ØSTRE LANDSRET DOM afsagt den 20. august 2025 Sag BS-27044/2020-OLR (17. afdeling) Sagsøger 1 (advokat Farouk Hassouni) og Sagsøger 2 (advokat Tyge Trier) mod Sagsøgte (Kommune) (advokat Jacob Schall

§ 26

som følge af, at Sagsøgte (Kommune) ved aktindsigt videregav oplysninger om Sagsøger 2 og Sagsøger 1 til Sagsøger 2's tidligere ægtefælle, Vidne

1. Påstande Sagsøger 1, har nedlagt endelig påstand om, at Sagsøgte (Kommune) skal betale kr. 55.000 med tillæg af sædvanlig procesrente fra sagens anlæg. Sagsøger 2, har nedlagt endelig påstand om, at Sagsøgte (Kommune) skal betale kr. 55.000 med tillæg af sædvanlig procesrente fra sagens anlæg. Sagsøgte (Kommune) har i det hele nedlagt påstand om frifindelse. Sagsfremstilling Den
2. februar 2019 ansøgte Sagsøger 2 om økonomisk hjælp fra Sagsøgte (Kommune) til et efterskoleophold for Person 1, som er Vidne 1's og Sagsøger 2's fællesbarn. Af Sagsøger 2's ansøgningsmail, der var vedhæftet et økonomisk beregningsskema, fremgår bl.a.: ”Jeg vil gerne påpege at jeg står ene og alene med hele ansvaret for Person
3. Min ekskone vil/kan ikke deltage økonomisk på nogen måder. Lige pt. bor min familie og jeg i mit hus som jeg ejer sammen med min ekskone, jeg har siden 2013 afholdt ALLE udgifter hertil for at undgå et kæmpe tab. [ Udeladt ]Så vores økonomi hænger i laser grundet manglende indtægt.” Den
4. februar 2019 indsendte Sagsøger 2 til kommunen supplerende økonomiske oplysninger til brug for kommunens behandling af ansøgningen, herunder bl.a. en lønseddel fra Arbejdsplads vedrørende november 2018 og betalingsserviceoversigter af
5. december 2018 og
6. februar
7. Af betalingsserviceoversigten af
8. februar 2019 fremgår en betaling til Fagforening. Den
9. marts 2019 gav Sagsøgte (Kommune) afslag på ansøgningen. Af afgørelsen, der er underskrevet af socialfaglig visitator Vidne 2, fremgår bl.a.: ”Vurdering 3 Afgørelsen er truffet på baggrund af fremsendte økonomiske oplysninger, hvor beregning viser et overskud på Beløb” Den
10. april 2019 anmodede Vidne 1 om aktindsigt i Sagsøgte (Kommune)s oplysninger om Person
11. Sagsøgte (Kommune) besvarede den
12. april 2019 Vidne 1's aktindsigtsanmodning. Af den til aktindsigten tilhørende ”Journalrapport til aktind-sigt, dannet 22-04-2019” for aktindsigtsperioden fra den
13. februar 2019 til den
14. april 2019 fremgår, at Sagsøgte (Kommune) gav Vidne 1 aktindsigt i hele Sagsøger 2's ansøgningsmail af
15. februar 2019 og i kommu-nens afslag af
16. marts
17. Det fremgår endvidere, at dokumenterne ”Øko-nomisk beregning_280793” , ”Økonomisk beregningsskema” , ”BILAG Lønsed-del” , ”BILAG Pantebrev” , ”BILAG Betalingsoversigt” , ”modtaget økonomisk beregningsskema til borger” ikke var omfattet af aktindsigten. Den
18. juni 2019, kl. 07.27, sendte Vidne 1 en mail til Familierets-huset om sin og Sagsøger 2's fælles søn Person 2 med kopi til Sagsøger
19. Af mailen fremgår bl.a.: ”[ Udeladt ] Sagsøger 2 har i 2018 haft en periode, hvor han ikke havde samvær med Person 2, grundet [ Udeladt ] Sagsøger 2's kone Sagsøger 1 er [ Udeladt ] og har i perioder været sygemeldt. Dette har Sagsøger 2 oplyst i sin ansøgning til Sagsøgte (Kommune) om efterskoleophold for Person 1.” Senere samme dag – den
20. juni 2019, kl. 14.57 – sendte Sagsøger 2 en mail til Vidne 2 fra Sagsøgte (Kommune). Af mailen fremgår bl.a.: ”Vidne 2… Jeg var i kontakt med dig tidligere på året vedr. min søn og tilskud til efterskole. […] Jeg må bede dig sende ASAP aktindsigt i sagen – samt skrivelser til Person 1's mor Vidne
21. Jeg er vidne til, at du har videresendt personfølsomme oplysninger om min husstands økonomi samt helbredsoplysninger til min ekskone. Disse informationer er nu videregivet af Vidne 1 til Familieretshuset, dvs. at disse oplysninger nu bliver brugt i mod mig og min kone i forbindelse med en bopælssag om vores mindste søn. 4 Mine kones cpr.nr og helbredsoplysninger er røget ud af ”jeres hænder” ! Jeg har ingen ord for min vrede og magtesløshed lige nu. Jeg agter at gå hele vejen i Datatilsynet og pressen om nødvendigt !! Dette er et alvorligt brud på GDPR lovgivningen, det er alvorligt det I har foretaget jer !!! DET BURDE IKKE SKE ! Jeg forventer en opringning ASAP” Den
22. juni 2019 foretog Vidne 2 en intern indberetning af brud på personendatasikkerheden i Sagsøgte (Kommune). Af det udfyldte indberetningsskema fremgår bl.a., at sikkerhedsbruddet skete den
23. april 2019, og at det blev opdaget den
24. juni
25. Endvidere fremgår bl.a.: ”… [ Billede udeladt pga. personfølsomme oplysninger ] … [ Billede udeladt pga. personfølsomme oplysninger ] …” Den
26. juni 2019 indberettede Sagsøgte (Kommune) hændelsen til Datatilsynet. Sagsøgte (Kommune) har i indberetningsskemaet til Datatilsynet angivet karakteren af hændelsen som en ”utilsigtet videregivelse” , og at der er tale om 5 en uberettiget videregivelse af personoplysninger i forbindelse med en aktindsigt. Kommunen har i forhold til hvilke personoplysninger, der er berørt af hændelsen, afkrydset felterne ”økonomiske forhold” og ”helbredsoplysninger” . Det er tillige anført, at hændelsen er afsluttet den
27. juni 2019, hvor ”Mor er blevet bedt om at returnere de dokumenter, hvor personoplysningerne fremgår, til kommunen” . Kommunen har om konsekvenserne anført bl.a., at ”Mor bruger oplysningerne i en versende sag om barnet. Vi ved ikke, hvilket konsekvenser det kan få for far” , og at ”Vi har bedt mor om at returnere dokumenterne med oplysningerne om far og samleveren til kommunen, men hun er jo desværre allerede bekendt med dem” . Vedrørende de foranstaltninger, som kommunen har truffet med henblik på at begrænse skaden, er i skemaet anført bl.a., at Familieretshuset og alle berørte personer er blevet orienteret om hændelsen, herunder at ”Afdelingen har haft en længere snak med både far og samlever om hændelsen, og kommunens håndtering af sagen. De er også vejledt om muligheden for at klage og få råd/vejledning” . I mail af
28. juni 2019 fra Sagsøgte (Kommune) til Familieretshuset er anført bl.a.: ”I forbindelse sagsbehandling vedrørende Person 1 … har Familier, Unge og Handicap i Sagsøgte (Kommune) fejleagtigt fremsendt helbredsoplysninger om Sagsøger 2's samlever til Person 1's mor Vidne
29. Da disse oplysninger uretmæssigt er tilgået Vidne 1, skal der herfra anmodes om at oplysningerne ikke medtages i Familieretshusets sagsbehandling vedrørende Person 1.” Samme dag – den
30. juni 2019 – sendte Sagsøgte (Kommune) et brev til Vidne
31. Af brevet fremgår bl.a.: ”I forbindelse med udlevering af aktindsigt om din søn Person 1, er Familier; Unge og Handicap fejlagtigt kommet til at udlevere personlige oplysninger om Person 1's fars samlever. Det skal med dette brev gøres klart, at oplysningerne uretmæssigt er fremsendt til dig, og du bedes slette papirer med denne oplysning. Da Sagsøger 2 har oplyst, at de fremsendte fortrolige oplysninger er videregivet til Familieretshuset, er der d.d. skrevet til Familieretshuset med orientering om, at oplysningerne fejlagtigt er fremsendt og bør udtages af en vurdering herfra.” Af Familieretshusets mødenotat for familieretlig udregning af
32. juni 2019 udarbejdet af børnesagkyndig Vidne 3 fremgår bl.a.: ”Sagsøger 2 har i dag deltaget i et familieretligt udredningsmøde i Familieretshuset, afdeling København. Sagsøger 2 har barnet Person 2, født Dato.
33. … 6 Begge forældre har kontaktet Familieretshuset vedrørende forældremyndighed, bopæl og samvær. … Formålet med mødet er at belyse familiens situation og undersøge, hvad der er bedst for Person
34. Der er vejledt om, at barnets ret til trivsel og beskyttelse kommer i første række. Det er som udgangspunkt familieretten, der træffer afgørelse i sagen. Det skyldes, at det ved visitationen er vurderet, at der er nogle risiko-faktorer til stede i form af oplysninger om [ Udeladt ] samt grundet forældrene har været i Familieretshuset mange gange. Når sagen er oplyst, og der ikke er grundlag for at fortsætte det tværfaglige arbejde, vil sagen blive indbragt for familieretten til afgørelse. Retten skal træffe afgørelse om en helhedsorienteret løsning, der er bedst for barnet. Hvis forældrene inden da bliver enige og ønsker at indgå en aftale, vil det tværfaglige team hjælpe forældrene med at skrive aftalen ned, hvis aftalen er udtryk for, hvad der er bedst for Person
35. … Samtykke til indhentelse af oplysninger: Sagsøger 2 giver samtykke til, at Familieretshuset indhenter oplysninger til brug for sagen hos: Kommune 1 (Sagsøger 2 mener ikke der er en sag) Sagsøgte (Kommune) (tidligere kommune, hvor der har været en sag) Skole, Afdeling, Kommune 1 Der er vejledt om samtykkets indhold, og at de indhentede oplysninger som udgangspunkt vil blive sendt til dem begge, hvis ikke forældrene bliver enige, og sagen skal afgøres af Familieretshuset eller familieretten.” Af Familieretshusets mødenotat for familieretlig udregning af
36. juni 2019 udarbejdet af børnesagkyndig Vidne 3 fremgår bl.a.: ”Vidne 1 har i dag deltaget i et familieretligt udredningsmøde i Familieretshuset, afdeling København. … Vidne 1's syn på samarbejdet om barnet: … Vidne 1 fortæller, at bopælen skal forblive hos hende. Person 2 har sine venner og omgangskreds hos mor. Vidne 1 har også en bekymring i forhold til [ Udeladt ]” Det fremgår af en mail af
37. oktober 2020 fra Datatilsynet, at tilsynet har afsluttet sagen og ikke foretager sig yderligere. 7 Af brev af
38. januar 2021 fra Retten i Næstved til Vidne 1 og Sagsøger 2 fremgår bl.a., at retten har modtaget en anmodning fra Vidne 1 om at bistå med udlevering af Person 2, og at parterne indkaldes til et retsmøde den
39. februar
40. Af retsbog af
