C-182/22 en C-189/22 Scalable Capital e.a.
Prejudiciële hofzaak
Zie bijlage voor de verwijzingsuitspraak, en klik hier voor het dossier van het Hof van Justitie (voor zover beschikbaar). Termijnen: Motivering departement: 13 mei 2022 Schriftelijke opmerkingen: 29 juni 2022
Trefwoorden: gegevensbescherming, immateriële schade, identiteitsfraude, schadevergoeding
Onderwerp :
Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (AVG)
Feiten:
De vragen worden voorgelegd in het kader van twee grotendeels identieke zaken waarover de verwijzende rechter uitspraak moet doen. Eerste zaak: verzoeker had een rekening geopend via een handelsapp waarvoor verweerster verantwoordelijk is en had het vereiste minimumbedrag van meerdere duizenden euro’s gestort. Aangezien de effectenrekening werd beheerd door een robo-adviseur, kon verzoekers risicobereidheidsprofiel niet worden opgemaakt uit de verrichte transacties. Enkele persoonlijke gegevens die noodzakelijk waren om verzoeker te authentiseren, met name zijn naam, geboortedatum, adres en een e-mailadres dat enkel voor specifiek beschermde belangen werd gebruikt, waren echter opgeslagen, alsook een digitaal opgeslagen kopie van het identiteitsbewijs. Het staat vast dat onbekende delinquenten toegang hebben gekregen tot deze gegevens en de gegevens inzake de effectenrekening. Verzoeker is persoonlijk gehoord en legde een verklaring over zijn ervaringen af. De tweede zaak heeft betrekking op hetzelfde voorval met gegevens, waarbij ook op onrechtmatige wijze toegang is verkregen tot persoonlijke gegevens van de verzoeker. De rechter gaat er in beide zaken van uit dat de „verloren” gegevens relatief gevoelig zijn en dat de verzoekers in beginsel krachtens artikel 82 van de AVG recht op schadevergoeding hebben.
Overweging:
De verwijzende rechter heeft uitleggingsvragen over de hoogte van een toe te kennen recht op schadevergoeding, waarvan de berekening afhangt van de beantwoording van de voorgelegde vragen. De verwijzende rechter gaat ervan uit dat de schadevergoedingsregeling in artikel 82 van AVG geen punitief karakter heeft, zodat de vraag of er sprake is van een algemeen belang om door middel van een afschrikkend effect daadwerkelijk te voorkomen dat dergelijke voorvallen zich in de toekomst nog voordoen geen rol speelt bij de berekening van de schadevergoeding. Met betrekking tot de tweede vraag gaat de verwijzende rechter er op basis van het nationale recht van uit dat voor de vergoeding van immateriële schade twee elementen in aanmerking kunnen worden genomen die allebei de individueel betrokken partij betreffen, namelijk een compenserende functie en een genoegdoeningsfunctie. De reden voor de derde vraag is dat er naar Duits recht geen lijst met vaste schadevergoedingsbedragen bestaat, maar dat het betreffende bedrag per geval aan de hand van de omstandigheden van het individuele geval wordt bepaald. De achtergrond van de vierde vraag is dat naar Duits recht onderscheid wordt gemaakt tussen normen waarbij de aansprakelijkheidsgronden worden vastgesteld en normen waarbij de aansprakelijkheid wordt gepreciseerd. Het is mogelijk dat de aansprakelijkheid vaststaat, maar dat de precisering van de aansprakelijkheid theoretisch leidt tot een schadevergoeding van 0 EUR. Dit speelt een rol in het onderhavige geval, omdat het persoonlijke onderhoud van verzoeker in de eerste zaak de indruk heeft gewekt dat de uiteengezette subjectieve belemmeringen weinig persoonlijk belang hadden en alleen al om die reden slechts een minimale en derhalve een „louter symbolische” compensatie is vereist. De vraag rijst of het vermijden van een „louter symbolisch karakter” een juridisch relevant argument vormt. De reden voor de vijfde vraag bestaat erin dat uit de argumenten van partijen blijkt dat zij een verschillende opvatting hebben van identiteitsdiefstal, waarvan de kwantificering van de gevolgen deels afhangt. Volgens de verwijzende rechter is er pas sprake van identiteitsdiefstal wanneer de op onrechtmatige wijze verkregen gegevens worden gebruikt om zich de identiteit van de betrokkene toe te eigenen.
Prejudiciële vragen:
1) Moet artikel 82 van de algemene verordening gegevensbescherming aldus worden uitgelegd dat het recht op schadevergoeding, met inbegrip van de vaststelling van de hoogte ervan, geen punitief karakter heeft, met name dat het geen algemene of specifieke afschrikkende werking heeft, maar dat het recht op schadevergoeding slechts een compenserende functie en in sommige gevallen een genoegdoeningsfunctie heeft?
2.a) Moet voor de vaststelling van het recht op vergoeding voor immateriële schade ervan worden uitgegaan dat het ook een individuele genoegdoeningsfunctie heeft, die in casu moet worden opgevat als het strikt persoonlijke belang van de gelaedeerde dat het schadeveroorzakende gedrag wordt bestraft, of heeft het enkel een compenserende functie, die in casu moet worden begrepen als het compenseren van de geleden nadelige gevolgen?
2.b.1) Indien moet worden aangenomen dat het recht op vergoeding voor immateriële schade zowel een compenserende functie als een genoegdoeningsfunctie heeft, moet dan bij de vaststelling ervan worden aangenomen dat de compenserende functie structureel voorrang heeft op de genoegdoeningsfunctie, of althans dat de verhouding tussen die twee functies een verhouding van regel en uitzondering is? Betekent dit dat er slechts sprake is van een genoegdoeningsfunctie wanneer inbreuken opzettelijk zijn begaan of het gevolg van grove nalatigheid zijn?
2.b.2) Indien het recht op vergoeding voor immateriële schade geen genoegdoeningsfunctie heeft, wordt dan bij de vaststelling ervan alleen aan opzettelijke of grove nalatige inbreuken in verband met de gegevensbescherming meer gewicht toegekend bij de beoordeling van de schadeveroorzakende handelingen?
3) Moet de vergoeding voor immateriële schade worden vastgesteld op basis van een structurele rangorde of althans een verhouding van regel en uitzondering, waarbij aan de ervaren nadelige gevolgen van een inbreuk in verband met de gegevensbescherming minder belang wordt toegekend dan aan de met lichamelijke letsels verbonden nadelige gevolgen en pijn?
4) Indien moet worden aangenomen dat er schade is ontstaan, kan een nationale rechter dan in het licht van het niet-ernstige karakter van de schade een schadevergoeding toekennen die materieel gering is en derhalve door de gelaedeerde of in het algemeen als louter symbolisch wordt ervaren?
5) Moet voor het begrip van de vergoeding voor immateriële schade bij de beoordeling van de gevolgen ervan worden aangenomen dat er slechts sprake is van identiteitsdiefstal in de zin van overweging 75 van de algemene verordening gegevensbescherming wanneer een delinquent de identiteit van de betrokkene daadwerkelijk heeft aangenomen, met andere woorden dat hij zich op een of andere wijze heeft uitgegeven voor de betrokkene, of houdt het enkele feit dat delinquenten inmiddels over gegevens beschikken op basis waarvan de betrokkene kan worden geïdentificeerd, reeds een dergelijke identiteitsdiefstal in?
Aangehaalde (recente) jurisprudentie:
Specifiek beleidsterrein: JenV