Autonoom of autonomie? Een analyse van elf arresten van het Hof van Justitie over artikel 82 AVG

De tekst van artikel 82 lid 1 AVG luidt:

Gelet op de tekst van lid 1 zal het niet verrassen dat het Hof van Justitie in Österreichische Post drie cumulatieve voorwaarden identificeert voor een recht op schadevergoeding: (i) het bestaan van een ‘inbreuk op de AVG’; (ii) ‘schade’ en (iii) een ‘causaal verband’ tussen die schade en die inbreuk.

HvJ EU 4 mei 2023, C-300/21, ECLI:EU:C:2023:370, punt 32 (Österreichische Post) (hierna: arrest Österreichische Post); HvJ EU 14 december 2023, C-340/21, ECLI:EU:C:2023:986, punt 77 (VB/Natsionalna agentsia za prihodite) (hierna: arrest VB/Natsionalna agentsia za prihodite); HvJ EU 14 december 2023, C-456/22, ECLI:EU:C:2023:988, punt 14 (VX & AT/Gemeinde Ummendorf) (hierna: arrest VX & AT/Gemeinde Ummendorf); HvJ EU 25 januari 2024, C-687/21, ECLI:EU:C:2024:72, punt 58 (BL/MediaMarktSaturn) (hierna: arrest BL/MediaMarktSaturn); HvJ EU 21 december 2023, C-667/21, ECLI:EU:C:2023:1022, punt 82 (ZQ/Krankenversicherung Nordrhein) (hierna: arrest ZQ/Krankenversicherung Nordrhein); HvJ EU 11 april 2024, C-741/21, ECLI:EU:C:2024:288, punt 34 (GP/juris) (hierna: arrest GP/juris); HvJ EU 20 juni 2024, C-590/22, ECLI:EU:C:2024:536, punten 22, 25 en 28 (AT & BT/PS GbR e.a.) (hierna: arrest AT & BT/PS GbR e.a.).

Drie voorwaarden dus. Dat is voor een Nederlandse aansprakelijkheidsjurist opmerkelijk, omdat onder Nederlands aansprakelijkheidsrecht normaliter vijf voorwaarden gelden. Uit het bestuderen van alle arresten blijkt echter dat er ook volgens de Unierechtelijke invulling strikt genomen geen sprake is van drie, maar van vier voorwaarden. Ook toerekenbaarheid (‘schuld’) blijkt een voorwaarde voor aansprakelijkheid, maar deze wordt in principe vermoed (zie ook paragraaf 6).

Arrest ZQ/Krankenversicherung Nordrhein, punten 94 en 103.

Relativiteit wordt niet nadrukkelijk genoemd in de arresten, terwijl artikel 82 AVG wel degelijk grenzen stelt aan wie een schadevergoeding kan claimen voor een inbreuk op de AVG (zie meer paragraaf 7).

Artikel 82 AVG heeft volgens het Hof ‘geen punitieve maar een compensatoire functie’.

Arrest Österreichische Post, punt 58; arrest ZQ/Krankenversicherung Nordrhein, punten 85-87; arrest BL/MediaMarktSaturn, punten 47 en 50; arrest GP/juris, punt 59.

Het Hof wijst een afschrikkende en/of punitieve functie van artikel 82 AVG van de hand.

Arrest ZQ/Krankenversicherung Nordrhein, punten 85-87.

Toch zet het Hof de deur op een kier voor een punitieve schadevergoeding. Het zegt namelijk in Österreichische Post dat een vergoeding ‘volledig’ moet zijn, ‘zonder dat een dergelijke vergoeding vereist dat er een punitieve schadevergoeding wordt opgelegd’.

Arrest Österreichische Post, punt 58. Zie ook HvJ EU 4 oktober 2024, C-507/23, ECLI:EU:C:2024:854, punt 34 (A/PTAC) (hierna: arrest A/PTAC).

Door die formulering rijst de vraag of artikel 82 AVG een nationale regeling toestaat die wél de mogelijkheid biedt om een punitieve schadevergoeding toe te wijzen in aanvulling op een compenserende schadevergoeding.

Vergelijk HvJ EG 13 juli 2006, C-295/04-C-298/04, ECLI:EU:C:2006:461, punt 92 (Manfredi) (hierna: arrest Manfredi); HvJ EU 17 december 2015, C-407/14, ECLI:EU:C:2015:831, punt 44 (Camacho). Zie ook A. Berlee, ‘May the fourth be with you: Hof van Justitie EU verheldert schadebegrip in AVG’, mr-online.nl, 11 mei 2023.

De vraag of dat kan, rijst bij mij ook als gevolg van het arrest Lindenapotheke. Uit dat arrest blijkt namelijk dat de AVG niet voorziet in een uitputtend arsenaal aan rechtsmiddelen

HvJ EU 4 oktober 2024, C-21/23, ECLI:EU:C:2024:846, punt 60 (Lindenapotheke) (hierna: arrest Lindenapotheke).

en dat er ruimte is voor nationale wetgevers om te voorzien in nationale regels om een vordering in te stellen tegen de verwerkingsverantwoordelijke.

Arrest Lindenapotheke, punt 73.

Het is echter onduidelijk hoe groot die ruimte is (zie paragraaf 7).

Het Hof merkt overigens nog op dat met artikel 82 AVG en artikel 83 AVG (het opleggen van administratieve boeten) verschillende doelstellingen worden nagestreefd door de wetgever.

Arrest GP/juris, punt 56.

Het Hof oordeelt echter ook dat er niet alleen een verschil bestaat tussen artikel 82 en 83 AVG, ‘maar dat zij elkaar ook aanvullen in die zin dat naleving van de AVG wordt gestimuleerd, met dien verstande dat het recht van eenieder om schadevergoeding te vorderen de werking van de beschermende bepalingen van deze verordening vergroot en inbreukplegers kan weerhouden van herhaling van onrechtmatig gedrag (…).’

Arrest GP/juris, punt 59. Zie ook arrest ZQ/Krankenversicherung Nordrhein, punt 85; HvJ EU 20 juni 2024, C-182/22 en C-189/22, ECLI:EU:C:2024:531, punt 22 (JU & SO/Scalable Capital) (hierna: arrest JU & SO/Scalable Capital). Vergelijk ook HvJ EU 18 april 2024, C-605/21, ECLI:EU:C:2024:324, punt 61 (Heureka/Google). Vergelijk ook concl. A-G N. Wahl 6 februari 2019, C-724/17, ECLI:EU:C:2019:100, punten 27-28 (Skanska).

In het licht van het compensatoire karakter van artikel 82 AVG lijkt het Hof hiermee alleen te zeggen dat van de mogelijkheid voor eenieder om op grond van artikel 82 AVG schadevergoeding te vorderen een nalevend of weerhoudend effect kan uitgaan richting de verwerkingsverantwoordelijke, maar dat de uiteindelijk toegekende schadevergoeding niet meer mag doen dan compenseren. De mogelijkheid van een schadevergoeding met een zuiver rechtshandhavende functie is daarmee van de baan.

Van der Kooij & Van Kralingen 2022, p. 71-72; T.F. Walree, ‘Reactie op artikel Van der Kooij & Van Kralingen, NTBR 2022/9’, NTBR 2022/34, afl. 8, p. 295-297 (hierna: Walree 2022); D.A. van der Kooij & J. van Kralingen, ‘Naschrift bij reactie op artikel Van der Kooij & Van Kralingen, NTBR 2022/9’, NTBR 2022/35, afl. 8, p. 298.

Uit het arrest AT & BT/PS GbR e.a. volgt dat er voor een claim op grond van artikel 82 AVG sprake moet zijn van een inbreuk op een bepaling van de AVG. Artikel 82 AVG is niet van toepassing op de schending van nationale bepalingen die betrekking hebben op de bescherming van persoonsgegevens ‘maar er niet toe strekken de regels van de AVG te specificeren’.

Arrest AT & BT/PS GbR e.a., punt 48.

Dit betekent a contrario dat bepalingen die wel een specificering zijn van de AVG wel onder het bereik van artikel 82 AVG vallen. Daaronder zou bijvoorbeeld een schending van de Uitvoeringswet AVG kunnen vallen, waarin de nationale wetgever de keuzeruimte invult die hij op grond van de AVG heeft, zoals ten aanzien van de verwerking van bijzondere persoonsgegevens.

Zie artikel 9 lid 2 AVG en artikel 22-30 Uitvoeringswet AVG.

Uit MediaMarktSaturn volgt dat de betrokkene de inbreuk moet stellen en bewijzen.

