Aansprakelijkheid bij datalek klantgegevens

Wat wordt bedoeld met aansprakelijkheid bij een datalek

Aansprakelijkheid bij een datalek met klantgegevens gaat in de kern over de vraag of u (of een andere partij) juridisch verantwoordelijk kunt worden gehouden voor schade die ontstaat doordat persoonsgegevens ongeoorloofd worden verwerkt, gelekt of anderszins toegankelijk worden voor onbevoegden.

Bij deze vraag spelen doorgaans twee lagen mee:

Regels over gegevensbescherming (zoals de verplichtingen voor een verwerkingsverantwoordelijke en verwerkers binnen de AVG).
Aansprakelijkheid voor schade in civielrechtelijke zin (bijvoorbeeld schadevergoeding), waarbij ook factoren zoals verwijtbaarheid en causaal verband worden meegewogen.

Omdat aansprakelijkheid in concrete situaties sterk afhangt van feiten (rol, maatregelen, incidentverloop, schadeomvang), is het belangrijk om niet te denken in één automatisch scenario: de uitkomst is meestal een combinatie van omstandigheden.

Een eenvoudig model: rol, fout, schade en verband

Om te begrijpen wanneer aansprakelijkheid aan de orde is, kunt u het beoordelen langs vier vaste controlepunten:

Uw rol bij de gegevensverwerking
- Was u verwerkingsverantwoordelijke (u bepaalt het doel en de middelen) of treedt u op als verwerker (u verwerkt in opdracht)?
- De rol beïnvloedt welke verplichtingen op u rusten en hoe anderen verantwoordelijk worden.
Een tekortschieten (fout of nalatigheid)
- Aansprakelijkheid vergt vaak dat er sprake is van een handelings- of zorgplichtschending.
- Denk aan onvoldoende beveiligingsmaatregelen, onvoldoende procedures, of een onvoldoende gecontroleerde verwerking, voor zover dit in de omstandigheden als verwijtbaar wordt gezien.
Schade bij de betrokkene of klant
- Er moet doorgaans iets zijn dat als schade kan worden aangemerkt: bijvoorbeeld materiële schade, immateriële schade (zoals aantasting in eer of persoonlijke levenssfeer), of andere aantoonbare gevolgen.
Causaal verband
- Niet alleen het bestaan van een incident is relevant, maar ook of het datalek in redelijke mate verband houdt met de schade.
- Complexe situaties (bijvoorbeeld gemengde oorzaken, latere misbruikhandelingen of beperkingen in de bewijsvoering) kunnen het causale verband beïnvloeden.

Als één van deze bouwstenen ontbreekt of onvoldoende is onderbouwd, kan dat maken dat aansprakelijkheid minder waarschijnlijk is of anders wordt beoordeeld.

Uitzonderingen en varianten: niet elk datalek leidt automatisch tot aansprakelijkheid

Een veelgemaakte denkfout is dat elk datalek automatisch tot aansprakelijkheid leidt. In de praktijk zijn er verschillende varianten die de uitkomst kunnen veranderen:

Geen of onvoldoende aantoonbare schade Als er geen (relevante) schade kan worden vastgesteld, is er vaak minder grond voor schadevergoeding.
Geen verwijtbaar tekortschieten Zelfs bij een incident kan discussie ontstaan over de mate waarin u de zorgplicht heeft nageleefd. Dat betekent: niet alleen wat u “wist”, maar ook wat u redelijkerwijs had moeten doen in het licht van de risico’s en uw organisatie.
Onjuiste roltoedeling Als partijen de rol verkeerd inschatten (bijvoorbeeld denken dat men verwerker is terwijl men feitelijk doelen en middelen bepaalt, of andersom), verschuift het verantwoordelijkheidskader.
Omstandigheden buiten de controle Bij uitzonderlijke omstandigheden kan er discussie ontstaan over de toerekening van het incident. Dit is sterk afhankelijk van het type gebeurtenis en de genomen maatregelen.
Meerdere betrokken partijen In ketens (leveranciers, verwerkers, systeembeheerders) kan de beoordeling gaan over gedeelde of onderscheiden verantwoordelijkheden. Contractuele afspraken zijn daarbij niet automatisch bepalend, maar kunnen wel richting geven aan wie wat had moeten doen.

Belangrijk: de precieze juridische kwalificatie verschilt per land, per feitencomplex en per type vordering. Daarom is dit model een hulpmiddel om te structureren, geen garantie op uitkomst.

Praktische controlepunten voor ondernemers

Om aansprakelijkheid bij een datalek klantgegevens beter te kunnen plaatsen, kunt u uw interne dossier en beoordeling langs deze controlepunten organiseren:

Maak de verwerkingsrollen helder Leg vast wie het doel en de middelen bepaalt, en wie in opdracht verwerkt. Dit helpt bij het bepalen van plichten en verantwoordelijkheden.
Onderbouw het risicobeeld en de getroffen maatregelen In een beoordeling wordt doorgaans gekeken naar passende beveiliging. Houd daarom bewijs bij van technisch en organisatorisch handelen, zoals beleid, instructies en relevante keuzes.
Documenteer het incidentproces Noteer wat er gebeurde, wanneer, welke signalen er waren, en welke stappen zijn gezet bij detectie, analyse en afhandeling. Een goed incidentdossier is vaak cruciaal voor de feitenvaststelling.
Breng schade en gevolgen concreet in kaart Verzamel wat klanten daadwerkelijk is overkomen of waaruit immateriële gevolgen blijken, voor zover dat feitelijk onderbouwd kan worden.
Analyseer het causaal verband zo feitelijk mogelijk Geef aan hoe het datalek verband houdt met de gestelde schade. Als er meerdere oorzaken in het spel zijn, maak die expliciet.
Check contractuele en ketenafspraken op consistentie met de praktijk Contracten kunnen rollen en taken vastleggen, maar de feitelijke uitvoering telt zwaar. Zorg dat wat in contracten staat aansluit op de werkelijkheid.

Als u twijfelt over uw aansprakelijkheidspositie, is het verstandig om de beoordeling te laten leiden door feiten (rollen, maatregelen, incidentverloop en schadeonderbouwing), zodat u niet alleen op aannames bouwt.

Opmerking over zekerheid: omdat dit onderwerp sterk van concrete omstandigheden afhangt, kan geen generiek stappenplan de uitkomst voor uw specifieke zaak voorspellen.