Scriptie Privaatrechtelijke rechtspraktijk
Collectief schadeverhaal bij inbreuk op de AVG
Naam: T.A. Gijsberts Studentnummer: 12960985 Collegejaar: 2019-2020
Studie: Master Privaatrechtelijke rechtspraktijk Universiteit: Universiteit van Amsterdam
Scriptiebegeleider: dhr. mr. A.V.T. de Bie Tweede lezer: mvr. mr. L. Burgers Inleverdatum: 7 augustus 2020
2
Inhoudsopgave
Scriptie Privaatrechtelijke rechtspraktijk ... 1
Inhoudsopgave ... 2
Lijst van afkortingen ... 3
Abstract ... 4
Inleiding ... 5
1. De collectieve actie in Nederland ... 7
2. Doelstelling en wettelijk kader van de WAMCA ... 10
2.1 Doelstelling WAMCA ... 10
2.2 Wettelijke kader WAMCA ... 12
2.3 Tussenconclusie ... 16
3. Voldoende nauwe band met de Nederlandse rechtssfeer ... 17
3.1 Tussenconclusie ... 20
4. Doelstelling en wettelijk kader van de AVG ... 21
4.1 Doelstelling AVG ... 21
4.2 Wettelijk kader AVG ... 24
4.3 Tussenconclusie ... 26
5. Schade onder de AVG ... 27
5.1 Jurisprudentie ... 28
5.2 Strooischade ... 30
5.3 Tussenconclusie ... 31
6. Collectief schadeverhaal bij inbreuk op de AVG ... 32
6.1 Individuele actie tot schadevergoeding ... 32
6.2 Collectieve actie tot schadevergoeding ... 34
6.3 Strooischade ... 36
6.4 Buitenlandse schadeveroorzakers ... 37
6.5 Tussenconclusie ... 37
Conclusie ... 39
3
Lijst van afkortingen
AVG: Algemene verordening gegevensbescherming
BW: Burgerlijk Wetboek
HGEU: Handvest van de grondrechten van de Europese Unie
Rv: Wetboek van Rechtsvordering
UAVG: Uitvoeringswet AVG
VWEU: Verdrag betreffende de werking van de Europese Unie
WAMCA: Wet afwikkeling massaschade in collectieve actie
WCA: Wet collectieve actie
4
Abstract
Op grond van de Wet afwikkeling massaschade in collectieve actie (hierna: ‘WAMCA’) is het sinds 1 januari 2020 mogelijk om een collectieve actie tot schadevergoeding in te stellen. In deze scriptie wordt aan de hand van de volgende onderzoeksvraag onderzocht of de
collectieve actie tot schadevergoeding kan bijdragen aan het verhalen van schade als gevolg van een inbreuk op de AVG.
‘Draagt de collectieve actie van de WAMCA bij aan het verkrijgen van schadevergoeding vanwege
schending van de AVG?’
De onderzoeksvraag is een samengesteld vraag en bestaat zowel uit een beschrijvend, evaluerend als uit een voorspellend element. De scriptie is geschreven vanuit het perspectief van een betrokkene die zijn schade als gevolg van een inbreuk op het
gegevensbeschermingsrecht wil verhalen.
In dit onderzoek is gebleken dat de WAMCA zeker kan bijdragen aan het verkrijgen van schadevergoeding vanwege schending van de AVG. Gelaedeerden kunnen bij de collectieve schadevergoedingsactie gebruikmaken van schaalvoordelen om de normschending vast te stellen. Ook wordt het aantonen van het causaal verband en de normschending makkelijker in een collectieve procedure. Zeker in het geval van strooischade is de WAMCA bij uitstek geschikt om collectief schade te verhalen bij een inbreuk op het gegevensbeschermingsrecht. Ten aanzien van buitenlandse partijen geldt dat het op grond van de AVG en de WAMCA een lastig verhaal kan worden om collectief schade te verhalen, vanwege de territoriale
ontvankelijkheidseisen van de WAMCA en de bevoegdheidsregeling inzake het internationaal privaatrecht van de AVG. Dat doet echter niets af aan het feit dat de collectieve actie van de WAMCA kan bijdragen aan het verkrijgen van schadevergoeding vanwege schending van de AVG door Nederlandse schadeveroorzakende partijen.
5
Inleiding
In de laatste decennia heeft de toepassing van informatie- en communicatietechnologie (ICT) een enorme vlucht genomen en de verwerking van persoonsgegevens heeft een massaal karakter gekregen. Dat heeft geleid tot een sterke toename van productiviteit en bedrijvigheid in allerlei sectoren. Het heeft de maatschappij echter ook afhankelijk gemaakt van deze
technologie en buitenlandse techbedrijven profiteren daar op grote schaal van. De vijf grootste techbedrijven ter wereld – Apple, Amazon, Facebook, Aphabet (Google) en Microsoft - halen gezamenlijk een jaaromzet van $900.000.000.0001. Het succes van deze bedrijven heeft tot gevolg dat ze beschikken over een enorme database van persoonsgegevens van burgers. Zo zijn in Nederland naar schatting 9,6 miljoen mensen actief op het sociale netwerk van Facebook2. Om misbruik van deze gegevens te voorkomen is er Europese
gegevensbeschermingswetgeving die de privacy van burgers moet beschermen. Sinds de inwerkingtreding van de Algemene verordening gegevensbescherming (hierna: ‘AVG’) in 2016 heeft iedereen die schade lijdt als gevolg van een inbreuk op de AVG het recht om schadevergoeding te ontvangen voor schade als gevolg van deze inbreuk. Tot op heden is het in Nederland echter op slechts één hand te tellen hoe vaak een betrokkene daadwerkelijk schadevergoeding heeft ontvangen als gevolg van een inbreuk op de AVG. Terwijl de Autoriteit Persoonsgegevens – de Nederlandse gegevensbeschermingsautoriteit – in 2019 bijna 27.000 datalekmeldingen ontving3. Het blijkt dat een betrokkene het bij een inbreuk op de AVG moeilijk vindt om zijn schade te verhalen. Op grond van de Wet afwikkeling
massaschade in collectieve actie (hierna: ‘WAMCA’) is het sinds 1 januari 2020 mogelijk om een collectieve actie tot schadevergoeding in te stellen. In deze scriptie wordt onderzocht of de collectieve actie tot schadevergoeding kan bijdragen aan het verhalen van schade als gevolg van een inbreuk op de AVG. De in de voorgaande paragaaf geschetste problematiek heeft geleid tot de volgende onderzoeksvraag:
‘Draagt de collectieve actie van de WAMCA bij aan het verkrijgen van schadevergoeding vanwege
schending van de AVG?’
De onderzoeksvraag van deze scriptie is een samengestelde vraag en bestaat zowel uit een beschrijvend, evaluerend als uit een voorspellend element. De onderzoeksvraag is tevens
1 Visual Capitalist juli 2020.
2 Onderzoek van de Autoriteit Persoonsgegevens naar het verwerken van persoonsgegevens van betrokkenen in
Nederland door het Facebook-concern van 21 februari 2017, p. 5.
6 normatief van aard. De scriptie wordt geschreven vanuit het perspectief van een betrokkene die zijn schade als gevolg van een inbreuk op het gegevensbeschermingsrecht wil verhalen. Het onderliggende normatieve standpunt is dat natuurlijke personen beschermd moeten worden bij een inbreuk op het gegevensbeschermingsrecht. De bescherming van natuurlijke personen bij de verwerking van persoonsgegevens is immers ook een Europees grondrecht4. De beantwoording van de onderzoeksvraag vindt plaats door middel van een descriptief en normatief rechtswetenschappelijk onderzoek. De onderzoeksmethoden worden met elkaar gecombineerd om zo tot een helder antwoord op de onderzoeksvraag te komen. De
geraadpleegde bronnen zijn de wet, kamerstukken, wetenschappelijke literatuur en relevante jurisprudentie van de rechtbanken, de hoven, de Hoge Raad en de Afdeling
bestuursrechtspraak van de Raad van State. Daarnaast is het onderzoek mijns inziens maatschappelijk en juridisch relevant. De relevantie volgt onder andere uit de actie die de Consumentenbond in samenwerking met de Data Privacy Stichting is gestart tegen Facebook5. Zij eisen compensatie van Facebook voor Facebook-gebruikers vanwege
privacyschending door Facebook. Het behoort tot de mogelijkheden dat deze zaak – de veronderstelde inbreuk op het gegevensbeschermingsrecht - uiteindelijk op grond van de WAMCA beslecht wordt.
Alvorens in het laatste hoofdstuk (nr. 6) de onderzoeksvraag te beantwoorden worden in de daaraan voorafgaande hoofdstukken de volgende deelvragen beantwoord:
- ‘Wat is de rechtsontwikkeling van de collectieve actie in Nederland?’
- ‘Wat is de doelstelling en wat is het wettelijk kader van de Wet afwikkeling massaschade in
collectieve actie?’.
- ‘Wanneer heeft de rechtsvordering van een belangenorganisatie een voldoende nauwe band
met de Nederlandse rechtssfeer onder de WAMCA’?
- ‘Wat is de doelstelling en wat is het wettelijk kader van de Algemene verordening
gegevensbescherming?’
- ‘Welke schade kan een betrokkene lijden bij een inbreuk op de AVG?’
De beantwoording van de deelvragen moeten de lezer een goed beeld geven van het Nederlandse en Europese recht ten aanzien van de collectieve actie en het
gegevensbeschermingsrecht. Aan de hand van de deelvragen wordt uiteindelijk ook de hoofdvraag behandeld.
