Op 12 juli 2021 heeft de rechtbank Rotterdam een vergoeding toegekend van € 2.500,-- voor immateriële schade wegens het handelen met de Algemene Verordening Gegevensbescherming (hierna AVG). Dit is de hoogste schadevergoeding die onder de AVG is toegekend door de rechtspraak. In deze blog gaan wij nader in op de schadevergoeding ten gevolge van aansprakelijkheid op grond van de AVG en bespreken wij de relevante jurisprudentie.
Juridisch kader
Op grond van artikel 82 lid 1 AVG heeft eenieder die materiële of immateriële schade heeft geleden ten gevolge van een inbreuk op deze verordening, het recht om van de verwerkingsverantwoordelijke of de verwerker schadevergoeding te ontvangen voor de geleden schade. Volgens overweging 146 van de considerans van de AVG, moet het begrip schade ruim worden uitgelegd, in het licht van de rechtspraak van het Europese Hof van Justitie, op een manier die ten volle recht doet aan de doelstellingen van de AVG. Daarnaast blijkt uit deze overweging dat de betrokkenen een volledige en daadwerkelijke vergoeding dienen te ontvangen voor de door hen geleden schade. In de afgelopen jaren hebben verschillende rechters zich uitgesproken over deze bepaling.
Uitspraak van de rechtbank Noord-Nederland in januari 2020
Begin 2020 kende de rechtbank Noord-Holland een schadevergoeding toe van € 250,--.[1] Het betrof een geschil over onrechtmatige perspublicaties tussen een betrokkene en uitgeverij NDC Mediagroep. De rechtbank oordeelde dat er sprake was van een schending van een fundamenteel recht, die gezien zijn aard en ernst, meebrengt dat de journalist aanspraak kon maken op een schadevergoeding. Hoewel de journalist niet inzichtelijk had gemaakt welk nadeel hij had ondervonden, achtte de rechtbank de negatieve effecten toch aannemelijk en oordeelde dat een vergoeding van € 250,-- billijk was omdat het schadebegrip volgens de AVG ruim dient te worden uitgelegd.
Dit was overigens niet de eerste keer dat de rechter een schadevergoeding toekende op grond van artikel 82 AVG. In mei 2019 had de rechtbank Overijssel de primeur.[2] Onderwerp van geschil was een inzageverzoek waar de gemeente Deventer niet aan had voldaan. De rechtbank kende uiteindelijk een schadevergoeding toe van € 500,--. De gemeente Deventer ging hier niet mee akkoord, en ging in beroep. De Afdeling bestuursrechtspraak van de Raad van State (hierna Afdeling) behandelde deze zaak in 2020 met drie vergelijkbare zaken.[3] Deze uitspraken vormen tezamen de belangrijkste jurisprudentie op dit gebied en verdienen meer uitleg. Uit deze uitspraken volgt namelijk onder welke omstandigheden betrokkenen schadevergoeding kunnen krijgen wanneer een bestuursorgaan de AVG schendt.
Uitspraken Afdeling in april 2020
Het eerste dat opvalt is dat de Afdeling uit de AVG afleidt dat het mogelijk moet zijn om, zowel bij de bestuursrechter als bij de burgerlijke rechter, een aanspraak op vergoeding van schade als gevolg van een inbreuk op de AVG door een bestuursorgaan aan de orde te stellen. De Afdeling stelt dus dat er een keuze mogelijk is tussen de burgerlijke rechter en de bestuursrechter. Art. 8:88 van de Algemene wet bestuursrecht (Awb) voorziet immers in een wettelijke grondslag voor de bestuursrechter om schadevergoedingen tot € 25.000,-- toe te wijzen. Daarnaast blijkt uit deze uitspraken dat de bestuursrechter wel gebonden is aan het toepassen van de criteria uit het Burgerlijk Wetboek en het toepassen van de rechtspraak van de Hoge Raad.