41. februar 2021 fra Retten i Næstved i udleveringssagen mellem Vidne 1 og Sagsøger 2 fremgår bl.a.: ”Sagsøgte forklarer, at det er Person 2, som ikke ønsker at komme hjem. … Far har indgivet en begæring om ændring af bopæl, og har undersøgt forskellige muligheder for evt skoleskift. Mor har indgivet en begæring om ændring af samvær, og har viden om, at Person 2 er meget savnet i sit netværk med venner og skole. Efter drøftelse enedes parterne om, at Person 2 foreløbigt skal hjemgives til mor i morgen. … Parterne aftalte tillige, at når Person 2's storsøster på lørdag skal ned til far, så følger Person 2 med hende ned til far. Hjemgivelsen til mor vil give Person 2 mulighed for at forerede et længere ophold hos far, idet han således kan komme hjem og få talt med morog pakke ting til ophold hos far. Aftalen har ingen præjudice for Person 2's bopæl eller for, hvorledes parternes midlertidige samværsaftale … ellers udmøntes.” Den
42. marts 2021 skrev Vidne 1 til Sagsøger 2 bl.a.: ”Du har foreslået, at Person 2 opholder sig mere hos dig indtil skolen starter fysisk igen, for at honorere hans savn. hvad så med bagefter? så når vi svarer dig, at vi må se tiden an, beror dette bl.a. på at jeg flere gange har talt med Person 2 om hans ønsker og har følt mig nødsaget til at være sikker på, at det var en flytning Person 2 ønskede, også om et halvt år. Det beror også på, at du gang på gang ændre planer og aftaler, og der beror sådan set også på at jeg har en bekymring for om der er nok stabilitet hos jer, en tryg base, som jeg mener er bedst for Person
43. Her tænker jeg på [ Udeladt ].” Af retsbog af
44. marts 2021 fra Retten i Næstved i udleveringssagen mellem Vidne 1 og Sagsøger 2 fremgår, at Vidne 1 har hævet sagen, og at sagen blev sluttet. Den
45. april 2024 blev Sagsøger 1 bevilget førtidspension af Kommune
46. Af Sagsøgte (Kommune)s ”IT-sikkerhedspolitik – Overordnet politik af
47. februar 2011” fremgår bl.a.: 8 ”Forord Dette er Sagsøgte (Kommune)s it-sikkerhedspolitik, som er udarbejdet af Administrationen, med udgangspunkt i DS484-2005 og ISO
48. … Indledning … It-sikkerhedspolitikken er således det overordnede grundlag og itsikkerhedsbestemmelserne det operationelle grundlag for det daglige arbejde med it-sikkerhed indenfor Sagsøgte (Kommune)s virke. Regler, retningslinjer, procedurer og instrukser vedr. den interne it-sikkerhed (servere, netværk mv.), er emner der reguleres under itsikkerhedspolitikken. Særlige retningslinjer, procedurer og instrukser der beskriver den tekniske side af den interne it-sikkerhed vil være for-trolige. It-sikkerhedsbestemmelserne opdateres og ændres løbende (fx ved ny trusler, lovændringer mv.). … Vores holdninger og principper It-sikkerhed i Sagsøgte (Kommune) implementeres efter følgende overordnede holdninger: • Sagsøgte (Kommune)s virke afhænger af håndteringen af personfølsomme informationer i elektronisk form, og derfor behandles it-sikkerhed med respekt for borgernes retssikkerhed og integritet. • Sagsøgte (Kommune)s troværdighed overfor omverdenen, herunder samarbejdspartnere og borgere vurderes som yderst vigtig. • Sagsøgte (Kommune) prioriterer implementeringen af velafprøvede it løsninger over forsøgsvis anvendelse af nyeste teknologi. • Sagsøgte (Kommune) vedligeholder, understøtter og fastholder vidensniveauet hos alle medarbejderne for at understøtte sikker behandling af informationer i Sagsøgte (Kommune)s it-systemer. • Såfremt eksterne parter berøres af sikkerhedshændelser hos Sagsøgte (Kommune), vil Sagsøgte (Kommune) kommunikere ærligt og troværdigt overfor berørte parter. Rammer og gyldighed It-sikkerhedspolitikken gælder for alle ansatte, samt for al anvendelse af it-systemer i Sagsøgte (Kommune), herunder også for kommunens leverandører og samarbejdspartnere, som får adgang til hele eller dele af kommunens IT. … It-sikkerhedspolitikken for Sagsøgte (Kommune) er derfor baseret på: • efterlevelse af den anerkendte standard i DS484:2005 hhv. ISO27001 indenfor de områder, der vurderes som værende relevante for Sagsøgte (Kommune), herunder områder såsom: o risikovurdering og -håndtering o organisering af it-sikkerhedsarbejdet o styring af Informationsrelaterede aktiver 9 o medarbejdersikkerhed o fysisk sikkerhed o styring af netværk og drift o adgangsstyring o anskaffelse, udvikling og vedligeholdelse o styring af sikkerhedshændelser o beredskabsstyring • alle relevante regler, lovkrav, retningslinjer, vejledninger indenfor Sagsøgte (Kommune)s forretningsområde, herunder bl.a. Persondataloven, Forvaltningsloven, Offentlighedsloven, Arkivloven, Multiemedieloven, Ophavsretsloven samt anden relevant datalovgivning, fx rele-vante regler i Telelovgivningen. • almindeligt accepterede metoder (best practice). … Opfølgning Enhver medarbejder og leder i Sagsøgte (Kommune) har meldepligt mht. konstaterede brud på It-sikkerhedsbestemmelserne eller på manglende efterlevelse af It-sikkerhedspolitikken.” Af uddrag fra Datatilsynets rapport om anmeldelser af brud på persondatasikkerheden i 2018 fremgår bl.a.: ”Anmeldelser af brud på persondatasikkerheden Efter den
49. maj 2018 – hvorfra databeskyttelsesforordningen finder anvendelse – er der blevet indført en generel forpligtelse for alle dataansvarlige til at anmelde brud på persondatasikkerheden til Datatilsy-net. Anmeldelsen skal ske uden unødig forsinkelse og om muligt senest 72 timer efter, at den dataansvarlige er blevet bekendt med bruddet. … Denne tekst er en overordnet gennemgang af de anmeldelser om persondatasikkerhedsbrud, som Datatilsynet har modtaget i 2018 under databeskyttelsesforordningens anvendelse. Datatilsynet har i perioden fra den
50. maj til
51. december 2018 modtaget 2.780 anmeldelser om persondatasikkerhedsbrud, ligesom tilsynet i samme periode har modtaget henvendelser om grænseoverskridende persondatasikkerhedsbrud gennem Det Europæiske Databeskyttelses-råds samarbejdsportal. … Fordelingen af anmeldelserne på de forskellige sektorer Anmeldelserne fordeler sig med 53 % fra private dataansvarlige, 44 % fra offentlige dataansvarlige og 3 % i gruppen forskellige. De forskellige er typisk grænseoverskridende brud for private dataansvarlige, an-meldt direkte til Datatilsynet her i Danmark. … 10 [de 705 vedrører kommuner] … Anmeldelsernes karakter Datatilsynet har konstateret, at langt de fleste anmeldelser - ca. 2/3 - går på oplysninger, der er sendt til den ”forkerte” modtager, oftest ved en menneskelig fejl i afsendelsesøjeblikket. I tillæg til denne gruppe er der en særlig variant heraf, der tegner sig for ca. 5 % af anmeldelserne. Det drejer sig om situationer, hvor brevpost er sendt til den rette modtagers sidste folkeregisteradresse, men ved en fejl åbnes af en anden person, typisk fordi den registrerede er fraflyttet eller fordi brevet bliver fejlaf-leveret af postbefordreren. En anden udbredt gruppe af anmeldelser er oplysninger, der ved en fejl ikke er undergivet den fortrolighed, som den dataansvarlige selv har vurderet nødvendig for behandlingen, f.eks. hvor e-mails, der efter intern instruks skulle sendes krypteret, bli-ver sendt uden at være det. Tyveri af udstyr eller dokumenter fra aflå-ste lokaler, boliger og biler eller de tilfælde, hvor udskrifterne eller en-heden bliver mistet i det offentlige rum, typisk i offentlige transport-midler, forekommer også relativt ofte. Brud på persondatasikkerheden, der skyldes ekstern uretmæssig påvirkning såsom phishing, malware, hacking eller tilsvarende udgør mindre end 5 % af de samlede anmel-delser. Typisk vil denne type hændelser dog berøre et højere antal regi-strerede. … Datatilsynets behandling af de indkomne brud Når et brud bliver anmeldt til Datatilsynet, vil tilsynet, efter journalisering, foretage en vurdering af risikoen for de registreredes rettigheder, risikoprofilen af den hændelse, der ligger til grund for bruddet, omfan-get af bruddet og forhold, der kan relateres til den dataansvarlige, her-under om der er sket en vurdering af, om de registrerede skal underret-tes og i givet fald om underretning er sket. Sikkerhedsbruddet vil herefter – på baggrund af vurderingen – blive sagsbehandlet. Datatilsynet er af den opfattelse, at sikkerhedsbrud, der udsætter fysi-ske personers rettigheder for risiko, generelt vil have karakter af for-hold, som vil give anledning til - som minimum - kritik fra tilsynet. 11 Ved brud på persondatasikkerheden, der fremstår som en afgrænset og enkeltstående hændelse med en ringe risiko for de registreredes rettigheder, og hvor den dataansvarliges foranstaltninger i forlængelse af bruddet vurderes som umiddelbart tilstrækkelige i forhold til beskyttel-sen af de registreredes rettigheder, vil Datatilsynet normalt afslutte sa-gen uden at udtale egentlig kritik.” Sagsøgte (Kommune) har fremlagt tilsvarende rapporter fra Datatilsynet for
52. Forklaringer Sagsøger 1, Sagsøger 2, Vidne 1, Vidne 3 og Vidne 2 har afgivet forklaring. Sagsøger 1 har forklaret bl.a., at hun og Sagsøger 2 var ungdomskære-ster, hvorefter de i en lang periode ikke havde kontakt. Sagsøger 2 kontaktede hende i 2014, efter at han var blevet skilt i
53. Herefter udvikledes deres forhold sig. Hun har i mange år arbejdet i Branche og havde i 2014 sit eget bureau i By. Hun ophørte med bureauet i
54. Hun har to særbørn, og Sagsøger 2 har tre særbørn. Hendes børn har boet hos hende hele tiden, mens Sagsøger 2 frem til begyndelsen af 2015 havde børnene i en 7/7-ordning. Da Person 1 herefter øn-skede at bo fast hos Sagsøger 2 og hende, begyndte konflikterne med Person 1's mor, Vidne
55. Hun har været fast omsorgsperson for Person 1 og har et skønt forhold til Person
56. I februar 2019, da Sagsøger 2 søgte om økonomisk støtte til et efterskoleophold for Person 1, var samarbejdet med Vidne 1 stort set ikke eksisterende. Der var in-gen dialog overhovedet. Der var en sag om bopæl ved Familieretshuset, hvor hun deltog som bisidder for sin mand. Kommunen har udleveret hendes diagnose til Vidne
