Vordering farming voor schadevergoeding in het licht van gegevensbeschermingswetten

Door Eur Ing Mark Hawksworth, leider van de praktijkgroep Global Technology Specialist en uitvoerend MCL-expert

Met de invoering van nieuwe wetgeving op het gebied van gegevensbescherming komen ook nieuwe uitdagingen.

Claim farming vindt plaats wanneer partijen claims indienen voor financieel gewin tegen doelwitten die zich niet bewust zijn van misbruik van gegevens, en komt steeds vaker voor in het Verenigd Koninkrijk. Na de moeilijkheden in verband met COVID-19 en het toenemende aantal cyberaanvallen, worden Britse bedrijven nu geconfronteerd met een extra risico van claim farming op basis vanRegulation 6van dePrivacy and Electronic Communications(EC Directive) Regulations 2003 (PECR). In de claims die we tot nu toe hebben ontvangen, waren bedrijven zich niet bewust van hun blootstelling, waardoor het voor polishouders van cruciaal belang is om bewustzijn te creëren en een plan op te stellen om zichzelf te beschermen.

Zorgen over naleving

In sommige gevallen zijn bedrijven zich er niet van bewust dat ze aansprakelijk zijn voor misbruik van persoonsgegevens. Als een persoon hun webpagina bezoekt en merkt dat er trackingcookies zijn gedownload, kan hij of zij een klacht indienen dat de webpagina niet aan de regelgeving voldoet. De uitdaging is om te bepalen of de persoon die de klacht indient, die webpagina opzettelijk heeft opgezocht voor eigen financieel gewin.

Er worden massaal claims ingediend door derden met betrekking tot het plaatsen van permanente trackingcookies op persoonlijke apparaten zonder toestemming van de eigenaar. Het argument is dat trackingcookies een inbreuk vormen op de AVG en dat, aangezien er geen toestemming is gegeven voor het plaatsen van de trackingcookie, de eiser financiële compensatie kan eisen.

In de correspondentie van seriële eisers wordt meestal verwezen naar artikel 2, lid 1, van Verordening 6 van de Privacy and Electronic Communications (EC Directive) Regulations 2003 (PECR), waarin staatdat "toestemming door een gebruiker of abonnee overeenkomt met de toestemming van de betrokkene in de AVG". Overweging 32 van de AVG stelt:"Toestemming moet worden gegeven door een duidelijke bevestigende handeling waarmee de betrokkene op vrije voet, specifiek, geïnformeerd en ondubbelzinnig aangeeft dat hij ermee instemt".

Het proces voor polishouders

Als op basis van bovenstaande richtlijnen een inbreuk wordt geconstateerd, wordt de verzekeringnemer op de hoogte gesteld van de installatie van trackingcookies en wordt hij uitgenodigd om een claim in te dienen onder de passende verzekeringsdekking die hij heeft afgesloten. Een claim wordt doorgegeven aan verzekeraars en vervolgens aan een behandelaar die bewijs krijgt van zowel de installatie als de persistentie van de trackingcookies, meestal in de vorm van een video-opname van het apparaat van de eiser.

De claim kan verwijzen naar:

• beschuldigingen/bewijs
• de vermeende webpagina die tracking cookies installeert
• bewijs van persistentie van de tracking cookies
• hoe de tracking cookies een unieke identificatiecode creëren, die internetgedrag volgt in strijd met artikel 6, lid 1, van de PECR
• het niet verstrekken van duidelijke en uitgebreide informatie aan de eiser over het doel van deze cookies, in strijd met artikel 6, lid 2, onder a), van de PECR
• het niet verkrijgen van toestemming voor het gebruik van cookies in strijd met artikel 6, lid 2, onder b), van de PECR;
• het niet op eerlijke, rechtmatige en transparante wijze verwerken van persoonsgegevens, in strijd met artikel 5 van de AVG

Tijdens schadeclaambesprekingen wordt gedreigd dat als de kwestie niet naar tevredenheid van de eiser wordt opgelost, de details zullen worden doorgegeven aan het Information Commissioner Office (ICO). Het ICO kan zijn handhavingsbevoegdheden uitoefenen op grond van artikel 32 van de PECR, dat bepaalt dat er persoonlijke aansprakelijkheid bestaat voor schendingen van de PECR op grond van artikel 2, lid 3, van de Privacy and Electronic Communications (Amendment) Regulations2018. De correspondentie wordt meestal afgesloten met het verzoek om een betaling in de vorm van een financiële vergoeding voor het bovenstaande gebrek aan toestemming, waarna de melding aan het ICO niet zal worden voortgezet.

Voor verzekeraars, makelaars en polishouders is het essentieel om te begrijpen wat de gevolgen zijn als er geen toestemming voor cookies wordt gevraagd op webpagina's. Of het bedrijf zich hiervan bewust is of niet, het kan toch aansprakelijk worden gesteld en dus verantwoordelijk zijn voor het betalen van een financiële vergoeding aan de eiser. Door bewustwording te creëren rond claim farming en een plan op te stellen, kunnen onschuldige partijen worden beschermd tegen dit soort claims van derden.