4 Artikel 8 lid 1 HGEU. 5 Consumentenbond juli 2020.
7
1.
De collectieve actie in Nederland
Nederland loopt op het gebied van collectieve acties al sinds jaar en dag voorop in Europa6. Met de komst van de WAMCA kan er sinds 1 januari 2020 ook een collectieve actie tot schadevergoeding ingesteld worden. Om een goed beeld te schetsen van collectieve acties in Nederland wordt in dit eerste hoofdstuk allereerst kort de ontwikkeling van de wetgeving ten aanzien van collectieve acties uiteengezet en vervolgens wordt er een overzicht gegeven van jurisprudentie met betrekking tot collectieve acties. Daarmee wordt de volgende deelvraag beantwoord: ‘Wat is de rechtsontwikkeling van de collectieve actie in Nederland?’
WCA WCAM WAMCA
Mogelijkheid tot
collectieve actie √ √ √
Mogelijkheid tot verbindend verklaren van
de schikking
× √ √
Schadevergoeding in
geld × × √
De ontwikkeling van wetgeving ten aanzien van de collectieve actie in Nederland.
De discussie omtrent de invoering van een collectieve actie kwam op gang in de jaren zeventig van de vorige eeuw7. Tussen de jaren zeventig en de jaren negentig kwam er veel jurisprudentie en wetgeving met betrekking tot de bevoegdheid van belangenbehartigers in het Nederlandse juridische veld. Met de invoering van de Wet collectieve actie (hierna: ‘WCA’) werd het vanaf 1 juli 1994 mogelijk om op grond van artikel 3:305a BW (oud) een collectieve actie in te stellen. Hiermee werd de civielrechtelijke collectieve actie gecodificeerd8. Middels artikel 3:305a BW (oud) konden homogene vorderingen voortaan gebundeld worden in één rechtsvordering. Een stichting of vereniging kon een groep benadeelden vertegenwoordigen om een verbod, gebod of een verklaring voor recht te bewerkstelligen. Schadevergoeding in geld vorderen was daarentegen niet mogelijk.
6 Van der Krans, OF 2019/3, p. 61. 7 Tillema, AA 2019/6, p. 506-515. 8 Wet van 6 april 1994, Stb. 1994, 269.
8 Door de WCA werden de kosten van een procedure gedrukt en nam de efficiëntie toe. Er was echter ook een grote beperking aan de WCA: de uitspraak in de collectieve actie bond formeel enkel en alleen de belangenbehartiger en de verweerder9. De WCA bood niet de mogelijkheid om met finaliteit een individuele schadevergoedingsvordering af te doen. Uit de parlementaire geschiedenis blijkt dat de individuele beoordeling van een schadevergoedingsvordering werd verkozen boven een gemeenschappelijke beoordeling10. Het gevolg hiervan was dat de benadeelden met een verklaring voor recht op zak - die formeel slechts gold in de relatie tussen de belangenbehartiger en de verweerder – een schikking moesten bewerkstelligen of een individuele procedure aanhangig moesten maken ter verkrijging van een
schadevergoeding. Ingewikkelde procedures voor het gemiddelde individu, met vaak hoge kosten. Bij de afwikkeling van de DES-zaak kwamen de nadelen van de wet goed aan het licht11. De aansprakelijke producenten waren in deze zaak voornemens om een
schadevergoeding aan te bieden aan de gelaedeerden, voorwaarden was wel dat de zaak daarmee finaal beslecht zou zijn. Op grond van de WCA was dit evenwel niet mogelijk. De wetgever erkende de nadelen van de WCA en de Wet collectieve afwikkeling massaschade (hierna: WCAM) was in 2005 een feit. De kern van de WCAM was gelegen in de
mogelijkheid om een overeenkomst tot schadeafwikkeling die werd gesloten tussen een belangenbehartiger en de schadeveroorzakende partij of partijen, door het gerechtshof Amsterdam verbindend te laten verklaren. Op grond van de WCAM is de DES-zaak uiteindelijk ook finaal beslecht12.
De WCAM werd net als de WCA een groot succes. De WCAM bleek een effectief middel om massaal geleden belegginsschade af te wikkelen, zie hierover onderstaande paragraaf die een overzicht geeft van de jurisprudentie op het gebied van de collectieve actie13. In de praktijk bleek ook dat er twee grote nadelen kleefden aan de WCAM, zie hiervoor hoofdstuk 2 paragraaf 1 over de doelstelling van de WAMCA.
9 Equesnijmegen maart 2020.
10 Wet van 6 april 1994, Stb. 1994, 269. 11 Rijksoverheid juni 2008.
12 Hof Amsterdam 1 juli 2006, ECLI:NL:GHAMS:2006:AX6440. 13 Van Boom, TvC 2019/4, p. 154.
9
WCAM-jurisprudentie
Zaak Jaar Aantal gelaedeerden Omvang totale schadevergoeding Soort aansprakelijkheid DES 2006 en 2014 200.000 €38.000.000 Productaansprakelijkheid
DEXIA 2007 300.000 €1.000.000.000 Schending zorgplicht
VIE D’OR 2009 11.000 €45.000.000 Schending zorgplicht
SHELL 2009 500.000 €448.000.000 Waardeverlies aandelen
VENDIOR 2009 2.000 €4.250.000 Waardeverlies aandelen
CONVERIUM 2012 12.000 €58.400.000 Waardeverlies aandelen
DSB 2014 345.000 €500.000.000
(max.)
Schending zorgplicht
FORTIS 2018 119.000 €1.300.000.000 Waardeverlies aandelen
Overzicht van de WCAM-zaken met een weergave van het soort aansprakelijkheidsrecht. Uit het bovenstaande overzicht blijkt dat de WCAM tweemaal werd gebruikt voor de afwikkeling van letselschades. Daarnaast is de WCAM nog zevenmaal gebruikt om een schikking algemeen verbindend te verklaren.14
Al deze zeven zaken zagen op zuiver financiële schade, namelijk het afwikkelen van
beleggingsschade. Na het algemeen verbindend verklaren van de Converium-schikking bleek bovendien dat zelfs beleggingsschades die slechts gedeeltelijk een aanknopingspunt hadden met de Nederlandse rechtsorde, onder het WCAM-regime konden worden afgewikkeld. De gevolgtrekking die gemaakt kan worden is dat de WCAM werd ‘weggekaapt’ door financiële massaclaims. Evenwel is de WCAM van toepassing op alle soorten massaschades. Hetzelfde geldt voor de WAMCA.
14 Hof Amsterdam 25 januari 2007, ECLI:NL:GHAMS:2007:AZ7033 (DEXIA), Hof Amsterdam 29 april 2009,
ECLI:NL:GHAMS:2009:BI2717 (Vie d’Or), Hof Amsterdam 29 mei 2009, ECLI:NL:GHAMS:2009:BI5744 (Shell), Hof Amsterdam 15 juli 2009, ECLI:NL:GHAMS:2009:BJ2691 (Vedior), Hof Amsterdam 17 januari 2012, ECLI:NL:GHAMS:2012:BV1026 (Converium), Hof Amsterdam 4 november 2014,
10
2.
Doelstelling en wettelijk kader van de WAMCA
Per 1 januari 2020 is de WAMCA in werking getreden. Hierdoor werd artikel 3:305a BW volledig herschreven. Op grond van artikel 3:305a BW is het nu mogelijk voor een stichting of vereniging met volledige rechtsbevoegdheid (hierna: ‘vehikel’ of ‘belangenbehartiger’) om een rechtsvordering in te stellen die strekt tot schadevergoeding te voldoen in geld voor een groep gelaedeerden. Om een goed beeld te schetsen van de WAMCA wordt in dit hoofdstuk de volgende deelvraag beantwoord: ‘Wat is de doelstelling en wat is het wettelijk kader van de
Wet afwikkeling massaschade in collectieve actie?’.
2.1 Doelstelling WAMCA
Het wetgevingsproces richting de WAMCA begon met de motie Dijksma van november 2011. De motie bracht het verzoek aan de regering om “een brief te sturen met daarin een
stappenplan om te komen tot de toekenning van het recht voor representatieve
belangenorganisaties om schade collectief te verhalen, door de WCAM en het BW op dit punt […] aan te passen”15. Deze motie leidde uiteindelijk tot het wetsvoorstel dat op 29 januari
2019 door de Tweede Kamer werd aangenomen. Een collectieve schadeafwikkeling voorziet volgens de wetgever in een behoefte wanneer sprake is van massaschade en de
verwezenlijking van rechten in een individuele procedure op problemen stuit of wanneer collectieve afwikkeling een effectiever en efficiënter middel biedt om tot toekenning van schadevergoeding te komen aan een grote groep gedupeerden. De wet heeft dan ook tot doel een efficiënte en effectieve collectieve afwikkeling van massaschade te bevorderen en is na de WCA en de WCAM de derde grote stap in de rechtsontwikkeling van de afwikkeling van massaschade. Er is gestreefd naar een balans tussen het belang van gedupeerden om hun rechten te kunnen verwezenlijken en het belang van aangesproken partijen om beschermd te worden tegen ongefundeerde of lichtvaardige massaclaims16. De wetgever benadrukt expliciet
dat de WAMCA het materiele aansprakelijkheids- of schadevergoedingsrecht niet verandert17.
