De hoogste Duitse rechter heeft recentelijk een arrest gewezen inzake het recht op immateriële schadevergoeding onder art. 82 van de AVG, in verband met een scraping-incident. De rechter oordeelt dat ‘verlies van controle’ over persoonsgegevens op zichzelf genomen voldoende is om aanspraak te maken op immateriële schadevergoeding.[1]
Feiten
Begin april 2021 werden persoonsgegevens van ongeveer 533 miljoen Facebook-gebruikers uit 106 landen openbaar verspreid op het internet. Onbevoegde derden hadden gebruik gemaakt van de Contact Import tool van Facebook, die het mogelijk maakt om een Facebook-profiel te vinden aan de hand van een telefoonnummer. Deze functie wordt normaal gesproken gebruikt om vrienden te zoeken, waarbij telefoonnummers uit iemands adresboek worden doorzocht, waar vervolgens Facebook-profielen aan gekoppeld worden en als vrienden worden voorgesteld. De onbevoegde derden voerden op grote schaal willekeurige cijferreeksen in in deze tool en ‘schraapten’ vervolgens publiekelijk zichtbare profielinformatie die bij deze telefoonnummers hoorde. Dit scraping-incident had gevolgen voor de eiser in onderhavige zaak. Zijn gebruikers-ID, voor- en achternaam, werkplek, geslacht en telefoonnummer werden gepubliceerd op het darkweb. Volgens eiser zou Meta onvoldoende beveiligingsmaatregelen hebben genomen om te voorkomen dat de tool werd misbruikt. Hij meent recht te hebben op vergoeding van immateriële schade door de hinder die hij heeft ondervonden en het verlies van controle over zijn gegevens.
Verloop van de procedure
De rechtbank heeft in eerste aanleg de vordering van eiser (gedeeltelijk) toegewezen en de eiser een schadevergoeding van EUR 250 toegekend op grond van art. 82 (1) AVG. In hoger beroep heeft het hof de vordering geheel afgewezen. Het loutere verlies van controle vormde volgens het hof op zichzelf geen schade. Eiser had moeten bewijzen dat het verlies van controle immateriële schade had veroorzaakt. Hiervoor ontbrak de onderbouwing. Eiser had weliswaar beweerd dat sprake was van angst, zorgen en ongemak. Volgens het hof had eiser echter verzaakt concreet bewijs te overleggen voor het bestaan van deze emoties. Het hof verwijst in dit verband specifiek naar het UI/Österreichische Post-arrest van het Hof van Justitie van de Europese Unie (hierna: “HvJEU”).[2] Tevens zou eiser onvoldoende hebben aangetoond dat de openbaarmaking van zijn telefoonnummer na het scraping-incident daadwerkelijk leidde tot een verlies van de controle die hij voorheen over dit telefoonnummer uitoefende.[3]
Hoogste rechter
Eiser is vervolgens naar de hoogste Duitse rechter gestapt. Deze oordeelt onder verwijzing naar het NAP-arrest van het HvJEU[4] dat het enkele en tijdelijke verlies van de controle over de eigen persoonsgegevens als gevolg van een schending van de AVG immateriële schade in de zin van de norm kan vormen.[5] Het is niet nodig dat er sprake is van een specifiek misbruik van deze gegevens ten nadele van de betrokkene, noch is enig ander bijkomend merkbaar negatief gevolg vereist.
De hoogte rechter overweegt vervolgens dat de persoon in kwestie ‘uiteraard’ moet bewijzen dat hij of zij een dergelijk verlies heeft geleden. Zodra dit bewijs is geleverd, dat wil zeggen, zodra het verlies van controle is vastgesteld, vormt dit op zichzelf de immateriële schade en zijn geen bijzondere angsten of zorgen van de betrokkene vereist. Dergelijke angsten of zorgen zouden de opgetreden immateriële schade slechts kunnen verergeren of vergroten, aldus de hoogste rechter.[6]
Zelfs als een verlies van controle niet kan worden bewezen, is de gegronde vrees van een persoon dat zijn persoonsgegevens door derden zullen worden misbruikt als gevolg van een schending van de AVG voldoende om een vordering tot schadevergoeding te rechtvaardigen. De vrees, met inbegrip van de negatieve gevolgen ervan, moet naar behoren worden onderbouwd.[7]
In onderhavig geval behoefde de betrokkene alleen maar aan te tonen dat en op welke wijze hij door het scraping-incident is getroffen en welke gevolgen dit voor hem heeft gehad.[8]
Dit leidt ertoe dat er in onderhavige geval geen juridische bezwaren zijn om voor het loutere verlies van controle een vergoeding van EUR 100 toe te kennen.[9]
Saillant detail: de hoogste rechter ‘neemt aan’ dat er sprake is van een schending van de AVG, aangezien het hof dat in het midden had gelaten. Een schending van de AVG is een harde voorwaarde voor het recht op schadevergoeding. De hoogste Duitse rechter verwijst de zaak terug naar het hof en geeft het hof aanwijzingen waar ten aanzien van die beoordeling rekening mee moet worden gehouden.[10]
Korte beschouwing
Laten we eens kijken wat het HvJEU precies heeft gezegd over ‘verlies van controle’ over persoonsgegevens.
