Gegevensverwerking en schadevergoeding
Gegevensverwerking en schadevergoeding: het Hof van Justitie geeft duidelijkheid
De Algemene Verordening Gegevensbescherming (AVG) heeft grote implicaties en vereist dat wordt voldaan aan strikte regelgeving om de privacyrechten van individuen te waarborgen. Indien een inbreuk wordt gemaakt op rechten afkomstig uit de AVG kan schadevergoeding worden gevorderd.
Maar is de mate van schuld van de verwerkingsverantwoordelijke of verwerker bepalend voor de hoogte van de immateriële schade? En is het gedrag van betrokkenen mede van invloed op de aansprakelijkheid?
In dit artikel bespreek ik een oordeel van het Hof, waarbij antwoord wordt gegeven op de bovenstaande vragen.
Feiten
Een Duits medische dienst van een zorgverzekeraar stelt adviezen op over arbeidsongeschiktheid. Sommige van deze adviezen hebben betrekking op haar eigen medewerkers van de dienst. De adviezen die betrekking hebben op de eigen medewerkers worden door een bijzondere organisatie-eenheid behandeld.
Een medewerker van het bedrijf, die wegens ziekte arbeidsongeschikt was, ontdekte via zijn behandelend arts dat er een advies was opgesteld, die de diagnose van zijn ziekte bevatte. Bij het opstellen van het advies was gebruikgemaakt van inlichtingen van zijn behandelend arts.
Vervolgens heeft de medewerker aan een collega gevraagd of er een advies over hem was opgeslagen. De collega heeft op verzoek van de medewerker hier foto’s van gemaakt en naar hem verzonden.
De medewerker heeft vervolgens het bedrijf verzocht om een schadevergoeding ter hoogte van € 20.000,- te voldoen op grond van artikel 82 AVG. Dit was echter zonder succes. De medewerker is vervolgens naar de arbeidsrechter in Duitsland gegaan en vorderde boven de schadevergoeding nog een vergoeding voor de gederfde inkomsten. Zowel in eerste aanleg als in hoger beroep zijn de vorderingen verworpen.
De hoogste federale rechter in arbeidszaken in Duitsland heeft vervolgens aan het Hof van Justitie van Europa (hierna: het Hof) prejudiciële vragen gesteld, onder andere omtrent de mate van schuld.
Is de mate van schuld van de verwerkingsverantwoordelijke of verwerker bepalend voor de hoogte van de immateriële schade?
De rechter in Duitsland vroeg zich af of voor het toewijzen van een schadevergoeding verplicht is dat de verwerkingsverantwoordelijke ook schuld heeft aan de inbreuk.
Artikel 82 van de AVG regelt het recht op schadevergoeding voor personen die (im)materiële schade hebben geleden als gevolg van een inbreuk op de AVG. Het Hof oordeelt dat de hoogte van de schadevergoeding moet worden vastgesteld aan de hand van de daadwerkelijk geleden schade.
Hoewel het artikel benadrukt dat de schade volledig en daadwerkelijk moet worden vergoed, bevestigt het Hof dat de AVG geen expliciete verwijzing maakt naar de schuld van de verwerkingsverantwoordelijke als factor bij het bepalen van de hoogte van de schadevergoeding.
Is het gedrag van betrokkenen van invloed op de aansprakelijkheid?
Uit de feiten die hierboven zijn geschetst, blijkt dat de werknemer zelf aan een collega had gevraagd om foto’s te maken van zijn advies. Dit is een handeling die de betrokkene zelf kan worden toegerekend.
In artikel 82 lid 3 van de AVG wordt vermeld dat de betrokkene vrijgesteld kan worden van aansprakelijkheid indien deze kan aantonen dat hij op geen enkele wijze verantwoordelijk is voor de veroorzaakte schade.
De bescherming van betrokkenen strekt echter niet zo ver dat de verwerkingsverantwoordelijke schade moet vergoeden die het gevolg is van gebeurtenissen of handelingen die aan de betrokkenen kunnen worden toegerekend, aldus het Hof.
Het Hof benadrukt dat het gedrag van betrokkenen, zoals het nemen van voorzorgsmaatregelen of het naleven van gegevensbeschermingsvoorschriften, invloed kan hebben op de mate van aansprakelijkheid of de vrijstelling van aansprakelijkheid van de verwerkingsverantwoordelijke.
Conclusie
De hoogte van de immateriële schadevergoeding wordt dus bepaald op basis van de daadwerkelijk geleden schade, zonder expliciete vermelding van de mate van schuld van de verwerkingsverantwoordelijke. Het gedrag van betrokkenen kan daarentegen wel invloed hebben op de aansprakelijkheid en vrijstelling van aansprakelijkheid van de verwerkingsverantwoordelijke.
Het arrest benadrukt daarnaast het belang van naleving van privacyregels en gegevensbeschermingsvoorschriften in de zorgsector. Heeft u vragen omtrent de privacyregels van de AVG? Of meer specifiek over privacyregels? Neem gerust contact op met een van onze specialisten.
