Højesteret har hævet godtgørelsesniveauet ved alvorlige overtrædelser af GDPR og tilkendt 30.000 kr. til en registreret, hvis helbredsoplysninger uberettiget blev videregivet af en kommune til en konfliktpart. Dommen markerer et tydeligt skifte i dansk praksis for ikke-økonomisk skade efter databeskyttelsesforordningen og skærper kravene til myndigheders og virksomheders håndtering af følsomme data.
Erstatningsniveau for ikke-økonomisk skade efter GDPR art. 82
Hvor Østre Landsret tidligere havde fastsat godtgørelsen til 2.500 kr., forhøjede Højesteret beløbet til 30.000 kr. Retten lagde vægt på, at der var tale om helbredsoplysninger, som tilhører de særlige kategorier, og at delingen skete til en person med et konfliktforhold til den registrerede. Videregivelsen var egnet til at påvirke den registreredes værdighed og selvfølelse.
Afgørelsen bekræfter, at immateriel skade kan udløse en mærkbar kompensation, når krænkelsen er alvorlig. Derved rykkes dansk praksis tættere på EU-rettens forståelse af art. 82 og den selvstændige beskyttelse af ikke-økonomisk skade.
Følgende momenter blev tillagt betydning af Højesteret:
- Oplysningernes karakter som følsomme helbredsoplysninger.
- Modtagerens relation som konfliktpart.
- Anvendelsen i en familieretlig tvist, som forstærkede krænkelsen.
Afgrænsning: Ulovlig behandling uden godtgørelse
Højesteret anerkendte, at ægtefællens oplysninger også var behandlet i strid med GDPR, men fandt ikke grundlag for godtgørelse. Oplysningerne om ham havde ikke en sådan intensitet eller karakter, at de kunne påvirke hans ære eller selvfølelse på en tilstrækkelig alvorlig måde.
Dommen tydeliggør dermed, at ikke enhver overtrædelse automatisk fører til betaling. Der kræves konkret bevis for skade og en vis alvor i krænkelsen. Tærsklen for godtgørelse består, men niveauet for alvorlige sager er hævet.
Samspil mellem GDPR og EMRK art. 8
Ud over GDPR-konstateringen fandt Højesteret også krænkelse af retten til respekt for privatlivet efter EMRK art. 8. Det understreger, at uberettiget deling af helbredsdata ikke blot er et databeskyttelsesspørgsmål, men også et menneskeretligt anliggende.
For offentlige myndigheder indebærer det et dobbelt retsligt ansvar, hvor mangler i sagsbehandling, tavshedspligt og adgangsstyring kan udløse både databeskyttelsesretlige og menneskeretlige konsekvenser.
Lær om regulering af teknologi på kurset om digital forvaltning og AI
Læs mere her →Praktiske implikationer for myndigheder og virksomheder
Afgørelsen skærper incitamentet til robuste procedurer for aktindsigt, klassificering af følsomme data, kontrol af modtagerkredse og dokumenteret interesseafvejning. Fejl kan nu i højere grad materialisere sig i økonomiske krav.
Organisationer bør styrke træning, adgangsstyring og skriftlig dokumentation af behandlingsgrundlag samt hurtige afhjælpningsprocesser ved fejl. Det reducerer risikoen for godtgørelse, tilsynsreaktioner og efterfølgende tvister.
