Bij overtreding van de privacyregels heeft de betrokkene recht op vergoeding van de geleden schade door de verantwoordelijke partij. In de AVG wordt het begrip ‘schade’ breed geïnterpreteerd. Het is de bedoeling van de AVG dat een betrokkene volledige en daadwerkelijke vergoeding van de door hem geleden schade ontvangt. Moeten ondernemingen zich nu wapenen tegen een overmaat aan claims van betrokkenen?
In het afgelopen jaar zijn in Nederland meerdere schendingen van het recht op bescherming van persoonsgegevens aan de rechter voorgelegd. Hoewel in ieder van deze procedures werd vastgesteld dat de regels van de AVG geschonden waren, hadden de respectievelijke betrokkenen alsnog aan te tonen dat zij schade hadden geleden. De beslissing over toekenning van schadevergoeding moet volgens de rechtspraak met inachtneming van zowel de AVG als het Nederlandse schadevergoedingsrecht worden genomen. De bewijslast die het Nederlandse schadevergoedingsrecht aan een betrokkene oplegt, maakt het voor hem of haar niet eenvoudig om schade als gevolg van een schending van de AVG vergoed te krijgen.
Nederlands schadevergoedingsrecht
Volgens Nederlands recht kan de betrokkene zowel materiële als immateriële schade vorderen. Dat is makkelijker gezegd dat gedaan. De betrokkene zal allereerst zijn schade moeten concretiseren. Welke materiële schade is geleden? Ervaart de betrokkene stress als gevolg van de gedachte dat zijn gelekte data kunnen worden misbruikt? Of is er sprake van reputatieschade? Daarnaast is er de vraag hoe hoog de schade is. Hoe begroot je bijvoorbeeld reputatieschade? Ten derde staat de betrokkene voor de taak het causaal verband aan te tonen tussen de door hem geleden schade en de schending van de AVG door de verantwoordelijke.
Schending AVG in andere landen
In andere landen wordt anders met AVG-schade omgegaan. Zo is recent in Engeland schadevergoeding toegewezen zuiver en alleen wegens schending van de AVG. De rechter overwoog in deze kwestie dat de betrokkene recht heeft op een vergoeding ook wanneer er geen schade aangetoond kan worden.
Er is wat voor te zeggen dat de enkele schending van de verplichtingen uit de AVG voldoende zou moeten zijn voor de conclusie dat de schade van een betrokkene moet worden vergoed. Zo is artikel 82 AVG immers geformuleerd: overtreding van de privacyregels in de AVG leidt tot een recht op schadevergoeding voor de betrokkene.
Past de Nederlandse rechter de AVG correct toe?
Hoe verhoudt zich de risicoaansprakelijkheid in de AVG met de schuldaansprakelijkheid in het Nederlandse recht? Is het nu zo dat de betrokkene via het nationale recht een ‘volledige en daadwerkelijke’ vergoeding ontvangt van de door hem wegens schending van de AVG geleden schade? Dat is immers de bedoeling van de AVG. Een antwoord op deze vraag moet worden gegeven door het Europees Hof van Justitie. Het Hof kan zich daarover pas uitspreken, nadat de nationale gerechten prejudiciële vragen aan het Hof hebben gesteld.
Collectieve actie en schuldaansprakelijkheid AVG
De Wet afwikkeling massaschade collectieve actie die per 1 januari 2020 in werking is getreden, maakt het mogelijk in een collectieve actie schadevergoeding wegens schending van de AVG te vorderen. Voordelen van een collectieve actie zijn dat de vaak hoge kosten kunnen worden gedeeld en dat betrokkenen experts kunnen inhuren om de omvang van de schade en het causaal verband in kaart te brengen. Via een collectieve actie kan de druk op de verantwoordelijke worden verhoogd, hetgeen ertoe kan leiden dat deze sneller bereid is een buitengerechtelijke regeling te treffen.
Echter, evenals in een individuele procedure zullen de betrokkenen ook in een collectieve actie hun schade moeten concretiseren, de omvang daarvan moeten bewijzen en het causaal verband moeten aantonen.
Risico op massaclaims wegens schending AVG beperkt
Moeten ondernemingen serieus rekening gaan houden met (massa)claims van betrokkenen wegens schending van de AVG? Het risico daarop lijkt beperkt, zolang de rechters in Nederland bij schendingen van de AVG de ‘volledige en daadwerkelijke’ vergoeding blijven vaststellen met inachtneming van het Nederlandse schadevergoedingsrecht. Dit neemt niet weg dat bedrijven hun verplichtingen met betrekking tot de bescherming van persoonsgegevens serieus moeten nemen. Voorkomen is nog altijd beter dan genezen.
Wilt u meer weten over dit onderwerp? Neem dan contact op met onze Privacy Desk.