57. Det hele væl-tede for hende, da hun fik det at vide den
58. juni
59. Det var hendes første dag på hendes nye arbejdsplads, og hun måtte melde sig syg dagen efter. Hun kunne ikke overskue, hvilke konsekvenser oplysningen om hendes diagnose ville have. Det var kun Sagsøger 2, hendes forældre og hendes ældste, voksne datter, der kendte til diagnosen. De vidste af erfaring, at Vidne 1 fik hjælp af mange mennesker til at skrive breve til bl.a. Familieretshuset. Det betød, at de ikke vidste hvor mange, der havde kendskab til hendes diagnose. Det var ude af hendes kontrol. Hun følte, at det var et overgreb. Efter at oplysningen om hendes diagnose var blevet udleveret var der et udredningsmøde i Familieretshuset den
60. juni
61. Under mødet spurgte Sagsøger 2, om oplysningen ville have nogen konsekvenser. Sagsbehandleren sagde, at sagen, der handlede om Sagsøger 2's samvær med Person 2, skulle til retten, og at man måske kunne finde på at lave en forældreevneundersøgelse. De fik forklaret, 12 hvad en sådan undersøgelse indebar. Det var rædselsfuldt. [ Udeladt ]. Ud over mailen af
62. juni 2019 fra Vidne 1 til Familieretshuset, hvor hendes diagnose er nævnt, har Vidne 1 også nævnt hendes ”[ Udeladt ]” i sin mail af
63. marts 2021 til Sagsøger
64. Vidne 1 har også nævnt det i an-dre mails og sagt det til vidnet selv ved nogle lejligheder. Oplysningen om hen-des diagnose har været et ”es” for Vidne 1 i sager imod dem. Hun har brugt oplysningen til at stille dem i et dårligt lys. Efter den
65. juni 2019 opgav Sagsøger 2 kampen om samvær. Han trak sagen. Hvis oplysningen om hendes diagnose ikke var blevet videregivet, havde de fortsat sagen i Familieretten. Men de havde ikke lyst til, at der skulle foretages forældreevneundersøgelser mv., og de ville ikke udsætte børnene herfor. Der gik herefter ca. et år, inden Sagsøger 2 så Person 2 igen. Hun og Sagsøger 2 havde det svært efter, at oplysningen om hendes diagnose var blevet delt. Sagsøger 2 skulle ”samle hende op” , når hun havde det svært. Hun har kun talt med Sagsøger 2 og sine forældre om, hvordan det har påvirket hende. Ved samtaler i psykiatrien har hun også nævnt, hvor svært det har været. Forløbet har påvirket Sagsøger 2 negativt, idet han jo herefter ikke så sin søn. Det har været en stor belastning for ham at se, hvordan hun havde det. [ Udeladt ]. Sagsøger 2 har forklaret bl.a., at han er Stilling og har været i branchen i mange år. I 2019 var han ansat i et forsikringsselskab, hvor han nu har været ansat i 10 år. Han søgte penge til et efterskoleophold for Person 1, idet Person 1 ville have stor nytte heraf. Deres økonomi var imidlertid ikke til det. I ansøgningen skrev han om Sagsøger 1's diagnose, idet han forinden havde haft en samtale med Vidne 2 om, at han skulle beskrive deres situation så godt som muligt. Han skrev også i ansøgningen, at hans ekskone, Vidne 1, ikke ville eller kunne deltage økono-misk på nogen måde. Det havde Vidne 1 selv givet udtryk for ved flere lejlig-heder. Han mener, at Vidne 1 har fået aktindsigt i oplysningerne i betalingsoversig-terne, herunder oplysning om hans fagforening. Dette bygger han på den sam-tale, som han havde med den chef i kommunen, der ringede og undskyldte for databruddet. Hun sagde, at kommunen uretmæssigt havde delt bl.a. økonomi-ske oplysninger. Han mener, at det blev sagt, at hele hans ansøgning var blevet delt. Under samtalen gennemgik de ikke de dokumenter, der var blevet udleve-ret. Han bad herefter om aktindsigt og kunne se, at der var blankt på de sider, der ikke måtte have været udleveret. Det gælder således det økonomiske be-regningsskema, lønseddel og betalingsoversigter. Og i kommunens indberet- 13 ning til Datatilsynet er det angivet, at der fejlagtigt er udleveret økonomiske oplysninger. Han fik også en undskyldning fra kommunen over e-Boks. Vidne 1's mail af
66. juni 2019 modtog han dels på sin private mail, dels i e-Boks. Det løb ham koldt ned ad ryggen. Han kendte Sagsøger 1 og vidste, hvordan hun fungerede. Han var klar over, at det ikke ville blive rart for Sagsøger
67. Det gik også op for ham, at Vidne 1 ville bruge oplysningen i sager fremover. Han var overrasket, ked af det og nervøs for, hvordan Sagsøger 1 kom til at håndtere det. Det er klart, at oplysningen om diagnosen kommer fra Sagsøgte (Kommune). Han har ikke talt med Vidne 1 om, at Sagsøger 1 [ Udeladt ]. På mødet i Familieretshuset den
68. juni 2019 sad sagsbehandleren med den del papirer og nævnte en ”seneste e-mail” . Han spurgte, hvordan mailen af
69. juni 2019 fra Vidne 1 ville påvirke sagen. Sagsbehandleren oplyste, at der måske ville blive lavet en forældreevneundersøgelse. Han har modtaget referat af Vidne 1's møde den
70. juni 2019 i Familieretshuset, formentlig al-lerede dagen efter mødets afholdelse. Han noterede sig, at Sagsøger 1's sygdom var nævnt. Han tænkte, at nu kunne det ikke holde mere. Han måtte værne om de-res familieliv. Han trak derfor sagen om samvær med Person
71. Han måtte passe på sig selv og familien, så korthuset ikke væltede. Det var blevet en ulige kamp ved, at oplysningen om diagnosen var kommet frem. Han har været me-get ked af det på grund af det manglende samvær med Person 2, og især fordi det har påvirket Sagsøger
72. [ Udeladt ]. Vidne 1 har bragt ”det” op i andre sammenhænge. Det er et trumf-kort for hende. Bl.a. har hun omtalt Sagsøger 1's [ Udeladt ] i sin mail af
73. marts 2021 til ham. Han havde på det tidspunkt samvær med Person 2 hver
74. uge. En sag ved retten i Næstved endte med, at Person 2 blev boende hos dem. Han ved ikke, om Sagsøger 1's sygdom blev nævnt i retssagen i Næstved. Vidne 1 har forklaret bl.a., at forældresamarbejdet med Sagsøger 2 har været kompliceret og konfliktfyldt. Hun kan bekræfte, at hun har sendt mailen af
75. juni 2019 til Familieretshuset. Hun fik oplysningen om, at Sagsøger 1 var diagnosticeret med [ Udeladt ] via aktindsigten hos kommunen. Hun nævnte oplysningen i sin mail, fordi hun var bekymret for sin søn og hans samvær med Sagsøger 2 og Sagsøger
76. Hun havde dog i forvejen oplysninger fra familiemedlemmer om Sagsøger 1's psykiske problemer. Familiemedlemmerne havde faktisk også brugt [ Udeladt ], inden hun fik oplysningen herom via aktindsigten, men med aktindsigten var hun nu sikker på, at det var rigtigt. Hun husker ikke, om mailen af
77. juni 2019 var første gang, hun nævnte Sagsøger 1's [ Udeladt ]. Ved aktindsigten fik hun mange oplysninger, som hun ikke nu husker nærmere i detaljer. Hun modtog senere et brev fra kommunen om, at hun skulle se bort 14 fra personlige oplysninger om Sagsøger 1 og slette dem. Hun slettede herefter oplys-ningerne fra sin mail og e-Boks. Det blev også oplyst, at Familieretshuset skulle se bort fra oplysningerne. Hun modtog ingen telefonopkald fra kommunen her-om. Ved senere kontakt til Familieretshuset og andre har hun om Sagsøger 1 henvist til de oplysninger, som hun allerede inden aktindsigten havde fået af familie-medlemmer. Hun ved ikke, om hun senere har brugt ordet diagnose. Foreholdt det økonomiske beregningsskema for Sagsøger 2, husker hun slet ikke at have set dette før. Hun har heller ikke set betalingsoversigterne. Hun var til møde i Familieretshuset den
78. juni
79. Hun husker ikke mødet nærmere. Hun husker ikke, om hun nævnte Sagsøger 1's[ Udeladt ]. Hun havde ikke sin mail af
80. juni 2019 med til mødet. Hun ved ikke, om sagsbehandleren havde papirer med til mødet. Hun husker ikke, om hun brugte ordene ”Sagsøger 2's [ Udeladt ]. Hun havde kendskab hertil, da de jo havde boet sammen. Mailen af
81. marts 2021 til Sagsøger 2, hvori hun nævner ”Sagsøger 1's [ Udeladt ], der unægteligt påvirker børnene” , skrev hun, fordi hun var bekymret. Oplysningen stammer fra Sagsøger 2 som forklaret. Hun husker ikke, hvor længe Person 2 boede hos hende fra sommeren 2019 og frem. Han flyttede hjem til sin far i en periode. Hun husker ikke årstallet. Hun stoppede en sag ved retten i Næstved, fordi Person 2 fortalte, at han ønskede at bo hos sin far. Hun ved ikke, om Sagsøger 1 og Person 2 har et godt forhold. Hun havde generelt indtryk af forholdene hos Sagsøger 2 og Sagsøger 1 fra børnenes op-lysninger herom. Børnene fortalte om forhold, der gjorde hende bekymret i pe-rioder. Hun husker ikke, om Sagsøger 2 har nævnt for hende, at det var et problem, at oplysninger om Sagsøger 1's diagnose var kommet frem. Vidne 3 har forklaret bl.a., at hun blev uddannet socialrådgi-ver i 2013 og har arbejdet inden for børn og unge-området i kommuner og i Familieretshuset. Hun er nu koordinator i Århus kommune. Hun var ansat i Familieretshuset fra marts 2019 til maj
82. I Familieretshuset deltog hun pri-mært i mange møder med borgere om mange forskellige emner, såsom børne-samtaler, konfliktmægling og udredninger. Hun husker ikke udredningsmøderne den
83. og
84. juni
85. Til brug for forberedelsen af sin vidneforklaring i dag har hun modtaget mødereferaterne og 15 har talt med sin tidligere leder, der på grundlag af journalnotater har oplyst hende om, hvordan hun agerede i sagen, herunder at hun deltog i møderne, og at hun har skrevet referaterne. Hun husker ikke noget særligt ved denne sag. Hun har i sin tid i Familieretshuset haft 580 møder. Foreholdt referat af mødet med Vidne 1 den
