'Ik wil bereiken dat personen die getroffen zijn door datalekken toegang hebben tot effectieve rechtsmiddelen en overal gelijk worden behandeld'

Wat betekent het om een PhD te doen? Hoe word je een PhD-kandidaat en wat is daarvoor nodig? Sophia Salziger over haar promotieonderzoek naar de mogelijkheid om immateriële schade te claimen wanneer je persoonsgegevens zijn gelekt, zoals onlangs gebeurde na de Odido-hack.

_{Door Tim van Zuijlen}

Hoe heeft jouw reis geleid naar het doen van een PhD in Groningen? 

''Ik studeerde ‘Law in the International Context of Technology, Politics, and Economy’ aan de Technische Universiteit van Dresden. Na een jaar gewerkt te hebben, besefte ik dat ik mijn kennis wilde uitbreiden, wat me naar de Rijksuniversiteit Groningen bracht voor een LLM in International Human Rights Law.

Tijdens het schrijven van mijn scriptie vroeg mijn begeleider of ik ooit een PhD had overwogen. Destijds had ik geen idee hoe het dagelijkse PhD-werk er echt uitzag, maar het zaadje was geplant. Na het afronden van een tweede LLM in Global Criminal Law, had ik het geluk om mijn promotieonderzoek in Groningen te kunnen starten.''

Kun je ons wat meer vertellen over je onderzoek? Is er iets dat je wilt bereiken? 

''Mijn onderzoek gaat over de toegang tot effectieve rechtsmiddelen en richt zich op de vergoeding van schade als gevolg van inbreuken op de gegevensbescherming. In gevallen van gegevensbeschermingsinbreuken is de schade die mensen lijden meestal zogenaamd 'immaterieel'.

Een voorbeeld is de angst dat je persoonsgegevens in de verkeerde handen terechtkomen en in de toekomst misbruikt zullen worden. Dit type schade is zeer subjectief en moeilijk te bewijzen. De beoordeling is daarom complex.

Rechters worstelen hiermee en hebben tot nu toe verschillende benaderingen gekozen om te bepalen wat in aanmerking komt voor compensatie en hoeveel geld er moet worden toegekend, wat weer leidt tot ongelijkheid. Wanneer je naar de rechter gaat, is de uitkomst onzeker: sommige rechters kennen een vergoeding toe, terwijl andere dat niet doen. Sommige rechters kennen een hoge vergoeding toe en andere een lage.

Met mijn PhD streef ik ernaar om richtlijnen te bieden die rechters en advocaten helpen om door die complexiteit te navigeren. Ik wil bereiken dat personen die getroffen zijn door datalekken toegang hebben tot effectieve rechtsmiddelen en overal gelijk worden behandeld.''

Dat klinkt als een enorm probleem, want datalekken gebeuren voortdurend! We hadden onlangs een groot datalek bij Odido, maar er waren ook lekken bij onder andere het bevolkingsonderzoek en de GGD’s. Leren we van deze gebeurtenissen of en hoe immateriële schade kan worden vergoed? 

''Deze zaken zijn een perfect voorbeeld van de 'vrees voor toekomstig misbruik'. Wanneer een datalek optreedt, kunnen je persoonsgegevens op het dark web belanden, en zelfs als er nog geen misbruik van is gemaakt, kan die angst daadwerkelijk schade zijn. Onder Artikel 82 van de AVG kun je aanspraak maken op een vergoeding voor deze vrees, maar het bewijzen van die vrees is moeilijk.

Het is voor betrokkenen misschien makkelijker om een collectieve claim in te dienen. In Nederland lijkt het onder de WAMCA zo te zijn dat de bewijsstandaard om schade aan te tonen in een collectieve claim lager is dan het niveau van geïndividualiseerd bewijs dat nodig is voor een individuele claim.

In elk geval zal de rechter beoordelen of de verwerkingsverantwoordelijke van het bedrijf 'passende' technische en organisatorische maatregelen heeft geïmplementeerd, waarvoor de expertise van IT-specialisten vereist is. Daarom is dit advies voor alle verwerkingsverantwoordelijken: zorg ervoor dat je technische en organisatorische maatregelen up-to-date zijn, want als je niet op een 'concrete manier' kunt bewijzen dat je passende maatregelen hebt genomen, word je verondersteld schuldig te zijn en aansprakelijk gehouden voor de daaruit voortvloeiende schade!

Zoals je kunt zien, is het vaststellen van aansprakelijkheid en het toekennen van compensatie bij datalekken, zoals de Odido-hack, een langdurig proces dat veel inspanning vereist. Dit laat ons ook zien dat we meer experts nodig hebben met een interdisciplinaire achtergrond.''

Hier zitten veel verschillende kanten aan. Niet alleen juridisch, maar ook technisch en organisatorisch. Heeft dat jaar werken bij NGO's en in de private sector ook je promotieonderzoek gevormd? 

''Ja, dat deed het, in termen van zowel 'technische als organisatorische' aspecten! Ik werkte met NGO's op het gebied van internationale humanitaire hulp en belangenbehartiging voor mensenrechten. Ik had strakke deadlines, wat me leerde om efficiënt te werken en mijn tijd effectief te beheren.

Later werkte ik voor een bedrijf waar ik de AVG implementeerde. Ik was toen nog geen gegevensbeschermingsspecialist, maar ik moest snel leren, trainingsmateriaal schrijven en technische en organisatorische maatregelen implementeren.

Ik ben erg dankbaar voor dit praktische inzicht en deze ervaring, omdat het me in staat heeft gesteld om de theoretische en technische termen in de AVG en andere regelgeving beter te begrijpen.

Nu, in mijn PhD, is een van mijn doelen om effectieve oplossingen te vinden voor beide partijen – zowel voor de getroffenen als voor de verwerkingsverantwoordelijken – waardoor de AVG in de praktijk toepasbaar en efficiënt wordt, in plaats van bureaucratische hindernissen op te werpen.''

En nu bevind je je in de laatste fase van je promotieonderzoek. Kun je al terugblikken en nagaan welke persoonlijke kwaliteiten je hebben geholpen bij je PhD, en zijn er tips voor startende en aspirant-promovendi? 

''Ik denk dat nieuwsgierigheid heel belangrijk is, evenals openstaan voor creatieve oplossingen en blijven stellen van vragen. Geduld is ook van belangrijk, omdat je obstakels en gesloten deuren zult tegenkomen, maar als je blijft lezen, zoeken en contact zoekt met anderen, zullen nieuwe wegen zich uiteindelijk aandienen.

Een PhD is geen 9-tot-5-baan; het is een veelzijdige ervaring. Niet alleen onderzoek, maar veel meer: lesgeven, studenten begeleiden, netwerken op conferenties, onderzoeksinstellingen bezoeken, en nog veel meer. Urenlang in je kantoor werken kan isolerend zijn, maar interactie met andere onderzoekers die jouw interesses en zorgen delen, kan een gevoel van gemeenschap bevorderen.

Als ik studenten wat advies zou geven, zou ik tegen hen zeggen: zelfs als je het gevoel hebt dat je cijfers je definiëren, ligt je waarde als onderzoeker meer in je specifieke interesses en vaardigheden dan in een cijfer of een 'cum laude' op je diploma. Kortom: laat de academische omgeving je niet intimideren.

Mijn praktische advies voor het starten van een PhD: begin al vroeg met schrijven! Besteed de eerste drie jaar niet alleen aan het consumeren van informatie. Gebruik de tijd om je geleidelijk te ontwikkelen als onderzoeker en je project vooruit te helpen, zodat onvoorziene levensgebeurtenissen je niet terugwerpen.''