Met de invoering van de WAMCA denkt de wetgever twee problemen uit het pre-WAMCA tijdperk op te lossen. Ten eerste wordt het derde lid van artikel 3:305a BW (oud) geschrapt, waardoor een collectieve actie tot schadevergoeding voortaan tot de mogelijkheden behoort.
15 Kamerstukken II 2011/12, 33000-XIII, 14 e.v. 16 Idem.
11 In het vorige hoofdstuk bleek dat het onder de WCAM niet mogelijk was om een collectieve actie tot schadevergoeding in te stellen. De reden hiervoor was dat de wetgever destijds vond dat de vraag of, en zo ja, in hoeverre een persoon jegens wie onrechtmatig zou zijn gehandeld daardoor schade heeft geleden, slechts individueel kon worden beantwoord18. Het verbod op het vorderen van een schadevergoeding in collectieve actie is in de literatuur vaak
bekritiseerd19. De wetgever is door het schrappen van het derde lid van artikel 3:305a BW (oud) aldus tot inkeer gekomen. Door de schade in een collectieve
schadevergoedingsprocedure af te wikkelen via schadebegroting en een onderverdeling te maken in categorieën van personen denkt de wetgever problemen rondom individuele schadebegroting te ondervangen20.
Ten tweede is het voor een partij die wordt aangesproken niet meer mogelijk om het
afwikkelen van de massaschade te frustreren. Een vermeende schadeveroorzaker kan in een collectieve actie worden verplicht om mee te werken aan een collectieve schikking. Mocht dit niet lukken dan kan de rechtbank de aansprakelijkheid vaststellen in een gerechtelijke
procedure en schadevergoeding toekennen aan de gelaedeerden. Dit was anders onder de WCAM. De rechter had onder de WCAM niet de mogelijkheid om een geschil te beslechten, hij kon alleen een schikking algemeen verbindend verklaren. Bij weigerachtige
schadeveroorzakers waren de gelaedeerden onder de WCAM aangewezen op individuele procedures. In de praktijk leidde dit vaak tot cessies ter incasso aan claimvehikels. De wildgroei daarin beoogt de WAMCA op te lossen, door middel van strengere
ontvankelijkheidsvereisten21. De WAMCA moet dienen als een stok achter de deur om aangesproken partijen te dwingen om mee te werken, wanneer de onderhandelingsbereidheid bij deze ontbreekt22. Het beslechten van geschillen met finaliteit is hetgeen de wetgever beoogt te bereiken met deze stok achter de deur.
18 Kamerstukken II 2016/17, 34608, nr. 3.
19 Zie bijvoorbeeld Oranje 2004, p. 289 e.v., Zippro & Meijer, M&M 2010/3 of Numann e.a. 2010, p. 127-143. 20 Kamerstukken II 2016/17, 34608, 3, .p 5, 50-54.
21 Kamerstukken II 2016/17, 34 608, nr. 3 p. 6 e.v. 22 Idem.
12
2.2 Wettelijke kader WAMCA
Het wettelijk kader van de WAMCA kan in vier fases worden ingedeeld: een eerste fase waarin een vehikel een 305a-vordering instelt. Daarna volgt de tweede fase waarin de rechter de ontvankelijkheidsvereisten beoordeelt. Tijdens de derde fase nodigt de rechter het vehikel en de wederpartij uit om tot een schikking te komen. Indien partijen een schikking treffen, volgt er een algemeen verbindendverklaring door de rechter. In het geval er geen schikking tot stand komt beslist de rechter in de vierde fase op de vordering. Hieronder wordt per fase het juridisch kader geschetst.
Eerste fase: het instellen van een artikel 305a-vordering
Naast de gewone eisen die gelden voor een dagvaarding volgt uit het Wetboek van Rechtsvordering dat er voor een artikel 305a-vordering bijzondere eisen gelden23. De
dagvaarding waarmee de procedure aanhangig wordt gemaakt moet een omschrijving van de gebeurtenis(sen) waarop de collectieve vordering betrekking heeft vermelden. Daarnaast geldt dat de groep van belanghebbenden moet worden aangemerkt. Ook moet de dagvaarding een omschrijving bevatten van de mate waarin de te beantwoorden feitelijke en rechtsvragen gemeenschappelijk zijn. Hiermee doelt de wetgever erop dat het vehikel dat de vordering instelt voldoende aannemelijk heeft gemaakt dat het voeren van de collectieve vordering efficiënter en effectiever is dan het instellen van een individuele vordering24. Verder moet de
dagvaarding ingaan op de ontvankelijkheidseisen van artikel 305a. Tot slot bevat de dagvaarding gegevens die de rechter in staat stelt om voor de collectieve vordering een exclusieve belangenbehartiger (hierna: ‘EB’) aan te wijzen. Zodra de dagvaarding is betekend, moet deze binnen twee dagen worden ingediend ter griffie en gelijktijdig in het centraal register voor collectieve actie worden ingeschreven25. In beginsel volgt dan een termijn van drie maanden waarin andere vehikels de mogelijkheid hebben om een 305a-vordering in te stellen26.
23 Artikel 1018c lid 1 Rv. 24 Artikel 1018c lid 5 sub b Rv.
25 Artikel 1018c lid 2 Rv juncto artikel 3:305a lid 7 BW. 26 Artikel 1018c lid 3 Rv.
13
Tweede fase: ontvankelijkheid
Indien er meerdere vehikels zijn die een collectieve vordering hebben ingesteld omtrent dezelfde gebeurtenis wijst de rechter de meest geschikte eiser aan als EB27. Dit doet de rechter pas nadat hij heeft getoetst aan de ontvankelijkheidseisen van artikel 3:305a. Er bestaan twee regimes ten aanzien van de ontvankelijkheid: een zwaar en een licht regime. Het zware regime is de hoofdregel, het lichte regime de uitzondering.
Ten aanzien van het zware regime geldt dat het vehikel een collectieve vordering kan instellen mits zij de belangen van de belanghebbenden behartigt en deze belangen voldoende zijn gewaarborgd28. De belangen van de belanghebbenden tot bescherming van wier belangen de rechtsvordering strekt, zijn voldoende gewaarborgd, indien het vehikel voldoende
representatief is voor de groep belanghebbenden, gelet op de achterban en de omvang van de vordering29. Met achterban bedoelt de wetgever het kwantitatief aandeel van de groep
getroffen gedupeerden waar het vehikel voor opkomt30.
Ontvankelijkheidsvereisten ten aanzien van de collectieve actie:
- de bestuurder betrokken bij de oprichting van het vehikel, en hun opvolgers, mogen geen rechtstreeks of middellijk winstoogmerk hebben, dat via de rechtspersoon wordt
gerealiseerd31;
- de rechtsvordering moet een voldoende nauwe band met de Nederlandse rechtssfeer hebben (meer hierover in hoofdstuk 3)32;
- het vehikel moet voldoende getracht hebben om door middel van overleg met de verweerder tot een oplossing te komen33;
- het vehikel moet het bestuursverslag en de jaarrekening openbaar maken34.
Daarnaast geldt dat het vehikel moet beschikken over een toezichthoudend orgaan en passende en doeltreffende mechanismen in acht moet nemen voor de deelname aan of vertegenwoordiging bij de besluitvorming van de personen tot bescherming van wier
belangen de rechtsvordering strekt. Het vehikel moet de beschikking hebben over voldoende middelen om de kosten voor het instellen van een rechtsvordering te dragen, waarbij de
27 Artikel 1018e Rv. 28 Artikel 3:305a lid 1 BW. 29 Artikel 3:305a lid 2 BW.
30 Kamerstukken II 2016/17, 34608, 3, p. 19. 31 Artikel 3:305a lid 3 aanhef en onderdeel a BW. 32 Artikel 3:305a lid 3 aanhef en onderdeel b BW. 33 Artikel 3:305a lid 3 aanhef en onderdeel c BW. 34 Artikel 3:305a lid 5 BW.
14 zeggenschap over de rechtsvordering in voldoende mate bij de rechtspersoon ligt. Het vehikel dient verder zorg dragen voor een toegankelijke internetpagina, waarop informatie te vinden is over onder andere statuten, bestuursstructuur en bestuurs- en toezichtverslagen35. Voldoet het vehikel niet aan bovenstaande eisen, dan volgt niet-ontvankelijkheid.
In artikel 3:305a lid 6 is het lichte regime beschreven. De rechter kan een vehikel ook
ontvankelijk verklaren wanneer de rechtsvordering wordt ingesteld met een ideëel doel en een zeer beperkt financieel belang of wanneer de aard van de vordering van het vehikel of van de personen tot bescherming van wier belangen de rechtsvordering strekt, daartoe aanleiding geeft. De rechtsvordering kan niet strekken tot een schadevergoeding te voldoen in geld36. Een verklaring voor recht kan wel gevorderd, evenals een gebod of een verbod. Omwille van het feit dat de rechtsvordering niet kan strekken tot een schadevergoeding te voldoen in geld wordt er hier niet nader ingegaan op het lichte regime.
Niet alleen het vehikel moet ontvankelijk zijn, de vordering ook. De rechter toetst of de collectieve vordering deugdelijk is en of de eiser voldoende aannemelijk heeft gemaakt dat het instellen van een collectieve vordering efficiënter en effectiever is dan het instellen van een individuele vordering doordat de te beantwoorden feitelijke en rechtsvragen in voldoende mate gemeenschappelijk zijn, het aantal personen tot bescherming van wier belangen de vordering strekt, voldoende is en, indien de vordering strekt tot schadevergoeding, dat zij individueel dan wel gezamenlijk een voldoende groot financieel belang hebben37.
