Schadevergoedingsverzoeken wegens schenden privacy: wanneer is de bestuursrechter bevoegd en wanneer de civiele rechter?
Op 1 april jl. heeft de Afdeling bestuursrechtspraak van de Raad van State (“de Afdeling”) vier uitspraken gedaan naar aanleiding van verzoeken om schadevergoeding als gevolg van vermeende privacy schendingen. Deze uitspraken zijn interessant omdat de Afdeling hierin voor het eerst ingaat op de mogelijkheden om bij de bestuursrechter vergoeding van schade te vragen als iemand stelt dat een bestuursorgaan in strijd met de Algemene Verordening Gegevensbescherming (“AVG”) persoonsgegevens heeft verwerkt. In dit blog wordt specifiek ingegaan op het hoger beroep van de uitspraak waarin voor de eerste keer een schadevergoeding op grond van de AVG werd toegekend.
De centrale boodschap uit die uitspraken is dat de bestuursrechter vaker dan eerst bevoegd is om te oordelen over zo’n verzoek om schadevergoeding. Dat biedt voordelen; de bestuursrechtelijke rechtsgang is relatief goedkoop en laagdrempelig. Maar in welke gevallen is de bestuursrechter nu bevoegd en in welke gevallen moet men zich toch de civiele rechter wenden? In dit blog beperk ik mij tot gevallen waarbij de verwerkingsverantwoordelijke een bestuursorgaan betreft. Wanneer dit niet het geval is, zal de bestuursrechter immers sowieso al niet bevoegd zijn.
Hoe was de rechtsmachtverdeling voorheen?
Onder de Wet bescherming persoonsgegevens (“Wbp”) regelde artikel 49 van de Wbp dat iemand die schade heeft geleden door – kort gezegd – onrechtmatige gegevensverweking recht heeft op een schadevergoeding. Artikel 49 van de Wbp bevatte volgens de Afdeling echter geen zelfstandige grondslag voor schadevergoeding. Een (onrechtmatige) verwerking van persoonsgegevens werd aangemerkt als een feitelijke handeling, waardoor die verwerking niet kon worden aangemerkt als een besluit in de zin van de Algemene wet bestuursrecht (“Awb”). Dit betekende dat benadeelden tegen die gestelde onrechtmatige verwerking niet konden opkomen bij de bestuursrechter (zie ABRvS, 22 augustus 2018, ECLI:NL:RVS:2018:2751; Rb. Rotterdam, 27 mei 2019, ECLI:NL:RBROT:2019:4265).
Met het in werking treden van de AVG op 25 mei 2018 is de Wbp, en daarmee dus ook artikel 49 van de Wbp, ingetrokken. Voor artikel 49 van de Wbp is artikel 82 van de AVG in de plaats gekomen. In dat artikel wordt bepaald dat eenieder die materiële of immateriële schade heeft geleden ten gevolge van een inbreuk op deze verordening, het recht heeft om schadevergoeding te ontvangen. De Afdeling overweegt nu dat ook dit artikel geen zelfstandige grondslag biedt voor het vorderen van schadevergoeding. Toch vindt de Afdeling de bestuursrechter nu wel in bepaalde gevallen bevoegd over dit soort zaken te beslissen.
Hoe komt de Afdeling tot deze overweging?
De Afdeling komt hiertoe door allereerst te wijzen op artikel 8:88 van de Awb. Hieruit volgt dat een verzoek om schadevergoeding en de afwijzing daarvan ter beoordeling kan worden voorgelegd aan de bestuursrechter. Door de toepasselijkheid van de Awb bij inzageverzoeken (zie artikel 34 van de Uitvoeringswet van de AVG) komt de Afdeling uit bij de bestuursrechter. Die ruimte lijkt de AVG ook te bieden door de precieze juridische kaders te laten bepalen door het recht van de lidstaten. En dus is de bestuursrechter bevoegd om ook te beslissen over een schadevergoedingskwestie bij (vermeend) strijdig met de AVG handelen door een bestuursorgaan..
Dit betekent dat degene die op grond van artikel 82 van de AVG stelt schade te hebben geleden als gevolg van het onrechtmatig verwerken van persoonsgegevens door een bestuursorgaan, nu (ook, zie hierna) bij de bestuursrechter terecht kan. Het interessante hieraan is dat verzoeken zoals bedoeld in artikel 8:88 van de Awb alleen kunnen worden gedaan wanneer schade is geleden ten gevolge van een onrechtmatig besluit, of van een onrechtmatige handeling ter voorbereiding van een onrechtmatig besluit. De Afdeling maakt hier nu een uitzondering op het vereiste dat de gestelde schade het gevolg moet zijn van (of gelinkt moet zijn aan) een onrechtmatig besluit. Deze bepaling wordt nu zo uitgelegd dat wel een verband moet bestaan met een besluit (bijvoorbeeld de beslissing op een inzageverzoek), maar dat dit besluit als zodanig niet onrechtmatig hoeft te zijn.
Wanneer is de civiele rechter dan nog bevoegd?
De bestuursrechter is op grond van artikel 8:89, tweede lid, van de Awb, slechts bevoegd te beslissen over schadevergoedingszaken voor zover de gevraagde vergoeding ten hoogste EUR 25.000 bedraagt (inclusief rente). Wanneer de gevraagde vergoeding derhalve hoger is dan dat bedrag, is de civiele rechter bij uitsluiting bevoegd.
Wanneer het gevorderde bedrag lager is dan EUR 25.000, heeft de verzoeker de keuze om zich te wenden tot ofwel de bestuursrechter ofwel de civiele rechter. Om gelijktijdige procedures te vermijden, is het in het schadevergoedingsrecht wel zo dat het na het instellen van een vordering bij de civiele rechter niet meer mogelijk is de bestuursrechtelijke weg te bewandelen. Andersom is dit wel mogelijk. Dit is van belang, omdat wanneer iemand bijvoorbeeld schade meent te hebben geleden die gelijk kan worden gesteld aan EUR 50.000, die persoon eerst EUR 25.000 bij de bestuursrechter kan claimen, en naderhand de overige EUR 25.000 bij de civiele rechter (ECLI:NL:RVS:2017:2081).
Conclusie
Samenvattend is de bestuursrechter onder het regime van de AVG vaker bevoegd te beslissen op schadevergoedingsverzoeken vanwege gestelde onrechtmatige verwerking van persoonsgegevens. Ondanks dat het verwerken nog steeds een feitelijke handeling betreft, heeft de Afdeling artikel 8:88 van de Awb nu zo uitgelegd dat voor bovengenoemde verzoeken alleen maar een verband hoeft te bestaan met een besluit zoals bedoeld in artikel 34 van de Uitvoeringswet AVG (zoals een beslissing op een inzageverzoek), en hoeft dat besluit niet onrechtmatig te zijn. In aanvulling hierop blijft wel van belang dat ten aanzien van gevraagde vergoedingen die hoger zijn dan EUR 25.000, de bestuursrechter niet bevoegd is.