Meer duidelijkheid over recht op schadevergoeding bij schending AVG

Bij een onrechtmatige verwerking van jouw persoonsgegevens, kan je schadevergoeding vorderen. De AVG biedt hiervoor de mogelijkheid. Dit betekent alleen niet dat bij iedere schending van de AVG iemand recht heeft op schadevergoeding. Dit blijkt uit een viertal uitspraken van de Raad van State op 1 april 2020. In slechts één van deze vier uitspraken wordt schadevergoeding toegekend.

Vier uitspraken

In vier afzonderlijke zaken is schadevergoeding gevorderd bij een bestuursorgaan vanwege een onrechtmatige verwerking van persoonsgegevens. In drie zaken betreffen het vorderingen tegen een gemeente doordat persoonsgegevens onrechtmatig op een internetforum zijn geplaatst. Dit internetforum is bedoeld om gegevens uit te wisselen tussen gemeenten ter voorkoming van misbruik van Wob-verzoeken. In de vierde zaak zijn rapportages met medische gegevens – waaronder strikt vertrouwelijke psychologische en psychiatrische gegevens – van een persoon ten onrechte aan het tuchtcollege voor de gezondheidszorg verstrekt. In al deze zaken staat de onrechtmatigheid van de gegevensverwerking vast.

Bestuursrechter of burgerlijke rechter?

Als je het niet eens bent met een besluit van een bestuursorgaan, zoals de gemeente, ga je naar de bestuursrechter. Dit geldt ook als je schadevergoeding wil vorderen bij een bestuursorgaan vanwege een gebruik van jouw persoonsgegevens in strijd met de AVG, zo blijkt uit de uitspraken van de Raad van State. Voorwaarde is wel dat de schadevergoedingsvordering niet hoger is dan € 25.000,-.

Wanneer heb je recht op schadevergoeding?

Artikel 82 AVG geeft betrokkenen de mogelijkheid schadevergoeding te vorderen bij een schending van de AVG. Dit betekent echter niet dat bij iedere schending van de AVG de betrokkene recht heeft op schadevergoeding. Dit komt omdat het recht op schadevergoeding uit de AVG geen punitief karakter heeft volgens de Raad van State. Het is dus niet bedoeld om de ander te straffen.

Wat voor schadevergoeding in aanmerking komt moet – bij gebreke van duidelijkheid in de AVG – naar nationaal recht worden uitgelegd. Voor de beoordeling van immateriële schade sluit de Raad van State aan bij het civiele schadevergoedingsrecht. Er kan enkel schadevergoeding worden toegekend voor daadwerkelijk geleden schade. Het doel van deze schadevergoeding is namelijk herstel of het bieden van compensatie voor een privacyschending.

Schade moet voldoende worden onderbouwd. Bij immateriële schade moet aannemelijk worden gemaakt dat er sprake is van aantasting in de persoon en moet deze schade moet met concrete gegevens worden onderbouwd. De enkele stelling dat een informatieplicht is geschonden of een onvolledig overzicht bij een inzageverzoek is verstrekt, is volgens de Raad van State onvoldoende. De Raad van State heeft daarom de drie schadevergoedingsvorderingen tegen de gemeenten over het plaatsen van gegevens op het internetforum afgewezen.

Het geslaagde beroep op schadevergoeding

De Raad van State is in de vierde zaak, over de medische gegevens die zijn verstrekt aan het tuchtcollege, wel tot de conclusie gekomen dat schadevergoeding moet worden toegekend, namelijk ter hoogte van € 500,-. Een belangrijke factor voor deze toewijzing bestaat uit de gevoeligheid van de persoonsgegevens die is het geding is. Het betreffen namelijk bijzondere persoonsgegevens (gezondheidsgegevens) die een hoger beschermingsniveau hebben in de AVG. Hierdoor is er sprake van een ‘aantasting in de persoon’. Desondanks valt de schadevergoeding relatief laag uit. Dit komt omdat de gegevens enkel aan een kleine groep professionals met een beroepsgeheim zijn verstrekt. Ook is niet aannemelijk gemaakt dat het tuchtcollege de rapportages in de klachtprocedure uiteindelijk zou hebben gebruikt.

Conclusie

Zowel de burgerlijke rechter als de bestuursrechter kunnen oordelen over een vordering tot schadevergoeding. De Raad van State oordeelt dat de bestuursrechter bij de vergoeding van immateriële schade dient aan te sluiten bij het civiele schadevergoedingsrecht. Dit houdt onder meer in dat niet iedere schending van de AVG een recht op schadevergoeding oplevert. De geleden schade moet worden aangetoond. Hierbij speelt de gevoeligheid van de gegevens een belangrijke rol. Ook is met deze uitspraken van de Raad van State duidelijk geworden dat het recht op schadevergoeding niet bedoeld is om te straffen. Deze bevoegdheid lijkt dus enkel aan de privacy toezichthouders voorbehouden te zijn.

Heeft u vragen naar aanleiding van deze blog, bijvoorbeeld over schadevergoeding bij schending van de AVG? Neem dan vrijblijvend contact op met Marga van Gerwen, Floortje Eijdems of één van de andere leden van het Privacy-team.