Indien zich binnen de driemaandentermijn een ‘concurrerend’ vehikel heeft gemeld volgt er een procedure waarin de rechter de meest geschikte EB aanwijst38. In het geval er slechts een vehikel is dat zich heeft gemeld, wordt dit benoemd, uiteraard onder de voorwaarde dat het voldoet aan de ontvankelijkheideisen. De EB leidt de procedure en treedt op voor de belangen van de nauw omschreven groep personen die de rechter op hetzelfde moment benoemt39. Het belang van het oordeel van de rechter over voor welke nauw omschreven groep personen de EB de belangen behartigt is gelegen in het feit dat de uitkomst in de procedure bindend is voor alle personen binnen deze groep, behalve voor hen die gebruik hebben gemaakt van een opt-out40. De mogelijkheid van opt-out wordt aan alle personen geboden behorend tot de
35 Artikel 3:305a lid 2 aanhef en onderdeel d BW. 36 Kamerstukken II 2018/19, 34608, 15.
37 Artikel 1018c lid 5 aanhef en onderdeel a, b en c Rv. 38 Artikel 1018e lid 1 Rv.
39 Artikel 1018e lid 2 en lid 3 Rv.
15 nauw omschreven groep personen, zij hebben een termijn van ten minste een maand nadat de vordering is aangekondigd om de griffie te informeren dat zij zich van de behartiging van hun belangen in deze collectieve vordering willen bevrijden41.
Derde fase: schikking beproeven
Nadat de EB is benoemd stelt de rechter een termijn voor het beproeven van een schikking tussen partijen42. In het positieve geval dat partijen tot een schikking komen, wordt er een vaststellingsovereenkomst opgesteld die ter goedkeuring aan de rechter wordt voorgelegd. Indien de rechter de schikking goedkeurt, volgt algemeenverbindendverklaring43. De personen binnen de nauw omschreven groep krijgen dan een tweede mogelijkheid van opt-out44.
Vierde fase: rechter beslist
Indien het partijen niet lukt om een schikking te beproeven beslist de rechter over de
vordering van de EB. De rechter heeft dezelfde mogelijkheden om schade vast te stellen als in een reguliere procedure, artikel 6:97 BW is namelijk onverkort van toepassing45. Voordat de
rechter beslist kan hij de overlegging bevelen van een of meerdere voorstellen voor een collectieve schadeafwikkeling door de eiser en de gedaagde46. Al dan niet aan de hand van deze voorstellen wikkelt de rechter de schade in een collectieve schadevergoedingsprocedure af via schadebegroting, waarbij hij de schadevergoeding voor de gelaedeerden zo nodig in categorieën vaststelt47. Bij de vaststelling van categorieën van vergelijkbare gelaedeerden heeft de rechter de mogelijkheid om zoveel mogelijk rekening te houden met de verschillende omstandigheden die voor verschillende groepen gelaedeerden van belang zijn48. Hij kan daarbij ook de hulp van deskundigen inschakelen49. Afhankelijk van het soort vordering en het soort schade kan dit een financieel deskundige zijn of bijvoorbeeld bij een vordering op grond van het gegevensbeschermingsrecht een deskundige op het gebied van
41 Artikel 1018f lid 1 eerste volzin Rv. 42 Artikel 1018g Rv.
43 Artikel 7:907 lid 1 BW.
44 Artikel 1018h lid 5 Rv jo. artikel 1018f lid 1-4 Rv. 45 Artikel 1018i lid 2 Rv.
46 Artikel 1018i lid 1 Rv. 47 Artikel 1018i lid 2 Rv.
48 Kamerstukken II 2017/18, 34608, nr. 6, p. 15 e.v. 49 Artikel 1018i lid 3 Rv.
16 informatietechnologie50. Een door de rechter vastgestelde collectieve schadeafwikkeling moet de onderdelen a tot en met f van artikel 7:907 lid 2 BW bevatten. De WAMCA kan overigens worden ingezet voor alle typen schade, ongeacht hoe de schade is veroorzaakt51. De uitspraak van de rechter is verbindend voor alle belanghebbenden die niet al eerder waren uitgestapt. Na vaststelling van de schadeafwikkeling door de rechter zullen gelaedeerden hun claim moeten indienen bij een ‘claim administrator’. Deze zorgt dan voor de uitbetaling van de
schadevergoeding op basis van de categorieën die de rechter heeft vastgesteld52.
2.3 Tussenconclusie
In dit hoofdstuk is gebleken dat de doelstelling van de wetgever is om een efficiënte en
effectieve collectieve afwikkeling van massaschade te bevorderen door het mogelijk te maken om bij de rechter een collectieve schadevergoedingsactie in te stellen. Hierdoor moet de schikkingsbereidheid bij schadeveroorzakers toenemen en moeten geschillen vaker finaal beslecht worden. Daarnaast is het wettelijk kader van de WAMCA geschetst.
50 Kamerstukken II 2016/17, 34608, 3, p. 50-51. 51 Kamerstukken II 2016/17, 34607, 3
17
3.
Voldoende nauwe band met de Nederlandse rechtssfeer
In het vorige hoofdstuk is gebleken dat een vehikel onder de WAMCA slechts ontvankelijk is indien de rechtsvordering een voldoende nauwe band heeft met de Nederlandse rechtssfeer53. Het territoriale ontvankelijkheidsvereiste in de WAMCA strekt ertoe de internationale
reikwijdte van de nieuwe collectieve actie aldus af te bakenen dat deze uitsluitend openstaat voor zaken die een voldoende nauwe band met de Nederlandse rechtssfeer hebben54. Het is dan ook van belang om een goed beeld te hebben welke eisen de wetgever stelt aan dit territoriale ontvankelijkheidsvereiste. Omwille hiervan wordt in dit hoofdstuk de volgende deelvraag beantwoord: ‘Wanneer heeft de rechtsvordering van een belangenorganisatie een
voldoende nauwe band met de Nederlandse rechtssfeer onder de WAMCA’?
De reden dat de wetgever heeft gekozen voor het territoriale ontvankelijkheidvereiste in de WAMCA is tweeledig. Ten eerste is beoogd te voorkomen dat de invoering van de nieuwe collectieve actie een aanzuigende werking heeft voor zaken die een onvoldoende nauwe band met de Nederlandse rechtssfeer hebben. Dit ziet op de angst voor een claimcultuur, waarin overmatig of ongegrond zou worden geprocedeerd. Ten tweede zou de rechterlijke macht in Nederland onnodig belast worden en voorzag de wetgever negatieve invloed op het
Nederlandse vestigingsklimaat. De gedachte hierachter is dat ondernemingen zich minder snel in Nederland zullen vestigen als ze hier makkelijker dan in andere jurisdicties geconfronteerd kunnen worden met een grensoverschrijdende collectieve actie55. In de literatuur bestaat er
echter twijfel of een ruimer territoriaal bereik van de collectieve actie zonder meer nadelig zou zijn voor het Nederlandse vestigingsklimaat56. Van der Plas stelt dat het in schril contrast staat met de oprichting van de Netherlands Commercial Court en voert aan dat niet is
onderzocht wat de effecten van dit ontvankelijkheidsvereiste zijn op de economie.
In de volgende drie gevallen is op grond van artikel 3:305a lid 3 sub b BW sprake van een voldoende nauwe band met de Nederlandse rechtssfeer:
1. De rechtspersoon maakt genoegzaam aannemelijk dat het merendeel van de personen tot bescherming van wier belangen de rechtsvordering strekt zijn gewone verblijfplaats in Nederland heeft; of
53 Naast de overige eisen van artikel 3:305a lid 3 BW. 54 Kamerstukken II 2016/17, 34608, nr. 3
55 Kamerstukken II 2016/17, 34608, nr. 3, p. 11 en 25 en Kamerstukken II 2018/19, 34608, nr. 12. 56 Van der Plas, NIPR 2019/3.
18
2. Degene tegen wie de rechtsvordering zich richt, heeft woonplaats in Nederland en bijkomende omstandigheden wijzen op voldoende verbondenheid met de Nederlandse rechtssfeer; of 3. De gebeurtenis of gebeurtenissen waarop de rechtsvordering betrekking heeft, heeft of hebben
in Nederland plaatsgevonden.
Het eerste vereiste ziet op de achterban van de belangenbehartiger. De belangenbehartiger is ontvankelijk indien het merendeel van de achterban zijn gewone verblijfplaats heeft in Nederland. Uit de memorie van toelichting volgt dat dit onderdeel van het territoriale ontvankelijkheidsvereiste zo is geformuleerd uit angst voor de bevoegdheid van de
Nederlandse rechter op grond van het ‘Erfolgsort’57. Uit artikel 7 lid 2 Verordening Brussel
I-bis volgt namelijk dat bij verbintenissen uit onrechtmatige daad bevoegd is het gerecht van de plaats waar het schadebrengende feit zich heeft voorgedaan of zich kan voordoen. Deze bevoegdheidsgrondslag heeft zowel betrekking op de plaats waar de schade is ingetreden (“Erfolgsort”) als op de plaats van de gebeurtenis die de oorzaak is van de schade
(“Handlungsort”). De wetgever wilde voorkomen dat een belangenbehartiger uitsluitend vanwege de beschikbaarheid van de collectieve actie in Nederland hier gaat procederen. Denk bijvoorbeeld aan een scenario dat er een datalek plaatsvindt in Duitsland bij een in Duitsland gevestigd bedrijf, met hoofdzakelijk Duitse benadeelden en slechts een kleine groep
Nederlandse benadeelden. Het eerste vereiste voorkomt dat een belangenbehartiger uitsluitend vanwege de beschikbaarheid in Nederland een collectieve actie kan starten, doordat het
merendeel van de benadeelden in Nederland woonachtig moet zijn.