Arrest BL/MediaMarktSaturn, punt 61. Let echter wel op de vraagstelling in punt 56; het is de verwijzende rechter die hier al van uitgaat. Zie echter ook arrest JU & SO/Scalable Capital, punt 42; arrest GP/juris, punt 35. Zie ook Gülcür 2024, p. 208.

Dat is echter niet altijd zo. Uit VB/Natsionalna agentsia za prihodite volgt namelijk dat de bewijslast ten aanzien van de inbreuk op de verwerkingsverantwoordelijke rust als de schadeclaim gestoeld is op een schending van artikel 32 AVG. Volgens het Hof blijkt ‘ondubbelzinnig’ uit de AVG (artikel 5 lid 2,

In artikel 5 lid 2 AVG is de verantwoordingsplicht neergelegd, die zegt dat de verwerkingsverantwoordelijke niet alleen de bepalingen van de AVG moet naleven, maar dat ook kan aantonen.

artikel 24 lid 1 en artikel 32 lid 1) dat het in het kader van een vordering op grond van artikel 82 AVG aan de verwerkingsverantwoordelijke is om te bewijzen dat hij een ‘passende beveiliging’ in de zin van artikel 32 AVG heeft gewaarborgd.

Arrest VB/Natsionalna agentsia za prihodite, punt 52. Zie ook Rb. Amsterdam 15 maart 2023, ECLI:NL:RBAMS:2023:1407, r.o. 11.14-11.20 (DPS/Facebook).

Met andere woorden, bij een schadeclaim van de betrokkene wegens schending van artikel 32 AVG moet de verwerkingsverantwoordelijke aantonen dat de beveiligingsmaatregelen passend zijn.

Arrest VB/Natsionalna agentsia za prihodite, punt 57. Zie ook arrest BL/MediaMarktSaturn, punt 42.

Die omkering van de bewijslast neemt niet weg dat de betrokkene de inbreuk op artikel 32 AVG (gemotiveerd) zal moeten stellen.

T.F. Walree, ‘Datalek HAN. Annotatie bij Rechtbank Gelderland 4 oktober 2023, ECLI:NL:RBGEL:2023:5435’, Tijdschrift voor Internetrecht 2024, afl. 1, p. 23. Zie ook M. Moeskops & J.G. Reus, annotatie bij HvJ EU 14 december 2023, C-340/21, ECLI:EU:C:2023:986 (VB/Natsionalna agentsia za prihodite), JBP 2024/32, afl. 2, p. 418-419 (hierna: Moeskops & Reus 2024).

Ook onder Nederlands recht geldt in beginsel de regel dat ‘wie moet stellen, die moet bewijzen.

H.J. Snijders e.a., Nederlands burgerlijk procesrecht, Deventer: Wolters Kluwer 2022, p. 279.

Van die verdeling van de bewijslast kan echter worden afgeweken, onder meer als een bijzondere regel dat vergt, zoals artikel 5 lid 2 AVG.

Zie ook Rb. Amsterdam 15 maart 2023, ECLI:NL:RBAMS:2023:1407, r.o. 11.14-11.20 (DPS/Facebook).

In het geval van claims bij een schending van artikel 32 AVG wordt de bewijslast ten aanzien van de inbreuk dus omgekeerd. Dat is niet onredelijk, omdat juist in die gevallen sprake is van informatieasymmetrie tussen de betrokkene en verwerkingsverantwoordelijke. Het is voor een verwerkingsverantwoordelijke relatief eenvoudig om aan te tonen dat hij passende beveiligingsmaatregelen heeft genomen, die informatie ligt immers binnen zijn domein. Een betrokkene heeft geen of minder inzicht in de door de verwerkingsverantwoordelijke genomen maatregelen, en kan daarom niet of moeilijk bewijzen dat deze tekortschoten. Mogelijk geldt die omkering van de bewijslast ook bij schadeclaims voor andersoortige inbreuken. Het Hof van Justitie heeft namelijk eerder aangegeven dat de bewijslast voor de naleving van de in artikel 5 lid 1 AVG genoemde beginselen óók op de verwerkingsverantwoordelijke rust.

HvJ EU 4 mei 2023, C-60/22, ECLI:EU:C:2023:373, punt 53 (UZ/Bundesrepublik Deutschland), met verwijzing naar HvJ EU 24 februari 2022, C-175/20, ECLI:EU:C:2022:124, punten 77, 78 en 81 (Valsts ieņēmumu dienests). Zie ook Moeskops & Reus, punt 13.

Of beveiligingsmaatregelen in de zin van artikel 32 AVG passend zijn, blijft afhankelijk van de omstandigheden van het geval.

Zie uitgebreid J.A. Hofman, De beveiliging van persoonsgegevens. Over de juridische invulling van art. 5 lid 1 onder f en 32 AVG (diss. Nijmegen), Deventer: Wolters Kluwer 2022.

Dat neemt niet weg dat het Hof iets kan zeggen over de geschiktheid van bewijsstukken met betrekking tot passende beveiligingsmaatregelen. Uit VB/Natsionalna agentsia za prihodite volgt dat in een procedure bij een nationale rechter ‘een deskundigenrapport geen systematisch noodzakelijk en toereikend bewijsmiddel kan vormen voor de beoordeling of de beveiligingsmaatregelen die de verwerkingsverantwoordelijke op grond van dat artikel heeft getroffen, passend zijn’.

Arrest VB/Natsionalna agentsia za prihodite, punten 62 en 64.

Het doeltreffendheidsbeginsel verlangt dat een nationale rechter ‘objectief beoordeelt of de betrokken maatregelen passend zijn, in plaats van zich te beperken tot een dergelijke deductie’.

Arrest VB/Natsionalna agentsia za prihodite, punt 63.

De verwerkingsverantwoordelijke kan daarom ook met andere middelen dan een ‘deskundigenrapport’ aantonen dat hij passende maatregelen nam.

Op grond van artikel 32 AVG dient de verwerkingsverantwoordelijke ‘passende technische en organisatorische maatregelen’ te nemen om een ‘op het risico afgestemd beveiligingsniveau te waarborgen’. Deze beveiligingsplicht strekt er onder meer toe om ongeoorloofde toegang tot of misbruik van persoonsgegevens door onbevoegde derden zoveel mogelijk te voorkomen.

Uit VB/Natsionalna agentsia za prihodite en MediaMarktSaturn volgt dat een datalek op zich niet volstaat om aan te nemen dat de getroffen technische en organisatorische maatregelen niet ‘passend’ zijn.

Arrest VB/Natsionalna agentsia za prihodite, punten 29-39; arrest BL/MediaMarktSaturn, punt 45.

Ook bij passende maatregelen kunnen namelijk datalekken optreden, waardoor een datalek dus niet noodzakelijk betekent dat de verwerkingsverantwoordelijke inbreuk heeft gemaakt op de AVG. Er moet een strikt onderscheid worden gemaakt tussen een inbreuk op een bepaling van de AVG (zoals artikel 32 AVG) én een ‘inbreuk in verband met persoonsgegevens’ in de zin van artikel 33 en 34 AVG. Een ‘inbreuk in verband met persoonsgegevens’ – oftewel een datalek – betekent niet automatisch een inbreuk op artikel 32 AVG.

Die twee dingen worden nog wel eens door elkaar gehaald, zoals bijvoorbeeld recent gebeurde in een vonnis in een collectieve procedure tussen ICAM en de GGD. Rb. Amsterdam 17 juli 2024, ECLI:NL:RBAMS:2024:4264, r.o. 5.20.16 (ICAM/GGD). Zie overigens waar het wél goed gaat: Rb. Gelderland 4 oktober 2023, ECLI:NL:RBGEL:2023:5435, r.o. 4.4 (Datalek HAN).

Voor de beoordeling van de onrechtmatigheid van het datalek is uitsluitend van belang of het beveiligingsniveau ‘passend’ was in de zin van artikel 32 AVG. Een waterdichte beveiliging is dus niet vereist. Als datalekken wel onmiddellijk zouden worden beschouwd als een inbreuk op de AVG, dan zou dat betekenen dat het criterium van ‘passende maatregelen’ wordt ondergraven.

Daar komt bij dat een dergelijk onweerlegbaar vermoeden ervoor zorgt dat de verwerkingsverantwoordelijke de mogelijkheid (die hem op grond van artikel 5 lid 2 en artikel 24 AVG toekomt) wordt ontnomen aan te tonen dat hij wel degelijk in overeenstemming met de AVG heeft gehandeld. Zie arrest VB/Natsionalna agentsia za prihodite, punt 32.

Een inbreuk op de AVG op zich leidt niet automatisch tot een recht op schadevergoeding.

Arrest Österreichische Post, punt 33; arrest BL/MediaMarktSaturn, punt 58; arrest VX & AT/Gemeinde Ummendorf, punt 21; arrest AT & BT/ PS GbR e.a., punt 28.

