Eerste schadevergoedingen onder de AVG: risico op een ‘claimcultuur’?

Misschien heeft u er al over gehoord of gelezen. In mei dit jaar werd door de Rechtbank Overijssel voor het eerst, sinds de invoering van de Algemene verordening gegevensbescherming (AVG), een schadevergoeding toegewezen vanwege het onrechtmatig (in strijd met de AVG) verwerken van persoonsgegevens. Goed voorbeeld doet volgen, want recent kende de Rechtbank Amsterdam een tweede schadevergoeding toe, omdat ook in die situatie de AVG niet in acht was genomen. Betekent dit dat de deuren zijn geopend voor schadeclaims vanwege schending van de AVG? En wat kunnen de gevolgen zijn van deze ontwikkeling voor uw organisatie?

Rechtbank Overijssel

In deze kwestie had de betrokkene bij de gemeente Deventer Wob-verzoeken ingediend. Omdat bleek dat deze betrokkene ook bij andere gemeenten dergelijke verzoeken had ingediend, wilde de gemeente Deventer informatie delen met de andere gemeenten over de wijze waarop zij met de Wob-verzoeken van de betrokkene waren omgegaan. Bij het delen van die informatie zijn ook persoonsgegevens van de betrokkene gedeeld. Volgens de rechtbank was het delen van de persoonsgegevens van de betrokkene met de andere gemeenten onrechtmatig, waardoor de betrokkene immateriële schade had geleden. Immateriële schade ziet – in tegenstelling tot materiële schade - niet op schade aan lichaam of eigendommen, maar op schade die een betrokkene lijdt door bijvoorbeeld (geestelijke) pijn of verdriet. Deze immateriële schade vertegenwoordigde, aldus de rechtbank, een waarde van 500 euro.

Dat de rechtbank een schadevergoeding toekende, is bijzonder. Temeer omdat het bij dit soort zaken meestal gaat om immateriële schade. Hoe kun je de causaliteit aantonen tussen de onrechtmatigheid en de geleden immateriële schade? Dat is lastig te bewijzen en in geld uit te drukken. De rechtbank verwees ter onderbouwing van de schade echter naar het bepaalde in de AVG: het verlies van controle over persoonsgegevens en de (onrechtmatige) verspreiding daarvan, maakt dat er sprake is van schade. Het ‘verlies van controle’ over persoonsgegevens is, zo blijkt ook uit deze uitspraak, makkelijker aan te tonen dan de geleden immateriële schade. De AVG gaat er namelijk al vanuit dat er (immateriële) schade is geleden wanneer een betrokkene de controle verliest over zijn of haar persoonsgegevens.

Biedt deze uitspraak dan meer mogelijkheden voor betrokkenen om schadevergoeding te vorderen?

Rechtbank Amsterdam

Zo lijkt het wel. Een paar maanden later kende ook de rechtbank Amsterdam een schadevergoeding toe aan een betrokkene vanwege de onrechtmatige verwerking van persoonsgegevens. De casus was als volgt. Een werknemer was in dienst bij een werkgever X. Na verloop van tijd werd zij arbeidsongeschikt vanwege burn-out klachten. Enige tijd later trad de werknemer in dienst bij een andere werkgever, werkgever Y. Werkgever Y wist niet dat de werknemer als ziek was geregistreerd bij het UWV. Werkgever Y ontving ongeveer een jaar na indiensttreding een brief van het UWV waarin werd medegedeeld dat de werknemer al anderhalf jaar ziek was. Deze mededeling kwam voor werkgever Y als een volstrekte verrassing: zij was immers in het geheel niet betrokken bij de ziekmelding van deze werknemer.

De rechtbank overwoog dat het UWV ten onrechte gevoelige gegevens had gedeeld met werkgever Y. Weliswaar waren er geen medische gegevens opgenomen in de brief, maar de brief betrof wel gevoelige gegevens over de werknemer. De werknemer had het UWV daarnaast geen toestemming gegeven om deze gevoelige gegevens met werkgever Y te delen. Ook hier ging het dus om een zogenaamd ‘verlies van controle’ over de persoonsgegevens. De schade die de werknemer als gevolg daarvan had geleden is ‘reëel en niet-verwaarloosbaar’, aldus de rechtbank. Dit oordeel resulteerde in de toekenning van een schadevergoeding ter hoogte van 250 euro aan de werknemer.

Claimcultuur?

Wellicht denkt u: als de bedragen die worden toegekend zo laag liggen, vanwaar dan alle ophef (en deze blog)? In het geval van een individuele schadevergoeding, is het te betalen bedrag inderdaad verwaarloosbaar. Maar wat u misschien vergeet, is dat het vaak niet gaat om één betrokkene. In veel gevallen worden meerdere betrokkenen geraakt door een onrechtmatige verwerking (bijvoorbeeld al uw werknemers en tijdelijke/ingeleende arbeidskrachten of al uw klanten).

De AVG maakt het daarom mogelijk om een collectieve procedure in te stellen, mits het Nederlandse recht in die mogelijkheid voorziet. Op grond daarvan kan een orgaan, organisatie of vereniging (zonder winstoogmerk) - in opdracht van een grote groep betrokkenen - een vergoeding van de (immateriële) schade vorderen.

Momenteel is het naar Nederlands recht nog niet mogelijk om schadevergoedingen te vorderen via een collectieve actie. Daar moet de Wet afwikkeling massaschade in collectieve actie (WAMCA) binnenkort verandering in gaan brengen.

Indien de betrokkenen vervolgens hun krachten bundelen, dan kan die onschuldige 250 of 500 euro (maal honderd of duizend) ineens toch een vervelend hoog bedrag worden. In combinatie met het feit dat de drempel voor het toekennen van dergelijke schadevergoedingen sinds de inwerkingtreding van de AVG lager lijkt te liggen, kan dit mogelijk leiden tot veel collectieve acties in de toekomst – en dus mogelijk tot een claimcultuur. De tijd zal leren wat de daadwerkelijke gevolgen zijn van de WAMCA.

Resumé

Het collectieve actierecht is in ieder geval volop in beweging en biedt straks voor betrokkenen meer kansen om schadevergoeding te eisen wanneer organisaties het niet zo nauw nemen met de AVG. Met de mogelijkheid tot collectieve acties moet uw organisatie dus in de toekomst serieus rekening gaan houden. Zorgt u er daarom voor dat uw organisatie voldoende aandacht besteedt aan de AVG?