A-G Szpunar: geen immateriële schade bij bewust uitgelokte AVG-inbreuken om schadevergoeding te verkrijgen

HvJ EU Conclusie A-G 5 november 2026, IT 5637; ECLI:EU:C:2026:948 (Undelam). Advocaat-generaal Szpunar concludeert dat een dynamisch IP-adres dat door een websitebeheerder automatisch aan een derde wordt doorgegeven, onder bepaalde voorwaarden een persoonsgegeven vormt in de zin van artikel 4, punt 1, AVG. De zaak betreft een geschil tussen een Duitse websitebeheerder en een internetgebruiker die met geautomatiseerde software websites bezocht waarop Google Fonts dynamisch was geïntegreerd. Door deze configuratie werden de lettertypen rechtstreeks van Google-servers geladen, waarbij het dynamische IP-adres van de bezoeker automatisch aan Google in de Verenigde Staten werd doorgegeven. De gebruiker had software ontwikkeld om dergelijke websites op te sporen en automatisch te bezoeken, waarna hij via zijn advocaat een financiële vergoeding verlangde wegens vermeende AVG-inbreuken. De websitebeheerder betaalde aanvankelijk 170 euro, maar vorderde dit bedrag later terug. Volgens de advocaat-generaal moet bij de kwalificatie van een dynamisch IP-adres als persoonsgegeven worden beoordeeld of de ontvanger beschikt over middelen waarvan redelijkerwijs valt te verwachten dat daarmee de betrokkene kan worden geïdentificeerd. Daarbij is een niet-onbeduidend identificatierisico voldoende. De mogelijkheid om het IP-adres te combineren met andere door Google verzamelde gegevens kan hierbij van belang zijn. Het staat aan de nationale rechter om dit te beoordelen. Wanneer de ontvanger over dergelijke identificatiemiddelen beschikt, vormt het IP-adres rechtstreeks een persoonsgegeven ten aanzien van die ontvanger en indirect ten aanzien van de websitebeheerder, mits deze wist of had moeten weten dat de ontvanger over die middelen beschikte.

Daarnaast onderzoekt de advocaat-generaal of een betrokkene aanspraak kan maken op immateriële schadevergoeding op grond van artikel 82, lid 1, AVG wanneer hij bewust, herhaaldelijk en op geautomatiseerde wijze AVG-inbreuken uitlokt om daarvoor een financiële vergoeding te verkrijgen. Hij benadrukt dat voor schadevergoeding cumulatief sprake moet zijn van een inbreuk op de AVG, daadwerkelijk geleden schade en een causaal verband tussen beide. Hoewel verlies van controle over persoonsgegevens of een gegronde vrees voor misbruik daarvan immateriële schade kan opleveren, is daarvan volgens Szpunar in de beschreven omstandigheden geen sprake. De betrokkene heeft de doorgifte immers bewust uitgelokt, waardoor zijn gegevens juist op de door hem voorziene wijze zijn gebruikt. Ook zijn handelwijze, waarbij hij op grote schaal dergelijke doorgiften uitlokte, wijst er volgens de advocaat-generaal niet op dat hij vreesde voor misbruik van zijn gegevens. Subsidiair overweegt Szpunar dat een schadevordering wegens rechtsmisbruik kan worden afgewezen wanneer de betrokkene kunstmatig de voorwaarden voor schadevergoeding heeft gecreëerd. Daarvoor moeten zowel objectieve omstandigheden waaruit blijkt dat het doel van de Unieregeling niet is bereikt als een subjectief oogmerk om een voordeel te verkrijgen worden vastgesteld. Het verkrijgen van financieel voordeel hoeft daarbij niet het enige doel te zijn, zolang dit het hoofddoel is. De advocaat-generaal geeft het Hof daarom in overweging te oordelen dat geen immateriële schade in de zin van artikel 82, lid 1, AVG kan worden erkend wanneer de betrokkene bewust, op geautomatiseerde en herhaalde wijze een AVG-inbreuk uitlokt om schadevergoeding te verkrijgen.

88.      Gelet op het voorgaande geef ik het Hof in overweging de prejudiciële vragen van het Bundesverwaltungsgericht te beantwoorden als volgt:

„1)      Artikel 4, punt 1, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming)

moet aldus worden uitgelegd dat

een dynamisch IP-adres dat door de beheerder van een website automatisch wordt doorgegeven aan een derde entiteit die over middelen beschikt waarvan redelijkerwijs valt te verwachten dat ze worden gebruikt om de betrokken persoon te identificeren, rechtstreeks een persoonsgegeven is ten aanzien van die entiteit en indirect ten aanzien van de websitebeheerder, indien deze wist of had moeten weten dat dit het geval was.

2)      Artikel 82, lid 1, van verordening 2016/679

moet aldus worden uitgelegd dat

het bestaan van immateriële schade niet kan worden erkend wanneer de betrokkene bewust en op geautomatiseerde en herhaalde wijze een inbreuk op deze verordening heeft uitgelokt om schadevergoeding te verkrijgen.”