Schade is een noodzakelijke voorwaarde voor een schadevergoeding. Het Hof haalt dat niet alleen uit een ‘letterlijke uitlegging’, maar ook uit de ‘context waarin deze bepaling is opgenomen’.

Arrest Österreichische Post, punten 35-39.

Het Hof oordeelt in Österreichische Post dat ‘schade’ in de zin van artikel 82 AVG een autonoom en uniform begrip is.

Arrest Österreichische Post, punt 30. Zie ook arrest VX & AT/Gemeinde Ummendorf, punt 15; arrest BL/MediaMarktSaturn, punt 64; arrest AT & BT/ PS GbR e.a., punt 31.

Volgens vaste rechtspraak van het Hof moeten begrippen in Unierechtelijke bepalingen die niet uitdrukkelijk verwijzen naar het interne recht van de lidstaten, ‘autonoom en uniform’ worden uitgelegd.

Zie bijvoorbeeld HvJ EU 18 oktober 2011, C-34/10, ECLI:EU:C:2011:669, punt 25 (Brüstle/Greenpeace); HvJ EU 14 februari 2012, C-204/09, ECLI:EU:C:2012:71, punt 37 (Flachglas Torgau/Duitsland); HvJ EU 19 december 2013, C-279/12, ECLI:EU:C:2013:853, punt 42 (Fish Legal/Information Commissioner); HvJ EU 1 oktober 2019, C-673/17, ECLI:EU:C:2019:801, punt 47 (Planet49). Zie ook Walree 2021, p. 117.

Deze autonome uitleg heeft voorrang op een afwijkende nationale interpretatie van begrippen.

Zie over de voorrang van het Unierecht en het buiten toepassing verklaren van strijdig nationaal recht: HvJ EG 9 maart 1978, 106/77, ECLI:EU:C:1978:49, punt 21 (Simmenthal); HvJ EG 19 juni 1990, C-213/89, ECLI:EU:C:1990:257, punt 23 (Factortame e.a.). Vergelijk ook HvJ EG 16 december 1976, 33/76, ECLI:EU:C:1976:188, punt 5-6 (Rewe) (hierna: arrest Rewe); HvJ EG 16 december 1976, 45/76, ECLI:EU:C:1976:191, punt 13 (Comet); HvJ EG 13 maart 2007, C-432/05, ECLI:EU:C:2007:163, punt 43 (Unibet/Justitiekanslern); HvJ EU 9 december 2010, C-568/08, ECLI:EU:C:2010:751, punt 91 (Combinatie Spijker/Provincie Drenthe).

Een autonome uitleg houdt in dat het uiteindelijk de Uniewetgever en het Hof van Justitie zijn die de definitie van ‘schade’ in de zin van artikel 82 AVG moeten bepalen.

Zie ook Li 2023, p. 9; Lindenbergh & Samsom 2023, p. 1898.

Door die autonome uitleg wordt de vrijheid voor de nationale wetgever en de rechter verregaand beperkt bij het bepalen van de vergoedbare schade bij inbreuken op de AVG. Volgens het Hof moet een rechter bij de autonome uitleg met name rekening houden met het doel van die bepaling en de context ervan.

Arrest Österreichische Post, punt 29.

Mogelijk moet óók worden gekeken naar rechtspraak van het Hof over schadevergoeding met betrekking tot de schending van andere Unierechtelijke normen.

V. Janeček & C.T. Santos, ‘The autonomous concept of “damage” according to the GDPR and its unfortunate implications: Österreichische Post’, Common Market Law Review (61) 2024, afl. 2, p. 539 (hierna: Janeček & Santos 2024).

Schade moet immers ‘ruim worden uitgelegd in het licht van de rechtspraak van het Hof van Justitie, op een wijze die ten volle recht doet aan de doelstellingen van deze verordening’.

Overweging 146 AVG.

Het Hof maakt in Österreichische Post duidelijk dat de tekst en context van artikel 82 AVG ‘zich verzet tegen een nationale regel of praktijk op grond waarvan immateriële schade in de zin van die bepaling slechts kan worden vergoed indien de door de betrokkene geleden schade een bepaalde mate van ernst bereikt’.

Arrest Österreichische Post, punt 51. Zie ook arrest VB/Natsionalna agentsia za prihodite, punt 78; arrest VX & AT/Gemeinde Ummendorf, punten 16 en 18; arrest BL/MediaMarktSaturn, punt 59; arrest GP/juris, punt 41; arrest AT & BT/PS GbR e.a., punt 26.

Kortom: hij die op grond van artikel 82 AVG een schadevergoeding eist, hoeft voor de toekenning daarvan niet aan tonen dat de gestelde schade ‘een bepaalde drempel van ernst heeft overschreden’

Arrest Österreichische Post, punt 51; arrest VB/Natsionalna agentsia za prihodite, punt 78; arrest GP/juris, punt 41.

of een ‘de-minimisdrempel’ heeft bereikt.

Arrest VX & AT/Gemeinde Ummendorf, punt 18; arrest JU & SO/Scalable Capital, punt 44.

Een dergelijke drempel zou afbreuk doen aan een ruime opvatting van het begrip ‘schade’ zoals de Uniewetgever die voorstaat. Het Hof verwijst daarbij ook naar overweging 146 van de AVG.

Arrest Österreichische Post, punten 46-47.

Een drempel past ook niet met het oog op de doelstelling van ‘volledige en daadwerkelijke vergoeding van de geleden schade’.

Arrest Österreichische Post, punt 57. Zie ook arrest BL/MediaMarktSaturn, punten 50 en 54; arrest JU & SO/Scalable Capital, punten 35 en 36. Ook heeft het Hof het voortdurend over ‘integraal vergoeden’. Zie arrest BL/MediaMarktSaturn, punt 54; arrest ZQ/Krankenversicherung Nordrhein, punt 102.

Het Hof wijst er daarnaast op dat het hanteren van ‘een bepaalde drempel van ernst’ ertoe kan leiden dat ‘de samenhang van de bij de AVG ingevoerde regeling’ zou kunnen worden aangetast, omdat die drempel ‘hoger of lager zou kunnen worden gelegd naargelang van de beoordeling van de aangezochte rechter’.

Arrest Österreichische Post, punt 49; arrest VX & AT/Gemeinde Ummendorf, punt 20.

Met andere woorden, de mogelijkheid van een schadedrempel zou afbreuk kunnen doen aan een coherente of uniforme toepassing van de AVG.

Zie ook arrest Österreichische Post, punt 48.

Uit het arrest wordt niet onmiddellijk duidelijk wat voor een drempel nu daadwerkelijk wordt verboden door het Hof.

Wat die onduidelijkheid vooral veroorzaakt is dat de A-G Campos Sánchez-Bordona het heeft over of de gevolgen van een inbreuk een bepaalde drempel overstijgen (punten 97 en 116), en het niet heeft over de ‘schade’. Zie concl. A-G M. Campos Sánchez-Bordona 6 oktober 2022, C-300/21, ECLI:EU:C:2022:756, punten 97 en 116 (Österreichische Post). Dit in tegenstelling tot het Hof van Justitie, dat het wel heeft over ‘schade’. Zie ook de kritiek op dit verschil: F. Episcopo, ‘UI v. Österreichische Post – A First Brick in the Wall for a European Interpretation of Art. 82 GDPR’, Journal of European Consumer and Market Law (13) 2024, afl. 2, p. 92-93 (hierna: Episcopo 2024); Janeček & Santos 2024, p. 535 e.v.

Er zijn twee mogelijkheden.

Vergelijk ook Episcopo 2024, p. 92; Janeček & Santos 2024, p. 538.

Allereerst kan het gaan om het opheffen van een drempel die nadelige gevolgen (die niet voor vergoeding aanmerking komen) onderscheidt van juridisch relevante schade (die wél voor vergoeding in aanmerking komt). Ten tweede kan het gaan om het opheffen van een drempel die bepaalt dat juridisch relevante schade pas voor vergoeding in aanmerking komt als zij boven een bepaalde monetaire waarde uitkomt (bijvoorbeeld € 100).

Bij de eerste mogelijkheid zou het verbod op een schadedrempel betekenen dat minder ernstige nadelige gevolgen – zoals ergernis, frustratie, boosheid – die eerder niet voor vergoeding in aanmerking kwamen omdat ze geen juridisch vergoedbare schade opleverden, nu ineens wel op het spectrum van immateriële schade thuishoren, en dus wél voor vergoeding in aanmerking komen.

