-G beantwoordt deze vraag van het Oberste Gerichtshof bevestigend en meent in dat kader onder andere:

  ‘Uit praktisch oogpunt is het niet doelmatig om ook louter ergernis op te nemen onder immateriële schade die in aanmerking komt voor vergoeding, gelet op de kenmerkende ongemakken en moeilijkheden voor de eisende partij bij het instellen van een vordering en voor de verwerende partij bij het voorbereiden van haar verweer.
  Dat er geen recht op schadevergoeding voor zwakke en voorbijgaande gevoelens of emoties wordt toegekend waar het gaat om de inbreuk op verwerkingsregels, betekent nog niet dat de betrokkene volledig in de steek wordt gelaten. Zoals ik naar aanleiding van de eerste vraag heb aangegeven, heeft deze op grond van het stelsel van de AVG andere beroepsmogelijkheden.’³⁷x Concl. A-G M. Campos Sanchez-Bordona 6 oktober 2022, ECLI:EU:C:2022:756, par. 114 en 115.

  De A-G lijkt aldus wel onderscheid te maken tussen enerzijds zwakke en voorbijgaande gevoelens of emoties en anderzijds immateriële schade die in aanmerking komt voor vergoeding, alsof dat recht op vergoeding voor dergelijke zwakke en voorbijgaande gevoelens of emoties aldus niet geldt.

  Het HvJ EU geeft echter alleen antwoord op de vraag of bij de vergoeding van immateriële schade op grond van de AVG sprake moet zijn van een bepaalde mate van ernst. Zoals hierboven reeds besproken, wordt deze vraag door het HvJ EU negatief beantwoord.

  Bij een strikte interpretatie neemt het HvJ EU het bestaan van immateriële schade als beginpunt, terwijl niet duidelijk is waar dat beginpunt ligt. Als sprake is van immateriële schade, mag geen nationale regel worden toegepast die bepaalt dat dergelijke schade slechts kan worden vergoed indien de door de betrokkene geleden schade een bepaalde mate van ernst bereikt.

• 8 Conclusie

  Het HvJ EU geeft in de zaak UI/Österreichische Post dus geen concreet antwoord op de vraag wanneer sprake is van immateriële schade die voor vergoeding in aanmerking komt. Wel maakt het HvJ EU duidelijk dat de enkele schending van een norm niet tot immateriële schadevergoeding kan leiden en oordeelt het dat de betrokkene moet bewijzen dat sprake is van immateriële schade.

  Is er gelet op dit laatste oordeel nog ruimte voor de Nederlandse rechter om bij schending van de AVG onder verwijzing naar voornoemde arresten van de Hoge Raad in bepaalde situaties uit te gaan van een bewijsvermoeden? Gelet op de evidente impact van het onrechtmatige handelen in de zaken Oudejaarsrellen en Wrongful life, kan ik mij voorstellen dat de Hoge Raad alleen in evidente gevallen een recht op schadevergoeding heeft willen toekennen zonder dat bewijs hoeft te worden geleverd van de schade. Voor de zaken waarbij de aard en de ernst van de normschending dusdanig zijn dat een aantasting van de persoon evident is, is deze vraag (voor de praktijk) niet heel relevant. Het ligt immers voor de hand dat de benadeelden in die zaken ook zonder een bewijsvermoeden hun immateriële schade aannemelijk kunnen maken. Maar geldt dat ook voor een situatie als in de zaak Pieter Baan Centrum? De rechtbank sprak in die zaak van een schending van de privacy die ‘begrijpelijkerwijs als naar en nadelig’ is ervaren.³⁸x ABRvS 1 april 2020, ECLI:NL:RVS:2020:898, r.o. 3. De (immateriële) impact daarvan ligt echter (gevoelsmatig) toch minder voor de hand. Zeker als in oogschouw wordt genomen wat de Afdeling in dit verband heeft overwogen omtrent de ernst van de overtreding.³⁹x ABRvS 1 april 2020, ECLI:NL:RVS:2020:898, r.o. 36.

