Op 5 juni 2024 heeft de Afdeling bestuursrechtspraak van de Raad van State (“Afdeling”) uitspraak gedaan over het recht op immateriële schadevergoeding naar aanleiding van een datalek. In deze bijdrage belicht Rosalie Brand het recht op immateriële schade vergoeding onder de AVG.
De Afdeling bestuursrechtspraak wees de toekenning van een immateriële schadevergoeding af. Hoewel de zaak binnen het bestaande juridische kader valt, biedt ze een goede gelegenheid om de kennis over immateriële schadevergoedingen onder de Algemene Verordening Gegevensbescherming (“AVG” of “Verordening”) op te frissen. Andere literatuur over dit onderwerp: C. Jeloschek, ‘Het recht op schadevergoeding bij immateriële schade onder de AVG. Terug bij af want berekening overlaten aan de lidstaten? Een analyse van HvJ EU arrest van 4 mei 2023 (UI/Österreichische Post)’, TvIR 2023, afl. 6. Zie ook: C. Jeloschek & R.H.G. Van Schaik, ‘Het recht op schadevergoeding bij immateriële schade onder de AVG. Nog meer duidelijkheid van het Hof van Justitie van de EU. Een analyse van vier uitspraken in vervolg op het arrest UI/Österrechische Post’, TvIR 2024, afl. 2.
De zaak liep tussen een bewoner en het college van burgemeester en wethouders van de gemeente Heemskerk. In een voorgaand geschil tussen partijen heeft eiseres een bezwaarschrift ingediend. Ter behandeling heeft het college een hoor- en adviescommissie aangewezen en een procesdossier samengesteld. Het dossier bevatte de naam- en adresgegevens, het burgerservicenummer, contactgegevens en medische gegevens van eiseres. Het college heeft het dossier opgestuurd naar de leden van de hoor- en adviescommissie, waarbij één van de dossiers verloren is geraakt in de post. Het college heeft dit datalek gemeld bij de Autoriteit Persoonsgegevens en bij eiseres. Eiseres stelt dat het college haar heeft laten weten dat de genoemde persoonsgegevens door het kwijtgeraakte procesdossier voor derden toegankelijk kunnen zijn (geweest). Wegens de angst- en stressklachten die zij heeft ervaren door dit incident vraagt eiseres een schadevergoeding van €2.000.
In eerste aanleg is de vordering van eiseres afgewezen. De rechtbank kwam tot deze beslissing omdat zij het niet aannemelijk acht dat de gegevens van eiseres bij derden terecht waren gekomen. Daarnaast heeft eiseres niet met concrete en objectieve gegevens onderbouwd dat zij geestelijk letsel heeft opgelopen door het datalek. Daarmee faalt haar beroep op schadevergoeding op basis van immateriële schade. Eiseres was het hier niet mee eens en ging in beroep.
Om de uitspraak van de rechtbank en later de Afdeling in het juridische kader te plaatsen, zoomen we eerst wat uit. Te beginnen bij de rechtsgrond voor immateriële schadevergoeding in de AVG. Volgens artikel 82 lid 1 AVG heeft iedereen die materiële of immateriële schade heeft geleden ten gevolge van een inbreuk op de AVG, recht op schadevergoeding van de verwerkingsverantwoordelijke of verwerker. Hoewel het recht duidelijk staat verankerd in de AVG, biedt de Verordening weinig handvatten voor haar invulling. Zo was het enige tijd onduidelijk of artikel 82 AVG een punitief karakter heeft. Inmiddels heeft de rechter dit ontkracht en bevestigd dat artikel 82 AVG ertoe dient de betrokkene schadeloos te stellen voor geleden schade. HvJEU 21 december 2023, C-667/21, ECLI:EU:C:2023:433, (Krankenversicherung Nordrhein), rov 86.
Om een succesvol beroep te doen op artikel 82 AVG moet worden voldaan aan drie cumulatieve elementen: (i) het bestaan van schade, (ii) een inbreuk op de AVG, en (iii) een causaal verband tussen de schade en de inbreuk op de AVG. Hieronder gaan we dieper op deze elementen in. Andere literatuur over dit onderwerp. E Troll, ‘Zijn er drempels voor (het mogen aannemen van) immateriële schade onder de AVG?’, MvV 2023, afl. 9.
Volgens vaste jurisprudentie dient de Afdeling zich te richten op het Nederlandse civiele schadevergoedingsrecht bij beoordeling van een verzoek om vergoeding van immateriële schade. Immateriële schade is gegrond in artikel 6:106 lid 1 onder b BW en omvat lichamelijk letsel, schade aan de eer of goede naam of aantasting in persoon ‘op andere wijze’. In de onderhavige zaak doet eiseres een beroep op dat laatste onderdeel. Een succesvol beroep op aantasting in persoon ‘op andere wijze’ moet met concrete gegevens worden onderbouwd, tenzij de aard en ernst van de inbreuk schade aannemelijk maken. ABRvS 1 april 2020, ECLI:NL:RVS:2020:898.
In deze zaak gaf eiseres aan (ernstige) psychische schade te hebben ondervonden door het datalek, in de vorm van angst- en stressklachten. Ze onderbouwde dit standpunt met twee e-mails van hulpverleners. Deze e-mails van de hulpverleners bevatten louter een weergave van de stelling van eiseres dat zij angst- en stressklachten heeft, zonder aanvullende duiding. Daarnaast gaf eiseres aan door haar huisarts doorverwezen te zijn naar de GGD, wat zou duiden op ernstig psychisch letsel. De Afdeling acht de voorgaande bewijsmiddelen niet afdoende om de immateriële schade van eiseres aan te tonen. Daarmee wordt het beroep ongegrond verklaard.
Het is nog belangrijk om op te merken dat eiseres zich niet beroept op het burgerlijk recht of artikel 6:106 lid 1 onder b BW. Aangezien het geschil publiekrechtelijk van aard is, beroept zij zich op artikel 8:88 Awb in verbinding met artikel 82 AVG. De toetsing van immateriële schadevergoedingen doet de Afdeling echter altijd op basis van artikel 6:106 lid 1 onder b BW. Een mooi samenspel tussen publiek- en privaatrecht.
Nu de rechtsgrond duidelijk is, lopen we langs hoe de rechter de elementen voor immateriële schadevergoeding heeft getoetst in deze zaak.
In het algemeen betekent een datalek niet per definitie dat er een inbreuk is geweest op de AVG. In de onderhavige zaak heeft het college echter niet aangevochten dat er een inbreuk op de AVG was geweest. Daarom hebben zowel de rechtbank als de Afdeling dit aangenomen.
Omdat een inbreuk op de AVG niet automatisch tot schade leidt, is het belangrijk om de causaliteit tussen deze twee elementen aan te tonen. Daarbij kan de aard en ernst van de normschending in specifieke gevallen meebrengen dat schade zo voor de hand ligt, dat causaliteit mag worden aangenomen. In onderhavige zaak geeft de Afdeling aan dat de aard van de normschending niet meebrengt dat de nadelige gevolgen voor de eiseres voor de hand liggen. Zodoende zou eiseres het causaal verband tussen de vermeende schade en het datalek hebben moeten aantonen.
Met het gewezen vonnis bevestigt de Afdeling de lijn die we in de jurisprudentie zien, namelijk dat niet elk datalek een automatisch een recht op immateriële schadevergoeding betekent. Wat ons betreft een juiste lijn om aan te houden.