Zie T.F. Walree, annotatie bij HvJ EU 4 mei 2023, ECLI:EU:C:2023:370, C-300/21 (Österreichische Post), JBP 2023/101, afl. 4, punt 12. Zie ook W. Wurmnest, ‘Damage or no Damage: that is the Question – Österreichische Post (C-300/21) and Non-material Damage under Article 82 GDPR’, eulawlive.com, 30 juni 2023 (hierna: Wurmnest 2023).

Als het zou gaan om een dergelijke drempel, en die drempel wordt verboden, dan wordt het voor betrokkenen veel eenvoudiger om een schadevergoeding te krijgen. Deze interpretatie is echter onwaarschijnlijk. Onder deze interpretatie zouden namelijk alle nadelige gevolgen voor de betrokkene voor vergoeding in aanmerking komen, zoals frustratie, ergernis of een ander licht onbehagen, zelfs als zulke belangen niet worden beschermd door het Unierecht of nationale recht.

Zie ook Janeček & Santos 2024, p. 538-539.

Ook blijkt uit Österreichische Post en vrijwel alle arresten sindsdien dat de betrokkene moet aantonen dat hij negatieve gevolgen ondervindt, maar ook dat negatieve gevolgen immateriële schade in de zin van artikel 82 AVG opleveren (zie uitgebreid paragraaf 4.4).

Arrest Österreichische Post, punt 50.

Ook dat veronderstelt een onderscheid (of drempel) tussen negatieve gevolgen en juridisch relevante schade.

Zie ook T.F.E. Tjong Tjin Tai, annotatie bij HvJ EU 4 mei 2023, C-300/21, ECLI:EU:C:2023:370 (Österreichische Post), NJ 2023/44, onder 5.

Ook om andere redenen ligt die eerste uitleg niet voor de hand. De vraag over de schadedrempel in Österreichische Post werd gesteld door de Oostenrijkse rechter. In Oostenrijk geldt de regel dat immateriële schade – die juridisch relevant is – alleen voor vergoeding in aanmerking komt als zij een bepaalde drempel van ernst bereikt. Dat duidt op de tweede mogelijkheid. Bovendien zou die eerste interpretatie ingaan tegen de traditie van veel Europese rechtssystemen, waarin het begrip ‘schade’ uitsluitend refereert aan de vergoedbare schade.

Janeček & Santos 2024, p. 538.

Kort en goed, met het verbod op het hanteren van de schadedrempel wordt dus waarschijnlijk bedoeld dat de AVG zich tegen een nationale regel verzet die vereist dat de juridische schade pas kan worden vergoed als zij boven een bepaalde waarde uitkomt. Alle vergoedbare schade, hoe miniem ook, komt voor vergoeding in aanmerking. Een drempel die in strijd komt met deze regel kennen we in Nederland niet. Daarmee is deze overweging van betrekkelijk weinig belang voor Nederland.

Het Hof maakt sinds Österreichische Post duidelijk dat schade ‘ruim’ en ‘autonoom’ moet worden uitgelegd. Het Hof noemt in zijn rechtspraak enkele vormen van immateriële schade die voor vergoeding in aanmerking komen.

Zo bevestigt het Hof – bijvoorbeeld in GP/juris – dat het ‘verlies van controle over persoonsgegevens’ immateriële schade in de zin van artikel 82 AVG kan opleveren. De korte tijdspanne waarin schade wordt geleden, is irrelevant.

Arrest GP/juris, punt 42; arrest BL/MediaMarktSaturn, punt 66; arrest VX & AT/Gemeinde Ummendorf, punt 22; arrest VB/Natsionalna agentsia za prihodite, punt 82. Zie ook arrest JU & SO/Scalable Capital, punt 45; arrest AT & BT/PS GbR e.a., punt 33.

Als dat een criterium zou zijn, zou dat namelijk betekenen dat ‘het schadebegrip (…) zou worden beperkt tot schade van een bepaalde ernst’, en dat zou in strijd zijn met de door de Uniewetgever voorgestane ruime opvatting van het schadebegrip.

Arrest VX & AT/Gemeinde Ummendorf, punt 19.

Volgens het Hof blijkt uit de ‘illustratieve lijst van „schade” die betrokkenen kunnen lijden in overweging 85, eerste volzin, AVG dat de Uniewetgever met name het enkele „verlies van controle” over hun eigen persoonsgegevens als gevolg van een inbreuk op deze verordening onder het begrip schade die de betrokkenen kunnen lijden, heeft willen opnemen, ook al heeft er geen concreet misbruik van de betrokken gegevens plaatsgevonden’.

HvJ EU 4 oktober 2024, C-200/23, ECLI:EU:C:2024:827, punt 145 (Agentsia po vpisvaniyata/OL) (hierna: arrest Agentsia po vpisvaniyata/OL); arrest VB/Natsionalna agentsia za prihodite, punt 82.

Wat het controleverlies exact omvat, legt het Hof (nog) niet uitputtend uit.

Vergelijk ook Walree 2021, p. 122-123.

Wel komen in de rechtspraak enkele voorbeelden van een (potentieel) controleverlies voorbij: ‘de terbeschikkingstelling van persoonsgegevens aan het publiek online in het handelsregister’

Arrest Agentsia po vpisvaniyata/OL, punt 145.

, ‘de bekendmaking op internet van persoonsgegevens en het daaropvolgende verlies van zeggenschap’

Arrest VX & AT/Gemeinde Ummendorf, punt 22.

en de doorgifte van persoonsgegevens aan een land zonder ‘adequaatheidsbesluit’.

Gerecht EU 8 januari 2025, ECLI:EU:T:2025:4, punt 192-197 (Thomas Bindl/Europese Commissie).

Vanwege de voorwaardelijke formulering van het Hof (‘verlies van controle kan immateriële schade opleveren’) rijst de vraag of een louter controleverlies voldoende is voor smartengeld.

Het Bundesgerichtshof vindt overigens van wel: Bundesgerichtshof 18 november 2024, VI ZR 10/24, ECLI:DE:BGH:2024:181124UVIZR10.24.0 (Scraping Facebook). Vergelijk in andere zin: Hof Amsterdam 18 juni 2024, ECLI:NL:GHAMS:2024:1651, r.o. 4.16.2 (TPC/Salesforce & Oracle). Zo zegt het hof dat ‘de enkele omstandigheid dat een persoon niet langer de volledige controle over zijn/haar persoonsgegevens heeft [niet] betekent dat deze persoon schade lijdt’.

Er is mogelijk dus nog iets anders nodig naast het controleverlies, zoals onzekerheid of vrees bij de betrokkene.

Zie ook Gerecht EU 8 januari 2025, ECLI:EU:T:2025:4, punt 197 (Thomas Bindl/Europese Commissie).

De betrokkene moet immers aantonen dat ‘hij daadwerkelijk schade heeft geleden’ (zie ook paragraaf 4.4).

Zie bijvoorbeeld arrest Agentsia po vpisvaniyata/OL, punt 156.

Als die gedachte correct is, kun je je afvragen welke zelfstandige waarde nog toekomt aan de schadepost van het ‘verlies van controle over persoonsgegevens’.

Uit verschillende arresten (VB/Natsionalna agentsia za prihodite, MediaMarktSaturn en AT & BT/PS GbR e.a.) volgt dat immateriële schade ook kan ontstaan bij vrees van de betrokkene voor het verspreiden en/of misbruiken van zijn persoonsgegevens door derden.

Arrest BL/MediaMarktSaturn, punt 67; arrest VB/Natsionalna agentsia za prihodite, punt 80; arrest AT & BT/PS GbR e.a., punt 32.

Louter vrees is echter onvoldoende, aldus het Hof. De nationale rechter zal moeten beoordelen of deze ‘vrees in de betrokken specifieke omstandigheden ten aanzien van de betrokkene gegrond kan worden geacht’.

Arrest VB/Natsionalna agentsia za prihodite, punt 85 (cursivering toegevoegd); arrest BL/MediaMarktSaturn, punt 67.

Hiervan is in mijn optiek eerder sprake als het gaat om gevoelige gegevens of als het type incident waardoor de data zijn verspreid hiertoe aanleiding geeft.

Een gerichte diefstal van persoonsgegevens zal sneller tot een gegronde vrees voor misbruik leiden dan het abusievelijk achterlaten van een map met gevoelige informatie in de trein.

Een ‘zuiver hypothetisch risico’ dat een derde persoonsgegevens misbruikt is niet voldoende voor de toekenning van schadevergoeding, aldus het Hof in MediaMarktSaturn.

Arrest BL/MediaMarktSaturn, punt 68.

Dit is bijvoorbeeld het geval als vaststaat dat een derde geen kennis heeft genomen van de persoonsgegevens in kwestie. Of dat vaststaat lijkt me overigens – gelet op de informatieasymmetrie tussen de verwerkingsverantwoordelijke en de betrokkene – aan de verwerkingsverantwoordelijke om aan te tonen (zie ook paragraaf 3.2).

