Schadevergoeding bij privacyschendingen

De Afdeling bestuursrechtspraak van de Raad van State (Afdeling) heeft op 1 april 2020 in vier uitspraken duidelijk gemaakt onder welke omstandigheden betrokkenen op grond van de Algemene Verordening (AVG) Gegevensbescherming schadevergoeding kunnen krijgen indien een bestuursorgaan de AVG schendt.

In mei 2019 was het groot nieuws: voor het eerst kende de rechter op grond van artikel 82 AVG een schadevergoeding toe. Kort gezegd had de gemeente Deventer niet volledig aan een inzageverzoek voldaan, door aan de verzoeker niet mee te delen dat de gemeente in een e-mailwisseling met andere gemeentes had aangegeven dat deze man bij de gemeente een tweetal Wob-verzoeken had lopen. De rechter kende de man een schadevergoeding van 500 euro toe, omdat hij zou zijn aangetast in zijn persoon nu hij de controle over zijn persoonsgegevens zou hebben verloren. De uitspraak deed destijds al de wenkbrauwen fronsen, want welke schade had deze man nu daadwerkelijk geleden? De gemeente legde zich niet bij dit oordeel neer en uiteindelijk belandde deze zaak op het bordje van de Afdeling. Die diende zich tevens te buigen over twee vergelijkbare zaken die speelden bij de gemeente Borsele en de gemeente Harderwijk (zou het dezelfde Wob’ber zijn?). Ook lag er nog een zaak over een persoon van wie, in een klachtprocedure tegen de directeur van het Pieter Baan Centrum, medische gegevens onrechtmatig aan een regionaal tuchtcollege waren verstrekt. De Afdeling kent uiteindelijk alleen in deze laatste zaak 500 euro schadevergoeding toe. In de andere zaken is de Afdeling van oordeel dat geen sprake is van een zodanige aantasting in de persoon in de zin van art. 6:106 BW dat schadevergoeding zou moeten worden toegekend.

Welke lessen kunnen we trekken uit deze vier uitspraken? Hieronder kort op een rij:

• Wanneer een bestuursorgaan de AVG overtreedt kan de betrokkene bij vorderingen tot 25.000 euro kiezen of hij zich tot de bestuursrechter of de civiele rechter wendt. Boven dit bedrag is alleen de civiele rechter bevoegd (zie art. 8:88 en 8:89 Awb);
• Voor de invulling van het schadebegrip van art. 82 AVG moet de bestuursrechter het Burgerlijk Wetboek toepassen;
• Een inbreuk op de AVG leidt niet zonder meer tot een aantasting in de persoon en daarmee tot vergoedbare schade;
• Schadevergoeding onder de AVG heeft geen punitief karakter: alleen de daadwerkelijk geleden schade moet worden vergoed. De betrokkene dient de aantasting in zijn persoon aannemelijk te maken en zijn schade te specificeren en te onderbouwen;
• Dit is anders wanneer de nadelige gevolgen van de schending van de AVG voor de hand liggen. Dit werd ̶ overigens zonder nadere toelichting  ̶  aangenomen in de zaak waarin medische gegevens (psychologische en psychiatrische onderdelen van bepaalde rapportages) ten onrechte waren verstrekt;
• Bij het bepalen van de hoogte van de schadevergoeding kijkt de Afdeling onder meer naar de aard van de gegevens (in dit geval bijzondere persoonsgegevens, waarvoor in de AVG een hoger beschermingsregime geldt), de duur en de ernst van de inbreuk (vergelijk art. 83 AVG waarin deze factoren een rol spelen bij het bepalen van de hoogte van een op te leggen boete).

De Afdeling heeft de uitspraken en een kort persbericht gepubliceerd. Hoewel ik mij kan voorstellen dat de beroeps-Wob’ber teleurgesteld is dat door deze uitspraken zijn vermeende nieuwe verdienmodel in rook is opgegaan, is het goed dat de Afdeling duidelijk maakt dat niet elke inbreuk op de AVG zonder meer tot schadevergoeding kan leiden. Oftewel: bezint eer gij een schadevergoedingsactie begint!