86. juni 2019 og noteringen af en oplysning om Sagsøger 2's [ Udeladt ] ligesom hun ikke husker noget om, hvilke oplysninger der havde betydning i denne dag. Hun husker ikke, om Fa-milieretshuset rettede henvendelse til de relevante kommuner eller en skole med anmodning om oplysninger. Typisk kan det i en sag om bopæl være vig-tigt at vide, om der er særlige behov eller særlige bekymringer. Parterne får ko-pi af alle mødereferater. Hun kan af referaterne se, at der ikke deltog en jurist i møderne. Det er ellers normal procedure, men det kan undlades, hvis særlige forhold gør sig gælden-de. Der deltager normalt en jurist, idet der bør være et tværfagligt team. Når udgangspunktet for en sag er, at den skal videresendes til Familieretten, kan juristen således også begynde sagsbehandlingen med det samme. Hun husker ikke, om sagen endte i retten. Hun husker ikke, om der ved møderne forelå en mail af
87. juni 2019 fra moren, Vidne
88. Om hun medtog skriftlige indlæg fra parterne til et møde, afhang af om indholdet var relevant for mødet. Når der i referatet af mødet med Vidne 1 den
89. juni 2019 er anvendt udtrykket ”Sagsøger 2's kones psyke” , vil hun tro, at det er det udtryk, som Vidne 1 har anvendt. Hun brug-te i reglen parternes egne formuleringer. Hun husker ikke noget om en instruks fra kommunen om ikke at bruge oplysninger i sagen, der ved en fejl var givet aktindsigt i. Vidne 2 har forklaret bl.a., at hun er uddannet socialrådgiver og har erfa-ring fra tre forskellige kommunale forvaltninger. I 2019 var hun socialfaglig vi-sitator i Sagsøgte (Kommune). Stillingen indebar modtagelse af alle underretnin-ger og ansøgninger vedrørende børn og unge. Hun havde da fungeret som so-cialrådgiver i over 10 år. Hun var ansat i Sagsøgte (Kommune) i syv år i alt, heraf seks år som socialfaglig visitator. Hendes ansættelse ophørte i
90. Hun kunne have op til 70 sager ad gangen, herunder mindre sager og større sager. Hun er ikke bekendt med, om Sagsøgte (Kommune) modtog en anmodning fra Familieretshuset om oplysninger om Sagsøger
91. Hun har ofte be-svaret tilsvarende henvendelser, hvor Familieretshuset enten beder om en sags akter eller om en udtalelse. Familieretshuset kan godt foretage underretning af 16 kommunen, hvis man i Familieretshuset er blevet opmærksom på forhold, der giver anledning til bekymring. Hun var sagsbehandler på Sagsøger 2's ansøgning om økonomisk støtte til et efterskoleophold for sønnen Person 1 og derfor også sagsbehandler på Vidne 1's anmodning om aktindsigt i den sag. Hun var bekendt med kommunens ITsikkerhedspolitik. Hun havde ikke IT-sikkerheds-politikken ”fremme” ved behandlingen af denne anmodning om aktindsigt. Kommunen havde en praksis, som de fulgte i sager om aktindsigt, herunder med mulighed for at søge rådgivning i kommunens juridiske afdeling. Hun er ligeledes blevet undervist i GDPR og databeskyttelsesforordningen og følte sig rustet til at håndtere anmodningen om aktindsigt. Hun har behandlet ansøgningen ved i journalsystemet at afkrydse de doku-menter i sagen, der ikke skulle indgå i aktindsigten. Dvs. at hun herved aktivt tog stilling til, hvilke dokumenter der ikke skulle gives aktindsigt i. Kommu-nens afslag på ansøgningen om støtte til efterskoleophold blev der således givet fuld aktindsigt i. Når man undtog et dokument fra aktindsigt, fremkom en side med en overskrift på bilaget og derefter alene en angivelse af, at ”dokumentet er ikke medtaget i dokumentsamlingen” . Dette ses f.eks. i denne sag for så vidt angår det økonomiske beregningsskema, lønseddel, pantebrev og betalings-oversigter, der alle vedrører økonomiske forhold. Disse oplysninger skulle und-tages fra aktindsigt og blev ikke sendt til Vidne
92. Der blev givet fuld aktindsigt i Sagsøger 2's mail af
93. februar 2019, hvori han ansøgte om støtten. Oplysningen heri om Sagsøger 1's[ Udeladt ] skulle have været undtaget fra aktindsigt. Det er en fejl, at oplysningen ikke blev undtaget. Hun er grundig i sit arbejde. Denne fejl er en undtagelse. Fejlen er måske sket, idet ansøgningen har indeholdt denne personlige oplysning, som i øvrigt var irrelevant for behandlingen af ansøgningen om støtte. Hun indberettede bruddet på persondatasikkerheden til kommunens juridiske tjeneste den
94. juni 2019, idet hun blev opmærksom herpå på grundlag af Sagsøger 2's klage den
95. juni
96. Som det fremgår heraf, var en af hendes kolleger, hendes chef, sektionsleder Person 3, i kontakt med Sagsøger 2 med en beklagelse af det skete. Hun havde drøftet med sin sektionsleder, hvad der skulle foretages i anledning af databruddet, og de var blevet enige om at foretage de skridt, der er nævnt i indberetningen. Efter hendes indberetning til kommunens juridiske afdeling, foretog denne en indberetning til Datatilsynet. Hun havde intet med denne indberetning at gøre. Der var tale om en ”utilsigtet videregivelse” som angivet i kommunens indbe-retning. Når det i kommunens indberetning er afkrydset, at der var tale om op-lysninger om ”økonomiske forhold” er der efter hendes opfattelse tale om en 17 henvisning til, at der i kommunens afslag på økonomisk støtte til et efterskoleophold er angivet et overskud på Beløb. Denne oplysning burde ikke væ-ret videregivet. Via e-Boks blev Vidne 1 oplyst om, at videregivelsen af oplysningen om ”Person 1's fars samlever” var uretmæssig, og hun blev bedt om at slette op-lysningen. Ligeledes blev Familieretshuset orienteret herom og anmodet om, at oplysningen ikke indgik i Familieretshusets sagsbehandling. Hun tror ikke, at Vidne 1 og Familieretshuset besvarede disse breve. Databruddet har ikke haft konsekvenser for hendes ansættelse. Hun var ikke yderligere involve-ret i sagen og har ikke før under afhøringen i dag set Vidne 1's mail af
97. juni 2019 til Familieretshuset. Hun er ikke bekendt med et krav om, at der altid skal være fire øjne på en sag om aktindsigt. Hun er dog bekendt med, at der i visse tilfælde har været flere til at vurdere en aktindsigtssag. Hvis hun var i tvivl om noget, skulle hun gå til kommunens juridiske afdeling, hvor to eller tre personer var udpeget til at beskæftige sig med aktindsigt. Hun kunne i princippet også gå til sin sektionsle-der. Det har hun dog ikke gjort i denne sag. Hun kender ikke titlen ”databeskyttelsesrådgiver” . Hvis en anmodning om aktindsigt omfatter mange hundrede sider, har kommunen i nogle tilfælde udskudt fristen for svar. Ellers behandle-de kommunen anmodninger om aktindsigt inden for lovens syvdagesfrist. Retsgrundlaget Databeskyttelsesloven Databeskyttelseslovens §§ 1 og 40 er sålydende: ”§
98. Loven supplerer og gennemfører Europa-Parlamentets og Rådets forordning nr. 2016/679 af
99. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (databeskyttelsesforordningen), jf. bi-lag 1 til denne lov. … § 40 . Enhver person, som har lidt materiel eller immateriel skade som følge af en ulovlig behandlingsaktivitet eller enhver anden behandling i strid med denne lov og databeskyttelsesforordningen, har ret til erstat-ning efter databeskyttelsesforordningens artikel 82.” Bestemmelserne blev indført ved lov nr. 502 af
100. maj
101. Af de specielle bemærkninger til lovens § 40 fremgår bl.a. (Folketingstidende 2017-18, tillæg A, lovforslag nr. L 68, s. 203): ”Til § 40 18 Bestemmelsen er en ordret gennemførelse af forordningens artikel 82, stk.
102. Som det fremgår af betænkningen, side 917, udvider forordningsbestemmelsen gældende ret, ved at databehandleren også kan væ-re erstatningsansvarlig. Derudover præciserer bestemmelsen ordlydsmæssigt, at der er ret til erstatning for materiel og immateriel skade, hvilket dog - som det fremgår samme sted i betænkningen - må antages at svare til gældende ret. Derudover fastsætter forordningens artikel 82, stk. 2 og 3, at der fortsat gælder et præsumptionsansvar. … Der henvises om forordningens artikel 82 i det hele til betænkningen, side 910-918.” Af lovforslagets almindelige bemærkninger, afsnit 2.8.3.5., fremgår bl.a. (Folketingstidende 2017-18, tillæg A, lovforslag nr. L 68, s. 161): ”2.8.3.
103. Justitsministeriet vurderer, at der i lovforslagets § 40 skal fastsættes en bestemmelse om, at enhver person, som har lidt materiel eller immateriel skade som følge af en ulovlig behandlingsaktivitet eller enhver anden behandling i strid med lovforslaget og databeskyttelsesforordningen, har ret til erstatning efter databeskyttelsesforordningens ar-tikel
104. Bestemmelsen svarer til persondatalovens §
105. Justitsministeriet vurderer, at det er hensigtsmæssigt af hensyn til at skabe klarhed og af hensyn til retssikkerheden, at der i lovforslagets § 40 indsættes en bestemmelse, som er en næsten ordret gennemførelse af forordningens artikel 82, stk. 1, hvorefter det bl.a. fastslås, at der også fremover gælder et præsumptionsansvar – ligesom efter gældende ret.” Af betænkning nr. 1565/2017 om Databeskyttelsesforordningen – og de retlige rammer for dansk lovning, del 1, side 16 i bind 1 og side 908-913 i bind 2, fremgår bl.a.: ”1.
106. Betænkningens retlige status Betænkningens analyser er baseret på eksisterende retskilder. Betænkningen vil således ikke stå alene som fortolkningsbidrag fremover. Hvor retstilstanden ikke kan anses for entydig, indeholder betænknin-gen i vidt omfang forslag til mulige løsninger. Det må forventes, at fortolkningen af forordningen på flere punkter i de kommende år vil blive udviklet gennem praksis fra bl.a. det med forordningen nyoprettede Europæiske Databeskyttelsesråd, EU-Domstolen, de danske domstole og Datatilsynet. 19 Den nuværende retstilstand er f.eks. baseret på meget få domme, og det må forventes, at der fremover vil komme flere domme fra bl.a. EUDomstolen. I det omfang, der kommer bindende afgørelser fra EU-Domstolen, nationale domstole, Databeskyttelsesrådet og den uafhængige tilsynsmyndighed mv., skal betænkningens analyser naturligvis læses i lyset af den nye praksis. … 9.6.3.
107. Databeskyttelsesforordningens artikel 82, stk. 1 Det følger af forordningens artikel 82, stk. 1, at enhver, som har lidt materiel eller immateriel skade som følge af en overtrædelse af denne forordning, har ret til erstatning for den forvoldte skade fra den dataansvarlige eller databehandleren. Forordningens artikel 82, stk. 1, ses i vidt omfang at videreføre retten til erstatning i direktivets artikel
