Godtgørelse i sag om databrud

I efteråret 2018 blev der stjålet fire computere fra et rådhus. På den ene af disse computere var der på et lokaldrev gemt et excel-ark med oplysninger om ca. 20.000 borgere herunder CPR-numre, navne og adresser. Excel-arket var udarbejdet til brug for sagsbehandling i forbindelse med mellemkommunal refusion.

Fem borgere, hvis oplysninger fremgik af excel-arket, lagde efterfølgende sag an mod kommunen med påstand om erstatning/godtgørelse for ikke-økonomisk skade i medfør af databeskyttelsesforordningens artikel 82.

Det følger af forordningens artikel 82, stk. 1, og databeskyttelseslovens § 40, at enhver, der har lidt materiel eller immateriel skade som følge af en ulovlig behandlingsaktivitet eller enhver anden behandling i strid med loven eller forordningen, har ret til erstatning efter forordningens artikel 82.

Byretten frifandt kommunen

Byretten fandt, at kommunen som dataansvarlig ikke havde overholdt databeskyttelsesforordningens krav til behandlingssikkerhed som omhandlet i databeskyttelsesforordningens artikel 32, stk. 1, og stk. 2, jf. artikel 5, stk. 1, litra f.

Byretten lagde til grund, at borgerne subjektivt set havde følt sig krænkede over datasikkerhedsbruddet, men at sådanne subjektive følelser imidlertid ikke i sig selv kunne anses for tilstrækkeligt til, at borgerne havde ret til erstatning/godtgørelse for ikke-økonomisk skade i medfør af databeskyttelseslovens § 82, stk. 1.

Byretten fandt, at et krav på erstatning efter databeskyttelsesforordningen, herunder godtgørelse for ikke-økonomisk skade, måtte kræve, at bruddet på datasikkerheden havde medført skade eller nærliggende risiko for skade på f.eks. omdømme, tab af fortrolighed, identitetstyveri eller andre økonomiske eller sociale konsekvenser for borgerne af en vis kvalificeret karakter. Der var ikke grundlag for at fastslå, at borgerne havde været udsat for en sådan skade, der kunne begrunde erstatning.

Borgerne ankede dommen til landsretten.

Landsretten stadfæstede byrettens dom

Landsretten fandt ligesom byretten, at der i forbindelse med databruddet skete en overtrædelse af databeskyttelsesforordningens artikel 5, stk. 1, litra f, jf. artikel 32, stk. 1 og 2.

Spørgsmålet var herefter, om borgene som følge af overtrædelsen af databeskyttelsesforordningens bestemmelser havde lidt en immateriel skade i forordningens artikel 82, stk. 1’s forstand.

Landsretten udtalte, at det fulgte af EU-Domstolens praksis, jf. bl.a. dom af 20. juni 2024 i sag C-590/22, at den frygt, som en registreret nærer for, at dennes personoplysninger potentielt kunne blive misbrugt af tredjemand som følge af en overtrædelse af forordningen, i sig selv kunne udgøre en immateriel skade. En frygt for, at personoplysninger som følge af en overtrædelse af forordningen var videregivet til tredjemand, uden at det var godtgjort, at dette faktisk var tilfældet, var tilstrækkeligt til at begrunde ret til erstatning, for så vidt denne frygt og de negative konsekvenser af denne var behørigt bevist, jf. præmis 36.

Det påhvilede i den forbindelse borgerne at godtgøre, at de hver især faktisk havde lidt en sådan skade, herunder at deres påberåbte frygt for fremtidigt misbrug af oplysningerne i regnearket kunne anses for velbegrundet under de specifikke omstændigheder, jf. EU-domstolens dom af 14. december 2023 i sag C-340/21, præmis 85.

Landsretten fandt ikke grundlag for at fastslå, at oplysningerne i regnearket faktisk var kommet til uvedkommende tredjemands kundskab. På denne baggrund og efter en samlet vurdering af sagen fandt landsretten, at borgerne ikke alene med henvisning til det passerede og ved de afgivne forklaringer om egne opfattelser og tanker herom havde godtgjort, at de som følge af det skete databrud havde lidt immateriel skade. Betingelserne for erstatning var herefter ikke opfyldt.

Procesbevillingsnævnets sagsnummer

Sagen er behandlet i Procesbevillingsnævnet under j.nr. 24/31034, 24/31152, 24/31154, 24/31270 og 24/31281.