De Afdeling komt dus tot het voorgaande oordeel in vier verschillende zaken. Eén van deze vier zaken draaide om een man wiens medische gegevens ten onrechte waren verstrekt aan een tuchtcollege voor de gezondheidszorg. De overige drie zaken gingen over het delen van gegevens van Wob-verzoekers door gemeenten met andere gemeenten op een internetforum. In alle vier de zaken hadden de betrokkenen geen toestemming gegeven voor de verwerking.
In slechts één van de vier zaken komt de Afdeling tot de conclusie dat de betrokkene, de man wiens medische gegevens aan het tuchtcollege zijn toegezonden, recht heeft op een schadevergoeding. De Afdeling oordeelt dat zijn persoonlijke levenssfeer dermate is geschonden, dat het een aantasting van de persoon vormt, die een schadevergoeding van € 500,-- rechtvaardigt. In de overige drie zaken worden geen schadevergoedingen toegekend. In deze zaken oordeelt de Afdeling dat de manier waarop er met hun persoonsgegevens is omgegaan, niet zodanig een aantasting in de persoon betreft, zoals is vastgelegd in art. 6:106 BW.
Uitspraak Rechtbank Rotterdam in juli 2021
Het belang van de uitspraken van de Afdeling blijkt uit de recente uitspraak van de Rechtbank Rotterdam van 12 juli 2021.[4] In haar uitspraak verwijst de rechtbank Rotterdam naar het viertal uitspraken van de Afdeling van 1 april 2020. Ook deze zaak betrof een geschil tussen een betrokkene en een bestuursorgaan. Op 18 december 2014 heeft verzoekster de verweerder, het college van burgemeesters en wethouders van Rotterdam, verzocht om haar medische gegevens uit haar dossier te verwijderen. Het college heeft dit verzoek op 6 maart 2015 afgewezen. Enige tijd later probeert verzoekster het opnieuw, maar ook dit verzoek is in juli 2017 afgewezen. Begin 2018 komt het college hier echter op terug, trekt het laatste besluit in en verwijdert alsnog alle medische gegevens uit haar dossier. Bij verzoekschrift van 15 juni 2020 heeft verzoekster verzocht om schadevergoeding op grond van de AVG.
In haar overwegingen verwijst de rechtbank Rotterdam dus meermaals naar het viertal uitspraken van de Afdeling. Bij de beoordeling van een verzoek om vergoeding van immateriële schade wordt dus, volgens voorgaande rechtspraak van de Afdeling, aansluiting gezocht bij het civiele schadevergoedingsrecht. Op grond van art. 6:106, aanhef en onder sub b BW, heeft de benadeelde voor nadeel dat niet uit vermogensschade bestaat, recht op een naar billijkheid vast te stellen schadevergoeding indien de benadeelde lichamelijk letsel heeft opgelopen, in zijn eer of goede naam is geschaad, of op andere wijze in zijn of haar persoon is aangetast.
De rechtbank oordeelt dat de verzoekster recht heeft op toekenning van een vergoeding voor immateriële schade, omdat verweerder door het bewaren en verwerken van de rapporten met de persoonlijke gegevens van verzoekster in strijd heeft gehandeld met de AVG, en daardoor het recht op eerbieding van de persoonlijke levenssfeer van verzoekster heeft geschonden. De rechtbank oordeelt voorts dat een inbreuk op de persoonlijke levenssfeer van verzoekster kan worden aangemerkt als een aantasting in de persoon, zoals bedoeld in art. 6:06 lid 1 sub b BW, en daarmee aanspraak geeft op de vergoeding van immateriële schade.
