In een door mr. Nick Voorbach aangespannen procedure heeft de rechter voor het eerst sinds inwerkingtreding van de AVG een schadevergoeding toegekend.

De media heeft veelvuldig bericht over een primeur: de eerste schadevergoeding onder de nieuwe privacywet: de AVG (in het Engels vaak kort aangeduid als GDPR).

Verlies controle over persoonsgegevens
Het gaat om een zaak waarbij de gemeente Deventer ten onrechte persoonsgegevens deelde met een grote groep andere gemeenten. De rechtbank bepaalt dat het uitwisselen van persoonsgegevens in de gegeven omstandigheden niet mocht. Er is sprake van ‘verlies over de controle van de persoonsgegevens’, aldus de rechtbank. Daarom heeft de betrokkene recht op een schadevergoeding, die de rechtbank begroot op € 500.00.

Wat vond de rechtbank precies?
De rechtbank overwoog:

Naar het oordeel van de rechtbank is eiser als gevolg van dat onrechtmatige besluit in zijn persoon aangetast wegens verlies van controle over zijn persoonsgegevens. Dat is een persoonlijkheidsrecht. Dit betekent dat eiser op grond van artikel 82 van de Avg in samenhang met artikel 6:106 van het BW recht heeft op een naar billijkheid vast te stellen schadevergoeding. Wat betreft de hoogte van die vergoeding neemt de rechtbank in acht dat in het onrechtmatige besluit geen rechtvaardiging is gegeven voor de verwerking van de persoonsgegevens van eiser. De rechtbank neemt mede in aanmerking het gestelde onder 75, 85 en 146 van de preambule bij de Avg.

 In minder juridische bewoordingen overweegt de rechtbank dat persoonsgegevens onjuist zijn verwerkt en dat daarom recht bestaat op schadevergoeding.

Europese uitspraken
De uitspraak is zeker een primeur, maar niet op Europees niveau. Het Europese Hof heeft herhaaldelijk overwogen dat recht bestaat op schadevergoeding en dat die schadevergoeding ‘passend’ en ‘voldoende afschrikwekkend’ moet zijn. Dat is ook precies de notie die terugkomt in de AVG

Art. 82, eerste lid, van de AVG, bepaalt:

 Eenieder die materiële of immateriële schade heeft geleden ten gevolge van een inbreuk op deze verordening, heeft het recht om van de verwerkingsverantwoordelijke of de verwerker schadevergoeding te ontvangen voor de geleden schade.

 Overweging 146 van de considerans van de AVG luidt:

het begrip “schade” moet ruim worden uitgelegd in het licht van de rechtspraak van het Hof van Justitie, op een wijze die ten volle recht doet aan de doelstellingen van deze verordening.

Overweging 85 van de considerans van de AVG luidt:

onder schade onder meer verstaan verlies van controle van betrokkenen over hun persoonsgegevens of de beperking van hun rechten, discriminatie, identiteitsdiefstal of -fraude, financiële verliezen, ongeoorloofde ongedaanmaking van pseudonimisering, reputatieschade, verlies van vertrouwelijkheid van door het beroepsgeheim beschermde persoonsgegevens, of enig ander aanzienlijk economisch of maatschappelijk nadeel voor de natuurlijke persoon in kwestie.
Uit tekst en strekking van de AVG volgt duidelijk een ruimhartig schadebegrip.

Het arrest van de Hoge Raad d.d. 15 maart 2019, ECLI:NL:HR:2019:376, brengt daar in mijn optiek geen verandering in. Dit arrest is voor privacy-zaken van beperkte betekenis. De AVG definieert zelf wat als ‘schade’ moet worden aangemerkt en dus ook wanneer recht op schadevergoeding bestaat.

In voormeld arrest heeft de Hoge Raad uitleg gegeven aan art. 6:106 BW. Noch de conclusie van de AG, noch het arrest van de Hoge Raad of de annotator – maken een verwijzing naar de AVG. Ik kan mij moeilijk voorstellen dat de Hoge Raad – toetsend aan de AVG – zou oordelen dat een grove schending van de AVG, geen recht op schadevergoeding met zich meebrengt.

Een dergelijke uitleg zou alle DPO’S, FG’s en privacyofficers tot toeschouwers degraderen. De AVG is met deze uitleg niet meer dan een wassen neus. Wat heeft de burger nu aan een verordening – de AVG – indien hij schade lijdt, maar voor de schadevergoeding geen beroep kan doen op het beschermingsbereik van de AVG? Het is niet te verkroppen dat de AVG – in de huidige tijdsspanne, waarbij door de Europese gemeenschap zoveel gewicht en waarde wordt toegekend aan gegevensbescherming – een recht op schadevergoeding ontbeert, zelfs indien de AVG met de voeten wordt getreden. Die uitleg heeft de Hoge Raad niet gegeven en zal de Hoge Raad ook niet geven.

Uniek
De uitspraak van de rechtbank Overrijsel is uniek, omdat het de eerste keer is dat de rechter zich expliciet uitlaat over een schadevergoeding onder de AVG. De uitspraak is gunstig voor iedereen die te maken heeft met aantasting van de privacy.

U kunt de uitspraak hier terug lezen. De uitspraak is gepubliceerd onder ECLI:NL:RBOVE:2019:1827 en is ook online raadpleegbaar.

Contact
Bent u aangetast in uw privacy of wilt u goed advies? Neem vrijblijvend contact op met mr. Nick Voorbach om uw zaak te bespreken.

Update medio juli 2019: de gemeente Deventer heeft hoger beroep ingesteld.