Een schadevergoeding voor ‘vrees voor toekomstig misbruik van persoonsgegevens door derden’ is dus op grond van artikel 82 AVG niet uitgesloten.

Arrest VB/Natsionalna agentsia za prihodite, punten 79-80; arrest BL/MediaMarktSaturn, punten 65 en 67; arrest AT & BT/PS GbR e.a., punt 32. Zie in dit kader ook Gerecht EU 15 januari 2019, T-881/16, ECLI:EU:T:2019:5, punt 57 (HJ/EMA). Vergelijk ook EHRM 17 juli 2008, ECLI:CE:ECHR:2008:0717JUD002051103 (I./Finland). Zie ook Rb. Gelderland 4 oktober 2023, ECLI:NL:RBGEL:2023:5435, r.o. 4.7 (Datalek HAN).

Een andere lezing zou afbreuk doen aan de ‘ruime opvatting’ van het schadebegrip zoals de Uniewetgever dat voor ogen had.

Arrest VB/Natsionalna agentsia za prihodite, punten 81-82. Het Hof verwijst in dit kader ook nog naar overweging 85 van de AVG. Zie ook de kritiek daarop: Walree 2022, p. 295-296; Van der Kooij & Van Kralingen 2022, p. 68.

Onder Nederlands recht zijn er uiteenlopende voorbeelden waarin ‘angstschade’ wordt vergoed.

Zie voor een mooi overzicht: A.M. Verheul, ‘Angst als juridisch relevante schade’, AV&S 2017, afl. 5, p. 176-185; A.M. Overheul, ‘Angst als juridisch relevante schade: de angstschadevordering naar Frans recht’, AV&S 2018, afl. 6, p. 160-168; A.J. Verheij, ‘Vergoedbaarheid van angstschade’, NTBR 2018, afl. 1, p. 12-22 (hierna: Verheij 2018).

Uit de Nederlandse literatuur en rechtspraak volgt dat ten aanzien van die angst de vraag rijst of die reëel of gerechtvaardigd moet zijn.

Verheij 2018, p. 15; R. Rijnhout, ‘Van bijzonder letsel naar bijzondere normschendingen en beyond’, Verkeersrecht 2020, afl. 7/8, p. 195.

Dat de vrees gegrond moet zijn, is dus in het licht van het Nederlandse recht een logische eis.

In AT & BT/PS GbR e.a. zegt het Hof nog wat opmerkelijks over ‘vrees’ als schade: ‘Wanneer iemand louter beweert een vrees te koesteren, zonder dat er negatieve gevolgen zijn aangetoond, kan dit dus geen aanleiding geven tot schadevergoeding op grond van [artikel 82 AVG].’

Arrest AT & BT/PS GbR e.a., punt 35.

Die overweging kan verwarring wekken. Die ‘negatieve gevolgen’ kunnen namelijk drie dingen betekenen: (1) negatieve gevolgen in de zin dat derden kennis hebben genomen of kunnen nemen van persoonsgegevens van de betrokkene of (2) negatieve gevolgen als gevolg van de vrees of (3) de vrees zelf. De eerste lezing zou betekenen dat er tóch wel een onderscheid wordt gemaakt tussen de gevallen van bewezen misbruik en mogelijk toekomstig misbruik.

Arrest VB/Natsionalna agentsia za prihodite, punt 79.

Dat zou indruisen tegen het bepaalde in VB/Natsionalna agentsia za prihodite en de ruime opvatting van schade zoals de Uniewetgever die voorstaat. Bovendien zou een negatief gevolg zich ook in de toekomst kunnen voordoen, en dat is, simpel gezegd, nog niet te bewijzen (en al helemaal niet door de betrokkene). Ik ga er daarom van uit dat het Hof bedoelt te zeggen dat vrees (als negatief gevolg) of die negatieve gevolgen van die vrees dienen te worden onderbouwd door de betrokkene.

In JU & SO/Scalable Capital oordeelt het Hof dat de betrokkene ook een recht op schadevergoeding kan hebben als er sprake is van identiteitsdiefstal. Van identiteitsdiefstal is volgens het Hof sprake als een derde daadwerkelijk de identiteit heeft aangenomen van een persoon wiens persoonsgegevens zijn gestolen.

Arrest JU & SO/Scalable Capital, punt 58.

Het Hof voegt daar echter direct aan toe dat artikel 82 AVG zich niet beperkt ‘tot de gevallen waarin wordt aangetoond dat een dergelijke diefstal van gegevens vervolgens tot identiteitsdiefstal of -fraude heeft geleid’. Een andere uitleg zou afbreuk doen aan het feit dat artikel 82 AVG geen onderscheid maakt tussen angst wegens reeds gepleegd (en bewezen) misbruik en de angst van die persoon dat dergelijk misbruik zich in de toekomst zou kunnen voordoen.

Zie wederom arrest VB/Natsionalna agentsia za prihodite, punt 79.

Het is niet helemaal duidelijk welke immateriële schade hiermee wordt bedoeld door de verwijzende rechter en het Hof, en in hoeverre dit type immateriële schade een aanvulling is op de eerdergenoemde schadeposten. Verlies van controle en gegronde vrees voor misbruik zijn immers ook reële schadeposten bij identiteitsdiefstal. Aan welke vormen van immateriële schade kunnen we bijvoorbeeld nog meer denken bij identiteitsdiefstal? Identiteitsdiefstal kenmerkt zich door het feit dat een individu zich uitgeeft voor de betrokkene. Dat kan ervoor zorgen dat betrokkene in financiële problemen raakt of telkens in situaties komt waarin hij een wederpartij moet overtuigen dat hij niet diegene is die een transactie is aangegaan of een toeslag heeft aangevraagd. Dergelijke situaties kunnen zorgen voor stress, angst, frustratie en een verlies aan vertrouwen. Het is aannemelijk dat dergelijke negatieve gevolgen als gevolg van identiteitsdiefstal voor vergoeding in aanmerking komen.

Uit de rechtspraak volgen dus al drie soorten van immateriële schade die voor vergoeding in aanmerking kunnen komen: verlies van controle of zeggenschap over persoonsgegevens; gegronde vrees voor misbruik die niet zuiver hypothetisch is; immateriële schade bij identiteitsdiefstal. Door de ruime uitleg van het begrip ‘schade’ verwacht ik niet dat het bij deze schadeposten blijft, maar het is onzeker wat er nog meer onder dat begrip kan vallen. De AVG bevat volgens het Hof wel een ‘illustratieve lijst van schade’ die betrokkenen kunnen lijden, maar die lijst blijkt met de erkenning van de ‘gegronde vrees voor misbruik/verspreiding van persoonsgegevens’ niet uitputtend. Janeček en Santos zeggen dat het nuttig zou zijn als het Hof een indicatieve lijst van wettelijk beschermde belangen verschaft die aangeeft wat zoal onder de vergoedbare schade van artikel 82 AVG valt. Anders zullen nationale rechters het Hof blijven vragen om verduidelijking of zullen ze het schadebegrip incoherent en zonder uniformiteit (blijven) toepassen.

Janeček & Santos 2024, p. 544.

Het Hof van Justitie geeft in de rechtspraak herhaaldelijk aan dat de ruime uitleg van schade en de afwezigheid van een schadedrempel niet wegnemen dat de persoon die wordt getroffen door een inbreuk op de AVG met negatieve gevolgen voor hem, moet bewijzen dat die gevolgen immateriële schade in de zin van artikel 82 AVG opleveren.

Arrest Österreichische Post, punt 50; arrest VB/Natsionalna agentsia za prihodite, punt 84; arrest VX & AT/Gemeinde Ummendorf, punten 22-23; arrest BL/MediaMarktSaturn, punt 68; arrest AT & BT/PS GbR e.a., punt 34.

De betrokkene zal dus moeten aantonen dat hij (i) negatieve gevolgen ondervindt en (ii) dat die gevolgen immateriële schade in de zin van artikel 82 AVG opleveren.

De AVG bepaalt echter niet hoe de betrokkene zijn immateriële schade moet aantonen.

Zie arrest Agentsia po vpisvaniyata/OL, punt 167; arrest VB/Natsionalna agentsia za prihodite, punt 60.