Het tweede element van het territoriale ontvankelijkheidsvereiste betreft de woonplaats van de gedaagde, uitgebreid met het vereiste van ‘bijkomende omstandigheden’. Bijkomende
omstandigheden die wijzen op een voldoende nauwe band met de Nederlandse rechtssfeer. De rechter toetst of dit het geval is58. Op deze manier hoopt de wetgever te voorkomen dat
financiers van massaschadeclaims (third party litigation funders) enkel in Nederland willen procederen tegen een gedaagde die behalve zijn woonplaats voor het overige geen nauwe band heeft met Nederland, omdat zij menen dat de mogelijke schadevergoeding in Nederland het hoogst zou zijn. Denk hierbij aan partijen die louter om fiscale redenen in Nederland gevestigd zijn.
Het laatste onderdeel van het territoriale ontvankelijkheidsvereiste betreft de normschending. Indien de gebeurtenis of gebeurtenissen waarop de rechtsvordering betrekking heeft, in
57 Kamerstukken II 2016/17, 34608, nr. 3. 58 Kamerstukken II 2018/19, 34608, nr. 12.
19 Nederland heeft of hebben plaatsgevonden is er sprake van een voldoende nauwe band met de Nederlandse rechtssfeer. Uit de memorie van toelichting volgt dat dit onderdeel uitsluitend verwijst naar de plaats waar zich daadwerkelijk de gebeurtenis of gebeurtenissen heeft respectievelijk hebben plaatsgevonden (‘Handlungsort’). Het is aldus niet tevens een verwijzing naar de plaats waar de directe schade is geleden (‘Erfolgsort’)59. De rechter oordeelt pas over het al dan niet voldaan zijn aan het ontvankelijkheidsvereiste nadat hij zijn internationale bevoegdheid heeft vastgesteld ingevolge de Brussel I-bis verordening dan wel het commuun internationaal bevoegdheidsrecht van de artikelen 1-14 Rechtsvordering. Volgens de wetgever doet het ruimere territoriale ontvankelijkheidsvereiste niet af aan de goede werking van Brussel I bis60. Daar waar de wetgever expliciet stelt dat het vereiste van een voldoende nauwe band een ontvankelijkheidseis is en derhalve niet een aanvullende eis voor het aannemen van internationale bevoegdheid stelt Van der Plas dat haars inziens het territoriale ontvankelijkheidsvereiste van de WAMCA de effectiviteit van het systeem van Brussel I bis weldegelijk ondermijnt. “Er wordt immers evenals in Brussel I bis gebruik
gemaakt van territoriale aanknopingsfactoren, waarbij bovendien – onder de noemer van ontvankelijkheid – aan de hoofdregel van Brussel I bis een extra territoriaal vereiste wordt gekoppeld”61. Het is uiteindelijk aan het Hof van Justitie om te oordelen of de
ontvankelijkheidsdrempel verenigbaar is met het gesloten stelsel van Brussel I bis62.
De AVG kent overigens een bevoegdheidsregeling inzake het internationaal privaatrecht. Artikel 79 lid 2 AVG bepaalt dat een procedure kan worden ingesteld in de lidstaat waar de verwerkingsverantwoordelijke of verwerker een vestiging heeft, of in de lidstaat waar de betrokkene zijn of haar gewone verblijfplaats heeft. Dit alles heeft tot gevolg dat bij een inbreuk op het gegevensbeschermingsrecht de Nederlandse rechter op grond van de WAMCA en de AVG bevoegd is om over de collectieve vordering te beslissen indien het merendeel van de gelaedeerden wier belangen worden behartigd in Nederland zijn gewone verblijfplaats heeft, of indien de verwerkingsverantwoordelijke c.q. de verwerker in Nederland is gevestigd. Indien de gebeurtenis of gebeurtenissen waarop de rechtsvordering betrekking heeft in
Nederland hebben plaatsgevonden bij een bedrijf dat in Duitsland is gevestigd met enkel Duitse gedupeerden dan kan op grond van artikel 79 lid 2 AVG de procedure niet bij de
59 Kamerstukken II 2016/17, 34608, nr. 3.
60 Kamerstukken II 2016/17, 34608, nr. 3, p. 23-26 en nr. 4, p. 7 61 Van der Plas, NIPR 2019/3.
62 Advies Staatscommissie voor Internationaal Privaatrecht en Adviescommissie voor Burgerlijk Procesrecht van
20 Nederlandse rechter worden ingesteld. Terwijl er wel sprake is van een voldoende nauwe band met de Nederlandse rechtssfeer op grond van artikel 3:305a lid 3 sub b BW.
Onder de WCAM nam de Nederlandse rechter een veel ruimere internationale bevoegdheid aan. Daar is het voldoende dat de aansprakelijke partij in Nederland gevestigd is of dat de rechten van buitenlandse gelaedeerden nauw verweven zijn met de rechten van in Nederland woonachtige gelaedeerden. Dit kwam vooral naar voren in de algemeen verbindend
verklaring van de Converium-schikking. Het hof Amsterdam nam internationale bevoegdheid aan in de Converium-schikking, waarin de aansprakelijke partijen niet in Nederland waren gevestigd en meer dan 98% van de gelaedeerden niet in Nederland woonachtig waren. Het verschil op dit punt tussen de WAMCA en de WCAM is gelegen in het feit dat partijen onder de WCAM in staat zijn gebleken om tot een overeenkomst over de afwikkeling van de
massaschade te komen. De schikking die daaruit voortkomt willen beide partijen dan algemeen verbindend laten verklaren door het hof Amsterdam. Dit ligt anders voor de gevallen waarop de procedure in de WAMCA ziet. Belangenbehartigers die niet tot een schikking zijn kunnen komen met de aansprakelijke partij kunnen hun vordering bij de rechter neerleggen. De rechter beslist dan op vordering van de belangenbehartiger. Vermoedelijk is de gedachte van de wetgever geweest dat het niet wenselijk is om een gerechtelijke uitspraak te doen over een collectieve schadevordering, als een nauwe band met de Nederlandse rechtssfeer ontbreekt. Dat zou mijns inziens een begrijpelijk gedachte zijn.
Voor buitenlandse gelaedeerden geldt onder de WAMCA sowieso een opt-in regime: zij kunnen ervoor kiezen zich bij de Nederlandse collectieve actie aan te sluiten63. Dit in
tegenstelling tot Nederlandse gedupeerden waarbij een opt-out regime geldt. Met een opt-out regime is de wetgever tegemoetgekomen aan zorgen dat de procedure ongewild een te ruim bereik zou krijgen, waardoor afbreuk zou worden gedaan aan het streven naar een efficiënte en effectieve afwikkeling van massazaken64.
3.1 Tussenconclusie
In dit hoofdstuk is verhelderd wat de eisen zijn die de wetgever stelt aan de voldoende nauwe band van de rechtsvordering met de Nederlandse rechtssfeer.
63 Artikel 1018f lid 5 Rv.
21
4.
Doelstelling en wettelijk kader van de AVG
De AVG is op 25 mei 2016 in werking getreden en behelst het Europese recht op het gebied van gegevensbescherming. Om een goed beeld te schetsen van de AVG wordt in dit
hoofdstuk de volgende deelvraag beantwoord: ‘Wat is de doelstelling en wat is het wettelijk
kader van de Algemene verordening gegevensbescherming?’
4.1 Doelstelling AVG
Door de digitalisering in de eenentwintigste eeuw worden persoonsgegevens op een
ongekende schaal gedeeld en verwerkt. Dit heeft zowel inrichting van de economie als van de maatschappij als geheel ingrijpend veranderd en de bescherming van natuurlijke personen bij de verwerking van persoonsgegevens is een Europees grondrecht geworden65. De verordening beschermt dan ook de grondrechten en de fundamentele vrijheden van natuurlijke personen en met name hun recht op bescherming van persoonsgegevens66. “De verordening beoogt bij te
dragen aan de totstandkoming van een ruimte van vrijheid, veiligheid en recht en van een economische unie, alsook tot economische en sociale vooruitgang, de versterking en de convergentie van de economieën binnen de interne markt en het welzijn van natuurlijke personen”67. De AVG moet het vrije verkeer van persoonsgegevens binnen de Europese Unie
en de doorgifte aan de derde landen en internationale organisaties vergemakkelijken en daarbij een hoge mate van bescherming van persoonsgegevens garanderen68. De bescherming
die door de AVG wordt geboden, heeft betrekking op natuurlijke personen, ongeacht hun nationaliteit of verblijfplaats.
In de verordening zijn regels vastgesteld betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens69. Om de bescherming van natuurlijke
personen bij de verwerking van persoonsgegeven te waarborgen moet een verwerking op grond van de AVG voldoen aan de volgende beginselen70:
1. Rechtmatigheid, behoorlijkheid en transparantie; 2. Doelbinding;
3. Minimale gegevensverwerking;
65 Artikel 8 lid 1 Handvest van de grondrechten van de Europese Unie. 66 Artikel 1 lid 2 AVG.
67 Overweging 2 AVG. 68 Overweging 6 AVG. 69 Artikel 1 lid 1 AVG. 70 Artikel 5 AVG.
22 4. Juistheid;
5. Opslagbeperking;
6. Integriteit en vertrouwelijkheid; 7. Verantwoordingsplicht.
Deze beginselen vormen de kern van de AVG. Ze geven geen vaste regels, maar belichamen de geest van het algemene gegevensbeschermingsrecht. Naleving van de beginselen is een fundamentele bouwsteen voor organisaties om te voldoen aan de AVG. Hieronder worden de zeven beginselen kort toegelicht.
