Højesteret frifinder Gladsaxe Kommune for godtgørelseskrav efter tyveri af bærbar computer med personoplysninger

Tyveriet af computeren og databruddet

I slutningen af november 2018 udarbejdede Gladsaxe Kommunes økonomiafdeling et regneark til brug for kontrol af mellemkommunal refusion. Regnearket indeholdt navn, CPR-nummer, adresse, bopælskommune samt kodelignende oplysninger om sociale ydelser for ca. 20.000 borgere. En medarbejder gemte filen lokalt på en bærbar computer, der blev stjålet fra rådhuset mellem den 30. november og 3. december 2018. Kommunen anmeldte hændelsen til Datatilsynet som et brud på persondatasikkerheden og orienterede de berørte borgere.

Appellernets påstande og beskrivelse af skader

Fire borgere anlagde sag om økonomisk godtgørelse med henvisning til Databeskyttelsesforordningen artikel 82. De gjorde gældende, at kommunen havde overtrådt principperne om dataminimering, integritet og behandlingssikkerhed. Appellanterne beskrev påstået immateriel skade, herunder:

• Appellant 1: Forskrækkelse, chok og frygt for fremtidigt misbrug via rudekuverter.
• Appellant 2: Nervøsitet, konstant forsvarsberedskab og et efterfølgende identitetstyveri i marts 2019.
• Appellant 3: Krænkelset over fejlregistrering, humørsvingninger og frygt for jobtjek.
• Appellant 5: Bange, mistroisk og opfarende som følge af sikkerhedsbruddet. De argumenterede for, at tabet af kontrol i sig selv er erstatningsberettiget og at der ikke gælder en bagatelgrænse efter EU-Domstolens praksis.

Rettens vurdering af immateriel skade og bevisbyrde

Højesteret tog udgangspunkt i den omfattende praksis fra EU-Domstolen, som fastslår tre kumulative betingelser for erstatning: overtrædelse af forordningen, materiell eller immateriel skade, og årsagsforbindelse. Selvom frygt for fremtidigt misbrug af personoplysninger i sig selv kan udgøre en immateriel skade uden bagatelgrænse, kræver det, at frygten er velbegrundet under de specifikke omstændigheder, og at de negative konsekvenser er behørigt bevist. Retten lagde vægt på, at der i syv år ikke havde været dokumentation for, at regnearket var blevet misbrugt, og at tyveriet også omfattede andre genstande, hvilket svækkede antagelsen om et målrettet datatyveri. Der var heller ikke fremlagt lægelig dokumentation eller andre beviser for de påståede helbredsmæssige konsekvenser.

Højesterets afgørelse

Højesteret finder, at appellanterne ikke har godtgjort, at de har lidt en skade omfattet af databeskyttelsesforordningens artikel 82. Frygten og de øvrige negative følelser kan ikke anses for velbegrundede uden yderligere beviser for, at oplysningerne er kommet til uvedkommendes kendskab eller har forvoldt konkrete konsekvenser. Højesteret stadfæster herefter landsrettens frifindelse af Gladsaxe Kommune. Pga. sagernes videregående betydning finder retten, at ingen part skal betale sagsomkostninger for Højesteret.