  Het is dan ook zeer de vraag of in die situatie mag worden afgeweken van de (bewijs)regel die het HvJ EU formuleert in de onderhavige zaak van UI/Österreichische Post. Daar lijkt het niet op. In beide zaken was sprake van de onrechtmatige verwerking van persoonsgegevens: in de zaak van UI/Österreichische Post ging het om (vermeende) politieke opvattingen en in de zaak Pieter Baan Centrum om medische gegevens. De schendingen zijn qua aard en impact vergelijkbaar. Het is dan op zijn minst opvallend te noemen dat het HvJ EU – tegen de achtergrond van de feiten in de zaak van UI – oordeelt dat schade moet worden bewezen en een normschending alleen niet voldoende is voor een recht op schadevergoeding. Daarmee lijkt in deze situatie volgens het HvJ EU geen plaats voor een bewijsvermoeden. Zo bezien lijkt de uitspraak van het HvJ EU minder goed verenigbaar met de uitspraak van de Afdeling inzake Pieter Baan Centrum, waarbij de Afdeling met een beroep op voornoemde arresten van de Hoge Raad juist wel een bewijsvermoeden toepaste en ervan uitging dat sprake was van immateriële schade in de zin van de AVG.⁴⁰x Op 4 oktober 2023 heeft de rechtbank Gelderland een interessante uitspraak gedaan (ECLI:NL:RBGEL:2023:5435) in een zaak waar een hacker medische gegevens van een alumnus die zich bevonden op de server van een hogeschool, buit maakte. De rechtbank verwijst wat betreft het juridisch kader zowel naar UI/Österreichische Post als naar het civiele schadevergoedingsrecht. De rechtbank overweegt dat de nadelige gevolgen voor de hand liggen omdat het bij uitstek gegevens zijn waarvan niet gewenst is dat ze ‘op straat’ komen te liggen. Dat de hacker deze specifieke gegevens heeft kunnen inzien dan wel verspreiden, is voldoende voor het aannemen van schade als gevolg van de inbreuk op de AVG, aldus de rechtbank. Vervolgens overweegt de rechtbank: ‘Daar komt bij dat [eiser] zijn schade concreet heeft toegelicht.’ De rechtbank kent een schadevergoeding van € 300 toe. Het is opvallend dat de rechtbank eerst oordeelt dat bewijs niet nodig is, om vervolgens wel mee te wegen dat de schade in casu concreet is toegelicht. Wat overigens zou kunnen is dat de Afdeling (zonder dit te noemen) rekening heeft willen houden met jurisprudentie van het Europees Hof voor de Rechten van de Mens (EHRM) dat een extra hoog beschermingsniveau biedt als het om medische gegevens gaat.⁴¹x EHRM I v. Finland (20511/03) http://www.5rb.com/wp-content/uploads/2013/10/I-v-Finland-ECHR-17-July-2008.pdf.

  Het arrest van het HvJ EU maakt het voor belangenorganisaties die opkomen voor de privacy van het individu en massa­schade vorderen van bigtechbedrijven mijns inziens in ieder geval moeilijker. Door dergelijke belangenorganisaties wordt immers (bij voorkeur) betoogd dat er sprake is van een schending van een AVG-norm die zodanig ernstig is, dat sprake is van een aantasting in de persoon op andere wijze en dat de nadelen voor de betrokkenen voor de hand liggen, en dat daardoor een recht op immateriële schadevergoeding bestaat. Het feit dat het HvJ EU echter aangeeft dat de enkele schending van de AVG niet volstaat voor een recht op schadevergoeding en dat de schade moet worden aangetoond, maakt het (in ieder geval op het eerste gezicht) uitdagender om een dergelijk standpunt overeind te houden.

Noten

• 1 HvJ EU 4 mei 2023, C-300/21, ECLI:EU:C:2023:370 (UI/Österreichische Post).

• 2 HvJ EU 4 mei 2023, C-300/21, ECLI:EU:C:2023:370, r.o. 12.

• 3 HvJ EU 4 mei 2023, C-300/21, ECLI:EU:C:2023:370, r.o. 20.

• 4 HvJ EU 4 mei 2023, C-300/21, ECLI:EU:C:2023:370, r.o. 42.

• 5 HvJ EU 4 mei 2023, C-300/21, ECLI:EU:C:2023:370, r.o. 29-30.

• 6 Overweging 146 AVG: ‘De verwerkingsverantwoordelijke of de verwerker moeten alle schade vergoeden die iemand kan lijden ten gevolge van een verwerking die inbreuk maakt op deze verordening. De verwerkingsverantwoordelijke of de verwerker moet van zijn aansprakelijkheid worden vrijgesteld indien hij bewijst dat hij niet verantwoordelijk is voor de schade. Het begrip “schade” moet ruim worden uitgelegd in het licht van de rechtspraak van het Hof van Justitie, op een wijze die ten volle recht doet aan de doelstellingen van deze verordening. Dit laat eventuele eisen tot schadeloosstelling wegens inbreuken op andere regels in het Unierecht of het lidstatelijke recht onverlet. Onder verwerking die inbreuk maakt op deze verordening, valt eveneens een verwerking die inbreuk maakt op gedelegeerde handelingen en uitvoeringshandelingen die werden vastgesteld overeenkomstig deze verordening, alsmede het lidstatelijke recht waarin in deze verordening vervatte regels worden gespecificeerd. De betrokkenen dienen volledige en daadwerkelijke vergoeding van door hen geleden schade te ontvangen. (…).’