Rechtmatigheid, behoorlijkheid en transparantie
Persoonsgegevens moeten worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is71. De drie elementen overlappen elkaar, maar organisaties moet ervoor zorgdragen dat zij aan alle drie voldoen. Om de verwerking van persoonsgegevens rechtmatig te laten zijn, moeten organisaties specifieke gronden voor de verwerking van persoonsgegevens identificeren72. Als er geen grondslag is voor de
verwerking van persoonsgegevens, is de verwerking onrechtmatig en in strijd met de AVG. Het element behoorlijkheid ziet op het verwerken van persoonlijke gegevens op een manier die door mensen als redelijk geacht wordt en waarbij er geen ongerechtvaardigde nadelige gevolgen zijn voor betrokkenen. Het element transparantie ziet op het informeren van de natuurlijke personen over de verwerking die plaatsvindt. De betrokkenen moeten
geïnformeerd worden over de verwerking en individuele rechten die zij hebben ten aanzien van de verwerking moeten benoemd worden. Bijvoorbeeld het recht op inzage van artikel 15 AVG.
Doelbinding
Persoonsgegevens moeten voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzamelend en mogen vervolgens niet verder op een met die doeleinden onverenigbare wijze worden verwerkt73. Dit beginsel moet ervoor zorgen dat organisaties
duidelijk en open zijn over de redenen voor het verkrijgen van persoonsgegevens en dat hetgeen zij met de gegevens doen, in overeenstemming is met de redelijke verwachting van de betrokkenen.
71 Artikel 5 lid 1 sub a AVG. 72 Artikel 6 AVG.
23
Minimale gegevensbewerking
De persoonsgegevens moeten toereikend zijn, ter zake dienend en beperkt tot wat
noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt74. Organisaties moeten ervoor zorgen dat zij alleen persoonsgegevens verzamelen en bewaren die zij nodig hebben voor de verwerking. Hier moet door middel van de beginselen van gegevensbescherming door ontwerp (‘Privacy by design’) en gegevensbescherming door standaardinstellingen (‘Privacy
by default’) uitvoer aan worden gegeven75.
Juistheid
De persoonsgegevens moeten juist zijn en zo nodig worden geactualiseerd76. Organisaties moeten redelijke maatregelen nemen om de juistheid van de persoonsgegevens te waarborgen en ervoor zorgen dat de bron en de status van persoonsgegeven duidelijk zijn. Dit principe heeft een sterke band met artikel 16 AVG. De betrokkene heeft op grond van dit artikel het recht om onjuiste persoonsgegevens te rectificeren.
Opslagbeperking
De persoonsgegeven moeten worden bewaard in een vorm die het mogelijk maakt de
betrokkene niet langer te identificeren dan voor de doeleinden waarvoor de persoonsgegevens moeten worden verwerkt noodzakelijk is77. Door ervoor te zorgen dat organisaties
persoonsgegevens wissen of anonimiseren wanneer zij deze niet langer nodig hebben, wordt het risico verkleind dat de persoonsgegevens irrelevant, buitensporig of onnauwkeurig worden.
Integriteit en vertrouwelijkheid
Organisaties moeten door het nemen van passende technische en organisatorische maatregelen persoonsgegevens op een dusdanige manier verwerken dat een passende beveiliging ervan gewaarborgd is, en dat de persoonsgegevens onder meer beschermd zijn tegen ongeoorloofde of onrechtmatige verwerking en tegen opzettelijk verlies, vernietiging of beschadiging78.
74 Artikel 5 lid 1 sub c AVG. 75 Artikel 25 AVG.
76 Artikel 5 lid 1 sub d AVG. 77 Artikel 5 lid 1 sub e AVG. 78 Artikel 5 lid 1 sub f AVG.
24
Verantwoordingsplicht
Het verantwoordingsprincipe vereist dat organisaties verantwoordelijkheid nemen voor wat zij doen met persoonsgegeven en hoe zij zich aan de andere beginselen houden. Organisaties moeten over interne controlemechanismen beschikken om hun conformiteit met de AVG aan te kunnen tonen79.
4.2 Wettelijk kader AVG
De AVG is een EU-verordening en heeft daardoor rechtstreekse werking in alle lidstaten van de Europese Unie. De verordening is van toepassing op de geheel of gedeeltelijk
geautomatiseerde verwerking van persoonsgegevens, alsmede op de verwerking van
persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen (materieel toepassingsgebied)80. De verordening is van toepassing op alle
organisaties die persoonsgegevens van EU-burgers verwerken, ongeacht of zij zijn gevestigd in de Europese Unie (territoriaal toepassingsgebied).
Om het wettelijk kader van de AVG te begrijpen moeten de kernbegrippen van de AVG duidelijk zijn. De vier kernbegrippen zijn ‘persoonsgegevens’, ‘verwerking’,
‘verwerkingsverantwoordelijke’ en ‘verwerker’.
De verordening definieert als persoonsgegevens alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon. Als identificeerbaar worden beschouwd de elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische,
culturele of sociale identiteit van een natuurlijk persoon81. Te denken valt aan een naam, een
identificatienummer of locatiegegevens. In de verordening wordt met verwerking gedoeld op een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens.82 De verordening onderscheidt twee soorten entiteiten die persoonsgegevens
79 Artikel 5 lid 2 AVG. 80 Artikel 2 lid 1 AVG. 81 Artikel 4 sub 1 AVG. 82 Artikel 4 sub 2 AVG.
25 verwerken: de verwerkingsverantwoordelijke en de verwerker. De
verwerkingsverantwoordelijke is een natuurlijk persoon of rechtspersoon, een
overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt83. De verwerker is een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat ten behoeve van de verwerkingsverantwoordelijke persoonsgegevens verwerkt84. De verwerker is derhalve ondergeschikt aan de verwerkingsverantwoordelijke. Ter bescherming van de rechten en vrijheden van natuurlijke personen in verband met de verwerking van persoonsgegevens zijn passende technische en organisatorische maatregelen nodig om te waarborgen dat aan de voorschriften van de verordening wordt voldaan85.
Een verwerking van persoonsgegevens is rechtmatig indien die is gebaseerd op een van de grondslagen genoemd in de AVG: (1) de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens, (2) het is noodzakelijk om de persoonsgegevens te verwerken om een overeenkomst uit te voeren, (3) het is wettelijk verplicht, (4) het is noodzakelijk om vitale belangen te beschermen, (5) het is noodzakelijk om een taak van algemeen belang of openbaar gezag uit te oefenen dan wel (6) is het noodzakelijk om de gegevens te verwerken om gerechtvaardigde belangen te behartigen.86
Een inbreuk in verband met persoonsgegevens kan, wanneer dit probleem niet tijdig en op passende wijze wordt aangepakt, resulteren in lichamelijke, materiële of immateriële schade voor natuurlijke personen87. Te denken valt aan het verlies van controle over
persoonsgegevens, identiteitsdiefstal of -fraude en verder enig ander aanzienlijk economisch of maatschappelijk nadeel voor de natuurlijke persoon in kwestie. Op grond van artikel 82 AVG kan een benadeelde, indien een verwerkingsverantwoordelijke of een verwerker in strijd handelt met de verordening, aanspraak maken op schadevergoeding. Voorwaarde is wel dat hij of zij daadwerkelijke materiële of immateriële schade heeft geleden. Uit artikel 80 AVG volgt dat bij een inbreuk op het gegevensbeschermingsrecht een natuurlijk persoon het recht heeft om organen, organisaties of verenigingen zonder winstoogmerk te machtigen om
namens betrokkenen het recht op de ontvangst van een schadevergoeding uit te oefenen indien dit in het lidstatelijke recht is voorzien. Deze partijen moeten dan wel overeenkomstig het
83 Artikel 4 sub 7 AVG. 84 Artikel 4 sub 8 AVG. 85 Overweging 78 AVG. 86 Artikel 6 lid 1 AVG. 87 Overweging 85 AVG.
26 recht van een lidstaat zijn opgericht, statutaire doelstellingen hebben die het publieke belang dienen en actief zijn op het gebied van de bescherming van persoonsgegevens. Collectief schadeverhaal door organisaties ‘zonder winstoogmerk’ is zodoende mogelijk onder AVG op grond van artikel 80. Dit artikel is het verbindingsstuk met de WAMCA.
4.3 Tussenconclusie
In dit hoofdstuk gebleken dat de AVG een hoge mate van bescherming van persoonsgegevens binnen de Europese Unie moet garanderen en is het wettelijk kader van de verordening
27
5.
Schade onder de AVG
Inbreuk op het gegevensbeschermingsrecht kan leiden tot een schadeclaim van degene die door de inbreuk is getroffen. In dit hoofdstuk wordt aan de hand van wetgeving en
jurisprudentie de volgende deelvraag beantwoord: ‘Welke schade kan een betrokkene lijden
bij een inbreuk op de AVG’? Er wordt in dit hoofdstuk voornamelijk ingegaan op immateriële
schade, omdat de opgelopen schade bij een inbreuk op de AVG vaak immaterieel van aard is88.
