Højesterets afgørelse
Højesteret fastslog, at fire borgere ikke havde krav på godtgørelse efter databeskyttelsesforordningens artikel 82 i anledning af tyveriet af en kommunal bærbar computer med et regneark over ca. 20.000 personer. Med henvisning til EU-Domstolens praksis understregede retten, at der skal være både en overtrædelse og en påvist skade. Immateriel skade kan bestå i negative følelser som frygt, men disse skal være reelle og dokumenterede. I sagen var der ingen oplysninger om, at regnearket var tilgået af uvedkommende eller misbrugt, og de forklarede følelser blev ikke anset for velbegrundede.
Gladsaxe Kommune havde udarbejdet regnearket som led i kontrol af mellemkommunal refusion og anmeldte hændelsen til Datatilsynet samt orienterede de berørte borgere. Tyveriet, der også omfattede andre bærbare computere, ændrede ikke ved, at der manglede bevis for skade og årsagsforbindelse.
Beviskrav og praktiske implikationer
Dommen afklarer, at et sikkerhedsbrud ikke automatisk udløser kompensation. Krav efter artikel 82 forudsætter, at skadelidte løfter bevisbyrden for materiel eller immateriel skade, og at skaden kan henføres til den konkrete behandling eller til selve bruddet. Subjektive forklaringer er ikke tilstrækkelige uden støtte i andre beviser.
For dataansvarlige understreger afgørelsen behovet for systematisk hændelsesregistrering og dokumentation, herunder vurdering af risiko og eventuel misbrug, så faktum kan belyses ved tvister. Samtidig peger dommen på betydningen af passende tekniske og organisatoriske foranstaltninger for bærbare enheder og tydelig kommunikation til de berørte ved brud.