In het NAP-arrest oordeelde het HvJEU als volgt:
“Voorts staat in overweging 85, eerste volzin, AVG dat „[e]en inbreuk in verband met persoonsgegevens […], wanneer dit probleem niet tijdig en op passende wijze wordt aangepakt, [kan] resulteren in lichamelijke, materiële of immateriële schade voor natuurlijke personen, zoals verlies van controle over hun persoonsgegevens (…) Uit deze illustratieve lijst van „schade” die betrokkenen kunnen lijden, blijkt dat de Uniewetgever met name het enkele „verlies van controle” over hun eigen gegevens als gevolg van een inbreuk op deze verordening onder die begrippen heeft willen opnemen, ook al heeft er geen concreet misbruik van de betrokken gegevens ten nadele van die personen plaatsgevonden.”[11]
Onder verwijzing naar de AVG, merkt het HvJEU op dat het enkele ‘verlies van controle’ onder het begrip ‘immateriële schade’ moet worden geschaard. Dit is de lijn die de hoogste Duitse rechter lijkt te volgen. In het NAP-arrest deed de betrokkene echter wel een concreet beroep op ‘vrees voor toekomstig misbruik van zijn gegevens door derden’. Het HvJEU benadrukt vervolgens dat een persoon die wordt getroffen door een inbreuk op de AVG met negatieve gevolgen voor hem, dient te bewijzen dat die gevolgen immateriële schade in de zin van art. 82 van de AVG opleveren.[12] Dit lijkt erop te wijzen dat het enkele ‘verlies van controle’ niet automatisch leidt tot een recht op schadevergoeding.
In het MediaMarktSaturn-arrest kiest het HvJEU een (nog) meer genuanceerde benadering en overweegt dat verlies van controle niet (per definitie) immateriële schade ‘is’ maar dat verlies van controle immateriële schade kan veroorzaken:
“Voorts heeft het Hof op basis van zowel letterlijke als systemische en teleologische overwegingen geoordeeld dat het verlies van controle over de persoonsgegevens gedurende een korte tijdspanne voor de betrokkene „immateriële schade” in de zin van artikel 82, lid 1, AVG kan veroorzaken waarvoor een recht op schadevergoeding bestaat, op voorwaarde dat de betrokkene bewijst dat hij daadwerkelijk dergelijke schade heeft geleden, hoe miniem ook, waarbij eraan wordt herinnerd dat een inbreuk op de bepalingen van deze verordening op zich niet volstaat voor de toekenning van een recht op schadevergoeding (…)”[13]
Dus pas als het ‘verlies van controle’ immateriële schade heeft veroorzaakt, dan bestaat er een recht op schadevergoeding.
In zowel het NAP-arrest als het MediaMarktSaturn-arrest stond de vraag centraal of de vrees voor mogelijk misbruik van persoonsgegevens immateriële schade kan vormen. Het HvJEU overweegt dat het aan de betrokkene is om te bewijzen dat sprake is van dergelijke immateriële schade. Vervolgens is het aan de nationale rechter is om na te gaan of sprake is van gegronde vrees.
De hoogste Duitse rechter lijkt in feite te oordelen dat het verlies van controle automatisch leidt tot vergoeding van immateriële schade. Deze uitleg staat op gespannen voet met de lijn die het HvJEU uit heeft gezet, maar laat ook zien hoe de nationale rechters worstelen met deze in de praktijk dunne lijn[14] tussen (in casu) verlies aan controle als de trigger van schadevergoeding en het bestaan van daadwerkelijke schade als gevolg hiervan.
[1] Bundesgerechtshof, 18 november 2024, VI ZR 10/24
[2] HvJEU 4 mei 2023, C-300/21, ECLI:EU:C:2023:370 (UI/Österreichische Post)
[3] OLG Köln, 7 december 2023, 15 U 67/23, par. 49
[4] HvJEU, 14 december 2023, zaak C-340/21 (VB vs Natsionalna agentsia za prihodite), par. 82.
[5] Bundesgerechtshof, 18 november 2024, VI ZR 10/24: “Nach der für die Auslegung des Art. 82 Abs. 1 DSGVO maßgeblichen Rechtsprechung des EuGH kann auch der bloße und kurzzeitige Verlust der Kontrolle über eigene personenbezogene Daten infolge eines Verstoßes gegen die Datenschutz-Grundverordnung ein immaterieller Schaden im Sinne der Norm sein.”
[6] Bundesgerechtshof, 18 november 2024, VI ZR 10/24, par. 31.
[7] Bundesgerechtshof, 18 november 2024, VI ZR 10/24, par. 32.
[8] Bundesgerechtshof, 18 november 2024, VI ZR 10/24, par. 36.
[9] Bundesgerechtshof, 18 november 2024, VI ZR 10/24
[10] Bundesgerechtshof, 18 november 2024, VI ZR 10/24, par. 22 en 85.
[11] HvJEU, 14 december 2023, zaak C-340/21 (VB vs Natsionalna agentsia za prihodite), par. 82.
[12] HvJEU, 14 december 2023, zaak C-340/21 (VB vs Natsionalna agentsia za prihodite), par. 84.
[13] HvJEU, 25 januari 2024, zaak C-687/21, ECLI:EU:C:2024:72. par 66.
[14] Conclusie van de Advocaat-Generaal M. Campos Sánchez-Bordona van 6 oktober 2022, zaak C‑300/21 (UI vs Österreichische Post AG), zie voetnoot 43: “Emotionele gevolgen in verband met het verlies van controle over gegevens, zoals angst voor of bezorgdheid over wat er met de gegevens zou kunnen gebeuren, resulteren uit het verlies, maar zijn er niet identiek aan”.
