《Computer Law & Security Review》：�80 Billion in claims, but no damage? lessons from dutch collective GDPR actions from 2020 to July 2026
编辑推荐：
摘要翻译：本文通过自下而上地分析2020年至2026年7月期间的荷兰集体诉讼案件，考察了在《通用数据保护条例》(GDPR)框架下，集体诉讼中损害认定所能达到的程度。自2020年荷兰引入集体救济制度(WAMCA)以来，共提起了十六起与GDPR相关的集体索赔，估计
摘要翻译：本文通过自下而上地分析2020年至2026年7月期间的荷兰集体诉讼案件，考察了在《通用数据保护条例》(GDPR)框架下，集体诉讼中损害认定所能达到的程度。自2020年荷兰引入集体救济制度(WAMCA)以来，共提起了十六起与GDPR相关的集体索赔，估计总价值超过800亿欧元。尽管涉嫌侵权行为的规模庞大且表面看来性质严重，但这些行为是否造成了可予赔偿的损害仍不确定。本研究利用公开可获得的案件文件，分析了这些索赔的结构、涉嫌侵权的类型以及所援引的损害形式。随后，本研究的讨论基于欧洲联盟法院(CJEU)现行判例法，探讨了此类案件中可能主张的损害类型。研究结果表明，尽管某些形式的损害——如失去控制、对未来滥用的担忧以及隐私侵犯——在理论上得到承认，但在集体诉讼背景下却难以证实。许多被指控的损害要么过于抽象，要么个性化程度不足，要么缺乏与侵权行为的明确因果关系。因此，即使是严重的GDPR违规行为，也不一定能转化为大规模的可赔偿损害。本文的结论是，现实中的集体GDPR诉讼在确立损害方面面临结构性证据限制。这引发了关于集体救济作为GDPR下执法机制有效性的更广泛问题，并表明该法规的保护目标与其提供赔偿的实际能力之间可能存在错位。
论文解读：
一、研究背景与问题提出
2021年1月，荷兰媒体报道称650万人的COVID相关健康数据在暗网上被交易，这些高度敏感的个人数据源自政府数据库，管理新冠预约的软件向包括临时雇员在内的5万名用户授予了完整的导出和打印权限。2023年，代表性组织ICAM代表受害者提起集体索赔，要求135亿欧元赔偿。然而2024年，阿姆斯特丹地区法院裁定ICAM不予受理，理由是未能证明损害——法院认为，尽管一大群人有权访问数据，但ICAM未能证明敏感个人数据确实被非法访问、打印或导出。荷兰政府未妥善记录系统使用情况，因此没有可供判断是否存在非法披露的日志文件。这一结果看似违反直觉：一桩明显的安全失误导致了涉及敏感数据的重大泄露，何以未造成任何损害？
自2020年荷兰引入新的集体索赔制度(WAMCA)以来，截至2026年7月，已有16起GDPR相关集体索赔被提起，总索赔价值超过800亿欧元。2023年，《代表诉讼指令》(EU 2020/1828; RAD)为整个欧盟引入了类似框架。若按线性推算，欧盟集体索赔市场规模可能轻松超过2.4万亿欧元。本研究采用自下而上的方法，分析荷兰集体索赔在实践中证明GDPR损害时面临的法律障碍，研究问题为：在2020年至2026年7月期间的荷兰集体GDPR索赔中，损害能够在多大程度上得到确立？
二、研究设计与方法
本研究为描述性实证法律研究，数据来源为2020年至2026年7月期间在荷兰提起的所有16起GDPR相关集体索赔的公开传票摘要，这些摘要共计1407页。WAMCA要求代表实体在荷兰法院系统管理的公共登记册中公布其传票摘要，这些摘要通常超过200页，提供有关索赔性质、涉嫌侵权和假定损害的广泛信息。方法上，首先对全部索赔的整体格局进行描述；其次对每项索赔中的侵权类型进行编码分类，归纳出在线追踪、数据主体权利、数据泄露、数据转移和非GDPR依据五类索赔类型；最后将索赔人陈述的"最佳情景"与欧盟法院(CJEU)现行GDPR损害判例法进行对照分析。研究依赖原告提供的信息，尽管这些信息存在固有偏倚，但论者认为，若在最佳情境下损害仍无法成立，则更平衡的情境也难以为继。
三、研究结果与分析
3.1 在线追踪
多数案件涉及在线追踪和定向广告。原告主张的损害类型包括隐私损害、声誉损害、情感困扰等。研究表明，尽管数据收集行为可能构成对私人领域的干涉，但将基本权利干涉转化为可赔偿损害需要充分论证。CJEU在Scalable Capital案中确立，身份盗用赔偿需数据主体证明第三方实际使用被盗信息冒用其身份。涉及儿童数据的案件中，原告主张社交媒体将儿童暴露于危险环境，增加焦虑、抑郁和成瘾风险，CJEU在KNLTB案中已隐含承认暴露于有害环境可作为损害形式。
3.2 数据主体权利
被动透明度义务(第13-14条)与主动数据主体权利(第15-22条)未获遵守的损害认定难度不同。实践中，极少数据主体阅读或理解透明度通知，因此难以论证信息义务违反造成大规模损害。对于主动行使权利的请求，大多数数据主体并未行使此类权利，拒绝配合请求未必产生实际损害。2024年荷兰数据保护局对Uber处以1000万欧元罚款，因其妨碍司机行使隐私权，此类系统性阻碍可能影响所有意图行使权利的主体，但在一般情形下，仅违反信息义务难以证明损害成立。
3.3 数据泄露与安全措施
数据泄露本身不被GDPR禁止，但可能违反第32条安全义务、第33-34条通知义务和第25条数据最小化原则。CJEU承认"失去控制"和"恐惧损害"为独立损害形式，但恐惧须有客观滥用风险作为依据，且需证明恐惧源于GDPR侵权而非日常生活的一般风险。ICAM案暴露了现行判例法的空白：现有判例均以可证明的第三方非法披露为前提，当无法确认第三方是否取得数据时，"失去控制"与"恐惧损害"概念能否延伸适用尚不明确，这一不确定性严重影响原告的举证能力。
3.4 数据转移
Schrems II案后，2020年7月至2023年7月间大量向美国的数据转移可能违法。然而，官方数据显示2020至2023年间美国政府仅针对约24万非美国居民使用 surveillance权力，相较于每年数十亿人的数据转移规模，随机数据主体被针对的概率可忽略不计。Bindl案中CJEU认定非法数据转移使申请人处于不确定性状态构成失去控制并判赔400欧元，但该判决的推理说服力存疑，且该案正在上诉中。
四、结论与展望
本研究回答了核心研究问题：在2020年至2026年7月间的荷兰集体GDPR索赔中，确立可赔偿损害仍然面临结构性困难。主要障碍不在于证明侵权本身，而在于将侵权转化为可证明、可规模化且可赔偿的损害形式。恐惧损害和人格损害等虽属可主张的损害类型，但均具有情境特定性，难以普遍适用；情感损害等缺乏一致框架，制约规模化主张。集体诉讼的高风险性质要求比个人诉讼更充分的论证和结构。索赔人的信息地位严重制约其证明损害的能力，如ICAM案中因无日志文件而无法证明数据向第三方披露。这些发现可能表明集体诉讼存在证据局限性，或某些GDPR违规行为与可证明的可赔偿损害之间存在错配，区分这两种解释有待进一步研究。该研究发表于《Computer Law》，对欧盟RAD框架下的集体救济实践具有重要启示意义。
