Immateriële schade onder de AVG: de stand van zaken

Blog

Belangrijke uitspraken van het HvJ EU over immateriële schadevergoeding

De jurisprudentie van het HvJ EU is van belang voor de uitleg van bepalingen in de AVG over immateriële schade. Met name de volgende vijf zaken zijn relevant als het gaat om immateriële schade:

1. Zaak C-300/21 - Österreichische Post

In deze zaak ging het om een Oostenrijks postbedrijf dat informatie over de politiek gezindheid van de Oostenrijkse bevolking verzamelde. De gegenereerde gegevens werden vervolgens aan verschillende organisaties verkocht, zodat zij doelgerichte reclame konden versturen. Een burger startte een procedure waarin hij een schadevergoeding van € 1.000 vorderde vanwege geleden immateriële schade. Hij vond het met name beledigend dat hem een affiniteit met een bepaalde partij werd toegeschreven.

In deze zaak benadrukte het Hof drie cumulatieve criteria voor vergoeding van immateriële schade geleden door betrokkenen: (1) een inbreuk op de AVG, (2) schade, en (3) een causaal verband tussen de schade en de inbreuk.¹ Belangrijk is hier dat volgens het Hof niet vereist is dat een bepaalde drempel van ernst moet worden bereikt. Het schadebegrip moet namelijk ruim worden uitgelegd. Het Hof benadrukte dat de betrokkene wel dient te bewijzen dat sprake is van immateriële schade in de zin van artikel 82 AVG.

2. Zaak C-340/21 - Natsionalna agentsia za prihodite

In deze zaak ging het om het Bulgaarse nationaal agentschap voor overheidsinkomsten waar een cyberaanval op het IT-systeem plaatsvond. Na de cyberaanval werden persoonsgegevens van miljoenen individuen uit dat systeem op het internet gepubliceerd. Net als veel andere slachtoffers, startte een vrouw een procedure waarin zij een schadevergoeding van ongeveer € 510 vorderde vanwege immateriële schade. De schade bestond volgens de vrouw in de vrees voor toekomstig misbruik van haar persoonsgegevens die zonder haar toestemming zijn gepubliceerd, of dat zij zelf het slachtoffer wordt van afpersing of agressie, of zelfs wordt ontvoerd.

In deze zaak heeft het Hof de reikwijdte van immateriële schade onder de AVG aanzienlijk uitgebreid. Het Hof overwoog namelijk dat ook de vrees voor mogelijk toekomstig misbruik van persoonsgegevens door derden kan worden aangemerkt als vergoedbare schade.² Het Hof borduurde in deze zaak voort op Österreichische Post en overwoog dat de AVG de vrees voor toekomstig misbruik van persoonsgegevens niet expliciet uitsluit van het begrip immateriële schade, wegens de ruime opvatting van het begrip schade. Niettemin moeten personen die dergelijke immateriële schade vorderen deze vorderingen onderbouwen door aan te tonen dat hun vrees gegrond is op basis van de specifieke omstandigheden van het geval.

3. Zaak C-456/22 - VX, AT/Gemeinde Ummendorf

In deze zaak ging het om de gemeente Ummendorf in Duitsland, die zonder toestemming de namen en woonadressen van de verzoekers in het hoofdgeding op internet publiceerde via het openbaar maken van een agenda voor een gemeenteraadsvergadering. Volgens de verzoekers vormt de onrechtmatige openbaarmaking van persoonsgegevens van een persoon ‘schade’ in de zin van artikel 82 lid 1 AVG.

In deze zaak overwoog het Hof dat het begrip immateriële schade in de zin van artikel 82 lid 1 AVG een autonome en uniforme definitie behoort te hebben binnen het EU-recht.³ Volgens het Hof mogen nationale rechters aan dit begrip dan ook geen aanvullende voorwaarden stellen. In deze zaak werd aangesloten bij Österreichische Post, nu opnieuw is benadrukt dat voor immateriële schade geen bepaalde drempel van ernst dient te worden bereikt. Dat zou namelijk onverenigbaar zou zijn met de doelstelling van de AVG om individuen een hoog niveau van bescherming te bieden met betrekking tot de verwerking van persoonsgegevens. Ondanks het verwerpen van de ‘de-minimisdrempel’, herhaalde het Hof dat individuen die immateriële schadevergoeding eisen nog steeds moeten aantonen dat zij daadwerkelijk schade hebben geleden als gevolg van een AVG-inbreuk.

