7 borgere i Gladsaxe Kommune havde ikke krav på erstatning

Sagsnumre: BS-19120/2019 GLO, BS 22348/2019-GLO, BS 49315/2019-GLO, BS 51045/2019-GLO, BS 51234/2019-GLO, BS 51318/2019-GLO og BS 51332/2019.-GLO

Sagen kort fortalt

I weekenden den 30. november til den 2. december 2018 blev der stjålet 4 bærbare PC´ere fra Gladsaxe Kommunes rådhus. På den ene PC var der på et lokaldrev lagret et regneark med personoplysninger om 20.620 borgere. Regnearket var udarbejdet til brug for mellemkommunal refusion. Den PC, som regnearket var lagret på, var sikret med sædvanlige Windows foranstaltninger om brugernavn og adgangskode. PC´ens harddisk var ikke krypteret, og lagringen af regnearket på den bærbar PC´s lokaldrev var en overtrædelse af kommunens egen sikkerhedspolitik. 7 borgere anlagde sag mod kommunen med påstande om erstatning i størrelsesordenen 7.500-30.000 kr. I regnearket var der for alle 7 borgere oplysninger om CPR-nummer, navn og adresse. Desuden var der vedrørende nogle af borgerne summariske oplysninger om boligsikring og helbredsoplysninger i form af oplysning om blandt andet paragraffer og leverandør af sundhedsydelser.

Retten fandt, at Gladsaxe Kommune som dataansvarlig ikke havde overholdt de krav til behandlingssikkerhed, som EU´s databeskyttelsesforordning stil­ler, og at Gladsaxe Kommune var ansvarlig herfor.

Borgerne havde ikke lidt et økonomisk tab, og spørgsmålet var herefter, om de 7 borgere havde krav på erstatning for ikke-økonomisk skade efter EU´s databeskyttelsesforordning, som finder direkte anvendelse i Danmark, og databeskyttelsesloven. Et væsentligt spørgsmål i sagen var, om databeskyttelsesforordningens artikel 82 – som alene omtaler erstatning for materiel eller immateriel skade - giver mulighed for erstatning for ikke-økonomisk skade. EU-domstolen og de danske domstole har ikke tidligere taget stilling til dette spørgsmål. Retten i Glostrup fandt, at databeskyttelsesforordningens artikel 82, må fortolkes således, at bestemmelsen også omfatter erstatning for ikke-økonomisk skade.

De 7 borgere havde dog ikke krav på erstatning for ikke-økonomisk skade. Retten fandt efter en samlet vurdering af det skete brud på datasikkerheden sammenholdt med arten og karakteren af de summariske oplysninger om hver enkelt af de 7 borgere, som bruddet omfattede, at der ikke er grundlag for fastslå, at de har været udsat en sådan skade, der kan begrunde et krav på erstatning.

Sagen blev behandlet sammen som en tredommersag, og dommerne var enige om sagens udfald.

Afgørelsesdato

Dommen blev afsagt af Retten i Glostrup den 11. maj 2021.

Yderligere oplysninger kan fås ved henvendelse til pressekontaktdommer Christina Breinstrup.