Højesteret har tilkendt 30.000 kr. i godtgørelse til en borger, efter at en kommune ved en aktindsigt fejlagtigt videregav oplysninger om hendes psykiske helbred til en modpart i en konflikt. Afgørelsen præciserer, at et brud på GDPR ikke i sig selv udløser godtgørelse: Den registrerede skal bevise en skade – materiel eller immateriel – og årsagssammenhæng til overtrædelsen. Samtidig fastslås, at der ikke gælder en minimumstærskel for skadens alvor, men at en rent abstrakt bekymring ikke er tilstrækkelig.
Godtgørelse efter GDPR art. 82: skade og beviskrav
Efter GDPR art. 82 og databeskyttelsesloven § 40 hæfter den dataansvarlige for skader forårsaget af behandling i strid med forordningen, medmindre ansvar fritages efter art. 82, stk. 3. Højesteret fandt, at kommunens videregivelse skyldtes en klar fejl, og at ansvarsfritagelse derfor ikke kunne komme på tale.
Højesteret – i forlængelse af EU-Domstolens praksis – fremhæver, at immateriel skade omfatter blandt andet psykisk ubehag, tab af kontrol og omdømmemæssig skade. Frygt for fremtidigt misbrug kan anerkendes som immateriel skade, hvis frygten er konkret og velbegrundet, og dens negative følger kan påvises. I den konkrete sag var både kvindens og ægtefællens ret til privatliv efter EMRK art. 8 krænket, men kun kvinden havde dokumenteret en skade, der udløste godtgørelse.
Udmåling: Højesterets kriterier og resultat
Ved udmålingen lagde Højesteret vægt på sagens særlige omstændigheder, herunder oplysningernes karakter og spredning samt deres indvirkning på den berørte. Retten udmålte godtgørelsen til 30.000 kr., hvilket er væsentligt over de 2.500 kr., som Østre Landsret havde fastsat.
Højesteret inddrog følgende momenter ved vurderingen:
- Der var tale om meget følsomme helbredsoplysninger om en alvorlig psykisk lidelse.
- Oplysningerne blev sendt til en person i et modsætningsforhold til den berørte.
- Videregivelsen var egnet til at påvirke selv- og æresfølelse.
- Oplysningerne blev efterfølgende delt med Familieretshuset.
Retten henviste til GDPR art. 82 og databeskyttelsesloven § 40 samt principperne i erstatningsansvarslovens § 26 og EMRK, herunder art. 13 og art. 41. Beløbet er ikke en fast takst, men resultatet af en konkret helhedsvurdering, hvor oplysningernes følsomhed, relationen til modtageren, spredningen og dokumenterede følger tillægges vægt.
Få GDPR helt ind under huden på kurset ’GDPR i praksis’
Læs mere her →Konsekvenser for virksomheder og myndigheder: forebyggelse og ansvar
Dommen er retningsgivende for både offentlige myndigheder og private dataansvarlige. Den viser, at selv en enkelt fejlafsendelse af en sensitiv oplysning kan udløse en mærkbar godtgørelse, hvis de konkrete omstændigheder gør indgrebet i privatlivet alvorligt, og skaden kan dokumenteres.
Praktisk understreger afgørelsen behovet for robuste processer, særligt ved udlevering i aktindsigts- og sagsindsigtsforløb. Relevante tiltag omfatter blandt andet:
- Verifikation af rette modtager og adgangsberettigelse før afsendelse.
- Systematisk gennemgang og maskering af unødvendige eller følsomme oplysninger.
- Skærpede kontroller, når materialet indeholder helbredsoplysninger eller andre særligt følsomme data.
- Træning af medarbejdere i håndtering af indsigter og datasikkerhedsprocedurer.
Dommen afklarer også, at godtgørelsen er noget andet end administrative GDPR-bøder. Det er domstolene – ikke Datatilsynet – der fastsætter erstatning og godtgørelse i konkrete sager. Tilsynet forventer dog betydning for fremtidig praksis, men beløbsniveauet vil fortsat bero på den enkelte sags omstændigheder.
Læs Højesterets dom her: Højesterets dom af 24. august 2026.