4. Zaak C-667/21 - ZQ tegen Medizinischer Dienst

In deze zaak ging het over een verzoeker die van mening was dat gegevens over zijn gezondheid door zijn werkgever (een medische dienst) onrechtmatig waren verwerkt. Hij startte een procedure tegen zijn werkgever omdat zijn collega’s toegang hadden gekregen tot zijn gezondheidsgegevens en de veiligheidsmaatregelen rond de archivering van zijn persoonsgegevens ontoereikend waren. De verzoeker vorderde een immateriële schadevergoeding van € 20.000.

In deze zaak heeft het Hof verduidelijkt dat artikel 82 lid 1 AVG uitgaat van schuldaansprakelijkheid.⁴ Dit betekent dat als voorwaarde voor aansprakelijkheid geldt, dat bij de verwerkingsverantwoordelijke sprake is van schuld. Hoewel aansprakelijkheid op grond van artikel 82 lid 1 AVG een schending van de AVG, het bestaan van schade en een causaal verband tussen de schending en de schade vereist, overwoog het Hof dat de mate van schuld niet in aanmerking hoeft te worden genomen bij de berekening van de vergoeding voor immateriële schade. Verder benadrukte het Hof dat het recht op schadevergoeding krachtens artikel 82 AVG een compenserende en geen bestraffende functie heeft. Schadevergoedingen, die op grond van artikel 82 AVG worden toegekend, moeten daarom volledig de daadwerkelijke schade dekken die door de inbreuk van de AVG is geleden, zonder dat deze een punitief of afschrikwekkend karakter hebben.

5. Zaak C 741/21 - GP tegen juris GmbH

In deze zaak ging het over een zelfstandige advocaat die klant was bij juris, een juridische databank. Hij vernam dat juris zijn persoonsgegevens ook voor direct marketing gebruikte en verzette zich vervolgens tegen elke verwerking van zijn persoonsgegevens, behalve voor het ontvangen van nieuwsbrieven. Vervolgens ontving hij weer twee reclamebrieven, waarna de advocaat een procedure startte. Hij betoogde met name dat de controle over zijn persoonsgegevens verloren is gegaan door de verwerkingen die juris ondanks zijn bezwaar van die gegevens heeft verricht, en dat hij op deze grond schadevergoeding kan verkrijgen zonder dat hij de gevolgen of de ernst hoeft aan te tonen.

In deze zaak herhaalde het Hof zijn eerdere overwegingen met betrekking tot de noodzaak van een causaal verband tussen een AVG-inbreuk en de schade, en wees het Hof elke drempelwaarde (zowel onder EU- als nationaal recht) voor immateriële schadevergoeding af.⁵ Opmerkelijk in deze zaak is dat het Hof nader inging op een verlies van controle over persoonsgegevens als gevolg van een datalek (artikel 85 AVG). Volgens het Hof kan dit type schade de betrokkene wel degelijk immateriële schade berokkenen in de zin van artikel 82 lid 1 AVG, mits de betrokkene kan bewijzen dat hij daadwerkelijk schade heeft geleden, hoe miniem deze ook mag zijn. Het Hof merkte verder op dat onder artikel 82 AVG een verwerkingsverantwoordelijke in beginsel aansprakelijk is voor de schade die is veroorzaakt door een verwerking die inbreuk maakt op de AVG, tenzij de verwerkingsverantwoordelijke kan aantonen dat er geen causaal verband bestaat tussen de inbreuk en de geleden schade. In dit verband stelde het Hof dat het louter aantonen dat een werknemer (of een persoon die handelt onder het gezag van de verwerkingsverantwoordelijke) instructies niet heeft opgevolgd, wat vervolgens tot de schade leidde, niet voldoende is om de verwerkingsverantwoordelijke vrij te pleiten van aansprakelijkheid.

De toepassing van rechtspraak van het HvJ EU in Nederland

In het kader van AVG-inbreuken hechten Nederlandse rechters grote waarde aan jurisprudentie van het HvJ EU als het gaat om de invulling van het begrip immateriële schade. Dit blijkt uit de volgende uitspraken:

Immaterieel schade begrip vóór de invloed van het HvJ EU

Twee zaken bij de rechtbank Amsterdam en de rechtbank Noord-Nederland illustreren in lijn met de overkoepelende doelen van de AVG een ruime interpretatie van schade en het recht op volledige en daadwerkelijke vergoeding.

In de zaak die voorlag bij de rechtbank Amsterdam had UWV zonder toestemming een attenderingsbrief over de langdurige ziekte van eiseres naar haar nieuwe werkgever gestuurd.⁶ Deze mededeling werd beschouwd als een gevoelig persoonsgegeven. Het versturen van de brief werd vervolgens aangemerkt als een schending van de AVG omdat de toestemming van eiseres ontbrak en mogelijk leidde tot ernstige nadelige gevolgen. Op grond van artikel 82 AVG en overweging 146 AVG oordeelde de rechtbank dat personen recht hebben op een volledige en daadwerkelijke vergoeding van de geleden schade. Belangrijk is dat de rechtbank in deze zaak artikel 82 AVG in samenhang met artikel 6:106 lid 1 sub b BW las om het begrip immateriële schade te interpreteren. De rechtbank stelde vast dat eiseres immateriële schade had geleden door de ongeoorloofde verstrekking van haar gezondheidsstatus, wat leidde tot een schadevergoeding van € 250, vermeerderd met de wettelijke rente.

