Fortolkning af GDPR artikel 82: Erstatning for immateriel skade, kompensationens funktion og tyveri af personoplysninger

Denne præjudicielle forelæggelse omhandler fortolkningen af artikel 82 i databeskyttelsesforordningen (GDPR) vedrørende retten til erstatning for immateriel skade efter et brud på persondatasikkerheden. Sagen udspringer af to forenede tvister i Tyskland, hvor to registrerede (JU og SO) sagsøgte selskabet Scalable Capital GmbH, som driver en trading-app.

Sagens faktiske omstændigheder

JU og SO havde oprettet konti hos Scalable Capital og registreret følsomme personoplysninger, herunder navn, fødselsdato, adresse og digital kopi af identitetsbeviser. I 2020 blev disse oplysninger, samt værdipapirporteføljer, hacket af ukendte tredjeparter. Sagsøgerne krævede erstatning for den immaterielle skade, de hævdede at have lidt som følge af tabet af kontrol og frygten for identitetssvig, selvom Scalable Capital oplyste, at dataene endnu ikke var blevet brugt svigagtigt.

Hovedspørgsmålene fra den forelæggende ret

Amtsgericht München (byretten i München) forelagde spørgsmål for at afklare nationale uoverensstemmelser, navnlig om:

• Erstatning efter artikel 82 har en straffende eller udelukkende kompenserende funktion.
• Om immateriel skade fra databrud strukturelt skal vurderes lavere end fysisk skade.
• Om retten kan tilkende symbolske erstatninger i tilfælde af minimal skade.
• Hvad der udgør "identitetstyveri" i henhold til GDPR’s betragtninger (blot adgang til data, eller faktisk svigagtig brug).

Disse spørgsmål var afgørende for, hvordan den tyske domstol skulle fastsætte erstatningens størrelse i sager, hvor tusindvis af personer var berørt af databruddet.

Domstolen fastslog, at retten til erstatning i henhold til GDPR artikel 82 udelukkende har en kompenserende funktion, og at udmålingen af erstatningens størrelse ikke må påvirkes af overtrædelsens grovhed eller forsætlige karakter.

Erstatningens funktion og udmåling

• Funktion: Artikel 82, stk. 1, har udelukkende en kompenserende funktion. Erstatningen skal fuldstændigt kompensere den skade, der er forvoldt. Den afskrækkende virkning varetages af de administrative sanktioner i artikel 83 og 84.
• Symbolsk erstatning: En national ret kan tilkende en materielt ubetydelig erstatning, der kan opfattes som symbolsk, kun hvis denne erstatning fuldstændigt kompenserer den skade, der konkret er forvoldt. Hvis skaden er minimal, skal erstatningen afspejle dette, men der må ikke indføres en formel bagatelgrænse for retten til erstatning.
• Immateriel skade forvoldt af et brud på persondatasikkerheden må ikke efter sin art anses for at være mindre alvorlig end personskade (fysisk skade) i forbindelse med erstatningsfastsættelsen. Et sådant hierarki ville bringe princippet om fuld erstatning i fare.