Højesteret: 30.000 kr. i godtgørelse for GDPR-brud

Sagens baggrund

Sagen handlede om en anmodning om aktindsigt, som en kommune behandlede i 2019. Da kommunen besvarede anmodningen, videregav den oplysninger om en kvindes helbred samt oplysninger om ægtefællens økonomiske forhold til ægtefællens tidligere hustru. Parret mente, at oplysningerne var videregivet ulovligt og krævede derfor godtgørelse efter databeskyttelsesforordningens artikel 82.

Det var ubestridt under sagen, at oplysningerne udgjorde helbredsoplysninger omfattet af databeskyttelsesforordningens artikel 9, og at videregivelsen var ulovlig. Det var også ubestridt, at videregivelsen af oplysninger om ægtefællens økonomi var sket i strid med reglerne om lovlig behandling af personoplysninger.

Spørgsmålet var derfor, om betingelserne for erstatning var opfyldt.

Højesterets vurdering af GDPR-overtrædelsen

Højesteret fastslog indledningsvis, at kommunen havde begået en klar fejl ved at videregive oplysningerne i strid med databeskyttelsesforordningen. Spørgsmålet var herefter, om parret kunne godtgøre, at videregivelsen af oplysningerne havde påført dem materiel eller immateriel skade.

Højesteret fremhævede i dommen, at der ikke gælder nogen bagatelgrænse for immateriel skade efter GDPR. Negative følelser som frygt, utilfredshed eller oplevelsen af tab af kontrol over egne personoplysninger kan efter omstændighederne udgøre en erstatningsberettiget skade.

For kvindens vedkommende lagde Højesteret vægt på, at der var tale om meget følsomme og private helbredsoplysninger. Oplysningerne var blevet videregivet til en person, som hun befandt sig i et konfliktforhold til, og som efterfølgende anvendte oplysningerne i en familieretlig konflikt. Højesteret fandt derfor, at videregivelsen var egnet til at påvirke hendes selv- og æresfølelse.

På den baggrund fandt Højesteret det godtgjort, at hun havde lidt immateriel skade som følge af overtrædelsen af databeskyttelsesforordningen.

Højesteret fandt også, at oplysningerne om ægtefællens økonomiske forhold var videregivet ulovligt, men det ikke var tilstrækkeligt godtgjort, at ægtefællen havde lidt skade, der kunne begrunde godtgørelse.

Krænkelse af retten til privatliv

Højesteret fandt desuden, at den uberettigede videregivelse af både helbredsoplysninger og privatøkonomiske oplysninger udgjorde et indgreb i de pågældendes ret til privatliv efter Den Europæiske Menneskerettighedskonventions artikel 8. Da videregivelsen skete i strid med GDPR, var indgrebet ikke lovligt. Kommunen havde derfor krænket begge personers rettigheder efter artikel 8.

Højesteret vurderede dog, at kun kvinden havde krav på kompensation som følge af krænkelsen.

Efter en samlet vurdering fastsatte Højesteret godtgørelsen til 30.000 kr. til kvinden.

Dommens betydning

Dommen er interessant, fordi Højesteret forhøjer den godtgørelse, kvinden fik tilkendt i landsretten, markant.

Landsretten var – ligesom Højesteret – nået frem til, at videregivelsen var ulovlig både efter GDPR og EMRK artikel 8, og at kvinden som følge heraf havde krav på godtgørelse. Men landsretten fastsatte beløbet til 2.500 kr., hvor Højesteret altså nåede op på 30.000 kr. Afgørelsen viser også, at uberettiget videregivelse af følsomme personoplysninger, særligt helbredsoplysninger, kan føre til betydelige godtgørelsesbeløb.

Dommen viser samtidig, hvor alvorlige konsekvenser en fejl i håndteringen af personoplysninger kan få. Særligt offentlige myndigheder og virksomheder, der behandler følsomme personoplysninger, bør derfor have klare procedurer for adgangskontrol, aktindsigt og videregivelse af oplysninger, så risikoen for ulovlig videregivelse minimeres.

Har du spørgsmål til GDPR, databeskyttelse eller håndtering af personoplysninger, står TVC Advokatfirmas specialister inden for databeskyttelsesret klar til at hjælpe.