In de zaak die voorlag bij de rechtbank Noord-Nederland oordeelde de rechtbank dat onrechtmatige publicatie van persoonsgegevens een vergoeding van immateriële schade rechtvaardigt.⁷ De rechtbank oordeelde dat in artikel 82 AVG en overweging 146 AVG wordt bedoeld een brede interpretatie van schade, zodat ook psychisch leed of andere negatieve effecten als gevolg van inbreuken op de privacy hieronder vallen. Net als in de bovenstaande zaak las de rechtbank artikel 82 AVG in samenhang met artikel 6:106 lid 1 sub b BW. De rechtbank oordeelde dat de persoon op wie de ongeoorloofde publicatie van persoonsgegevens van invloed was, een schending van zijn privacyrechten ondervond. Daarbij overwoog de rechtbank wel dat het slechts ging om een geringe inbreuk en dat niet duidelijk is waar de negatieve gevolgen voor de eiser uit bestonden. Bij het beoordelen van de passende vergoeding voor de geleden immateriële schade, overwoog de rechtbank dat het moeilijk is om dergelijke schade precies te kwantificeren, maar benadrukte de rechtbank toch het belang van het erkennen van het leed en de potentiële reputatieschade die de eiser heeft geleden. De rechtbank beschouwde een forfaitair bedrag van € 250 als een passende en billijke vergoeding voor de immateriële schade, rekening houdend met de aard van de inbreuk op de persoonlijke levenssfeer en de impact ervan op het persoonlijke en professionele leven van de betrokkene.

Immaterieel schadebegrip na de invloed van het HvJ EU

Ook in meer recente uitspraken over AVG-inbreuken is duidelijk te zien dat de jurisprudentie van het HvJ EU met betrekking tot immateriële schade door de Nederlandse rechters wordt overgenomen. Door deze rechters wordt de noodzaak van volledige en effectieve compensatie benadrukt, zonder bepaalde drempels voor de ernst van de schade als voorwaarde te stellen.

In een zaak bij de Raad van State betoogde een betrokkene dat de gemeente foto’s van zijn woning onrechtmatig had verwerkt omdat zijn toestemming voor het gebruik van de foto’s beperkt was tot een taxatie van de WOZ-waarde in 2012 en zich niet uitstrekte tot later gebruik.⁸ De betrokkene verzocht om een schadevergoeding op grond van het vermeende ongeoorloofde gebruik van de foto’s, waaronder het gebruik van de beelden van zijn woning als referentie voor de taxatie van de waarde van andere eigendommen. De Raad van State oordeelde dat bij de beslissing van de gemeente om de foto’s te gebruiken, niet voldoende was beoordeeld of de verwerking van de foto’s rechtmatig was onder de AVG en dat de rechtmatigheid van het verdere gebruik van de foto’s onvoldoende was onderzocht. Deze onoplettendheid bracht de Raad van State tot de conclusie dat het besluit van de gemeente over het verzoek van de betrokkene om immateriële schadevergoeding onvoldoende was gemotiveerd. De Raad van State vernietigde daarom de uitspraak, verklaarde het beroep van de betrokkene gegrond en droeg de gemeente op om het verzoek om immateriële schadevergoeding opnieuw te beoordelen. Bij deze herbeoordeling moet met name worden nagegaan of er onrechtmatig is omgegaan met de persoonsgegevens van betrokkene en, indien dit het geval is, moet over het verzoek om schadevergoeding worden beslist op basis van de toepasselijke wettelijke normen, waarbij expliciet dient te worden verwezen naar de normen in de uitspraak Österreichische Post.