Dit betekent dat het vanwege het principe van ‘procedurele autonomie’ aan de lidstaten is om te bepalen hoe schade kan worden aangetoond (zie ook paragraaf 9). Dat brengt dus met zich dat – ondanks een ruime opvatting van schade – de schadeclaim (bijvoorbeeld wegens het verlies van controle over persoonsgegevens) valt of staat bij de bewijsstandaarden van het nationale recht of de beoordelingsvrijheid van de nationale rechter. Met andere woorden, schade kan op grond van de rechtspraak van het Hof in principe voor vergoeding in aanmerking komen, maar het is nog altijd het nationale recht of de nationale rechter dat/die bepaalt of schade voldoende is aangetoond. Daardoor bestaat de mogelijkheid dat sommige soorten schade in theorie voor vergoeding in aanmerking komen, maar in de praktijk zeer moeilijk te bewijzen zijn. Dat kan ertoe leiden dat de vergoedbaarheid van dergelijke schadeposten in de praktijk wordt ‘uitgehold’.

Jeloschek & Van Schaik 2024, p. 67.

Het leidt bovendien tot fragmentatie tussen de lidstaten.

Het is overigens nog de vraag of de regel dat ‘de betrokkene moet aantonen dat hij negatieve gevolgen heeft en dat die immateriële schade in de zin van art. 82 AVG opleveren’ de procedurele autonomie van Nederland inperkt ten aanzien van de bewijsregels rondom het bewijzen van schade.

Zie ook Van Duin e.a. 2024, p. 139; Gülcür 2024, p. 210-211.

Een belangrijk arrest in Nederland voor de toekenning van smartengeld (op grond van artikel 6:106 sub b BW) en het bewijzen van immateriële schade is het EBI-arrest. In dat arrest geeft de Hoge Raad een uitzondering op de hoofdregel dat de benadeelde voor toekenning van smartengeld zijn immateriële schade met concrete gegevens moet bewijzen. Die uitzonderingsregel houdt in dat de aard en de ernst van de normschending met zich kunnen brengen dat de nadelige gevolgen voor een individu zo voor de hand liggen dat immateriële schade kan worden aangenomen, waardoor de toekenning van smartengeld op haar plaats is.

HR 15 maart 2019, ECLI:NL:HR:2019:376, r.o. 4.2.1, NJ 2019/162 (EBI).

In dit geval hoeft de benadeelde zijn immateriële schade niet met concrete gegevens aan te tonen. In de Nederlandse rechtspraak blijkt dat de betrokkene daar in sommige gevallen met succes een beroep op kan doen in AVG-zaken, zoals in de gevallen dat het gaat om AVG-inbreuken waarbij medische persoonsgegevens zijn betrokken.

ABRvS 1 april 2020, ECLI:NL:RVS:2020:898 (Pieter Baan Centrum); Rb. Zeeland-West-Brabant 21 september 2022, ECLI:NL:RBZWB:2022:5457; Rb. Gelderland 4 oktober 2023, ECLI:NL:RBGEL:2023:5435 (Datalek HAN).

De bovenstaande regel van het Hof van Justitie lijkt haaks op die nationale uitzonderingsregel te staan, want het zegt dat de persoon die schadevergoeding wil, nadelige gevolgen moet aantonen. Het is echter de vraag of het Hof met die overweging zo diep heeft willen ingrijpen op de procedurele autonomie van lidstaten ten aanzien van de bewijsvoering, en of die overweging daadwerkelijk de bewijsrechtelijke exceptie van het EBI-arrest zou verbieden.

Zie ook Gülcür 2024, p. 210-211. Vergelijk ook B.J. Drijber, ‘Naar een meer symbiotische relatie tussen Unierecht en nationaal vermogensrecht’, in: B.J. Drijber & V. Mak, Het spanningsveld tussen nationaal en Europees privaatrecht (Preadviezen 2024, Vereniging voor Burgerlijk Recht), Zutphen: Uitgeverij Paris 2024, p. 46 (hierna: Drijber 2024).

Die bewijsopdracht kan namelijk ook impliceren dat slechts is vereist dat de betrokkene schade heeft geleden, en door de uitzonderingsregel van het EBI-arrest (de aard en de ernst van de inbreuk) wordt vermoed dat de betrokkene schade heeft geleden.

Zie ook Gülcür 2024, p. 211.

In ZQ/Krankenversicherung Nordrhein gaat het Hof van Justitie in op de voorwaarde van toerekenbaarheid. Het Hof oordeelt in dit arrest dat uit een gecombineerde analyse van artikel 82 lid 2 en lid 3 AVG blijkt dat dit artikel voorziet in een regeling inzake schuldaansprakelijkheid. De schuld van de verwerkingsverantwoordelijke wordt echter vermoed, tenzij ‘de verwerkingsverantwoordelijke bewijst dat het schadeveroorzakende feit hem niet kan worden toegerekend’.

Arrest ZQ/Krankenversicherung Nordrhein, punten 94, 98 en 103; arrest Agentsia po vpisvaniyata/OL, punten 161-163.

De verwerkingsverantwoordelijke heeft dus wel de mogelijkheid om het vermoeden van schuld te ontkrachten en zich te vrijwaren van aansprakelijkheid.

De bewijslast voor de toerekenbaarheid van de AVG-inbreuk – in dit geval: schuld – ligt niet op de persoon die schade heeft geleden, maar op de verwerkingsverantwoordelijke.

Arrest ZQ/Krankenversicherung Nordrhein, punt 94; arrest GP/juris, punt 46.

Er is ten aanzien van dit punt dus een ‘omkering van de bewijslast’. Volgens het Hof zou het enerzijds niet stroken met de doelstelling van een hoge mate van bescherming als de betrokkene naast de inbreuk en de schade ook ‘het bestaan van schuld in de vorm van opzet of nalatigheid bij de verwerkingsverantwoordelijke’ moet bewijzen. Anderzijds zegt het Hof dat ‘een regeling van aansprakelijkheid zonder schuld’ afbreuk zou kunnen doen aan de rechtszekerheid van de verwerkingsverantwoordelijke.

Arrest ZQ/Krankenversicherung Nordrhein, punten 98-100. Zie overweging 7 van de preambule van de AVG.

Het evenwicht wordt door de Uniewetgever gevonden in schuldaansprakelijkheid met een omkering van de bewijslast.

In ZQ/Krankenversicherung Nordrhein noemt het Hof schuld uiteindelijk als een van de voorwaarden voor aansprakelijkheid.

Arrest ZQ/Krankenversicherung Nordrhein, punt 103.

Die kwalificatie is belangrijk, omdat dit zou betekenen dat lidstaten geen procedurele autonomie hebben bij de materiële invulling van schuld, en dus ook niet bij het bepalen van de gevallen waarin de verwerkingsverantwoordelijke op geen enkele wijze verantwoordelijk is voor het schadeveroorzakende feit. Dat er geen procedurele autonomie op dat vlak is, volgt mijns inziens ook uit het feit dat het Hof in verschillende arresten invulling geeft aan schuld of aangeeft in welke gevallen de verwerkingsverantwoordelijke zich niet kan disculperen (zie hierna in paragraaf 6.2).

De verwerkingsverantwoordelijke heeft de mogelijkheid om tegenbewijs te leveren voor het vermoeden van schuld. De AVG geeft echter geen voorbeelden waarin de verwerkingsverantwoordelijke ‘op geen enkele wijze verantwoordelijk is voor het schadeveroorzakende feit’, laat staan wat ervoor nodig is om dat te bewijzen.

Zie ook D.F.H. Stein, Hoofdelijke aansprakelijkheid (Onderneming en Recht, deel 144), Deventer: Wolters Kluwer 2024, p. 141 (hierna: Stein 2024).

In VB/Natsionalna agentsia za prihodite geeft het Hof drie (vage) aanwijzingen. Allereerst volgt uit VB/Natsionalna agentsia za prihodite dat de woorden ‘op geen enkele wijze’ strikt beperkt moet worden tot omstandigheden waarin de verwerkingsverantwoordelijke kan aantonen dat de schade hem niet kan worden toegerekend.

Arrest VB/Natsionalna agentsia za prihodite, punt 70.

Ten tweede zegt het Hof dat de verwerkingsverantwoordelijke zich bij een datalek (‘inbreuk in verband met persoonsgegevens’) kan bevrijden van aansprakelijkheid als hij aantoont dat er geen causaal verband bestaat tussen zijn ‘eventuele niet-nakoming van de verplichting tot gegevensbescherming’ en de schade.

Arrest VB/Natsionalna agentsia za prihodite, punt 72; arrest Agentsia po vpisvaniyata/OL, punt 165.

