Geen recht op immateriële schadevergoeding ondanks schending van de AVG

Wat was er aan de hand?

In deze kwestie heeft de Sociale Verzekeringsbank persoonsgegevens van een pasgeboren kind doorgegeven aan de Belastingdienst. Dit heeft de Sociale Verzekeringsbank gedaan, zodat de Belastingdienst weet vanaf welke datum recht op kinderbijslag bestaat. In dat bericht staan onder andere het burgerservicenummer, de geboortedatum en het woonland van het kind. In deze zaak gaat staat de vraag centraal of de Sociale Verzekeringsbank deze gegevens mocht verstrekken, en zo niet, of de Sociale Verzekeringsbank daarom een immateriële schadevergoeding verschuldigd is.

Sprake van schending van de AVG

De rechtbank oordeelt dat de Sociale Verzekeringsbank inbreuk heeft gemaakt op de privacy van het betrokken kind. Het verstrekken van startberichten met de persoonsgegevens van alle kinderen met recht op kinderbijslag is niet evenredig in verhouding tot de uitvoering van de wetgeving over het kindgebonden budget, terwijl dat in redelijkheid ook op een manier kan worden verwezenlijkt die minder nadelig is voor (ouders van) deze kinderen.

De Sociale Verzekeringsbank verstrekt namelijk de gegevens van alle kinderen via startberichten aan de Belastingdienst, terwijl vervolgens maar zo’n 42% van de kinderen van wie een startbericht wordt verstrekt uiteindelijk ook een recht op een kindgebonden budget bestaat. Daarin is ook het bezwaar van de eiser in deze procedure, zijnde de vader van het pasgeboren kind, gelegen: hij heeft vanwege zijn inkomen geen recht op een kindgebonden budget en vindt daarom dat er geen enkele noodzaak is voor de Sociale Verzekeringsbank om gegevens van zijn dochter aan de Belastingdienst te verstrekken. Daarin wordt hij gevolgd door de rechtbank. Hoewel de Sociale Verzekeringsbank een wettelijke grondslag heeft voor de gegevensverstrekking, volgt daaruit niet de verplichting om persoonsgegevens van álle kinderen van wie recht op kinderbijslag bestaat aan de Belastingdienst te verstrekken. De conclusie luidt dan ook dat het verwerken van de persoonsgegevens van de dochter van eiser in een startbericht een schending van de AVG (en diens voorganger) is.

Géén recht op immateriële schadevergoeding

Nu is vastgesteld dat sprake is van een schending van de AVG, moet beoordeeld worden of hierdoor immateriële schade is ontstaan en of die voor vergoeding in aanmerking komt. Eiser stelt immers dat zijn kind door de privacyinbreuk schade heeft geleden, omdat de verstrekte persoonsgegevens digitaal heel lang kunnen blijven bestaan, en dit schadelijk kan zijn voor zijn dochter.

Beoordelingskader (immateriële) schadevergoeding onder de AVG

Onder verwijzing naar de uitspraken van het ABRvS van 1 april 2020, zoekt de rechtbank aansluiting bij het civiele schadevergoedingsrecht uit artikel 6:106 BW. In deze uitspraken heeft ook de ABRvS aansluiting gezocht bij het nationale (en civiele) schadevergoedingsrecht voor de beoordeling van een vordering uit hoofde van immateriële schadevergoeding wegens schending van de AVG. Dat is in mijn optiek terecht. Bij gebreke aan communautaire regelgeving, zal schadevergoeding onder de AVG een aangelegenheid van de interne (Nederlandse) rechtsorde zijn. Dat betekent dat (inderdaad) artikel 6:106 BW het instrument is waarmee de vraag of er sprake is van schade die voor vergoeding in aanmerking komt (en hoeveel dat eventueel is) beantwoord moet worden.

Op grond van artikel 6:106 BW bestaat ten aanzien van immateriële schade recht op schadevergoeding als de benadeelde lichamelijk letsel heeft opgelopen, in zijn eer of goede naam is geschaad of op andere wijze in zijn persoon is aangetast. Van lichamelijk letsel of van het schaden van de eer of goede naam is in deze zaak geen sprake, zodat de beoordeling van de rechtbank zich toespitst op de genoemde aantasting in persoon ‘op andere wijze’. Naar het oordeel de Hoge Raad in het zogenoemde EBI-arrest zijn daarbij twee categorieën te onderscheiden: (1) aantoonbaar geestelijk letsel, en (2) andere schendingen van bepaalde aard en ernst.