• 7 HvJ EU 4 mei 2023, C-300/21, ECLI:EU:C:2023:370, r.o. 37.

• 8 HvJ EU 4 mei 2023, C-300/21, ECLI:EU:C:2023:370, r.o. 45.

• 9 HvJ EU 4 mei 2023, C-300/21, ECLI:EU:C:2023:370, r.o. 46.

• 10 HvJ EU 4 mei 2023, C-300/21, ECLI:EU:C:2023:370, r.o. 48.

• 11 HvJ EU 4 mei 2023, C-300/21, ECLI:EU:C:2023:370, r.o. 50.

• 12 Het gelijkwaardigheidsbeginsel houdt in dat die nationale regels – in situaties waarop het EU-recht van toepassing is – niet ongunstiger mogen zijn dan in soortelijke situaties waar lidstatelijk recht op van toepassing is, zie HvJ EU 4 mei 2023, C-300/21, ECLI:EU:C:2023:370, r.o. 53.

• 13 Wat het doeltreffendheidsbeginsel betreft is het aan het Oberste Gerichtshof om na te gaan of de nationale regeling voor de vaststelling van de schadevergoeding de uitoefening van de door het Unierecht en vooral de AVG verleende rechten in de praktijk niet onmogelijk of uiterst moeilijk maakt, zie HvJ EU 4 mei 2023, C-300/21, ECLI:EU:C:2023:370, r.o. 56.

• 14 HvJ EU 4 mei 2023, C-300/21, ECLI:EU:C:2023:370, r.o. 54.

• 15 ABRvS 1 april 2020, ECLI:NL:RVS:2020:899.

• 16 ABRvS 1 april 2020, ECLI:NL:RVS:2020:898.

• 17 ABRvS 1 april 2020, ECLI:NL:RVS:2020:898, r.o. 27; ABRvS 1 april 2020, ECLI:NL:RVS:2020:899, r.o. 21.

• 18 ABRvS 1 april 2020, ECLI:NL:RVS:2020:899, r.o. 23; ABRvS 1 april 2020, ECLI:NL:RVS:2020:898, r.o. 29.

• 19 ABRvS 1 april 2020, ECLI:NL:RVS:2020:898, r.o. 30; ABRvS 1 april 2020, ECLI:NL:RVS:2020:899, r.o. 24.

• 20 HR 15 maart 2019, ECLI:NL:HR:2019:376, r.o. 4.2.2; HR 28 mei 2019, ECLI:NL:HR:2019:793, r.o. 2.4.5; HR 19 juli 2019, ECLI:NL:HR:2019:1278, r.o. 2.13.2: ‘Van de in artikel 6:106, eerste lid, aanhef en onder b, van het BW bedoelde aantasting in persoon “op andere wijze” is in ieder geval sprake indien de benadeelde partij geestelijk letsel heeft opgelopen. Degene die zich hierop beroept, zal voldoende concrete gegevens moeten aanvoeren waaruit kan volgen dat in verband met de omstandigheden van het geval psychische schade is ontstaan. Daartoe is vereist dat naar objectieve maatstaven het bestaan van geestelijk letsel kan worden vastgesteld. Ook als het bestaan van geestelijk letsel in voornoemde zin niet kan worden aangenomen, is niet uitgesloten dat de aard en de ernst van de normschending en van de gevolgen daarvan voor de benadeelde, meebrengen dat van de in artikel 6:106, aanhef en onder b, van het BW bedoelde aantasting in zijn persoon “op andere wijze” sprake is. In zo een geval zal degene die zich hierop beroept de aantasting in zijn persoon met concrete gegevens moeten onderbouwen. Dat is slechts anders indien de aard en de ernst van de normschending meebrengen dat de in dit verband relevante nadelige gevolgen daarvan voor de benadeelde zo voor de hand liggen, dat een aantasting in de persoon kan worden aangenomen. Van een aantasting in de persoon “op andere wijze” als bedoeld in artikel 6:106, aanhef en onder b, van het BW is niet reeds sprake bij de enkele schending van een fundamenteel recht.’

• 21 HR 15 maart 2019, ECLI:NL:HR:2019:376, r.o. 3.2.2.

• 22 HR 13 januari 1995, ECLI:NL:HR:1995:ZC1608, NJ 1997/366 m.nt. C.J.H. Brunner.

• 23 Zie HR 15 maart 2019, ECLI:NL:HR:2019:376, r.o. 4.2.1, waar wordt verwezen naar HR 29 juni 2012, ECLI:NL:HR:2012:BW1519 (Blauw oog).

