Fortolkning af GDPR artikel 82: Betingelser for erstatning ved overtrædelse af databeskyttelsesregler

Sagen omhandler GP mod juris GmbH og drejer sig om fortolkningen af artikel 82 i databeskyttelsesforordningen (GDPR) om ret til erstatning for skade forårsaget af ulovlig behandling af personoplysninger.

GP, en advokat, havde klaget over, at juris GmbH, der driver en juridisk database, fortsatte med at sende ham reklamer, selvom han havde trukket sit samtykke tilbage. GP krævede erstatning for både materiel og immateriel skade.

Landgericht Saarbrücken forelagde fire præjudicielle spørgsmål for EU-Domstolen:

• Udgør enhver overtrædelse af GDPR en immateriel skade?
• Kan den dataansvarlige fritages for ansvar ved at henvise til menneskelige fejl?
• Skal kriterierne for administrative bøder i artikel 83 anvendes ved fastsættelse af erstatning?
• Skal erstatning fastsættes for hver overtrædelse individuelt eller samlet?

Parternes argumenter

• GP argumenterede for, at enhver tilsidesættelse af GDPR i sig selv udgør en immateriel skade, der berettiger til erstatning.
• Juris GmbH anførte, at de havde et system til håndtering af indsigelser, og at fejlen skyldtes en medarbejders manglende overholdelse af instrukser.

Domstolens vurdering

• Domstolen præciserede, at en overtrædelse af GDPR ikke automatisk udløser ret til erstatning. Der skal påvises en faktisk skade.
• Domstolen fastslog, at den dataansvarlige ikke kan fritages for ansvar blot ved at henvise til en medarbejders fejl. Den dataansvarlige skal bevise, at skaden ikke kan tilregnes dem.
• Domstolen afviste, at kriterierne for administrative bøder i artikel 83 kan anvendes analogt ved fastsættelse af erstatning efter artikel 82.
• Domstolen fastslog, at erstatningen skal fastsættes på baggrund af den konkrete skade, og at flere overtrædelser ikke i sig selv berettiger til højere erstatning.

Afgørelse

• Domstolen fastslår, at artikel 82, stk. 1, i databeskyttelsesforordningen skal fortolkes således, at en overtrædelse af forordningens bestemmelser, der tillægger den registrerede rettigheder, ikke i sig selv er tilstrækkelig til at udgøre en immateriel skade.
• Domstolen fastslår, at artikel 82 i databeskyttelsesforordningen skal fortolkes således, at det ikke er tilstrækkeligt for at fritage den dataansvarlige for erstatningsansvar, at vedkommende blot påstår, at skaden skyldes en fejl begået af en person, der arbejder for den dataansvarlige.
• Domstolen fastslår, at artikel 82, stk. 1, i databeskyttelsesforordningen skal fortolkes således, at ved fastsættelsen af erstatningsbeløbet skal der ikke foretages en analog anvendelse af kriterierne for administrative bøder i artikel 83, og der skal ikke tages hensyn til, at flere overtrædelser vedrører samme behandlingsaktivitet.

Retlige Principper

• Ret til erstatning: Artikel 82 i databeskyttelsesforordningen giver ret til erstatning for materiel eller immateriel skade som følge af overtrædelse af forordningen.
• Culpaansvar: Den dataansvarlige formodes at være ansvarlig for behandlinger, der overtræder databeskyttelsesforordningen, medmindre andet bevises.
• Effektivitet: Princippet om effektivitet tilsiger, at EU-retten ikke må gøres illusorisk i medlemsstaterne.
• Procesautonomi: Medlemsstaterne har procesautonomi til at fastlægge regler for erstatningsopgørelse, så længe EU-rettens principper overholdes.
• Princippet om ækvivalens: Medlemsstaterne skal sikre, at nationale regler om erstatning ikke er mindre gunstige end dem, der gælder for tilsvarende nationale krav.
• Kompenserende funktion: Erstatning efter artikel 82 har en kompenserende og ikke en straffende funktion.