Op 14 december 2023 heeft het Hof van Justitie een uitspraak gedaan die een verregaande impact kan hebben op het gegevensbeschermingsrecht. Zo werd er in de zaak C-340/21 geoordeeld dat de loutere angst voor misbruik van gelekte gegevens vergoedbare schade kan inhouden op grond van artikel 82 van de Algemene verordening gegevensbescherming:
Art. 82 (1): Any person who has suffered material or non-material damage as a result of an infringement of this Regulation shall have the right to receive compensation from the controller or processor for the damage suffered.
De onderliggende feiten waren als volgt:
In 2019 werden de IT-systemen van de Bulgaarse belastingdienst gehackt waarna de persoonsgegevens van miljoenen Bulgaren op het internet werden gepubliceerd. Enkele slachtoffers hebben daaropvolgend een vordering ingesteld tegen de Bulgaarse belastingdienst ter vergoeding van hun immateriële schade die hierdoor is ontstaan. Hun schade bestond uit de angst voor mogelijks toekomstig misbruik van hun persoonsgegeven die ingevolge de hack zonder toestemming zijn gepubliceerd. In het kader van deze procedure werden enkele prejudiciële vragen gesteld aan het HVJEU waaronder de vraag of de angst voor mogelijks misbruik op zich al afdoende is om van immateriële schade te kunnen spreken conform artikel 82 AVG.
Het HVJEU beantwoordde verrassend genoeg bevestigend op deze vraag. Het is bijgevolg niet noodzakelijk dat de persoonsgegevens daadwerkelijk misbruikt werden. Met deze uitspraak geeft het Hof aldus een heel ruime draagwijdte aan het immateriële schadebegrip waardoor de deur nu wagenwijd openstaat voor schadevergoedingsvorderingen. Ze is immers van oordeel dat een lezing van artikel 82 AVG waarbij loutere angst op zich geen schade kan zijn, volledig ingaat tegen de ruimhartige doelen van het aansprakelijkheidsregime bij de AVG. Het Hof steunt zijn uitspraak onder andere op overweging 146 bij de AVG, waarin wordt gesteld dat het begrip “immateriële schade” ruim moet worden uitgelegd.
Om de deur voor schadeclaims toch niet helemaal wagenwijd open te zetten heeft het Hof wel een voorwaarde gekoppeld. Zo moet de vragende partij bewijs leveren van een fysiek, psychologisch of sociaal nadeel dat het louter subjectieve gevoel te boven gaat. Ook moet de vragende partij kunnen aantonen dat de angst in het kader van de specifieke omstandigheden van de zaak als gegrond dient te worden aanschouwd. Er wordt echter geen minimumgrens gesteld waardoor zelfs de lichtste ongemakken -indien aantoonbaar- als schade kunnen worden aanzien.
Bron: Hvj 14 december 2023, C-340/21 en Lukas Van Roy e.a., Schadevergoeding na gegevenslek door externe hackers: Hof van Justitie erkent AVG-gerelateerde schade, juristenkrant 24 januari 2024