Dat is logisch, want zonder een causaal verband is er überhaupt geen sprake van aansprakelijkheid. Het is evenwel vreemd dat dit causaal-verband-vereiste in de context artikel 82 lid 2 en lid 3 AVG wordt genoemd door het Hof. Dit doet de vraag rijzen of lid 2 en lid 3 wel alleen strikt betrekking hebben op (het ontkrachten van) toerekenbaarheid. Ten derde blijkt uit VB/Natsionalna agentsia za prihodite dat de verwerkingsverantwoordelijke zich kan vrijwaren van aansprakelijkheid als derden (zoals cybercriminelen) ervoor hebben gezorgd dat data is gelekt of is geopenbaard, tenzij die derden toegang hebben gekregen tot die gegevens doordat de verwerkingsverantwoordelijke geen passende maatregelen heeft genomen in de zin van artikel 32 AVG.

Arrest VB/Natsionalna agentsia za prihodite, punt 71.

Dat is logisch, want als de verwerkingsverantwoordelijke had nagelaten om passende maatregelen te nemen, dan had hij iets kunnen doen aan die toegang van derden tot de persoonsgegevens.

In andere arresten geeft het Hof concretere aanwijzingen, zoals in GP/juris. In dat arrest geeft het Hof aan in welk geval de verwerkingsverantwoordelijke zich in ieder geval niet kan bevrijden van aansprakelijkheid, namelijk door zich ‘louter te beroepen op een nalatigheid of fout van iemand die onder zijn gezag handelt’.

Arrest GP/juris, punt 49; arrest Agentsia po vpisvaniyata/OL, punt 166.

Daaronder vallen zijn werknemers of anderen die toegang hebben tot persoonsgegevens, en deze gegevens slechts mogen verwerken in opdracht van de verwerkingsverantwoordelijke en overeenkomstig zijn instructies.

Arrest GP/juris, punt 47. Zie ook HvJ EU 22 juni 2023, C-579/21, ECLI:EU:C:2023:501, punten 73 en 74 (Pankki S).

Het is de taak van de verwerkingsverantwoordelijke om ervoor te zorgen dat die instructies worden opgevolgd.

Arrest GP/juris, punt 49.

Voor vrijwaring van aansprakelijkheid is het niet voldoende dat de verwerkingsverantwoordelijke aantoont dat zijn werknemers deze instructies niet hebben opgevolgd.

Arrest GP/juris, punt 52.

Fouten van werknemers worden dus toegerekend aan de verwerkingsverantwoordelijke. Het Hof merkt op dat als de verwerkingsverantwoordelijke zich aan aansprakelijkheid kon onttrekken door ‘enkel’ te verwijzen naar ‘het verzuim van een persoon die onder zijn gezag handelde’, dat afbreuk zou doen aan het ‘nuttig effect’ van artikel 82 AVG en aan de doelstelling van de wetgever voor een hoog niveau van bescherming.

Arrest GP/juris, punt 53.

Deze vorm van risicoaansprakelijkheid voor ondergeschikten is vergelijkbaar met het Nederlandse systeem van artikel 6:170 BW. Het is de vraag in hoeverre de verwerkingsverantwoordelijke onder artikel 82 AVG kan ontsnappen aan risicoaansprakelijkheid voor fouten van werknemers. Gezien de terughoudende benadering van het Hof hierboven lijkt daar weinig ruimte voor. Mogelijk wordt de ruimte voor vrijwaring groter als blijkt dat de verwerkingsverantwoordelijke alle mogelijke (beveiligings)maatregelen heeft getroffen om fouten van werknemers ten aanzien van persoonsgegevens te voorkomen of tot een minimum te beperken, of als blijkt dat een werknemer opzettelijk een fout maakte.

In Agentsia po vpisvaniyata/OL bepaalt het Hof dat een juridisch niet-bindend advies van de toezichthouder

Uit hoofde van artikel 58 lid 3 onder b AVG.

aan de verwerkingsverantwoordelijke ‘op zich geen bewijs [vormt] dat de schade niet aan de verwerkingsverantwoordelijke kan worden toegerekend (…) en volstaat dat dus niet om die verantwoordelijke te vrijwaren van aansprakelijkheid op grond van artikel 82, lid 3, AVG’.

Arrest Agentsia po vpisvaniyata/OL, punt 174.

Volgens het Hof zou de verwerkingsverantwoordelijke er niet toe worden aangezet ‘om al het mogelijke te doen’ om een hoog beschermingsniveau te waarborgen en om aan alle verplichtingen van de AVG te voldoen, als hij zich zou kunnen beroepen op een juridisch niet-bindend advies om zodoende aan aansprakelijkheid te ontkomen.

Arrest Agentsia po vpisvaniyata/OL, punt 175.

De lat om aan aansprakelijkheid te ontsnappen ligt blijkbaar erg hoog. Ik vraag me af of het Hof hier niet te streng is voor de verwerkingsverantwoordelijke en waarom het niet differentieert tussen juridisch niet-bindende adviezen van toezichthouders en niet-bindende adviezen van bijvoorbeeld advocatenkantoren en consultancybureaus.

Wat opvalt is dat het Hof in verschillende arresten iets zegt over de gevallen waarin de verwerkingsverantwoordelijke zich wel of niet kan bevrijden van aansprakelijkheid. Het bewijzen van die gevallen lijkt echter te vallen binnen de procedurele autonomie van lidstaten. In de context van de vrijstelling van aansprakelijkheid merkt het Hof namelijk op dat:

In verschillende arresten beantwoordt het Hof prejudiciële vragen over schadebegroting.

Het Hof gebruikt hiervoor uiteenlopende, inwisselbare begrippen. Het Hof heeft het afwisselend over ‘vaststelling van de hoogte van de schadevergoeding’ (arrest Österreichische Post, punt 52), ‘begroting van de schadevergoeding’ (arrest Österreichische Post, punt 54 (1e zin); arrest JU & SO/Scalable Capital, punten 27, 33 en 43), ‘bepaling van de omvang van de in dit verband verschuldigde vergoeding’ (arrest Österreichische Post, punt 54 (2e zin); arrest ZQ/Krankenversicherung Nordrhein, punt 83; arrest AT & BT/PS GbR e.a., punt 40) of ‘berekening van de krachtens artikel 82 aan die persoon toe te kennen schadevergoeding’ (arrest GP/juris, punt 64; arrest ZQ/Krankenversicherung Nordrhein, punt 83).

Direct in Österreichische Post geeft het Hof van Justitie duidelijk te kennen dat schadebegroting van de op artikel 82 AVG verschuldigde schadevergoeding een zaak is van nationaal recht, omdat de AVG geen bepalingen bevat over de berekening van schadevergoeding.

Arrest Österreichische Post, punten 53, 54 en 59; arrest ZQ/Krankenversicherung Nordrhein, punt 101; arrest BL/MediaMarktSaturn, punt 53; arrest GP/juris, punt 58. Dit is uiteraard anders als het gaat om een onrechtmatige gegevensverwerking door een instantie van de Europese Unie, zie HvJ EU 5 maart 2024, C-755/21 P, ECLI:EU:C:2024:202, punt 140 (Kočner/Europol).

In de verschillende arresten benadrukt het Hof wel dat de nationale rechters zich zullen moeten conformeren aan het principe dat de schadevergoeding op grond van artikel 82 AVG de schade ‘volledig en daadwerkelijk’ moet vergoeden.

Arrest Österreichische Post, punt 57. Zie ook arrest BL/MediaMarktSaturn, punten 50 en 54; arrest JU & SO/Scalable Capital, punten 35 en 36; arrest ZQ/Krankenversicherung Nordrhein, punt 102.

Ondanks dat de vaststelling van de hoogte van de schadevergoeding wordt geregeld door het nationale recht kan het gebeuren dat er tussen de lidstaten verschillen zullen ontstaan: vanwege economische of sociaal-culturele verschillen zullen sommige rechters relatief hoge vergoedingen toekennen en andere rechters weer relatief lage vergoedingen voor immateriële schade.

Zie ook Li 2023, p. 10.

Ook kan het principe van volledige en daadwerkelijke vergoeding niet wegnemen dat de hoogte van smartengeld naar billijkheid wordt vastgesteld, en niet intrinsiek bepaalbaar is.

Binnen de procedurele autonomie van lidstaten rondom schadebegroting moeten echter wel (zoals altijd) de Unierechtelijke beginselen van gelijkwaardigheid en doeltreffendheid in acht worden genomen.

Arrest Österreichische Post, punt 53. Zie ook arrest Manfredi, punt 92.

Het doeltreffendheidsbeginsel zou ervoor kunnen zorgen dat de onderlinge verschillen tussen lidstaten met betrekking tot de hoogte van de schadevergoeding niet te ver uiteenlopen.

Zie HvJ EG 10 april 1984, 14/83, ECLI:EU:C:1984:153, punt 23 (Von Colson en Kamann); HvJ EG 2 augustus 1993, C-271/91, ECLI:EU:C:1993:335, punt 24 (Marshall) (hierna: arrest Marshall); HvJ EG 22 april 1997, C-180/95, ECLI:EU:C:1997:208, punt 25 (Draehmpaehl). Zie ook T.F.E. Tjong Tjin Tai, ‘Een Europees schadebegrip?’, NTBR 2018/5, afl. 1, p. 35.