Verzoekster stelt, als gevolg van het handelen van verweerder, ten minste € 25.000,-- aan schade te hebben geleden. Hier gaat de rechtbank echter niet in mee. Ten aanzien van de hoogte van de vast te stellen schadevergoeding is het volgens de rechtbank van belang dat de privacygevoelige persoonsgegevens gedurende een periode van ongeveer tien jaar door de verweerder zijn bewaard, ondanks meerdere verzoeken van verzoekster tot vernietiging van de gegevens. De rechtbank acht het voldoende aannemelijk dat in deze tien jaar de persoonlijke gegevens van verzoekster zijn verwerkt, en meerdere personen en/of instanties van de inhoud kennis hebben kunnen nemen, zonder dat zij daartoe gerechtigd waren. Op grond daarvan heeft verzoekster immateriële schade geleden, zo oordeelt de rechtbank.
Met inachtneming van de eerder besproken uitspraak van de Afdeling, waarin een schadevergoeding werd toegekend van € 500,-- voor een kortdurende onrechtmatige verwerking, begroot de rechtbank de schade op € 2500,--, gezien de lengte van de periode dat de gegevens onrechtmatig zijn bewaard en verwerkt.
Opvallend in deze zaak is dat de rechtbank Rotterdam geen gebruik maakt van het zogeheten EBI-arrest van de Hoge Raad van 15 maart 2019.[5] In dit arrest heeft de Hoge Raad onder andere uitleg gegeven over de wettelijke bepalingen over immateriële schadevergoedingen. In het bijzonder gaat de Hoge Raad in op wanneer er sprake is van een aantasting in de persoon, zoals is vastgelegd in art. 6:106 lid 1 sub b BW. De Hoge Raad stelt dat van een aantasting in de persoon op andere wijze als bedoeld in art. 6:106 lid 1 sub b BW niet reeds sprake is bij de enkele schending van een fundamenteel recht. Het is volgens de Hoge Raad dus niet voldoende om te stellen dat er bij de schending van een grondrecht automatisch sprake is van een aantasting in de persoon in de zin van art. 6:106 BW. Daarnaast geeft de Hoge Raad in dit arrest een toetsingskader, waarmee getoetst kan worden of er sprake is van een aantasting in de persoon.
In casu overweegt de rechtbank Rotterdam dat verweerder in strijd heeft gehandeld met de AVG, en daardoor het recht op eerbiediging van de persoonlijke levenssfeer van verzoekster heeft geschonden. Daarnaast oordeelt de rechtbank dat een inbreuk op de persoonlijke levenssfeer kan worden aangemerkt als een persoonsaantasting, in de zin van art. 6:106 lid 1 sub b BW. De rechtbank gaat er dus, in tegenstelling tot wat de Hoge Raad stelt in het EBI-arrest, vanuit dat een inbreuk op de persoonlijke levenssfeer ook automatisch recht geeft op de vergoeding van immateriële schade. Daarnaast maakt de rechtbank geen gebruik van het voorgestelde toetsingskader.
Uitspraak geschillencommissie Financiële Dienstverlening in augustus 2021
Een nog recenter voorbeeld waarin de vergoeding voor immateriële schade het onderwerp van geschil was, betreft een uitspraak van de Geschillencommissie Financiële Dienstverlening van 18 augustus 2021.[6] In deze zaak had een kredietverstrekker per abuis persoonsgegevens van een consument naar een andere klant gestuurd. Het betrof de naam, geboortedatum, contractnummer, het e-mailadres en het telefoonnummer van de consument. De consument heeft zich hier vervolgens over beklaagd, en heeft financiële compensatie gevorderd van de kredietverstrekker. De consument stelt onder andere dat zij immateriële schade heeft geleden omdat haar vertrouwen is geschaad. Daarnaast heeft zij last van “angst en onbetrouwbare gevoelens” doordat haar persoonlijke gegevens zijn doorgestuurd naar een andere klant. In haar beoordeling stelt de Geschillencommissie dat het vaststaat dat er sprake is van een onrechtmatige verwerking van persoonsgegevens. De vraag die aan de Commissie ter beoordeling is gelegd, is of deze onrechtmatige verwerking van persoonsgegevens van de consument ertoe leidt dat de kredietverstrekker schadevergoeding aan de consument moet betalen. De Geschillencommissie komt tot de conclusie dat de kredietverstrekker geen schadevergoeding hoeft te betalen, en overweegt daarbij het volgende.