108. Det følger bl.a. af præambelbetragtning nr. 146, at begrebet ”skade” bør fortolkes bredt i lyset af retspraksis ved Domstolen, således at det fuldt ud afspejler formålene for denne forordning. Det fremgår endvidere af betragtningen, at dette ikke berører eventuelle erstatningskrav for ska-de som følge af overtrædelse af andre bestemmelser i EU-retten eller medlemsstaternes nationale ret, at behandling, der overtræder denne forordning, også omfatter behandling, der overtræder delegerede retsakter og gennemførelsesretsakter vedtaget i henhold til denne for-ordning og til medlemsstaternes nationale ret, der præciserer bestem-melserne i denne forordning, og at registrerede bør have fuld erstatning for den skade, som de har lidt. Det fremgår nu eksplicit i forordningen, at der skal gælde et erstatningsansvar for materiel eller immateriel skade, hvor direktivet alene nævner skade. Materiel skade er, som nævnt ovenfor, allerede omfattet af persondatalovens § 69, hvis et økonomisk tab kan konstateres. Deru-dover må immateriel skade også anses for at være omfattet af personda-talovens § 69, i de tilfælde, hvor et økonomisk tab kan konstateres, hvil-ket efter omstændighederne kan være et tab i form af mistet omsæt-ning, jf. U 2007.1603 S, refereret ovenfor. Dette kunne eksempelvis være tilfældet ved en uberettiget offentliggørelse af personoplysninger, som er en immateriel skade, der kan medføre erstatning, hvis der kan do-kumenteres at være lidt et økonomisk tab, herunder et omsætningstab. Det følger ikke nærmere af ordlyden af artikel 82, stk. 1, hvad der må forstås ved begreberne materiel eller immateriel skade. Det følger dog, at begrebet ”skade” , i lyset af retspraksis ved EU-Domstolen, skal for-tolkes bredt, således at det afspejler formålene i forordningen. På områ-det for pakkerejser har EU-Domstolen fortolket begrebet ”skade” til og-så at omfatte godtgørelse for ikke-økonomisk skade. EU-Domstolen har dog i nyere praksis ved udmåling af erstatning i forbindelse med trafi-kuheld fortolket dette til alene at gælde i det omfang, der blev foreskre-vet en erstatning herfor i medfør af den forsikredes erstatningsansvar i 20 henhold til de nationale bestemmelser, der fandt anvendelse på tvisten, jf. den refererede retspraksis fra EU-Domstolen. Det fremstår ikke klart, hvad der må forstås ved en bred fortolkning af begrebet ”skade” i EUDomstolens praksis, jf. præambelbetragtning nr. 146, herunder om der efter artikel 82, stk. 1, skal kunne tilkendes en ”erstatning” for ikkeøkonomisk skade, såfremt der i national ret er foreskrevet en erstatning herfor. EU-lovgiver er heller ikke konsekvent i anvendelsen af henholdsvis begreberne ”erstatning” og ”godtgørelse” , ligesom der heller ikke kan konstateres konsistens i brugen af begreberne ”materiel/immateriel skade” og ”økonomisk/ikke-økonomisk skade” . Dette ses bl.a. afspejlet i de to direktiver, der er gengivet ovenfor. I ligebehandlingsdirektivet ses der at være en klar sondring mellem erstatning på den ene side og godtgørelse på den anden. I direktivet om intellektuel ejendomsret føl-ger det derimod, at et af de aspekter, der skal tages hensyn til under udmåling af erstatning, hvis det er hensigtsmæssigt, er andre elementer end de økonomiske, f.eks. den ikke-økonomiske skade, rettighedshave-ren har lidt som følge af krænkelsen. Databeskyttelsesforordningens formål følger af artikel 1, stk. 2 og
109. Af artikel 1, stk. 2, følger det, at forordningen beskytter fysiske personers grundlæggende rettigheder og frihedsrettigheder, navnlig deres ret til beskyttelse af personoplysninger. Af artikel 1, stk. 3, følger det, at den frie udveksling af personoplysninger i EU hverken må indskrænkes el-ler forbydes af grunde, der vedrører beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger. Forordningens artikel 82, stk. 1, var i artikel 77, stk. 1, i Kommissionens oprindelige forslag, affattet på følgende måde: ”Enhver, som har lidt skade som følge af en ulovlig behandling eller enhver anden handling, der er uforenelig med denne forordning, har ret til erstatning for den forvoldte skade fra den [dataansvarlige] eller [databehandleren]” . Der-udover var præambelbetragtning nr. 118,
110. pkt., (den nuværende be-tragtning nr. 146) affattet således: ”Personer, der lider skade som følge af en ulovlig behandling, bør have ret til erstatning fra den [dataansvar-lige] eller [databehandleren]” . Artikel 29-gruppen har om det oprindelige forordningsforslags artikel 77 bl.a. udtalt, at arbejdsgruppen finder det nødvendigt at afklare (i en betragtning), at ordet ”skade” ikke kun henviser til materiel skade, men også omfatter andre former for skade (immateriel skade). I Europa-Parlamentets betænkning af
111. november 2013 fra udvalget om Borgernes Rettigheder og Retlige og Indre Anliggender blev der fo-reslået ændringer til forordningsforslagets præambelbetragtning nr. 118 og artikel 77, stk.
112. Til betragtning nr. 118 ønskedes der indsat perso-ner, der lider skade, uanset om den er økonomisk eller ej. Til artikel 77, stk. 1, ønskedes der indsat ”enhver, som har lidt skade, herunder ikke-økonomisk skade …” Af Rådets generelle indstilling af
113. juni 2015 nævnes det i indledningen, at Rådet har ønsket at modificere bl.a. præambelbetragtning nr. 21 118 og artikel
114. Præambelbetragtning nr. 118, der i al væsentlighed kan genfindes i den endelige forordnings præambelbetragtning nr. 146, blev af Rådet affattet på ny og lyder således: ”Personer, der lider skade som følge af en behandling, der ikke er i overensstemmelse med denne forordning, bør have ret til erstatning fra den dataansvarlige eller data-behandleren. Denne bør fritages for erstatningsansvar, hvis det bevises, at den pågældende ikke på nogen måde er skyld i den forvoldte skade (…) Begrebet ”skade” skal fortolkes bredt i lyset af retspraksis ved den Europæiske Unions Domstol, således at det fuldt ud afspejler målene for denne forordning” . Artikel 77, stk. 1, der i al væsentlighed kan gen-findes i den nuværende artikel 82, stk. 1, blev også affattet på ny og ly-der således: ”Enhver, som har lidt materiel eller immateriel skade som følge af en behandling, der ikke er i overensstemmelse med denne for-ordning, har ret til erstatning for den forvoldte skade fra den data-ansvarlige eller databehandleren.” Det må af det oplistede hændelsesforløb kunne udledes, at Rådet ikke ønskede, at der skulle henvises til ikke-økonomisk skade, hvilket EUlovgiver som sådan endte med at følge. Forordningens artikel 82 bærer overskriften ”ret til erstatning og erstatningsansvar” . I den engelske version bærer artikel 82 overskriften ”right to compensation and liability” , ligesom det også var tilfældet i ligebehandlingsdirektivets artikel 18, hvor ”erstatning” i den engelske sprogversion er ”compensation” . Derudover fastsætter forordningen ikke i artikel 82, stk. 1, de nærmere betingelser for at fastslå erstatnings-ansvaret og den deraf følgende erstatningssum, i modsætning til områ-det for administrative bøder, jf. forordningens artikel 83, stk. 1-6, hvor forordningen er meget udtrykkelig i forhold til bødestørrelserne. Endelig sondres der efter dansk erstatningsret overordnet set mellem integritetskrænkelser (materiel skade) og ikkeintegritetskrænkelser (immateriel skade). Derefter sondres der for begge skadestyper mellem økonomisk og ikke-økonomisk skade, da der som udgangspunkt, efter dansk ret, alene kan opnås erstatning for økonomisk skade (der dog godt kan være immateriel, f.eks. et omsætningstab), jf. gengivelsen af gældende ret ovenfor. Dette taler imod, at der alene ud fra forskellen mellem direktivets artikel 23 om ”skade” og forordningens artikel 82, stk. 1, om ”materiel eller immateriel skade” kan udledes, at det med forordningen er tiltænkt, at der også skal gives erstatning for ikke-økonomisk skade efter artikel 82, i hvert fald ikke i situationer, hvor der nationalt ikke er tradition for at give erstatning for ikke-økonomiske tab. På det foreliggende grundlag, herunder med den foreliggende praksis fra EU-Domstolen og EU-lovgiver, er der således ikke tilstrækkeligt grundlag for at fastslå, at godtgørelse for ikke-økonomisk skade er om-fattet af retten til erstatning for materiel eller immateriel skade efter ar-tikel 82, stk.
115. I hvert fald ikke, hvis der i en medlemsstat ikke normalt uden særskilt hjemmel er mulighed for erstatning for ikke-økonomisk tab. Immateriel skade i forordningens forstand må, i en dansk kontekst, antageligvis forstås som den almindelige eller rene formueskade, som er lidt som følge af overtrædelse af forordningens bestemmelser, hvilket 22 f.eks. kan være et tab i form af mistet omsætning eller fralæggelse af den retsstridigt indvundne berigelse. Derudover fremgår det i øvrigt bl.a. af forordningens præambelbetragtning nr. 75, at risiciene for fysiske personers rettigheder og frihedsrettigheder, af varierende sandsynlighed og alvor, kan opstå som følge af behandling af personoplysninger, der kan føre til fysisk, materiel el-ler immateriel skade, navnlig hvis behandlingen kan give anledning til forskelsbehandling, identitetstyveri eller -svig, finansielle tab, skade på omdømme, tab af fortrolighed for personoplysninger, der er omfattet af tavshedspligt, uautoriseret ophævelse af pseudonymisering eller andre betydelige økonomiske eller sociale konsekvenser, hvilke eksempler i øvrigt også peger i retningen af, at der med artikel 82 alene er tiltænkt erstatning for økonomisk skade. Forordningens artikel 82, stk. 1, ændrer ikke på den mulighed, der eksisterer efter dansk ret, til i visse tilfælde, at udbetale godtgørelse for tort i medfør af

