Beviskrav for immateriel skade
Højesteret fastslår, at en overtrædelse af GDPR’s krav til behandlingssikkerhed ikke i sig selv udløser godtgørelse efter artikel 82. Små ikke‑økonomiske gener kan erstattes, men kun hvis den registrerede kan dokumentere en konkret og kausalt forbundet skade.
Sagen udsprang af et indbrud på Gladsaxe Rådhus, hvor ukrypterede data om borgere blev stjålet. Retten lagde til grund, at de tekniske og organisatoriske foranstaltninger ikke var tilpasset risikoen i strid med GDPR artikel 5, stk. 1, litra f, jf. artikel 32. Alligevel blev kravet om godtgørelse afvist, fordi sagsøgerne ikke førte tilstrækkeligt bevis for immateriel skade.
Højesteret præciserer, at immateriel skade kan omfatte utryghed eller tab af kontrol over personoplysninger, men at der kræves konkrete, objektivt underbyggede indicier på skade. Eksempler på dokumentation, der kan tale for godtgørelse, omfatter:
- Påviste forsøg på misbrug af de pågældende oplysninger.
- Objektive tredjemandsreaktioner, fx bank- eller kreditmæssige tiltag.
- Helbredsmæssige følger, der er fagligt underbygget og kan tilskrives bruddet.
Praksis og implikationer
Dommen føjer sig til den udviklende praksis om artikel 82. Hvor Østre Landsret tidligere har anerkendt immateriel skade i Hillerød‑sagen, har Højesteret endnu ikke tilkendt godtgørelse. Linjen understreger, at skades- og kausalitetsvurderingen er individuel og beviskrævende.
For dataansvarlige skærper dommen betydningen af risikobaserede sikkerhedsforanstaltninger, herunder kryptering, samt dokumentation for vurderinger og hændelseshåndtering. For registrerede tydeliggør den, at krav om godtgørelse bør understøttes af konkret evidens for skade og årsagssammenhæng.
