Schadevergoedingsaanspraken wegens schending van de AVG bestaan alleen als er daadwerkelijk schade is ontstaan. Dat heeft het HvJ EU op 4 mei 2023 beslist (Zaak C-300/21).
Bedrijven beheren grote hoeveelheden gevoelige persoonsgegevens. Dit stelt hoge eisen aan de gegevensbescherming en schendingen van de Algemene verordening gegevensbescherming (AVG) kunnen leiden tot hoge boetes en schadevergoedingen, legt het advocatenkantoor MTR Legal uit, dat ook zijn cliënten adviseert over IT-recht en gegevensbescherming.
Het Europese Hof van Justitie heeft nu bepaald dat schadevergoedingsaanspraken wegens schendingen van de AVG alleen bestaan als er daadwerkelijk schade is ontstaan. De rechters in Luxemburg legden de lat voor het optreden van schade echter niet al te hoog. Een bepaalde ernst van de schade is geen vereiste.
Bij het HvJ EU betrof het een zaak uit Oostenrijk. Hier had een man immateriële schadevergoeding tegen de Oostenrijkse postservice geëist. De reden was dat de postdienst met behulp van een algoritme en onderliggende sociale en demografische kenmerken informatie over voorkeuren voor politieke partijen had verzameld. Deze gegevens werden niet gepubliceerd, maar waren bedoeld voor verkiezingsdoeleinden van de partijen. Hierdoor ontstond er voor de man een affiniteit met een bepaalde partij. Dat beviel de man niet. Hij eiste immateriële schadevergoeding op grond van art. 82 AVG.
Het Oostenrijkse Hooggerechtshof verwees de zaak naar het HvJ EU, dat besliste dat een enkele schending van de AVG nog geen recht op schadevergoeding geeft. De aanspraak op schadevergoeding is aan drie voorwaarden verbonden: Ten eerste moet er sprake zijn van een schending van de AVG. Bovendien moet er materiële of immateriële schade zijn ontstaan en moet de schending van de AVG daarvoor de oorzaak zijn. Dus leidt niet elke schending van de AVG automatisch tot schadevergoedingsaanspraken.
Echter bestaat de aanspraak op immateriële schadevergoeding niet pas bij een bepaalde ernst. Er zijn geen kleine gevallen. Voor de bepaling van de schade stelt de AVG geen criteria vast, dit is aan de EU-lidstaten. Deze moeten er echter voor zorgen dat een volledige en effectieve schadevergoeding voor de geleden schade wordt gewaarborgd, aldus het HvJ EU.
Bij de omgang met persoonsgegevens is na het EU-arrest grote zorgvuldigheid vereist. In IT-recht ervaren advocaten adviseren bij MTR Legal Rechtaanwälte over gegevensbeschermingskwesties.
