In Nederland dreigt een dijkdoorbraak wat betreft de bescherming van persoonsgegevens, hetgeen een grote bedreiging vormt voor onze maatschappij die door de digitalisering steeds afhankelijker is van data(uitwisseling). Weliswaar is er met de inwerkingtreding van de (Uitvoeringswet) Algemene Verordening Gegevensbescherming voorzien in een relatief adequaat wettelijk kader, het toezicht en de handhaving laten zeer te wensen over. Dit laatste wordt door de Autoriteit Persoonsgegevens ook min of meer erkend met haar niet aflatende pleidooi om meer slagkracht door forse uitbreiding van de organisatie. Het tekort aan toezicht en handhaving zorgt ervoor dat de urgentie om zorgvuldig met persoonsgegevens om te gaan – zacht gezegd – niet overal voldoende sterk wordt gevoeld. Dit ondanks de mogelijkheid van hoge (bestuurlijke) boetes. Daarvoor is een echte stok achter de deur nodig, zoals ervaringen op andere terreinen als milieubescherming laten zien. Recente affaires onderstrepen dat. Denk aan het datalek bij de GGD’s – notabene overheidsorganisaties – waarbij Covid-gerelateerde persoonsgegevens van vele duizenden mensen op straat kwamen te liggen.
Relatief goed nieuws in dit opzicht is de onlangs in de Tweede Kamer aangenomen motie waarin de regering wordt opgeroepen om het aantal voltijdsmedewerkers van de AP op termijn te laten groeien van 184 naar 470 fte. Dit mede op basis van KPMG-onderzoek. Een confronterende, op dat onderzoek gebaseerde, dragende overweging van de motie is het feit dat de AP op dit moment nog geen 0,2 fte tot haar beschikking heeft om actief op zoek te gaan naar mogelijke datalekken en dat zij de 27.000 datalekken die jaarlijks worden gemeld, moet onderzoeken met 2,9 fte. Dit laat meteen zien dat de AP zelfs als de motie onverkort zou worden uitgevoerd nog steeds maar beperkt in staat zal zijn de naleving van de AVG te monitoren en zo nodig op te treden. Temeer omdat de uitwisseling van persoonsgegevens in de toekomst alleen maar verder zal toenemen. Verdere uitbreiding van de AP dan voorzien in de motie is dan ook nodig, maar het is de vraag of het daarvan de komende jaren zal komen.
Daarom moet worden vastgesteld dat de handhaving van de AVG niet alleen aan de AP kan worden overgelaten, om welke reden het belangrijk is dat er alternatieve mogelijkheden bestaan en deze tevens (kunnen) worden benut. Zo kan ook een andere toezichthouder, namelijk de ACM, indirect de naleving van de AVG bevorderen op basis van het consumentenrecht. Het zou goed zijn wanneer gedupeerden de weg naar de ACM meer zouden gaan vinden en deze toezichthouder op haar beurt vaker bereid zou zijn dit soort zaken actief op te pakken.
Daarnaast is private handhaving van groot belang. Zo heeft de Afdeling bestuursrechtspraak van de Raad van State met een creatieve wetsinterpretatie de mogelijkheid gecreëerd voor gedupeerden om op eenvoudige wijze bij de bestuursrechter vergoeding van schade (onder de 25.000 euro) af te dwingen wanneer overheden op onrechtmatige wijze met persoonsgegevens omgaan (ECLI:NL:RVS:2020:898, 899, 900 en 901). Daarbij komt de Afdeling tevens tot een forfaitair bedrag van 500 euro voor immateriële schade. Een vergelijkbare schadevergoedingsoptie bestaat voor consumenten bij de civiele rechter op grond van de artikelen 82 AVG en 36 Uitvoeringswet als het gaat om verwerking door private actoren. Op basis daarvan zijn tevens andere vorderingen van gedupeerden denkbaar zoals verboden en geboden aan het adres van de verwerkingsverantwoordelijke. Daarbij zijn ook algemeen en collectief belang acties mogelijk door belangenorganisaties op grond van de artikelen 80 AVG en 3:305a BW, hetgeen vaak zelfs effectiever is dan optreden door individuele gedupeerden (vgl. Moerel & Prins, Preadvies NJV 2016). Het verdient aanbeveling dit soort private handhaving te bevorderen door zo weinig mogelijk procesrechtelijke obstakels op te werpen en de invoering van reële proceskostenvergoedingen zoals we die al kennen in het intellectuele eigendomsrecht. Mogelijk kunnen ook commerciële procesfinanciers een stimulerende rol spelen.
Gelet op het belang van private handhaving is het te betreuren dat er in Nederland vooralsnog geen mogelijkheid lijkt te bestaan voor concurrenten om elkaar aan te spreken op de naleving van de AVG. Een recente uitspraak in kort geding van de rechtbank Zeeland-West-Brabant bevestigt dit (ECLI:NL:RBZWB:2021:446). Het gaat om drie bedrijven die GPS-horloges voor hulpbehoevenden verhandelen. Twee bedrijven beschuldigen de derde van schending van de AVG door het verstrekken van onjuiste informatie aan klanten met concurrentievervalsing als gevolg. De rechtbank wijst de op de AVG gebaseerde vordering af omdat niet aan het relativiteitsvereiste van artikel 6:163 BW zou zijn voldaan. Volgens de rechtbank strekt de AVG niet tot bescherming van de belangen van concurrenten. Een geslaagd beroep op de correctie Langemeijer zou evenmin mogelijk zijn.
Het is te hopen dat de blokkades voor dergelijke procedures van concurrenten spoedig worden weggenomen (vgl. Arnbak, FD 16 februari 2021). Juist concurrenten hebben er vaak veel (economisch) belang bij om op deze wijze de naleving van de AVG in hun marksegment te bewaken. Bovendien zijn zij vaak beter dan particulieren in staat een rechtszaak te bekostigen hetgeen er samengenomen toe leidt dat zij de AP daadwerkelijk werk uit handen kunnen nemen. Wellicht dat de bodemrechter in de hiervoor beschreven of een andere zaak, al dan niet op basis van de correctie Langemeijer, wel een mogelijkheid ziet voor acties van concurrenten (vgl. Walree & Wolters, SEW 2020/2). Mocht dat niet op korte termijn gebeuren, dan is er werk aan de winkel voor de wetgever om een dergelijke mogelijkheid, zoals die in Duitsland al bestaat, alsnog te creëren. Want één ding is zeker: de AP kan het niet alleen.
Dit Vooraf verschijnt in NJB 2021/572, afl. 8.
Afbeelding: pixabay