De Geschillencommissie stelt terecht dat in de AVG niet is bepaald op welke wijze immateriële schade moet worden vastgesteld en vergoed. Ook heeft het Hof van Justitie (nog) geen specifieke uitleg gegeven over het schadebegrip en de vergoedbare immateriële schade bij de onrechtmatige verwerking van persoonsgegevens. Dit betekent dat de Geschillencommissie, in lijn met de vaste rechtspraak van de Afdeling bestuursrechtspraak van de Raad van State, het nationale schadevergoedingsrecht als uitgangspunt neemt bij het beoordelen van de vraag of de consument recht heeft op immateriële schadevergoeding.
De Geschillencommissie stelt dat het volgens de Hoge Raad onvoldoende is om te stellen dat er bij de schending van een grondrecht automatisch sprake is van een aantasting in de persoon in de zin van art. 6:106 lid 1 onder b BW. Een beroep hierop dient onderbouwd te worden met concrete gegevens, tenzij de aard en ernst van de normschending meebrengt dat de aantasting in de persoon mag worden aangenomen. De Geschillencommissie oordeelt dat de aard en ernst van de schending van de privacyrechten van de consument niet zodanig zijn dat er sprake is van een aantasting in de persoon. Daarnaast heeft de consument volgens de Geschillencommissie onvoldoende gemotiveerd waarom hij in zijn persoon is aangetast. De Geschillencommissie wijst de vordering daarom af.
Conclusie
Uit de hiervoor besproken zaken blijkt dat betrokkenen zich zowel tot de burgerlijke rechter, als tot de bestuursrechter kunnen wenden met het verzoek tot schadevergoeding vanwege een schending van de AVG. Of er een schadevergoeding wordt toegekend is afhankelijk van verschillende factoren, zoals de duur van de verwerking, de aard en ernst van de normschending en of er bijzondere persoonsgegevens worden verwerkt. Daarnaast dient de betrokkene voldoende te onderbouwen waarom hij of zij in de persoon is aangetast.
Naar aanleiding van prejudiciële vragen uit Oostenrijk zal het Hof van Justitie binnenkort meer duidelijkheid verschaffen over de reikwijdte van artikel 82 AVG. Zoals volgt uit het bovenstaande krijgt het kader voor het vorderen van schadevergoeding naar aanleiding van het verwerken van persoonsgegevens in strijd met de AVG steeds meer vorm en kan het gaan om wezenlijke bedragen aan schadevergoeding, zeker als deze cumuleren. De recent ingediende claim tegen TikTok varieert per individu (in dit geval minderjarigen) van € 500,-- tot € 2000,-- maar kan naar verwachting cumuleren tot een schadebedrag van in totaal 1.4 miljard EURO.
Heeft u naar aanleiding van het bovenstaande vragen over schadevergoedingen op grond van de AVG? Of wilt u meer weten?
Neem vrijblijvend contact op.
[1] Rb. Noord-Nederland 15 januari 2020, ECLI:NL:RBNNE:2020:247 (Eiser/NDC Mediagroep).
[2] Rb. Overijssel 28 mei 2019, ECLI:NL:RBOVE:2019:1827.
[3] ABRvS 1 april 2020, ECLI:NL:RVS:2020:989 (Pieter Baan centrum), ECLI:NL:RVS:2020:899 (Gemeente Deventer), ECLI:NL:RVS:2020:900 (Gemeente Borsele), ECLI:NL:RVS:2020:901 (Gemeente Harderwijk).
[4] Rb. Rotterdam 12 juli 2021, ECLI:NL:RBOT:2021:6822
[5] HR 15 maart 2019, ECLI:NL:HR:2019:376.
[6] Uitspraak Geschillencommissie Financiële Dienstverlening nr. 2021-0730, 18 augustus 2021.