Efter afgørelse i Østre Landsret: Seks borgere havde ikke krav på godtgørelse i henhold til databeskyttelseslovgivningen efter databrud i kommune

Østre Landsrets afgørelse i sagen i Gladsaxe Kommune

Østre Landsret fandt, at kommunens tekniske og organisatoriske foranstaltninger ikke havde været tilpasset risikoen for databrud. Der var derfor sket en overtrædelse af databeskyttelsesforordningens regler om behandlingssikkerhed.

Første betingelse jf. førnævnte kriterier var således opfyldt.

Landsretten fandt dog også, at borgerne – med henvisning til det passerede og de afgivne forklaringer om egne opfattelse og tanker om bruddet – som følge af databruddet ikke havde lidt skade.

Alt i alt lød afgørelsen altså på, at betingelserne for at opnå godtgørelse ikke var opfyldt, og landsretten stadfæstede derfor byrettens dom fra 11. maj 2021.

HjulmandKaptains bemærkninger til dommen

Afgørelsen fra Østre Landsret er efter vores opfattelse et udtryk for, at der ifølge landsretten skal mere til at udløse en godtgørelse efter GDPR, end at der blot er sket et sikkerhedsbrud, og at de berørte registrerede selv har forklaret, hvordan de har oplevet konsekvenserne af bruddet.

Vi anerkender, at der altid vil være tale om en konkret vurdering i den enkelte sag, og at der ikke pr. automatik vil være ret til en godtgørelse alene fordi, personoplysninger har indgået i et brud på persondatasikkerheden.

Men den danske afgørelse fra Østre Landsret skal læses i sammenhæng med bl.a. afgørelsen i EU-Domstolen fra 3. maj 2023 (C-300/21), hvor EU-Domstolen kom med en række udtalelser om retten til godtgørelse efter artikel 82 i GDPR.

Du kan læse mere om denne afgørelse her

Under den sag påpegede EU-Domstolen netop, at begrebet ”skade” i GDPR-forstand ikke kun kan begrænses til skader af en vis alvorlighed, men at begrebet skal forstås bredt og fortolkes i lyset af, at hovedformålet med GDPR netop er at beskytte de registrerede.

Dette understøtter meget klart, at der ikke kan stilles krav om, at den skade, som overtrædelsen af GDPR har medført, har en bestemt alvorsgrad. Og det kan samtidig også signalere, at EU-Domstolen – hvis man kan tale om en egentlig ”tærskel” for, hvornår en overtrædelse af GDPR udløser et godtgørelseskrav – mener, at tærsklen er forholdsvis lav.   

Hvordan hænger det sammen med afgørelsen i Østre Landsret?

Den omtalte sag fra EU-Domstolen kan ved første øjekast godt virke uforenelig med Østre Landsrets afgørelse i sagen fra Gladsaxe Kommune. I den forbindelse vil vi dog pointere, at EU-Domstolen i den ovennævnte afgørelse også anerkender, at det er op til den registrerede, som har haft skadevirkningerne af overtrædelsen af GDPR, at godtgøre, at disse virkninger udgør en immateriel skade.

EU-Domstolen anerkender dermed, at det var op til de seks borgere i den konkrete sag at bevise, at de havde lidt skade – det mente landsretten netop ikke, at de havde løftet bevisbyrden for, i afgørelsen.

Derfor er afgørelserne ikke som sådan uforenelige, men det bliver interessant at følge udviklingen i retspraksis, når der kommer flere nationale afgørelser og EU-domme, som kan bidrage til forståelsen af, hvilke bevismæssige krav der stilles til, at den registrerede har lidt en skade i GDPR-mæssig forstand.

Derudover bliver det interessant at følge, om de seks borgere ønsker og kan få tilladelse til at appellere landsrettens afgørelse til højesteret.

Lad HjulmandKaptains specialister i GDPR hjælpe dig

Har du spørgsmål til praksis vedrørende krav på erstatning efter databeskyttelseslovgivningen eller har du brug for rådgivning om en konkret sag, så kontakt vores specialister i GDPR for en uforpligtende snak. Vi vil gerne hjælpe dig.