In de zaak die voorlag bij de rechtbank Gelderland vorderde een betrokkene schadevergoeding voor de emotionele impact en de inbreuk op zijn privacy, als gevolg van de ongeoorloofde toegang tot en het mogelijke misbruik van zijn gevoelige (medische) gegevens.⁹ De betrokkene vorderde schadevergoeding van de Hogeschool van Arnhem en Nijmegen, die te maken kregen met een hacker die zich op de server van de hogeschool bevond. Met een expliciete verwijzing naar de definitie van immateriële schade door het HvJ EU in Österreichische Post, onderstreepte de rechtbank in deze zaak de ruime interpretatie van schade onder de AVG en de noodzaak om een tastbare impact op de persoonlijke integriteit of privacy van het individu aan te tonen. Volgens de rechtbank lichtte de betrokkene zijn schade concreet toe, door zijn emotionele leed te beschrijven over het verlies van vertrouwen en de voortdurende bezorgdheid over het misbruik van zijn gevoelige (medische) informatie die met de universiteit was gedeeld, waarbij vertrouwelijkheid en veiligheid was toegezegd. De rechtbank kende de betrokkene een schadevergoeding van € 300 toe voor immateriële schade, waarmee de gevolgen voor de privacy van de inbreuk werden erkend. De rechtbank benadrukte verder dat, hoewel het exacte gebruik van de gelekte gegevens door de hacker onduidelijk was, alleen al de toegang tot en mogelijke verspreiding van dergelijke gevoelige informatie voldoende was om een vergoeding voor immateriële schade te rechtvaardigen.

Conclusie en slotopmerkingen

De voorgaande uitspraken laten zien op welke manier de Nederlandse rechters aansluiten bij de jurisprudentie van het HvJ EU voor het beoordelen en toekennen van een vergoeding voor immateriële schade als gevolg van inbreuken op de AVG in Nederland. Hieruit blijkt in ieder geval dat de uitkomst sterk afhankelijk is van de omstandigheden van het geval. Verder blijkt uit de jurisprudentie dat het kwantificeren van immateriële schade nog een complexe aangelegenheid is. Een andere uitdaging is de bewijslast van betrokkene, met name met betrekking tot het bestaan en de omvang van immateriële schade. Het moeten aantonen van immateriële schade zorgt ervoor dat alleen nader onderbouwde vorderingen tot schadevergoeding leiden, wat volgens ons ook mogelijk misbruik van het systeem voorkomt. Bovendien legt de voorwaarde een behoorlijke last op de betrokkenen, nu zij schade moeten kwantificeren die moeilijk te meten is, zoals psychologisch leed of verlies van privacy, vooral wanneer de schade zich in de toekomst nog kan voordoen. We verwachten in ieder geval dat er nog meer procedures over inbreuken op de AVG en het recht op schadevergoeding zullen volgen. Dit volgt bovendien uit verschillende collectieve acties over artikel 82 AVG die momenteel in Nederland lopen.

Belangrijkste inzichten

• Het HvJ EU heeft verduidelijkt dat voor immateriële schade onder de AVG geen bepaalde drempel van ernst vereist is om schadevergoeding te kunnen vorderen. Dit betekent dat elke bewezen schade, zoals leed of verlies van privacy als gevolg van inbreuken op de AVG, mogelijk kan leiden tot compensatie.
• De uitspraken van het HvJ EU benadrukken de noodzaak voor de betrokkene om een duidelijk causaal verband aan te tonen tussen de AVG-inbreuk en de geleden immateriële schade. Dit houdt onder meer in dat moet worden aangetoond dat de schade rechtstreeks is veroorzaakt door de inbreuk, een criterium dat essentieel is voor het slagen van vorderingen.
• Nederlandse rechtbanken verwezen in hun uitspraken over immateriële schade direct naar de jurisprudentie van het HvJ EU.
• Zowel de EU-rechters als de Nederlandse rechters benadrukken dat de last voor eisers om de omvang van de schade aan te tonen, afhankelijk is van de omstandigheden en moeilijk te meten kan zijn.

(*) Deze bijdrage is een bewerking van de volgende bijdrage: https://www.loyensloeff.com/insights/news--events/news/legal-framework-on-non-material-damages-under-the-gdpr-a-status-quo/.

Noten

¹ HvJ EU 4 mei 2023, ECLI:EU:C:2023:370 (Österreichische Post).

² HvJ EU 14 december 2023, ECLI:EU:C:2023:986 (Natsionalna agentsia za prihodite).

³ HvJ EU 14 december 2023, ECLI:EU:C:2023:988 (VX, AT tegen Gemeinde Ummendorf).

⁴ HvJ EU 21 december 2023, ECLI:EU:C:2023:1022 (ZQ tegen Medizinischer Dienst).

⁵ HvJ EU 11 april 2024, ECLI:EU:C:2024:288 (GP tegen juris GmbH).

⁶ Rb. Amsterdam 2 september 2019, ECLI:NL:RBAMS:2019:6490.

⁷ Rb. Noord-Nederland 15 januari 2020, ECLI:NL:RBNNE:2020:247.

⁸ ABRvS 18 augustus 2023, ECLI:NL:RVS:2023:3130.

⁹ Rb. Gelderland 4 oktober 2023, ECLI:NL:RBGEL:2023:5435.