§ 26for en ikke-økonomisk skade.

En sådan bestemmelse må anses for at være en sanktion efter forord-ningens artikel 84, der er med til at sikre forordningens effektive efter-levelse. For nærmere om forordningens artikel 84 henvises til afsnit 9.

1. om sanktioner. Artikel 82, stk. 1, udvider gældende ret ved at også databehandlere kan være erstatningsansvarlige. … 9.6.3.
2. Databeskyttelsesforordningens artikel 82, stk. 3 Det følger af forordningens artikel 82, stk. 3, at en dataansvarlig eller databehandler er fritaget for erstatningsansvar i henhold til stk. 2, hvis det bevises, at den pågældende ikke er skyld i den begivenhed, der medførte skaden. Af præambelbetragtning nr. 146, præciseres det bl.a., at det er den dataansvarlige eller databehandleren der må bevise, at den pågældende ik-ke er ansvarlig for den forvoldte skade. Persondatalovens § 69 præciserer hvilke momenter, der er relevante for en vurdering af, om den dataansvarlige har handlet culpøst. I persondataloven forudsættes det, at vurderingen af, om den dataansvarlige har handlet erstatningspådragende skal ske på baggrund af en kutyme betragtning om, hvad der almindeligvis må kræves af en dataansvarlig. Det fastsættes ikke i forordningens artikel 82, hvilke momenter der er væsentlige i vurderingen af, om den dataansvarlige eller databehandle-ren har et ansvar for den skade, som den registrerede er blevet påført. Af den grund må det antages, at en vurdering af skyldsspørgsmålet, der fastsættes på baggrund af en kutyme betragtning, ikke er i uover-ensstemmelse med forordningens artikel 82, og vil kunne opretholdes. Det i bestemmelsen fastsatte præsumptionsansvar, følger allerede af di-rektivets artikel 23, stk. 2, hvorfor der er tale om en videreførelse af gældende ret.” 23 Databeskyttelsesforordningen Af Europa-Parlamentets og Rådets forordning (EU) 2016/679 af
3. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personop-lysninger og om fri udveksling af sådanne oplysninger og om ophævelse af di-rektiv 95/46/EF (generel forordning om databeskyttelse) fremgår bl.a.: ”

