Artikel 82 AVG: recht op schadevergoeding bij een privacyschending

Artikel 82 van de AVG geeft iedereen het recht op schadevergoeding als een verwerkingsverantwoordelijke of verwerker de privacyregels heeft geschonden en daardoor schade heeft veroorzaakt. Zowel materiële schade (zoals financieel nadeel) als immateriële schade (zoals stress, angst of reputatieschade) valt hieronder. Dit maakt artikel 82 AVG een van de meest praktisch relevante bepalingen voor mensen die te maken hebben gehad met een datalek of een andere overtreding van de privacywetgeving.

Hieronder lees je precies wat dit artikel inhoudt, wie aansprakelijk is, hoe je een claim indient en wat de valkuilen zijn.

Wat staat er in artikel 82 AVG?

De volledige tekst van artikel 82 AVG bestaat uit vijf leden. De kern is lid 1: eenieder die materiële of immateriële schade heeft geleden door een inbreuk op de AVG heeft het recht om van de verwerkingsverantwoordelijke of verwerker een volledige vergoeding te ontvangen. Dit recht geldt tegenover zowel bedrijven als overheidsinstellingen die persoonsgegevens verwerken.

Lid 2 regelt de aansprakelijkheid. Een verwerkingsverantwoordelijke is aansprakelijk voor alle schade die voortvloeit uit verwerking die niet voldoet aan de AVG. Een verwerker (bijvoorbeeld een externe IT-leverancier) is aansprakelijk als die niet heeft voldaan aan verplichtingen die specifiek voor verwerkers gelden, of als die buiten de instructies van de verwerkingsverantwoordelijke heeft gehandeld.

Lid 3 biedt een ontheffingsgrond: een partij is niet aansprakelijk als ze kan bewijzen dat ze op geen enkele wijze schuld heeft aan de schade. De bewijslast ligt dus bij de partij die zich wil vrijpleiten, niet bij de gedupeerde. Dat is een belangrijk voordeel voor de betrokkene.

Materiële en immateriële schade: wat valt eronder?

Materiële schade is financieel aantoonbaar: denk aan kosten voor identiteitsfraude, misgelopen inkomsten of kosten voor juridische hulp na een datalek. Immateriële schade is minder concreet maar wordt door Europese rechters wel degelijk erkend. Voorbeelden zijn aantasting van eer of goede naam, angst dat gegevens worden misbruikt, psychisch ongemak en verlies van controle over je eigen persoonsgegevens.

Het Europese Hof van Justitie heeft in 2023 (zaak C-300/21, Österreichische Post) verduidelijkt dat niet elk AVG-schending automatisch recht geeft op immateriële schadevergoeding. De betrokkene moet aantonen dat er daadwerkelijk schade is geleden, hoe klein ook. Een drempeleis (een minimumbedrag of minimale ernst) mag echter niet worden gesteld: iedere aangetoonde immateriële schade telt. Dit is een relevante nuance die rechters in Nederland inmiddels ook toepassen.

Wie is aansprakelijk onder artikel 82 AVG?

Artikel 82 AVG maakt onderscheid tussen twee partijen:

Verwerkingsverantwoordelijke: de organisatie die het doel en de middelen van de verwerking bepaalt. Dit is het eerste aanspreekpunt bij een schending.
Verwerker: een partij die in opdracht van de verwerkingsverantwoordelijke gegevens verwerkt, zoals een clouddienst of salarisverwerker. De verwerker is aansprakelijk als die buiten de instructies handelt of eigen AVG-verplichtingen niet nakomt.

Zijn meerdere partijen betrokken bij de schade? Dan zijn ze hoofdelijk aansprakelijk. Dat betekent dat je de volledige schade bij één van hen kunt claimen. Die partij kan daarna intern verhaal halen op de andere betrokkenen. Als gedupeerde hoef je dus niet zelf uit te zoeken welk deel van de schuld bij wie ligt.

Hoe dien je een claim in op basis van artikel 82 AVG?

Er is geen vaste procedure voorgeschreven in de AVG zelf. In de praktijk zijn er twee routes:

Civiele rechter: je stapt naar de rechtbank en eist schadevergoeding. Dit is de directe route op basis van artikel 82 AVG. Nadeel: je moet zelf de schade onderbouwen en juridische kosten maken.
Klacht bij de Autoriteit Persoonsgegevens (AP): de AP kan een overtreding vaststellen en een boete opleggen, maar betaalt de schadevergoeding niet aan jou uit. Een AP-besluit kan wel bewijskracht hebben in een latere civiele procedure.

Praktisch stappenplan voor een claim:

Documenteer de schending zo concreet mogelijk: bewaar e-mails, brieven, screenshots en tijdlijnen.
Stel de verwerkingsverantwoordelijke schriftelijk aansprakelijk. Doe dit per e-mail of aangetekende brief, zodat je bewijs hebt van de datum.
Omschrijf de schade zo specifiek mogelijk. Vermeld zowel materiële schade (met bedragen) als immateriële schade (met omschrijving van het ervaren nadeel).
Geef de andere partij een redelijke termijn om te reageren, meestal twee tot vier weken.
Reageert de organisatie niet of onvoldoende? Overweeg dan een advocaat in te schakelen of een klacht in te dienen bij de AP.

Hoeveel schadevergoeding kun je verwachten?

Er bestaat geen vaste tarievenlijst. Nederlandse rechters kijken per geval naar de aard en ernst van de schending, de duur ervan, het gedrag van de verwerkingsverantwoordelijke en de impact op de betrokkene. Bij eenvoudige overtredingen met beperkt aangetoond leed worden bedragen van enkele honderden euro’s toegewezen. Bij ernstige schendingen, zoals het lekken van medische of financiële gegevens met concrete gevolgen, kunnen de bedragen aanzienlijk hoger uitvallen.

Vergelijkbare zaken in andere EU-landen laten een grote spreiding zien. Oostenrijkse en Duitse rechters hebben in sommige gevallen bedragen toegewezen tussen de 100 en 5.000 euro voor immateriële schade, afhankelijk van de omstandigheden. In Nederland zijn de uitspraken vooralsnog bescheidener, maar de rechtspraak is volop in ontwikkeling nu steeds meer betrokkenen de stap naar de rechter zetten.

Wanneer heeft een claim weinig kans van slagen?

Artikel 82 AVG biedt geen garantie op succes. Een claim loopt stuk als je de schade niet aannemelijk kunt maken, als de organisatie kan aantonen dat ze volledig conform de AVG heeft gehandeld, of als er geen causaal verband bestaat tussen de schending en jouw schade. Stress of irritatie over een overtreding die je verder geen aantoonbaar nadeel heeft opgeleverd, wordt door rechters zelden als voldoende beschouwd.

Let ook op de verjaringstermijn. In Nederland geldt voor onrechtmatige daad een verjaringstermijn van vijf jaar vanaf het moment dat je bekend bent met de schade en de aansprakelijke partij. Wacht dus niet te lang.

Artikel 82 AVG geeft betrokkenen een concrete juridische basis om schade te verhalen bij een privacyschending. De sleutel zit in het goed documenteren van zowel de schending als de geleden schade. Heb je twijfels over de kracht van je claim? Raadpleeg dan een jurist met ervaring in privacyrecht, want de rechtspraak over dit artikel ontwikkelt zich snel.