TL;DR voor de FG
Het financiële risico van uw klanten is niet alleen de boete van de toezichthouder. Het is de som van veel kleine civiele vorderingen uit één en dezelfde inbreuk, vermenigvuldigd met het aantal betrokkenen. Wat die zaken beslist, is bijna altijd één ding: kunnen aantonen dat de beveiligingsmaatregelen passend waren voordat er iets gebeurde.
Wat artikel 82 werkelijk zegt
Artikel 82, lid 1 geeft eenieder die materiële of immateriële schade heeft geleden ten gevolge van een inbreuk op de verordening het recht op vergoeding van de verwerkingsverantwoordelijke of de verwerker. Een korte bepaling, die nationale rechters jarenlang tegengesteld hebben gelezen: sommigen eisten ernstige, gedocumenteerde schade, anderen achtten de inbreuk op zichzelf voldoende. Tussen 2023 en 2024 heeft het Hof van Justitie bijna al die verschillen beslecht.
Drie elementen, en de drempel die niet bestaat
In het arrest Osterreichische Post (zaak C-300/21, 4 mei 2023) oordeelde het Hof dat het recht op vergoeding drie cumulatieve voorwaarden vereist: een inbreuk op de verordening, daadwerkelijke schade en een causaal verband tussen beide. De inbreuk alleen doet het recht niet ontstaan. Tot zover goed nieuws voor verwerkingsverantwoordelijken. Het tweede deel van hetzelfde arrest neemt veel van wat het eerste gaf weer terug.
Geen ondergrens van ernst
Het Hof heeft uitgesloten dat vergoeding afhankelijk wordt gesteld van het bereiken van een bepaalde mate van ernst. Kleine schade blijft vergoedbare schade. Het argument 'er is weinig gebeurd, niets ernstigs' is dus geen verweer: het verplaatst de discussie naar het bedrag, niet naar het bestaan van de verplichting.
Vrees kan schade zijn. Maar niet altijd
In zaak C-340/21 (14 december 2023), voortgekomen uit een cyberaanval op de Bulgaarse belastingdienst, oordeelde het Hof dat de vrees voor mogelijk misbruik van gegevens door derden, als gevolg van een inbreuk, op zichzelf immateriële schade kan vormen. Het misbruik hoeft zich nog niet te hebben voorgedaan. Kort daarna trok het in MediaMarktSaturn (zaak C-687/21, 25 januari 2024) de grens: een louter hypothetische vrees, zonder concreet nadelig gevolg, volstaat niet. De scheidslijn loopt tussen vrees die berust op een werkelijk verlies van controle en algemene bezorgdheid.
Wie moet wat bewijzen
Dit is het deel dat het dichtst bij het dagelijks werk van de FG staat. In diezelfde zaak C-340/21 verduidelijkte het Hof dat wanneer de passendheid van de technische en organisatorische maatregelen van artikel 32 ter discussie staat, de bewijslast bij de verwerkingsverantwoordelijke ligt. Niet de betrokkene moet aantonen dat de maatregelen ontoereikend waren: de verwerkingsverantwoordelijke moet aantonen dat ze passend waren. En de ontheffing van artikel 82, lid 3 werkt alleen als hij bewijst dat hij op geen enkele wijze verantwoordelijk is voor het voorval - een hoge lat waarvan het Hof in juris (zaak C-741/21, 11 april 2024) bevestigde dat die niet wordt gehaald louter omdat de fout door een werknemer is gemaakt.
Vergoeden, niet bestraffen
In zaak C-590/22 (20 juni 2024) herhaalde het Hof dat artikel 82 een uitsluitend compenserende functie heeft: het herstelt het geleden nadeel, het bestraft de verwerkingsverantwoordelijke niet en schrikt de markt niet af. Daaruit volgen twee tegengestelde gevolgen. Ten eerste kunnen geen punitieve bedragen worden gevorderd. Ten tweede, minder comfortabel: een reeds opgelegde boete vermindert de aan de individuele betrokkene verschuldigde vergoeding niet. Het zijn twee gescheiden sporen, en ze tellen op.
Wat u er maandagochtend mee doet
Deze rechtspraak omzetten in concreet werk is minder dramatisch dan het klinkt, maar het gebeurt vooraf en niet achteraf. Vijf punten, geen daarvan is een project.
- Controleer of er voor elke klant gedateerde documentatie bestaat van de maatregelen van artikel 32 en van waarom die passend werden geacht: dat verschuift de bewijslast in uw voordeel, en het moet vóór het incident bestaan.
- Noteer in het register van inbreuken altijd de risicobeoordeling voor betrokkenen, ook wanneer u besluit niet te melden: dat is het spoor waaruit blijkt dat er een beoordeling heeft plaatsgevonden.
- Raakt een inbreuk veel betrokkenen, bedenk dan dat de civiele blootstelling zich vermenigvuldigt met hun aantal: een bescheiden bedrag per persoon wordt de zwaarste kostenpost van het incident.
- Betrokkenen tijdig informeren is niet alleen een plicht uit artikel 34: het vermindert vrees, en juist vrees behandelt het Hof als vergoedbare schade.
- Leg de adviezen die u de verwerkingsverantwoordelijke geeft schriftelijk vast wanneer u een keuze afraadt: besluit hij anders, dan is dat document de lijn tussen zijn aansprakelijkheid en de uwe.
De vraag die u de klant moet stellen
Niet 'zijn we compliant?', maar: 'als een betrokkene ons morgen dagvaardt, wat geven we de advocaat in handen om aan te tonen dat de maatregelen passend waren?'. Is het antwoord een lijst geïnstalleerde tools in plaats van een gedateerd document dat de keuzes uitlegt, dan ligt daar het werk.
Zoekt u een hulpmiddel voor uw dagelijkse werk als FG?
DPO Workspace is gebouwd door een gecertificeerde functionaris voor gegevensbescherming. 30 dagen gratis.
Gratis starten