• 24 Zie HR 15 maart 2019, ECLI:NL:HR:2019:376, r.o. 4.2.1.

• 25 HR 9 juli 2004, ECLI:NL:HR:2004:AO7721.

• 26 HR 18 maart 2005, ECLI:NL:HR:2005:AR5213.

• 27 ABRvS 1 april 2020, ECLI:NL:RVS:2020:899, r.o. 34.

• 28 ABRvS 1 april 2020, ECLI:NL:RVS:2020:898, r.o. 36.

• 29 ABRvS 1 april 2020, ECLI:NL:RVS:2020:898, r.o. 36.

• 30 HvJ EU 4 mei 2023, C-300/21, ECLI:EU:C:2023:370, r.o. 50.

• 31 HvJ EU 4 mei 2023, C-300/21, ECLI:EU:C:2023:370, r.o. 30.

• 32 ‘Het qua waarschijnlijkheid en ernst uiteenlopende risico voor de rechten en vrijheden van natuurlijke personen kan voortvloeien uit persoonsgegevensverwerking die kan resulteren in ernstige lichamelijke, materiële of immateriële schade, met name: waar de verwerking kan leiden tot discriminatie, identiteitsdiefstal of -fraude, financiële verliezen, reputatieschade, verlies van vertrouwelijkheid van door het beroepsgeheim beschermde persoonsgegevens, ongeoorloofde ongedaanmaking van pseudonimisering, of enig ander aanzienlijk economisch of maatschappelijk nadeel; wanneer de betrokkenen hun rechten en vrijheden niet kunnen uitoefenen of worden verhinderd controle over hun persoonsgegevens uit te oefenen; wanneer persoonsgegevens worden verwerkt waaruit ras of etnische afkomst, politieke opvattingen, religie of levensbeschouwelijke overtuigingen, of vakbondslidmaatschap blijkt (…).’

• 33 ‘Een inbreuk in verband met persoonsgegevens kan, wanneer dit probleem niet tijdig en op passende wijze wordt aangepakt, resulteren in lichamelijke, materiële of immateriële schade voor natuurlijke personen, zoals verlies van controle over hun persoonsgegevens of de beperking van hun rechten, discriminatie, identiteitsdiefstal of -fraude, financiële verliezen, ongeoorloofde ongedaanmaking van pseudonimisering, reputatieschade, verlies van vertrouwelijkheid van door het beroepsgeheim beschermde persoonsgegevens, of enig ander aanzienlijk economisch of maatschappelijk nadeel voor de natuurlijke persoon in kwestie. (…).’

• 34 Concl. A-G M. Campos Sanchez-Bordona 6 oktober 2022, ECLI:EU:C:2022:756, par. 61 en 62.

• 35 HvJ EU 4 mei 2023, C-300/21, ECLI:EU:C:2023:370, r.o. 17.

• 36 HvJ EU 4 mei 2023, C-300/21, ECLI:EU:C:2023:370, r.o. 20.

• 37 Concl. A-G M. Campos Sanchez-Bordona 6 oktober 2022, ECLI:EU:C:2022:756, par. 114 en 115.

• 38 ABRvS 1 april 2020, ECLI:NL:RVS:2020:898, r.o. 3.

• 39 ABRvS 1 april 2020, ECLI:NL:RVS:2020:898, r.o. 36.

• 40 Op 4 oktober 2023 heeft de rechtbank Gelderland een interessante uitspraak gedaan (ECLI:NL:RBGEL:2023:5435) in een zaak waar een hacker medische gegevens van een alumnus die zich bevonden op de server van een hogeschool, buit maakte. De rechtbank verwijst wat betreft het juridisch kader zowel naar UI/Österreichische Post als naar het civiele schadevergoedingsrecht. De rechtbank overweegt dat de nadelige gevolgen voor de hand liggen omdat het bij uitstek gegevens zijn waarvan niet gewenst is dat ze ‘op straat’ komen te liggen. Dat de hacker deze specifieke gegevens heeft kunnen inzien dan wel verspreiden, is voldoende voor het aannemen van schade als gevolg van de inbreuk op de AVG, aldus de rechtbank. Vervolgens overweegt de rechtbank: ‘Daar komt bij dat [eiser] zijn schade concreet heeft toegelicht.’ De rechtbank kent een schadevergoeding van € 300 toe. Het is opvallend dat de rechtbank eerst oordeelt dat bewijs niet nodig is, om vervolgens wel mee te wegen dat de schade in casu concreet is toegelicht.

• 41 EHRM I v. Finland (20511/03) http://www.5rb.com/wp-content/uploads/2013/10/I-v-Finland-ECHR-17-July-2008.pdf.