Heb jij een interessante vraag op het snijvlak van privacy, cybersecurity en recht? Stuur je vraag naar juridischevraag@security.nl. Elke week geeft ict-jurist Arnoud Engelfriet in deze rubriek antwoord.

Juridische vraag: Waarom is het zo lastig om een schadevergoeding te krijgen als je gegevens zijn gelekt of misbruikt? Ondanks alle datalekken die plaatsvinden en AVG-boetes voor bedrijven zoals Meta hoor ik zelden dat gebruikers een vergoeding krijgen, terwijl het toch om hun data gaat.

Antwoord: Datalekken en ander misbruik van persoonsgegevens zijn helaas aan de orde van de dag. Dit is onder allerlei wetgeving gereguleerd, van AVG tot NIS2 of CRA, maar juridisch spreken we in alle gevallen van een onrechtmatige daad als gegevens niet beveiligd zijn zoals de wet eist. En algemeen geldt, wie een ander een onrechtmatige daad aandoet, moet de schade daarvan vergoeden.

Er zijn allerlei redenen waarom mensen geen schadeclaims indienen. Het is gedoe, je rechtsbijstandsverzekering dekt het niet, je moet een buitenlandse partij aanspreken of je hebt niet eens door dát je gegevens zijn misbruikt. Ook kun je een verhandeling opzetten of het datalek wel verwijtbaar is en dus geen sprake is van overmacht. In dat laatste geval is namelijk géén sprake van onrechtmatig handelen. En hoe weet jij of het bedrijf adequate beveiliging had gehanteerd?

De belangrijkste voor mij is echter dat de schade niet tot nauwelijks te kwantificeren is. Wat kost een gelekt e-mailadres? Hoe veel schade heb je bij een medisch dossier op straat? Bij een deuk in je auto of een omgeduwde vaas is het antwoord vrij eenvoudig. Bij letsel en smart (inclusief psychisch) kan een deskundige worden bevraagd en zijn er tabellen (zoals de smartengeldgids) waar je richtinggevende getallen uit kunt halen. Dit ontbreekt bij onrechtmatig gebruik van persoonsgegevens.

In 2023 en 2024 bepaalde het Hof van Justitie in een aantal arresten dat het géén automatisme is dat je recht hebt op geld als je persoonsgegevens onrechtmatig zijn verwerkt. Je moet echt aantonen wat je schade is, dat er concreet iets van schade is opgetreden. Dat hoeft niet hoog te zijn, maar moet er wel zijn. Dus speculatief het vermoeden dat het wel eens gebruikt kán worden door criminelen of dat een collega het zou kunnen lezen en dat dat psychische schade geeft, is allemaal niet genoeg. Toon maar aan wat er is misgegaan - én welk bedrag aan schade je daar aantoonbaar door hebt geleden.

Met name dat laatste is dus het probleem. Welk bedrag heb je geleden door een ongewenste mail of een phishingpoging? Meer dan overlast of irritatie is het vaak niet, en daar kun je geen bedrag op zetten. Misschien een paar tientjes als het frequent is, maar niemand procedeert voor een paar tientjes. Bij de diverse massaclaims rondom datalekken is dit iets minder een probleem, want een miljoen tientjes is wél een leuk bedrag om over te procederen.

In Nederland zijn enkele pogingen geweest om hogere bedragen te claimen. Dat is in een enkel geval gelukt bij een onrechtmatig gebruik van medische gegevens in 2023, maar eigenlijk in alle andere gevallen afgewezen wegens gebrek aan onderbouwing. Dus tenzij het gaat om medische gegevens of je héél concreet een factuur van schadeherstel kunt laten zien, is er geen route om geld te krijgen bij misbruik van je persoonsgegevens.

Arnoud Engelfriet is ict-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als chief knowledge officer bij juridisch adviesbureau ICTRecht en blogt dagelijks over internetrecht. Hij schreef onder meer de boeken ICT&Recht en AI&Algorithms, en verzorgt de opleiding tot Certified Cybersecurity Compliance Officer.