In JU & SO/Scalable Capital wordt aan het Hof gevraagd of de nationale rechter, ‘wanneer het bestaan van schade is aangetoond maar deze schade niet ernstig is’, aan de betrokkene een geringe vergoeding kan toekennen ‘die als symbolisch zou kunnen worden ervaren’.

Arrest JU & SO/Scalable Capital, punt 40.

Het Hof zegt dat de nationale rechter ‘een gering bedrag als vergoeding kan toekennen, mits de schade daardoor volledig wordt vergoed’.

Arrest JU & SO/Scalable Capital, punt 45.

Daaruit leid ik af dat een symbolische schadevergoeding in de zin van een vergoeding die lager of juist hoger is dan de daadwerkelijke schade niet kan. Omdat de schade volledig en daadwerkelijk moet worden vergoed, kan de schadevergoeding niet langer (louter) symbolisch zijn. Dat neemt niet weg dat als een rechter de schadevergoeding begroot op € 10 of € 100, die schadevergoeding als symbolisch wordt ervaren door de betrokkene.

Het Hof erkent ook dat artikel 82 AVG er niet aan in de weg staat dat het aanbieden van excuses door de verwerkingsverantwoordelijke ‘een opzichzelfstaande of aanvullende vergoeding voor immateriële schade vormt’.

Arrest A/PTAC, punt 36.

Daarbij geldt uiteraard wel dat een dergelijke vergoeding zich verdraagt met de beginselen van gelijkwaardigheid en doeltreffendheid. Het komt ook niet als een verrassing dat het Hof oordeelt dat deze vorm van vergoeding de geleden immateriële schade volledig en daadwerkelijk moet vergoeden. Deze vorm van compensatie is ook mogelijk onder Nederlands recht (artikel 6:103 BW).

Zie ook bijvoorbeeld S. De Rey & L.A.B.M. Wijntjens, ‘Afdwinging van excuses in de civiele procedure’, NTBR 2022/32, afl. 8, p. 276; S. De Rey, ‘Schadevergoeding anders dan in geld: cash is not always king’, NTBR 2019/31, afl. 9/10, p. 206.

Het Hof oordeelt in JU & SO/Scalable Capital dat bij de vaststelling van een schadevergoeding ervan dient te worden uitgegaan dat ‘immateriële schade’ als gevolg van een inbreuk op de AVG ‘niet minder zwaar weegt dan letselschade’.

Arrest JU & SO/Scalable Capital, punt 39.

Er bestaat volgens het Hof geen ‘rangorde’ tussen soorten schade.

Arrest JU & SO/Scalable Capital, punt 37.

Als dat wel het geval zou zijn, zou immers afbreuk worden gedaan aan het beginsel van een volledige en daadwerkelijke vergoeding van de geleden schade.

Arrest JU & SO/Scalable Capital, punten 35-38.

Ten aanzien van die rangorde bestaat een opmerkelijk verschil met de Nederlandse regels ten aanzien van de toekenning van schadevergoeding, en dan specifiek bij de toepassing van artikel 6:98 BW (de leer van de redelijke toerekening). Dat artikel vereist dat schade alleen voor vergoeding in aanmerking komt als die schade ‘in zodanig verband staat met de gebeurtenis waarop de aansprakelijkheid van de schuldenaar berust, dat zij hem, mede gezien de aard van de aansprakelijkheid en van de schade, als een gevolg van deze gebeurtenis kan worden toegerekend’. Een van de gezichtspunten bij beantwoording van de vraag of toerekening van schade aan de aangesprokene redelijk is, is de ‘aard van de schade’.

Zie ook de vier deelregels van Brunner in Asser/Sieburgh 6-II 2021/63.

Daarbij wordt vaak de stelregel aangehouden dat naarmate schade ernstiger is, die schade sneller kan worden toegerekend. Zo wordt er bijvoorbeeld verondersteld dat letselschade sneller wordt toegerekend dan andere schadeposten.

Zie bijvoorbeeld Asser/Sieburgh 6-II 2021/65-66.

Lindenbergh merkt in dit verband op dat bij de toepassing van artikel 6:98 BW ‘een zekere rangorde’ tussen schadesoorten pleegt te worden aangenomen.

S.D. Lindenbergh, Smartengeld, Deventer: Wolters Kluwer 2023, p. 236. Lindenbergh merkt op dat die rangorde wel enige nuancering verdient, omdat de ‘de aard van de schade’ een van de relevante gezichtspunten vormt bij de beoordeling of er sprake is van causale toerekening.

Dit is een relevant verschil met de benadering van het Hof, die in het kader van artikel 82 AVG geen rangorde identificeert ten aanzien van schadeposten.

In ZQ/Krankenversicherung Nordrhein maakt het Hof duidelijk dat artikel 82 AVG niet vereist, gelet op de compensatoire functie ervan, dat bij de vaststelling van het bedrag ter vergoeding van immateriële schade rekening wordt gehouden met de ernst van de inbreuk of met de mate van schuld van de verwerkingsverantwoordelijke.

Arrest ZQ/Krankenversicherung Nordrhein, punten 86 en 102-103. Zie ook arrest AT & BT/PS GbR e.a., punt 41.

Slechts vereist is dat de schade zo wordt vastgesteld dat de schade integraal wordt vergoed.

Arrest ZQ/Krankenversicherung Nordrhein, punten 84-87 en 102.

Ook in JU & SO/Scalable Capital zegt het Hof dat ‘geen rekening kan worden gehouden met de eventuele opzettelijkheid van de inbreuk op deze verordening die de verwerkingsverantwoordelijke wordt vermoed te hebben gepleegd’.

Arrest JU & SO/Scalable Capital, punt 29.

De vraag rijst in hoeverre deze regel afbreuk doet aan het hiervoor besproken EBI-arrest (zie paragraaf 4.4). Uit dit arrest blijkt dat de aard en de ernst van de normschending met zich kunnen brengen dat de nadelige gevolgen voor een individu zo voor de hand liggen dat immateriële schade kan worden aangenomen.

HR 15 maart 2019, ECLI:NL:HR:2019:376, r.o. 4.2.1, NJ 2019/162 (EBI).

Dat betekent dat zou moeten worden gekeken naar de ernst van de inbreuk. Voorlopig lijkt de consensus in de literatuur te zijn dat de ernst van de inbreuk nog steeds een rol mag spelen bij de beoordeling of sprake is van immateriële schade en de omvang daarvan. Volgens Van Duin en collega’s heeft het Hof vooral willen zeggen dat de ernst van de inbreuk er niet toe mag leiden dat de schadevergoeding op een hoger niveau ligt dan de daadwerkelijke schade.

Zie ook Van Duin e.a. 2024, p. 139-140. Zie ook Gülcür 2024, p. 209.

Het EBI-arrest zou om die reden relevant blijven.

Zie ook Lindenbergh & Samsom 2023, p. 1900-1901.

De mate van schuld of de ernst van de inbreuk komen ook terug in artikel 83 lid 2 AVG als gezichtspunten voor het besluit over het opleggen van een boete en de hoogte daarvan.

Artikel 83 lid 2 sub a en b AVG.

In het arrest GP/juris oordeelt het Hof dat ook de andere in artikel 83 genoemde criteria – zoals ‘meerdere inbreuken ten aanzien van dezelfde persoon’ – niet kunnen worden gebruikt om het bedrag van de schadevergoeding op grond van artikel 82 AVG vast te stellen.

Arrest GP/juris, punten 57 en 64. Zie ook arrest AT & BT/PS GbR e.a., punten 39 en 43.

Volgens het Hof worden met artikel 82 AVG en artikel 83 AVG verschillende doelstellingen (compensatoir versus punitief) nagestreefd door de wetgever.

Arrest GP/juris, punten 56 en 59; arrest ZQ/Krankenversicherung Nordrhein, punt 85; arrest JU & SO/Scalable Capital, punt 22.

Het is niet helemaal duidelijk wat dit betekent: mogen bijvoorbeeld criteria van gelijke strekking onder nationaal recht ook niet worden gebruikt door de nationale rechter? En wat als dat betekent dat een betrokkene daardoor een minder hoge vergoeding zou kunnen krijgen dan hij zou krijgen op basis van een schadevergoedingsactie op grond van nationaal recht? Artikel 82 AVG zou dan niet alleen de procedurele autonomie van lidstaten inperken, maar ook het hogere beschermingsniveau aantasten dat door lidstaten wordt gegeven aan de betrokkene.