ProcesbevillingsnævnetProcesbevillingsnævnet meddelte fem borgere tilladelse til at indbringe en landsretsdom for Højesteret i en sag om erstatning for immateriel skade efter databeskyttelsesforordningens artikel 82. Sagen udsprang af et databrud, hvor fire computere — heriblandt én med et regneark over ca. 20.000 borgeres CPR-numre, navne og adresser — blev stjålet fra et rådhus. Både byret og landsret havde frifundet kommunen, fordi borgerne ikke havde godtgjort en immateriel skade.
I efteråret 2018 blev der stjålet fire computere fra et rådhus. På den ene computer lå der på et lokaldrev gemt et excel-ark med oplysninger om ca. 20.000 borgere, herunder:
Regnearket var udarbejdet til brug for sagsbehandling i forbindelse med mellemkommunal refusion.
Fem af de borgere, hvis oplysninger fremgik af regnearket, anlagde efterfølgende sag mod kommunen med påstand om erstatning/godtgørelse for ikke-økonomisk (immateriel) skade i medfør af databeskyttelsesforordningens artikel 82.
Det følger af forordningens artikel 82, stk. 1, og databeskyttelseslovens § 40, at enhver, der har lidt materiel eller immateriel skade som følge af en ulovlig behandlingsaktivitet eller enhver anden behandling i strid med loven eller forordningen, har ret til erstatning efter forordningens artikel 82.
Byretten fandt, at kommunen som dataansvarlig ikke havde overholdt databeskyttelsesforordningens krav til behandlingssikkerhed, jf. artikel 32, stk. 1 og 2, jf. artikel 5, stk. 1, litra f.
Byretten lagde til grund, at borgerne subjektivt set havde følt sig krænkede over datasikkerhedsbruddet, men at sådanne subjektive følelser ikke i sig selv var tilstrækkelige til at give ret til erstatning/godtgørelse for ikke-økonomisk skade.
Byretten fandt, at et erstatningskrav efter forordningen måtte kræve, at databruddet havde medført skade eller nærliggende risiko for skade på fx:
Der var ikke grundlag for at fastslå, at borgerne havde været udsat for en sådan skade. Kommunen blev derfor frifundet, og borgerne ankede dommen til landsretten.
Landsretten tiltrådte, at der ved databruddet skete en overtrædelse af artikel 5, stk. 1, litra f, jf. artikel 32, stk. 1 og 2. Spørgsmålet var herefter, om borgerne som følge heraf havde lidt en immateriel skade i artikel 82, stk. 1's forstand.
Landsretten henviste til EU-Domstolens praksis, herunder dom af 20. juni 2024 i sag C-590/22:
Den frygt, som en registreret nærer for, at dennes personoplysninger potentielt kunne blive misbrugt af tredjemand som følge af en overtrædelse af forordningen, kan i sig selv udgøre en immateriel skade [...] for så vidt denne frygt og de negative konsekvenser af denne er behørigt bevist (præmis 36).
Det påhvilede borgerne at godtgøre, at de hver især faktisk havde lidt en sådan skade, herunder at deres frygt for fremtidigt misbrug kunne anses for velbegrundet under de specifikke omstændigheder, jf. EU-Domstolens dom af 14. december 2023 i sag C-340/21, præmis 85.
Landsretten fandt ikke grundlag for at fastslå, at oplysningerne i regnearket faktisk var kommet til uvedkommende tredjemands kundskab. Efter en samlet vurdering fandt landsretten, at borgerne ikke alene med henvisning til det passerede og deres forklaringer om egne opfattelser havde godtgjort en immateriel skade. Betingelserne for erstatning var dermed ikke opfyldt, og byrettens dom blev stadfæstet.
| Instans | Afgørelse | Udfald |
|---|---|---|
| Byretten | Brud på artikel 32, men ingen kvalificeret skade | Kommunen frifundet |
Sagen rejser det principielle spørgsmål om, hvilken bevismæssig tærskel der gælder for, at en registrerets frygt for fremtidigt misbrug af lækkede personoplysninger udgør en behørigt bevist immateriel skade, der berettiger til erstatning efter databeskyttelsesforordningens artikel 82, stk. 1.
Spørgsmålet ligger i grænsefladen mellem EU-Domstolens praksis om, at:
Da databrud med store mængder oplysninger om et stort antal borgere er en hyppigt forekommende og retligt uafklaret problemstilling, er der tale om et spørgsmål af generel betydning for retsanvendelsen.
Procesbevillingsnævnet meddelte de fem borgere 3.-instansbevilling efter retsplejeloven § 371 til at indbringe landsrettens dom for Højesteret.
Nævnet meddeler tilladelse, når en sag er af principiel karakter eller særlige grunde i øvrigt taler herfor. Tilladelsen indebærer, at Højesteret nu kan tage stilling til, hvornår frygt for fremtidigt misbrug af lækkede personoplysninger udgør en erstatningsberettiget immateriel skade efter forordningens artikel 82.
Sagen er behandlet i Procesbevillingsnævnet under j.nr. 24/31034, 24/31152, 24/31154, 24/31270 og 24/31281.
| Østre Landsret | Brud på artikel 5, stk. 1, litra f, jf. artikel 32 — men ingen godtgjort immateriel skade | Stadfæstet |
| Procesbevillingsnævnet | 3.-instansbevilling | Tilladelse meddelt |