§ 26

§ 26, stk.

1, er sålydende: ” §

1. Den, der er ansvarlig for en retsstridig krænkelse af en andens hed, fred, ære eller person, skal betale den forurettede godtgørelse for tort.” fri- Bestemmelsen blev indført ved lov nr. 228 af
2. maj 1984 om erstatningsansvar. Det fremgår af forarbejderne til loven (Folketingstidende 1983-84,
3. samling, tillæg A, sp. 123), at bestemmelsen – sammen med andre bestemmelser i loven – erstattede § 15 i ikrafttrædelsesloven til straffeloven. Den sidstnævnte bestemmelse var bl.a. ændret ved lov nr. 89 af
4. marts
5. Det fremgår af lovens forarbejder (Folketingstidende 1971-72, tillæg A, sp. 552 og 560), at ændringen byggede på Straffelovrådets betænkning nr. 601/1971 om privatlivets fred. I denne betænkning anføres om begrebet ”tort” bl.a. (s. 65): ”´Tort´ er krænkelse af selv-og æresfølelsen, d.v.s. en persons opfattelse af eget værd og omdømme. Krænkelsesformen kan være sigtelser og ringeagtsytringer (injurier), fredskrænkelser, f.eks. brud på brevhemmeligheden, offentlig meddelelse om privatlivet tilhørende forhold eller frihedskrænkelser, herunder kønsfrihedsforbrydelser.”

§ 26er efterfølgende ændret flere gange, bl.a.

ved lov nr. 349 af

1. maj
2. Ved ændringen blev der indsat en ny bestemmelse i stk. 2 (nu stk. 3). Efter denne bestemmelse skal den, der er ansvarlig for en retsstridig krænkelse af en anden – selv om der ikke er lidt tort – betale den foruret- 36 tede godtgørelse, såfremt krænkelsen er begået ved en forbrydelse, der har indebåret et særligt groft angreb mod en andens person eller frihed. I lovforslagets almindelige bemærkninger anføres bl.a. (Folketingstidende, 1996-97,
3. samling, tillæg A, s. 3172-3174): ”
4. Godtgørelse for ikke økonomisk skade 4.
5. Gældende ret Det følger af

§ 26

, at den, der er ansvarlig for en retsstridig krænkelse af en andens frihed, fred, ære eller person, skal betale den forurettede godtgørelse for tort. Begrebet ”tort” og dermed bestemmelsens rækkevidde er navnlig fastlagt ved nogle højesteretsdomme. Retstilstanden kan herefter sammenfattes på den måde, at godtgørelse for tort selv i alvorlige voldssager kun kan tilkendes, hvis volden er begået under sådanne for ofret særligt krænkende, ydmygende eller hånende omstændigheder, at de er egnede til at krænke vedkommendes selv-og æresfølelse. Alvorlig vold eller trusler om vold kan derfor ikke i sig selv begrunde, at der tilkendes ofret en godtgørelse for tort, heller ikke i tilfælde, hvor overgrebet har medført en forståelig og belastende følelse af utryghed, angst og mindreværd. … Den gældende retstilstand bygger på princippet om, at godtgørelse for ikke-økonomisk skade kun bør tilkendes, hvor der er et ganske særligt behov herfor, og hvor der endvidere kan opstilles visse objektive krite-rier som f.eks., at der er opstået varig helbredsskade, eller at en forbry-delse er begået på en sådan måde, at der heri ligger en særlig krænkelse af ofrets selvfølelse. Dette princip er bl.a. med til at undgå vilkårlighed i retsanvendelsen. 4.2. Justitsministeriets overvejelser Psykiske følger som utryghed, angst og lignende kan opstå som følge af mange typer af forbrydelser og vil have forskellig intensitet bl.a. afhængig af offerets individuelle psykiske ressourcer og sociale kontaktnet. F.eks. kan der hos personer, der har været udsat for vold, røveri, indbrudstyveri, hærværk, overtrædelser af polititilhold, eller der måske ”blot” har været vidne til, at andre udsættes for vold, opstå forskellige grader af utryghed eller angst. En ændring af retstilstanden vedrørende godtgørelse for tort vil derfor kunne få ganske vidtrækkende følger. Samtidig vil selv mindre æn-dringer kunne medføre væsentlige udgifter for det offentlige ikke mindst på grund af reglerne i offererstatningsloven, som indebærer, at staten dækker bl.a. krav på godtgørelse for tort til ofre for overtrædelser af straffeloven. Der har imidlertid været rejst kritik af den meget begrænsede adgang til at yde torterstatning. Der er samtidig grænsetilfælde, f.eks. særligt 37 grove voldsforbrydelser, jf. de ovennævnte eksempler, hvor det kan forekomme rimeligt, at der åbnes en adgang til, at ofre i videre omfang end i dag kan tilbydes en økonomisk godtgørelse for den angst og psy-kiske belastning, der har været forbundet med at være offer for forbry-delsen. Med henblik på at tilvejebringe en begrænset øget mulighed for at tilkende en godtgørelse for ikke-økonomisk skade ved særlig grove forbrydelser foreslås det, at der indsættes et nyt stk. 2 i

§ 26

. Den nye bestemmelse skal omfatte særlige grænsetilfælde, hvor der hidtil ikke er ydet godtgørelse for tort i medfør af stk.

1. Efter Justitsministeriets opfattelse er det navnlig i forbindelse med kriminalitet rettet mod en andens frihed eller person, at det kan forekomme rimeligt, at der åbnes mulighed for i videre omfang end hidtil at yde en godtgørelse også for ikke-økonomisk skade. Godtgørelse skal ydes i de grænsetilfælde, hvor forbrydelsen ikke direkte har været egnet til at krænke ofrets selv-eller æresfølelse, og hvor der derfor ikke ydes godtgørelse for tort, men hvor forbrydelsen desuagtet er af en sådan karakter, at den generelt set er egnet til at skabe meget betydelig angst og længerevarende psykiske belastninger for offeret. Det er derfor en betingelse efter den foreslåede bestemmelse, at krænkelsen er sket ved en forbrydelse, der har indebåret et særligt groft greb mod en andens frihed eller person. an- Der foreslås ikke en udvidelse af adgangen til at tilkende godtgørelse for ikke-økonomisk skade i forbindelse med angreb mod en persons fred eller ære i øvrigt.” Af lovforslagets specielle bemærkninger til ændringslovens § 3 anføres bl.a. Folketingstidende, 1996-97,
2. samling, tillæg A, s. 3182) : ”Til § 3 Erstatningsansvarsloven Bestemmelsens stk. 1 svarer til den nugældende regel i

§ 26, 1.

pkt., og forslaget indebærer ikke ændringer i rækkevidden af denne bestemmelse. I stk. 2 foreslås en udvidet adgang til at yde godtgørelse for ikkeøkonomisk skade i forbindelse med forbrydelser. … Bestemmelsens kerneområde vil være straffelovsovertrædelser i form af særligt grov vold eller frihedsberøvelse. Bestemmelsen kan således omfatte forbrydelser, hvor vold indgår i gerningsindholdet, herunder både forhold, der udelukkende består i vold, og f.eks. røveri, voldtægt og drabsforsøg. 38 Kravet om forholdets grovhed indebærer, at der skal være tale om en forbrydelse, der har medført alvorlig utryghed og angst hos ofret, og som også generelt set er egnet til at skabe betydelig frygt og bekym-ring.” Ved lov nr. 463 af 7. juni 2001 blev der i

§ 26, stk.

2, indsat en særlig bestemmelse, som – i tilfælde, hvor der foreligger tort som nævnt i stk. 1 – havde til formål at forhøje niveauet for godtgørelse i forbindelse med overtrædelse af straffelovens kapitel 23 og 24 om forbrydelser i familiefor-hold og seksualforbrydelser. I lovforslagets almindelige bemærkninger anføres bl.a. (Folketingstidende 2000-01, tillæg A, lovforslag L 143, s. 3521): ”4.1.9. Tortgodtgørelse Efter

§ 26, stk.

1, skal den, der er ansvarlig for en retsstridig krænkelse af en andens frihed, fred, ære eller person, betale den forurettede godtgørelse for tort. ”Tort” er navnlig en krænkelse af selv-og æresfølelsen, dvs. en persons opfattelse af eget værd og omdømme. …”

§ 26er ændret ved lov nr.

