Højesteret har afsagt sin første dom om erstatning efter GDPR artikel 82 og frifundet en kommune for krav rejst af fire borgere efter et databrud. En bærbar computer med et regneark med personoplysninger blev stjålet, men der var ingen holdepunkter for, at oplysningerne kom til uvedkommendes kendskab eller blev misbrugt. Retten lagde vægt på, at de påberåbte følelser af chok og krænkelse ikke var tilstrækkeligt underbygget.
Retlige rammer
EU-Domstolen har fastslået, at der ikke findes en bagatelgrænse for immateriel skade efter artikel 82. Negative følelser kan udgøre skade, men de skal bevises konkret og være forårsaget af en GDPR-overtrædelse.
Betingelserne for erstatning efter artikel 82 er sammenfattende følgende:
- Der foreligger en materiel eller immateriel skade.
- Der er sket en overtrædelse af GDPR.
- Der er årsagssammenhæng mellem overtrædelsen og skaden.
Beviskrav og praksis
Højesteret præciserer, at egne forklaringer om ubehag som udgangspunkt ikke er nok; der kræves kvalificeret dokumentation for skade og kausalitet. I den konkrete sag blev borgernes udsagn ikke understøttet af objektive beviser, og kommunen blev derfor frifundet.
Afgørelsen skærper fokus på dokumentation ved krav om ikke-økonomisk skade og understreger, at dataansvarlige fortsat skal sikre passende behandlingssikkerhed efter artikel 32. Se domsreferatet hos Højesteret.