De grondslag voor schadevergoeding staat in artikel 82 lid 1 AVG: “Eenieder die materiële of
immateriële schade heeft geleden ten gevolge van een inbreuk op deze verordening, heeft het recht om van de verwerkingsverantwoordelijke of de verwerker schadevergoeding te
ontvangen voor de geleden schade.” Vermogensschade en ander nadeel in de zin van artikel
6:95 BW komen aldus voor vergoeding in aanmerking. De verwerkingsverantwoordelijke of de verwerker moeten alle schade vergoeden die iemand kan lijden ten gevolge van een verwerking die inbreuk maakt op deze verordening. Dit geldt zowel voor materiële als immateriële schade. “Het begrip ‘schade’ moet ruim worden uitgelegd in het licht van de
rechtspraak van het Hof van Justitie, op een wijze die ten volle recht doet aan de doelstelling van deze verordening”89. Volgens vaste rechtspraak van het Hof geldt dat de te vergoeden schade reëel en zeker moet zijn en betrokkene dienen ten alle tijden volledige en
daadwerkelijke vergoeding van door hen geleden schade te ontvangen90.
Het Hof van Justitie heeft echter nog geen uitleg gegeven aan specifiek het schadebegrip of over de vergoedbare immateriële schade bij een onrechtmatige verwerking van
persoonsgegevens. Volgens vaste rechtspraak van het Hof van Justitie is het bij gebrek aan communautaire regelgeving een aangelegenheid van de interne rechtsorde van elke lidstaat om de regels vast te stellen voor de uitoefening van het recht op schadevergoeding, mits het gelijkwaardigheidsbeginsel en het doeltreffendheidsbeginsel in acht worden genomen91. Mijns inziens is daarom de Nederlandse rechtspraak ten aanzien van immateriële schadevergoeding
88 Zie bijvoorbeeld: Solove & Citron, Tex. L. Rev, 2017/96:737, p. 755 e.v., Descheemaker, JML 2015/2, p.
278-306 en de noot van O.L. van Daalen bij Rb. Oost-Brabant 20 juli 2016, ECLI:NL:RBOBR:2016:3892, Mediaforum 2016-8, p. 240.
89 Overweging 146 AVG.
90 Hof van Justitie 4 april 2017, C-337/15 P, ECLI:EU:C:2017:256, Europese Ombudsman tegen Staelen. 91 Hof van Justitie 13 juli 2006, C-295/04, ECLI:EU:C:2006:461, Manfredi.
28 op basis van schending van de AVG op dit moment leidend.
5.1 Jurisprudentie
Onlangs heeft de Afdeling bestuursrechtspraak geoordeeld over de toekenning van
immateriële schadevergoeding op basis van schending van de AVG. Zij heeft op 1 april 2020 vier uitspraken gepubliceerd en is daarin met vuistregels gekomen omtrent de toekenning van immateriële schadevergoeding onder de AVG. Omdat de Afdeling aansluiting heeft gezocht bij de regels van het Burgerlijk Wetboek en de rechtspraak van de Hoge Raad kunnen de vuistregels mijns inziens ook worden gebruikt in civiele procedures. Conform artikel 6:95 BW komen zowel materiële als immateriële schade veroorzaakt door overtredingen van het gegevensbeschermingsrecht voor vergoeding in aanmerking. Wanneer het nadeel niet uit vermogensschade bestaat (art. 6:96 BW), heeft de benadeelde recht op een naar billijkheid vast te stellen schadevergoeding (art. 6:106 BW). Recht op vergoeding van immateriële schade bestaat volgens artikel 6:106 BW in de volgende gevallen: de benadeelde heeft lichamelijk letsel opgelopen, is in zijn eer of goede naam geschaad of is op andere wijze in zijn persoon aangetast.
De Afdeling oordeelde in vier verschillende zaken over de al dan niet gemaakte inbreuk op het gegevensbeschermingsrecht. Eén van de zaken draaide om een man wiens medische gegevens zonder zijn toestemming waren verstrekt aan een tuchtcollege voor de
gezondheidszorg92. De andere drie zaken gingen over het zonder toestemming plaatsen van
persoonlijke gegevens op een internetforum van de Vereniging Nederlandse Gemeenten93.
De Afdeling volgt de redenering van de Hoge Raad in het EBI-arrest van 15 maart 2019 ten aanzien van de aantasting van de persoon op andere wijze94. Gebaseerd op dit arrest komt de Afdeling met de volgende vuistregels om vast te stellen of een inbreuk op het
gegevensbeschermingsrecht een schadevergoeding rechtvaardigt:
- De schade moet worden onderbouwd met concrete gegevens;
- Uitzondering op concrete onderbouwing van de schade: de aard en de ernst van de inbreuk op het gegevensbeschermingsrecht.
92 Raad van State 1 april 2020, ECLI:NL:RVS:2020:898.
93 Raad van State 1 april 2020, ECLI:NL:RVS:2020:899, Raad van State 1 april ECLI:NL:RVS:2020:900, Raad
van State 1 april 2020 ECLI:NL:RVS:2020:901.
29 Uit het EBI-arrest volgt dat van de aantasting in persoon ‘op andere wijze’ in ieder geval sprake is als de benadeelde geestelijk letsel heeft opgelopen. De Hoge Raad overweegt in het EBI-arrest dat degene die zich hierop beroept, voldoende concrete gegevens zal moeten aanvoeren waaruit kan volgen dat in verband met de omstandigheden van het geval
psychische schade is ontstaan. Van een aantasting in de persoon op andere wijze is niet reeds sprake bij de enkele schending van een fundamenteel recht95. Het enkel aanvoeren dat iemand immateriële schade lijdt door de inbreuk op het gegevensbeschermingsrecht is volgens de Afdeling dan ook niet voldoende96. De Afdeling overweegt vervolgens in de lijn van het EBI-arrest dat ook als het bestaan van geestelijk letsel niet kan worden aangenomen, de aard, ernst en gevolgen van de normschending met zich mee kunnen brengen dat van de ‘aantasting in persoon op andere wijze’ sprake is. Ook in dat geval zal degene die zich hierop beroept dit met concrete gegevens moeten bewijzen. “Dat is slechts anders indien de aard en de ernst
van de normschending meebrengen dat de in dit verband relevante nadelige gevolgen daarvan voor de benadeelde zo voor de hand liggen, dat een aantasting in de persoon kan worden aangenomen”97.
In de zaak van de man wiens medische gegevens zonder toestemming waren verstrekt heeft de Afdeling geoordeeld dat de nadelige gevolgen daarvan zo voor de hand lagen, dat een aantasting in de persoon kon worden aangenomen. Er is gehandeld in strijd met het gegevensbeschermingsrecht en daardoor is het recht op eerbieding van de persoonlijke levenssfeer van de man geschonden. Zijn persoonlijke levenssfeer is zo geschonden dat er sprake is van een ‘aantasting in de persoon’ in de zin van artikel 6:106 lid 1 sub b BW. Gelet op de omstandigheden van dit geval, waaronder de aard, duur en ernst van de inbreuk is de Afdeling van oordeel dat de man recht heeft op een schadevergoeding van 500 euro. In de andere zaken is volgens de Afdeling geen sprake van ‘aantasting in de persoon’. Hieruit volgt dat als een inbreuk op het gegevensbeschermingsrecht evidente nadelige gevolgen heeft voor benadeelden, een aantasting in de persoon kan worden aangenomen en er aldus een grondslag is voor het vergoeden van de schade. Het is van groot belang dat de nadelige gevolgen
volgens de Afdeling hier voor de hand liggen. Bij schendingen van het
gegevensbeschermingsrecht is dikwijls niet of nauwelijks concreet aan te tonen welke
nadelige gevolgen er zijn voor de betrokkenen, zeker niet dat er sprake is van geestelijk letsel. Dat de nadelige gevolgen voor de hand kunnen liggen is ook van belang voor collectieve
95 HR 15 maart 2019, ECLI:NL:HR:2019:376.
96 Raad van State 1 april 2020 ECLI:NL:RVS:2020:901. 97 HR 15 maart 2019, ECLI:NL:HR:2019:376
30 procedures, immers, als het in deze zaak niet was gegaan om slechts één benadeelde, maar om duizenden benadeelden dan had de WAMCA hier gebruikt kunnen worden voor het
afwikkelen van de schade. In hoeverre het mogelijk is om tot een gestandaardiseerde afwikkeling van aantastingen in de persoon te komen heeft de Hoge Raad besproken in het aardbevingsschade Groningen-arrest. In deze zaak heeft de rechtbank prejudiciële vragen gesteld aan de Hoge Raad over aansprakelijkheid voor schade die het gevolg is van aardbevingen die zich in Groningen voordoen als gevolg van gaswinning uit het Groningenveld. De Hoge Raad herhaalt allereerst de overweging uit het EBI-arrest ten aanzien van aantasting in de persoon ‘op andere wijze’. Vervolgens overweegt de Hoge Raad dat de omvang van een verplichting tot vergoeding van schade die bestaat in een aantasting in de persoon op andere wijze, zich niet ‘min of meer forfaitair’ laat vaststellen, nu dat niet te verenigen is met het hoogst persoonlijke karakter van de vordering tot vergoeding van deze schade98. Echter, zo overweegt de Hoge Raad, dat laat onverlet dat de rechter kan oordelen
dat de aard en de ernst van de aansprakelijkheidvestigende gebeurtenis meebrengen dat de in dit verband relevante nadelige gevolgen zo voor de hand liggen, dat een aantasting in de persoon kan worden aangenomen en dat de rechter daarbij aannemelijk kan achten dat de door deze aantasting in de persoon geleden schade ten minste een bepaald bedrag beloopt. In het geval dat de relevante nadelige gevolgen voor een grote groep benadeelden bij een inbreuk op het gegevensbeschermingsrecht zo voor de hand liggen dat aantastingen in de persoon kunnen worden aangenomen, lijkt het aldus op basis van dit arrest mogelijk om tot een
gestandaardiseerde afwikkeling te komen. In de praktijk moet dan bij een inbreuk op het gegevensbeschermingsrecht de vraag gesteld worden of er benadeelden zijn ten aanzien van wie de nadelige gevolgen zo voor de hand liggen dat een persoonsaantasting mag worden aangenomen.
