Højere godtgørelse for GDPR-brud i norsk dom
En norsk domstol har tilkendt en skoleelev 90.000 NOK i godtgørelse efter et kortvarigt sikkerhedsbrud, hvor fortrolige og følsomme oplysninger blev vist i klassen via en lærers åbne e-mailprogram. Det norske Datatilsyn lukkede sagen uden sanktion, men den civile erstatningssag førte til et markant beløb til den registrerede.
Dommen fremhæver, at selv et kortvarigt brud kan udløse kompensation, når konsekvensen for den registrerede er reel. Retten lagde vægt på oplysningernes karakter, elevens sårbarhed som barn og kommunens rolle som stærk part med særligt ansvar for at beskytte data.
Retsgrundlag og EU-retlige rammer
GDPR art. 82 giver ret til erstatning for både materiel og immateriel skade ved overtrædelse af forordningen, og præambel 146 angiver, at erstatningen skal være fuld. I C-300/21 har EU-Domstolen præciseret, at nationale regler anvendes ved udmålingen, forudsat at ækvivalens- og effektivitetsprincippet respekteres.
Den norske domstol vurderede, at ældre national praksis om lave beløb for databrud er forældet efter GDPR. Udmålingen skal være effektiv og have en reelt afskrækkende virkning. Manglende grov uagtsomhed udelukker ikke godtgørelse, når der foreligger en overtrædelse med konkret betydning for den registrerede.
Perspektiver for danske aktører
I dansk ret behandles ikke-økonomisk skade typisk efter erstatningsansvarslovens regler om tort, hvor niveauet traditionelt har været beskedent. Efter C-300/21 og den norske dom kan der være grundlag for et højere kompensationsniveau ved brud på databeskyttelsesreglerne, hvilket øger eksponeringsrisikoen for både offentlige og private dataansvarlige og databehandlere.
Erstatningsadgangen efter art. 82 knytter sig ikke alene til sikkerhedsbrud; enhver GDPR-overtrædelse, der medfører en konkret konsekvens for den registrerede, kan udløse godtgørelse. For at reducere risikoen bør dataansvarlige overveje følgende tiltag:
- Skærpede adgangskontroller og klare politikker for skærm- og e-mailvisning i undervisnings- og mødesituationer.
- Målrettet awareness-træning af medarbejdere i håndtering af personoplysninger og fortrolighed.
- Etableret hændelsesrespons med dokumenteret vurdering af konsekvenser og afhjælpning.
- Løbende gennemgang af databehandleraftaler og tekniske/organisatoriske sikkerhedsforanstaltninger.
Samlet peger udviklingen på, at retspraksis i Norden bevæger sig mod mere effektive og afskrækkende godtgørelser ved GDPR-overtrædelser. Det skærper kravene til styring, dokumentation og praktisk efterlevelse af databeskyttelsesreglerne.
