Principiel byretsdom: Persondata­krænkelser kan udløse erstatning for ikke-økonomisk skade

Retten i Glostrup har den 11. maj 2021 afsagt dom i en civil sag anlagt af syv borgere mod Gladsaxe Kommune som følge af et brud på persondatasikkerheden. Et væsentligt spørgsmål i sagen var, om databeskyttelsesforordningens artikel 82 giver mulighed for erstatning for ikke-økonomisk skade. Byretten afgjorde, at databeskyttelsesforordningens artikel 82 må fortolkes sådan, at bestemmelsen også omfatter erstatning for ikke-økonomisk skade.

Sagens omstændigheder

I vinteren 2018 blev en arbejdscomputer med et lokaldrev, som indeholdt et regneark med personoplysninger om 20.620 borgere, stjålet fra Gladsaxe Rådhus. Regnearket var udarbejdet til brug for mellemkommunal refusion. Computeren var sikret med sædvanlige Windows-foranstaltninger i form af brugernavn og adgangskode, men dens harddisk var ikke krypteret, og lagringen af regnearket på lokaldrevet var en overtrædelse af kommunens egen sikkerhedspolitik.

På den baggrund anlagde syv borgere sag mod kommunen med påstand om erstatning i størrelsesordenen 7.500-30.000 kr. I regnearket var der for alle syv borgere oplysninger om CPR-nummer, navn og adresse. Desuden var der summariske oplysninger om boligsikring og helbredsoplysninger om nogle af borgerne.

Læs vores tidligere nyhed om Datatilsynets politianmeldelse og bødeindstilling af Gladsaxe kommune.

Byrettens afgørelse

Byretten fandt, at Gladsaxe Kommune som dataansvarlig havde tilsidesat databeskyttelsesforordningens krav til behandlingssikkerhed.

Spørgsmålet var herefter, om de syv borgere havde krav på erstatning for den ikke-økonomiske skade i henhold til databeskyttelsesforordningen, som alene omtaler erstatning for materiel eller immateriel skade.

Retten i Glostrup fandt, at databeskyttelsesforordningens artikel 82, må fortolkes sådan, at bestemmelsen også omfatter erstatning for ikke-økonomisk skade.

Retten fandt dog, at der ikke var grundlag for at fastslå, at de syv borgere havde været udsat for en sådan skade, der kan begrunde et krav på erstatning ‒ ud fra en samlet vurdering af sikkerhedsbruddet sammenholdt med arten og karakteren af de summariske oplysninger om hver borger.

Kromann Reumerts bemærkninger

Sagen er principiel, da EU-Domstolen og de danske domstole ikke tidligere har taget stilling til spørgsmålet om, hvorvidt databeskyttelsesforordningens artikel 82 også omfatter krav på erstatning for ikke-økonomisk skade.

Der har i teorien været uenighed om, hvorvidt dette er tilfældet, idet art. 82 i databeskyttelsesforordningen alene omtaler erstatning for materiel eller immateriel skade. Hertil kommer, at byretten er nået til en anden konklusion end Justitsministeriet, som i sin betænkning om databeskyttelsesforordningen fastslog, at der ikke er "tilstrækkeligt grundlag for at fastslå, at godtgørelse for ikke-økonomisk skade er omfattet af retten til erstatning for materiel eller immateriel skade efter artikel 82, stk. 1".

Hidtil har forurettede registrerede alene kunne kræve tortgodtgørelse for ikke-økonomisk skade i medfør af erstatningsansvarslovens § 26. Det følger af praksis fra før databeskyttelsesforordningen fandt anvendelse den 25. maj 2018, at godtgørelsesniveauet for persondatakrænkelser har været på op til ca. 25.000 kr. I den foreliggende sag fandt byretten, at der ikke konkret var grundlag for et erstatningskrav for ikke-økonomisk skade, men godtgørelsesniveauet efter databeskyttelsesforordningens artikel 82, stk. 1, forventer vi bliver højere end det hidtidige godtgørelsesniveau efter erstatningsansvarsloven.

Det fremgår ikke af byrettens referat af dommen, om der er taget stilling til spørgsmålet om anke til Landsretten. Vi forventer, at sagen bliver anket på grund af dens principielle karakter.

Læs byrettens pressemeddelelse.