Retssager om erstatning efter reglerne i databeskyttelsesforordningen bliver mere og mere udbredt i de danske retssale. Når sådanne sager anlægges, skal de behandles i krydsfeltet mellem erstatnings- og databeskyttelsesretten samt i lyset af de processuelle regler i retsplejeloven. I denne artikel retter vi blikket mod håndtering af retssager om erstatning efter databeskyttelsesforordningen, og hvilke overvejelser det kan være relevant at gøre sig.
Hvad siger reglerne om erstatning?
Efter databeskyttelsesforordningens artikel 82 har enhver, som har lidt materiel eller immateriel skade som følge af en overtrædelse af databeskyttelsesforordningen, ret til erstatning.
EU-Domstolen har i praksis præciseret, hvornår det er muligt at få erstatning efter databeskyttelsesforordningen. For at kunne få erstatning efter bestemmelsens indhold skal de kumulative betingelser være opfyldt.
Det betyder, at:
- der skal foreligge eller være forvoldt en skade,
- databeskyttelsesforordningen skal være overtrådt, og
- der skal være en årsagsforbindelse mellem skaden og overtrædelsen af databeskyttelsesforordningen.
Det er dog ikke enhver overtrædelse af databeskyttelsesforordningens bestemmelser, der giver ret til erstatning.
Overtrædelsen skal ifølge EU-Domstolens praksis have forvoldt en materiel eller immateriel skade, som den skadesøgende skal kunne godtgøre, har fundet sted, og som er tilstrækkelig til at udgøre en sådan skade.
Hvem har bevisbyrden?
I sager om erstatning for skader som følge af overtrædelse af databeskyttelsesforordningen skal den dataansvarlige bevise, at personoplysningerne blev behandlet på en sikker og passende måde. Den dataansvarlige skal kunne dokumentere, hvilke foranstaltninger der er blevet truffet for at beskytte mod, at uvedkommende fik adgang til personoplysningerne.
Hvis en skadesøgende kræver erstatning for en immateriel skade, er det derimod den skadesøgende, der skal godtgøre, at skaden er en direkte følge af overtrædelsen.
Hvis en dataansvarlig bliver mødt med et krav om erstatning efter databeskyttelsesforordningen, bør følgende forhold derfor overvejes:
1. Er der lidt en skade i databeskyttelsesforordningens forstand?
Begrebet "skade" fortolkes bredt i lyset af EU-Domstolens praksis, så det fuldt ud afspejler formålene i forordningen. Der kan både være tale om en materiel og en immateriel skade. Immaterielle skader er ikke-økonomiske skader, fx tab af kontrol over personoplysninger, forskelsbehandling eller skade på omdømme. Selvom det er et bredt begreb, er der dog også grænser for, hvad der er omfattet af begrebet "skade".
Helt overordnet indebærer kravet om, at der skal være forvoldt en skade, at databeskyttelsesforordningen skal være overtrådt. I en dom fra Københavns Byret havde sagsøger påstået, at datterens oplysninger i forbindelse med en sprogvurdering i en børnehave skulle slettes. Byretten lagde til grund, at sprogvurderingerne var lovligt foretaget, og at den sagsøgte børnehave havde hjemmel efter de forvaltningsretlige og databeskyttelsesretlige regler til at foretage og opbevare sprogvurderingen. Derfor var der ikke forvoldt en skade i databeskyttelsesrettens forstand. Kommunen blev således frifundet.
I en anden sag tog Københavns Byret stilling til, om en kommunes indhentning af oplysninger via Facebook var i strid med dataminimeringsprincippet, og om der i den forbindelse var krav om godtgørelse for immateriel skade. Sagsøgers påståede immaterielle skade var en frygt for, at der kunne ske ulovlig adgang til oplysningerne fra Facebook og i den forbindelse inddragelse af usaglige hensyn i sagsbehandlingen.
Retten lagde til grund, at kommunen havde behandlet personoplysninger i overensstemmelse med sagsoplysningsregler, hvorfor der ikke forelå en overtrædelse af dataminimeringsprincippet. Dermed var der ikke tale om en skade, og kommunen blev derfor frifundet.
2. Overvej at se på sagen i et forvaltningsretligt lys
Hvis kravet rettes mod en offentlig myndighed, er det nærliggende at se på sagen i et forvaltningsretligt lys. Reglerne i forvaltningsretten og databeskyttelsesretten spiller ofte sammen. Både dommen om sprogvurdering og dommen om brug af Facebook til sagsoplysningen, som beskrevet ovenfor, viser, at forståelsen af myndighedens pligter efter offentlig retlige regler kan bidrage til vurderingen af, om der er lidt en skade ved overtrædelse af databeskyttelsesforordningen. På samme vis har Østre Landsret i en ny dom fastslået, at behandling af CPR-nummer mv. som led i sager om mellemkommunal refusion var i overensstemmelse med de forvaltningsretlige krav.
3. Overvej, om det er bevist, at der er lidt en skade
Den, der anlægger sag med krav om erstatning, skal godtgøre, at betingelserne for erstatning er opfyldt, herunder at der er lidt en skade, ved at der er sket en overtrædelse af databeskyttelsesforordningens bestemmelser.
Østre Landsret har i en nylig dom fastslået, at en uberettiget videregivelse af personoplysninger ved et tyveri af en computer var i strid med reglerne om behandlingssikkerhed. Landsretten fastslog dog samtidig, at videregivelse af personoplysninger til tredjemand, uden at det godtgøres, at der rent faktisk er lidt en immateriel skade, ikke er tilstrækkeligt til at få erstatning. Herefter fastslog landsretten, at det påhviler den, der påberåber sig et erstatningskrav (sagsøger), at bevise, at der er lidt en skade. Her er den skadessøgendes egen forklaring til retten om sin opfattelse af sagen ofte ikke tilstrækkelig til at bevise skaden.
4. Vær opmærksom på vurderingen af årsagssammenhæng mellem overtrædelsen af databeskyttelsesforordningen og den immaterielle skade
Vær skarp på, om det er overtrædelsen af databeskyttelsesforordningen, der fører til den immaterielle skade. En borger, der mener, at vedkommendes personoplysninger er blevet behandlet i strid med databeskyttelsesforordningens regler og kræver erstatning for fx en opstået frygt, skal begrunde denne frygt, bevise den påberåbte frygt og henføre til, hvordan denne opstod. Det skal kunne udelukkes, at frygten er opstået på andre måder end ved den pågældende overtrædelse. I relation til årsagssammenhæng er det således også væsentligt at være opmærksom på bevisbyrdereglerne.