Schadevergoedingsaanspraken wegens schending van de AVG bestaan alleen als er daadwerkelijk schade is ontstaan. Dat heeft het HvJ EU met arrest van 4 mei 2023 beslist (zaak C-300/21).
Bedrijven beheren grote hoeveelheden gevoelige persoonsgegevens. Dat stelt hoge eisen aan de gegevensbescherming en schendingen van de Algemene Verordening Gegevensbescherming (AVG) kunnen leiden tot hoge boetes en schadevergoedingsaanspraken, legt het advocatenkantoor MTR Legal Rechtsanwälte uit, dat haar cliënten ook adviseert op het gebied van IT-recht en gegevensbescherming.
Het Hof van Justitie van de Europese Unie heeft nu beslist dat schadevergoedingsaanspraken wegens schendingen van de AVG alleen bestaan als er daadwerkelijk schade is ontstaan. De rechters in Luxemburg legden de lat voor het ontstaan van schade echter niet al te hoog. Een aanzienlijke mate van schade is geen vereiste.
Bij het HvJ EU ging het om een zaak uit Oostenrijk. Hier had een man immateriële schadevergoeding geëist van de Oostenrijkse Post. De reden was dat de post met behulp van een algoritme en op basis van onderliggende sociale en demografische kenmerken informatie over partijvoorkeuren had verzameld. Deze gegevens zijn niet gepubliceerd, maar waren bedoeld voor de verkiezingscampagnes van de partijen. Voor de man resulteerde dit in een affiniteit met een bepaalde partij. Dat beviel de man niet. Hij eiste volgens artikel 82 AVG immateriële schadevergoeding.
De Oostenrijkse Hoge Raad legde de zaak voor aan het HvJ EU en zij besloten dat een loutere schending van de AVG nog geen schadevergoedingsaanspraak vormt. De aanspraak op schadevergoeding is aan drie voorwaarden verbonden: allereerst moet er sprake zijn van een schending van de AVG. Daarnaast moet er materiële of immateriële schade zijn ontstaan en moet de schending van de AVG hiervoor verantwoordelijk zijn. Dus leidt niet elke schending van de AVG automatisch tot schadevergoedingsaanspraken.
Echter bestaat de immateriële schadevergoedingsaanspraak niet pas bij een zekere significantie. Bagatelzaken zijn er niet. De AVG legt geen criteria voor de beoordeling van de schade vast, dit is een zaak voor de EU-lidstaten. Zij moeten er echter voor zorgen dat volledige en effectieve schadevergoeding voor de geleden schade gewaarborgd wordt, aldus het HvJ EU.
Bij de omgang met persoonsgegevens is volgens het EU-arrest grote zorgvuldigheid vereist. In het IT-recht ervaren advocaten adviseren bij MTR Legal Rechtsanwälte in kwesties van gegevensbescherming.