5.2 Strooischade
Een laatste categorie schade die toelichting verdient is de zogenoemde ‘strooischade’. Strooischade is een bijzondere vorm van massaschade: “er is sprake van strooischade indien
de schade is veroorzaakt door één of een beperkt aantal veroorzaker(s) bij een groot aantal schadelijders, wier individuele schade zo gering is dat het op grond van een
kosten-batenanalyse niet loont die individueel te verhalen, maar wier collectieve schade
31
gecumuleerd wel een aanzienlijk belang vertegenwoordigt”99. Strooischade kan zowel
materieel als immaterieel van aard zijn. Bij een inbreuk op het gegevensbeschermingsrecht is de omvang van de schade per individu over het algemeen gering, waardoor de hoogte van de immateriële schadevergoeding vaak laag is100,101. Ook de materiële schade is meestal beperkt. Zo ligt de schade in het geval van identiteitsfraude gemiddeld rond de €400102. Gelaedeerden
die strooischade hebben geleden als gevolg van een inbreuk op het
gegevensbeschermingsrecht zullen niet snel geneigd zijn een individuele zaak te starten voor een schadevergoeding van €400. Een belangrijk kenmerk van een inbreuk op de AVG is echter dat de groep van potentiële benadeelden heel erg groot is. Het gevolg is dan dat de schadepost van de groep als geheel groot kan zijn, ondanks dat de schadepost per individu heel klein is. Bij strooischade geldt voor een individu dat de mogelijke schadevergoeding niet opweegt tegen de kosten van een procedure103. Een individuele schadeactie tegen een
verwerkingsverantwoordelijke is dan economisch onverantwoord. Een uitkomst kan de bundeling van de vorderingen zijn in een collectieve actie, zie daarvoor paragraaf 6.2 ‘collectieve actie tot schadevergoeding’.
5.3 Tussenconclusie
In dit hoofdstuk is gebleken dat vermogensschade en ander nadeel in de zin van artikel 6:95 BW voor vergoeding in aanmerking komen. Er is tevens ingegaan op een bijzondere vorm van massaschade bij een inbreuk op het gegevensbeschermingsrecht: strooischade. Ook bleek dat niet iedere schending van het gegevensbeschermingsrecht dusdanig ernstig is dat deze automatisch recht geeft op immateriële schadevergoeding. Er is volgens de Afdeling geen aanleiding om te veronderstellen dat een inbreuk op de AVG zonder meer “aantasting van de integriteit van een persoon impliceert en daarmee tot vergoedbare schade leidt”104. De
Afdeling gebruikt het kader van het EBI-arrest van de Hoge Raad en overweegt dat
schadevergoeding afhankelijk is van de aard, ernst en gevolgen van de normschending. Bij de beoordeling van hoogte van de schadevergoeding betrekt de Afdeling vervolgens de aard, de ernst en de duur van de inbreuk105.
99 Tzankova 2005.
100 Tjong Tjin Tai, WPNR 2016/7110, p. 459-464.
101 Rechtbank Noord-Nederland 3 mei 2017, ECLI:NL:RBNNE:2017:1700. 102 Paulissen & Van Wilsem 2015.
103 Van der Linden & Walree, AV&S 2018/20.
104 Raad van State 1 april 2020, ECLI:NL:RVS:2020:899. 105 Raad van State 1 april 2020, ECLI:NL:RVS:2020:898.
32
6.
Collectief schadeverhaal bij inbreuk op de AVG
Uit artikel 80 van de AVG volgt dat bij een inbreuk op het gegevensbeschermingsrecht een natuurlijk persoon het recht heeft om een belangenbehartiger te machtigen om namens de betrokkenen het recht op ontvangst van een schadevergoeding uit te oefenen, indien het lidstatelijke recht daarin voorziet. Met de inwerkingtreding van de WAMCA voorziet het Nederlandse recht in een mogelijkheid tot een collectieve vordering tot schadevergoeding bij schending van het gegevensbeschermingsrecht. Omdat deze scriptie wordt geschreven vanuit het perspectief van een betrokkene die zijn schade als gevolg van een inbreuk op het
gegevensbeschermingsrecht wil verhalen wordt in dit hoofdstuk de volgende onderzoeksvraag beantwoord:
‘Draagt de collectieve actie van de WAMCA bij aan het verkrijgen van schadevergoeding
vanwege schending van de AVG?’
De AVG bepaalt dat de verwerkingsverantwoordelijke aansprakelijk is voor de materiële of immateriële schade die een betrokkene lijdt als gevolg van een schending van het
gegevensbeschermingsrecht106. Er zijn verschillende redenen die maken dat het voor een lastig is om schade als gevolg van een schending van het gegevensbeschermingsrecht te verhalen. Zo is het voor een individu moeilijk om in een individuele zaak een normschending en/of concrete schade en/of een causaal verband aan te tonen107.
6.1 Individuele actie tot schadevergoeding
Voor de normschending geldt dat op grond van artikel 150 Rv de bewijslast bij de betrokkene ligt. Het is aan de betrokkene om te bewijzen dat een verwerkingsverantwoordelijke het gegevensbeschermingsrecht heeft geschonden. In het geval een betrokkene stelt dat zijn persoonsgegevens zijn verwerkt zonder grondslag kan hij dit eenvoudig aantonen door de zes grondslagen van de AVG af te gaan108. Echter, in het geval van een datalek kan het een ingewikkeld verhaal worden. Bij een datalek geldt dat de betrokkene moet aantonen dat de verwerkingsverantwoordelijke tekort is geschoten in het nemen van passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te
106 Artikel 82 AVG.
107 Van der Linden & Walree, AV&S 2018/20. 108 Artikel 6 AVG.
33 waarborgen109. De hoge mate van informatieasymmetrie tussen de betrokkene en de
verwerkingsverantwoordelijke maakt het voor de betrokkene lastig om aan te tonen dat de beveiligingsplicht is geschonden110,111. Het gegevensverwerkingsproces vindt immers plaats achter gesloten deuren, waardoor de betrokkene slechts in beperkte mate kennis kan nemen van eventuele onregelmatigheden in de gegevensverwerking en de gevolgen daarvan slechts beperkt kan inschatten112. Doordat de betrokkene niet over dezelfde technische kennis en deskundigheid beschikt als de verwerkingsverantwoordelijke kan de betrokkene slechts beperkt inschatten wat de verwerkingsrisico’s waren en in hoeverre de
beveiligingsmaatregelen daarop aansloten113.
In het vorige hoofdstuk (nr. 5) is gebleken dat alle schadesoorten onder de AVG voor vergoeding in aanmerking komen: vermogensschade en ander nadeel in de zin van artikel 6:95 BW. De horde van de materiële schadevergoeding is lastig te nemen. Vaak is niet (direct) duidelijk of een inbreuk op het gegevensbeschermingsrecht materiële schade heeft veroorzaakt en is het lastig om de schade aan te tonen. Een betrokkene wiens bankrekening wordt leeg getrokken doordat de verwerkingsverantwoordelijke niet heeft voldaan aan de beveiligingsplicht van de AVG lijdt vermogensschade. Het is dan aan de betrokkene om aan te tonen dat zijn schade het gevolg is van de zwakke plek in de beveiliging. Zeker omdat dezelfde persoonsgegevens vaak door een groot aantal verwerkingsverantwoordelijken worden verwerkt kan dit lastig zijn. Daarnaast is het potentiële gebruik van data eindeloos: in tegenstelling tot stoffelijke objecten kunnen data wereldwijd door een onbepaald aantal partijen worden (her)gebruikt114. Een inbreuk op het gegevensbeschermingsrecht door een verwerkingsverantwoordelijke in 2020 kan ernstige nadelige vermogensrechtelijke gevolgen hebben voor een betrokkene in 2030.
In hoofdstuk 5 bleek verder dat het verkrijgen van immateriële schadevergoeding niet eenvoudig is. De lat voor het toekennen van deze vorm van schadevergoeding ligt in Nederland erg hoog. Van geestelijk letsel als gevolg van een inbreuk op het
gegevensbeschermingsrecht zal niet snel sprake zijn115. Dit kan anders zijn in het geval er
109 Artikel 32 AVG.
110 Informatieasymmetrie is een onbalans waarbij de ene partij over meer of over betere informatie beschikt dan
de andere.
111 Van Alsenoy 2016, p. 275; Bellanova e.a. 2013, p. 141. 112 Lynsky 2015, p. 211-213.
113 Van Alsenoy 2016, p. 275.
114 Kreimer, U. Pa. J. Const. L, 2015/18:3. 115 Jagt-Vink, MvV 2019/7-8.
