Dit arrest gaat over een man wiens persoonsgegevens (over zijn salariseisen bij een sollicitatie) per ongeluk naar een bekende van hem werden gestuurd. De man voelde zich hierdoor vernederd en was bezorgd over zijn reputatie. Hij stapte naar de rechter en eiste twee dingen:
- Een verbod
voor de bank om dit in de toekomst nog eens te doen.
- Een schadevergoeding
voor zijn emotionele leed (immateriële schade).
De Duitse rechter wist niet precies hoe de Europese
privacywet (AVG) op deze punten moest worden toegepast en stelde daarom vragen
aan het Europees Hof van Justitie. De uitspraak van het Hof geeft belangrijke
duidelijkheid over de rechten van burgers bij een datalek.
De Zaak: Wat was er precies gebeurd?
Een man, in het arrest "IP" genoemd, solliciteerde
bij de Quirin Privatbank. Een medewerker van de bank stuurde per ongeluk via
een socialmediaplatform een bericht over de afgewezen salariseisen van de man
naar een derde persoon. Deze derde kende de sollicitant toevallig uit een
eerdere werksituatie en stuurde het bericht aan hem door.
De sollicitant was hier niet blij mee. Hij voelde zich
vernederd omdat zijn mislukte salarisonderhandelingen nu bekend waren bij een
vakgenoot. Ook was hij bang dat deze informatie zijn reputatie kon schaden of
tegen hem gebruikt kon worden bij toekomstige sollicitaties.
Hij stapte naar de rechter en eiste dat de bank zou stoppen
met dit soort onrechtmatige gegevensverwerking en vroeg om een schadevergoeding
van €1.000 voor zijn emotionele schade.
De Antwoorden van het Europese Hof
De Duitse rechter legde zes belangrijke vragen voor aan het
Europese Hof. Hieronder vindt u de antwoorden en wat ze betekenen.
1. Kunt u een bedrijf via de rechter dwingen te stoppen
met een privacyschending?
De vraag was of de AVG-wet zelf burgers het recht geeft om
een bedrijf via de rechter te laten verbieden om een foute gegevensverwerking
in de toekomst te herhalen.
- Antwoord
van het Hof: Nee, de AVG-wet zelf bevat geen expliciet recht op
zo'n 'stop-bevel'. De rechten om gegevens te laten wissen (artikel 17)
of de verwerking te beperken (artikel 18) zijn hiervoor niet direct
bedoeld.
- Maar:
De AVG verbiedt het ook niet. Dit betekent dat de lidstaten
(zoals Nederland) in hun eigen nationale wetgeving wel zo'n recht kunnen
opnemen om burgers extra bescherming te bieden. Het is dus afhankelijk
van de nationale wet of u zo'n verbod kunt eisen.
2. Wat telt als ‘immateriële schade’ waarvoor je een
vergoeding kunt krijgen?
Is het hebben van negatieve gevoelens zoals ergernis,
ongerustheid of angst na een datalek voldoende om als 'immateriële schade' te
worden gezien?
- Antwoord
van het Hof: Ja, absoluut. Negatieve gevoelens zoals angst,
ergernis, ontevredenheid en bezorgdheid kunnen inderdaad als 'immateriële
schade' worden beschouwd.
- De
schade kan voortkomen uit bijvoorbeeld het verlies van controle over uw
persoonsgegevens, de angst dat uw gegevens misbruikt worden, of
reputatieschade.
- Belangrijke
voorwaarde: U moet wel kunnen aantonen dat u deze gevoelens
daadwerkelijk heeft ervaren als gevolg van de privacyschending.
- Er
is geen 'drempel van ernst'. U hoeft niet te bewijzen dat de schade
heel ernstig is. Ook als de schade klein is, kunt u recht hebben op een
vergoeding.
3. Speelt de 'schuld' van het bedrijf een rol bij de
hoogte van de schadevergoeding?
Moet een rechter bij het bepalen van de hoogte van de
schadevergoeding rekening houden met hoe verwijtbaar het bedrijf handelde?
Maakt het bijvoorbeeld uit of het een opzettelijke fout was of pure
nalatigheid?
- Antwoord
van het Hof: Nee. De mate van schuld van het bedrijf mag geen rol
spelen bij het bepalen van de hoogte van de schadevergoeding.
- De
reden hiervoor: De schadevergoeding onder artikel 82 van de AVG heeft
een compenserende functie. Dit betekent dat het bedoeld is om de
door u geleden schade volledig te vergoeden, niet om het bedrijf te
straffen. Voor het bestraffen van bedrijven zijn er de hoge boetes die de
privacytoezichthouders kunnen opleggen (op basis van artikel 83).
4. Kan een ‘stop-bevel’ de schadevergoeding verminderen
of vervangen?
Als de rechter een bedrijf verbiedt om de fout in de
toekomst te herhalen, kan de financiële schadevergoeding dan lager uitvallen of
zelfs helemaal worden weggestreept?
- Antwoord
van het Hof: Nee. Een bevel om een privacyschending te stoppen, kan
de financiële vergoeding voor reeds geleden schade niet verminderen of
vervangen.
- De
reden hiervoor: Een 'stop-bevel' en een schadevergoeding dienen twee
verschillende doelen.
- Een
bevel is preventief: het voorkomt toekomstige schade.
- Een
schadevergoeding is compenserend: het herstelt de schade
die al is geleden. De een kan de ander dus niet vervangen. U heeft recht
op een volledige en daadwerkelijke vergoeding van de schade die u heeft
opgelopen.
Conclusie: Wat betekent dit arrest voor u als burger?
- Emotionele
schade telt: Als uw persoonsgegevens onrechtmatig worden verwerkt,
kunt u een schadevergoeding eisen voor de stress, angst of vernedering die
u hierdoor voelt. U hoeft niet te bewijzen dat dit 'ernstig' is, zolang u
maar aantoont dat u deze schade heeft geleden door de fout van de ander.
- Vergoeding
is voor u, niet als straf: De hoogte van de schadevergoeding hangt af
van de door u geleden schade, niet van hoe 'erg' de fout van het bedrijf
was. Het doel is om u te compenseren, niet om het bedrijf te straffen.
- Toekomst
veiligstellen staat los van vergoeding: Het recht op een financiële
vergoeding voor geleden schade staat volledig los van eventuele
maatregelen om herhaling in de toekomst te voorkomen. U kunt niet
afgescheept worden met de belofte dat het niet nog eens zal gebeuren.