Nu in het onderhavige geval geen sprake is van aantoonbaar geestelijk letsel, geldt als uitgangspunt dat de eiser die zich namens zijn kind op de persoonsaantasting beroept dat met concrete gegevens moet onderbouwen. Dat is slechts anders indien de aard en ernst meebrengen dat de in dit verband relevante nadelige gevolgen daarvan voor de benadeelde zo voor de hand liggen, dat een aantasting in de persoon kan worden aangenomen. Dat is naar het oordeel van de Hoge Raad slechts bij hoge uitzondering aan de orde, waarbij wordt verwezen naar de arresten Oudejaarsrellen en Wrongful life; zaken die zeer ernstig verwijtbaar gedrag betreffen met eveneens zeer ernstige gevolgen.

Van een aantasting in de persoon ‘op andere wijze’ is bovendien niet al sprake bij de enkele schending van een fundamenteel recht.

Geleden schade niet geconcretiseerd

Volgens de rechtbank zijn de aard en ernst van de schending van de AVG in dit geval niet zodanig dat de nadelige gevolgen zo voor de hand liggen dat een aantasting in de persoon kan worden aangenomen. Uitgangspunt is dus dat bewezen moet worden dat het slachtoffer in haar persoon is aangetast en de geleden schade met concrete gegevens onderbouwd wordt. Daar is de eiser niet in geslaagd.

Eiser heeft namelijk slechts in algemene bewoordingen gesteld dat schade is geleden en heeft dat niet kunnen concretiseren. Ook heeft hij niet aannemelijk gemaakt dat het verstrekken van de persoonsgegevens van zijn dochter heeft geleid tot aantasting van haar persoon en dat de gevolgen van de inbreuk haar rechtstreeks hebben getroffen. Volgens de rechtbank is de algemene vrees voor identiteitsfraude onvoldoende voor een veroordeling in immateriële schade. Hoewel deze vrees voorstelbaar is en identiteitsfraude als gevolg van de privacyinbreuk niet uit te sluiten is, is dat onvoldoende concreet om te kunnen concluderen dat er sprake is van een persoonsaantasting.

De rechtbank stelt daarnaast nadrukkelijk dat schadevergoeding onder de AVG geen punitief karakter heeft, en dat het doel van schadevergoeding herstel of het bieden van compensatie voor een onrechtmatige inbreuk op privacy. De verplichting daartoe uit de AVG gaat niet verder dan volledige vergoeding van daadwerkelijk geleden schade. Omdat van concrete schade niet is gebleken, bestaat er geen grondslag om de Sociale Verzekeringsbank te veroordelen tot het betalen van een schadevergoeding.

Tot slot

In eerdere jurisprudentie werd incidenteel een schadevergoeding van € 250,00 of € 500,00 is toegewezen vanwege een schending van de AVG, zonder dat in die zaken van concrete nadelige gevolgen was gebleken of geleden schade geconcretiseerd werd (vgl. bijvoorbeeld recent Rechtbank Noord-Nederland 12 januari 2021). Of in die gevallen het EBI-arrest op juiste wijze is toegepast, valt over te twisten. De rechtbank Midden-Nederland gaat daar niet in mee, en past (in mijn optiek) het EBI-arrest op de juiste wijze toe: de persoonsaantasting moet met concrete gegevens onderbouwd worden, tenzij de inbreuk zó ernstig is dat persoonsaantasting kan worden aangenomen.

De enkele schending van de AVG levert geen recht op (immateriële) schadevergoeding op. Immateriële schade komt enkel voor vergoeding in aanmerking indien deze reëel en daadwerkelijk geleden is, en (dus) ook door het slachtoffer geconcretiseerd wordt. Uitgangspunt is immers het bieden van herstel of compensatie voor daadwerkelijk geleden schade, in plaats van een boete of vaste tegemoetkoming. Daarbij geldt bovendien dat de enkele beleving of vrees van een slachtoffer, bijvoorbeeld voor identiteitsfraude, onvoldoende is. Hoe voorstelbaar deze vrees ook is.

Nu in veel gevallen de privacyinbreuk niet zo ernstig zal zijn dat een persoonsaantasting reeds kan worden aangenomen, betekent dit dat de nadelige gevolgen van een schending van de AVG door slachtoffers concreet moeten worden onderbouwd. Dat legt de lat voor toewijzing van immateriële schadevergoeding vanwege schending van de AVG (behoorlijk) hoog.

Heeft u vragen over (immateriële) schadevergoeding onder de AVG, neemt u dan contact met mij of een van mijn andere collega’s van het privacyteam.