1719 af

1. december
2. Ændringen – der trådte i kraft den
3. januar 2019 – havde til formål at forhøje niveauet for godtgørelse for tort i forbindelse med overtrædelse af en række bestemmelser i straffelovens kapitel 27 om freds-og ærekrænkelser. I lovforslagets almindelige bemærkninger anføres bl.a. (Folketingstidende 2018-19,
4. samling, tillæg A, lovforslag L 20, s. 38): ”2.14.
5. Gældende ret … 2.14.1.2.

§ 26indeholder regler om tort-og krænkelsesgodtgørelse.

Det følger af

§ 26, stk.

1, at der kan tilkendes tortgodtgørelse, såfremt der er sket en retsstridig krænkelse af en persons frihed, fred, ære eller person.

§ 26, stk.

1, er en videreførelse af den dagældende regel i § 15, stk. 1, i ikrafttrædelsesloven til straffeloven, jf. herved § 2 i lov nr. 89 af

1. marts
2. Efter den dagældende § 15, stk. 2, i ikrafttrædelsesloven skulle godtgørelsens størrelse fastsættes under hensyn til krænkelsens grovhed, handlingens beskaffenhed og omstændighederne i øvrigt. Ikrafttrædelseslovens § 15, stk. 2, blev ikke medtaget i erstatningsansvarsloven, men det fremgår af lovforslaget, at der ikke er tilsigtet nogen ændring med hensyn til udmåling af godtgørelsen. Godtgørelsen skal således fortsat fastsættes under hensyn til krænkelsens grovhed, handlingens beskaffenhed og omstændighederne i øvrigt, jf. lovforslag nr. L 7 af
3. februar 1984 om erstatningsansvar, Folketingstidende 198384 (
4. samling), tillæg A, sp.
5. For at der kan tilkendes en tortgodtgørelse efter erstatningsansvarslo-vens § 26, stk. 1, skal der foreligge en retsstridig krænkelse. For at en krænkelse er retsstridig, skal der foreligge en culpøs krænkelse af en vis 39 grovhed.”

§ 26er senest ændret ved lov nr.

895 af

1. juni 2022 om ændring af lov erstatningsansvar og lov om erstatning fra staten til ofre for forbrydelser (Udvidelse af området for ydelse af krænkelsesgodtgørelse og forenkling af renteberegningen i offererstatningssager). I lovforslagets almindelige bemærkninger anføres bl.a. (Folketingstidende 2021-22,
2. samling, tillæg A, lovforslag L 184, s. 4-5): ”2.
3. Fastsættelse af ordning for tortgodtgørelse ved digitale seksuelle krænkelser 2.1.
4. Gældende ret … 2.1.1.
5. Tort- og krænkelsesgodtgørelse efter

§ 26… Det er den tort, der er lidt, som tortgodtgørelse skal kompensere for.

Ved ”tort” forstås i almindelighed en krænkelse, der er egnet til at på-virke skadelidtes selv- og æresfølelse, dvs. en persons opfattelse af eget værd og omdømme. Det er således den ydmygelse, skadelidte har væ-ret udsat for, der bestemmer, om vedkommende har krav på tortgodt-gørelse. Hvis krænkelsen ikke har været egnet til at påvirke skadelidtes selv- og æresfølelse, vil der med andre ord ikke være grundlag for at blive tilkendt tortgodtgørelse, idet krænkelsen dermed ikke er omfattet af bestemmelsens anvendelsesområde. Eksempler fra retspraksis på typetilfælde, der berettiger til tortgodtgø-relse er bl.a. frihedsberøvelse, krænkelse af privatlivets fred, voldtægt eller andre seksuelle krænkelser.

§ 26overlader domstolene et vidt skøn ved udmålingen af tortgodtgørelse.

Niveauerne for tortgodtgørelse er såle-des ikke reguleret i selve erstatningsansvarsloven, men der er tilkende-givelser i bemærkningerne til

§ 26herom.

…” Den Europæiske Menneskerettighedskonvention Artikel 8 i Den Europæiske Menneskerettighedskonvention er sålydende: Stk.

1. Enhver har ret til respekt for sit privatliv og familieliv, sit hjem og sin korrespondance. Stk.
2. Ingen offentlig myndighed må gøre indgreb i udøvelsen af denne ret, medmindre det sker i overensstemmelse med loven og er nødven-digt i et demokratisk samfund af hensyn til den nationale sikkerhed, den offentlige tryghed eller landets økonomiske velfærd, for at fore-bygge uro eller forbrydelse, for at beskytte sundheden eller sædelighe-den eller for at beskytte andres rettigheder og friheder. 40 Af Menneskerettighedsdomstolens dom af
3. april 2014 i sagen Radu mod Moldova (50073/07) fremgår bl.a.: “I. THE CIRCUMSTANCES OF THE CASE
4. The applicant was born in 1969 and lives in Chişinău. At the time of the events she was thirty-four years old and married. She was a lecturer at the Police Academy.
5. It appears from the case-file materials that at the time of the events the relationship between the applicant and her superiors at the Police Academy were tense and that there had been a set of employment-related civil proceedings between them.
6. On an unspecified date in 2003 the applicant underwent artificial insemination at a fertility clinic and became pregnant with twins. On 3 August 2003 she was seen by a doctor from the No. 7 Centre for Fami-ly Doctors (“the CFD)” , an institution belonging to the Ministry of Health, who ordered her hospitalisation on account of an increased risk of miscarriage. The applicant was hospitalised between 4 and 20 Au-gust 2003 and was later closely supervised by a doctor from the CFD. It would appear that the applicant’s absence from work during her hospi-talisation was certified by a sick note referring to her pregnancy and an increased risk of miscarriage as the reasons for her absence.
7. On 5 November 2003 the President of the Police Academy requested information from the CFD in connection with the applicant’s medical leave in August
8. In particular, he asked who had ordered her hospitalisation, when she had been hospitalised, what had been the initial and final diagnoses, and what treatment she had received.
9. In a letter dated 7 November 2003 the CFD informed the applicant’s employer that the applicant had been hospitalised between 4 and 20 August 2003 on account of an increased risk of miscarriage. The letter also stated that this was the applicant’s first pregnancy and that she was carrying twins; that the pregnancy had resulted from artificial insemination and that the applicant had hepatitis B. The letter further mentioned that the applicant had obstetrical complications and that she had a negative blood type. A copy of the applicant’s medical file from the hospital where she had been hospitalised, containing a detailed description of all the medical procedures she had undergone and of all the medical analyses, was annexed to the letter.
10. On an unspecified date the applicant suffered a miscarriage. According to the medical report, one of the factors which had led to the miscarriage was the stress to which she had been subjected. …
11. The Court’s assessment 41
12. It is undisputed between the parties, and the Court agrees, that the disclosure by the CFD to the applicant’s employer of such sensitive details about the applicant’s pregnancy, her state of health and the treat-ment received constituted an interference with her right to private life. An interference will contravene Article 8 unless it is “in accordance with the law” , pursues one or more of the legitimate aims referred to in paragraph 2 of that Article, and furthermore is “necessary in a demo-cratic society” in order to achieve the aim. …
13. In fact, the Court notes that all the relevant domestic and interna-tional law cited above expressly prohibits disclosure of such informa-tion to the point that it even constitutes a criminal offence. There are ex-ceptions to the rule of nondisclosure; however, none of them seems to be applicable to the applicant’s situation. Indeed, the Government did not show that any such exception was applicable. It follows that the in-terference complained of was not “in accordance with the law” within the meaning of Article
14. Accordingly, there is no need to examine whether the interference pursued a legitimate aim or was “necessary in a democratic society” .
15. The Court therefore finds that there has been a violation of Article 8 of the Convention in respect of the applicant’s right to respect for her private life. In view of this conclusion it also holds that no separate is-sue arises under Article 6 of the Convention. … A. Damage …
16. Having regard to the violation found above, the Court considers that an award of just satisfaction for non-pecuniary damage is justified in this case. Making its assessment on an equitable basis, the Court awards the applicant EUR 4,500.” Anbringender Sagsøger 1 og Sagsøger 2 har i det væsentlige proce-deret i overensstemmelse med deres påstandsdokument af
17. maj 2025, hvoraf fremgår (ekstrakthenvisninger udeladt): ”III. ANBRINGENDER A. Overordnet Det gøres gældende, at det har haft konkret betydning for begge sagsøgere, at personoplysningerne uretmæssigt blev videregivet til Vidne
18. Sagsøgte (Kommune) har erkendt, at der var tale om en uret-mæssig videregivelse i april 2019, herunder med anmodninger om slet-ning og med artikel 33-anmeldelse til Datatilsynet. Sikkerhedsbruddet angående helbredsmæssige personoplysninger har haft betydelige kon-sekvenser for sagsøgerne. Herudover gøres det gældende, at sagsøger-nes påstand skal tages til følge allerede ved konstateringen af helbreds- 42 oplysningens karakter og indhold. Videre gøres det gældende, at videregivelsen af helbredsoplysningen er af krænkende karakter for sagsøgerne, hvorfor Sagsøgte (Kommune) skal svare erstatning/godtgørelse, hvor ansvarsgrundlaget er culpaansvar med omvendt bevisbyrde. Sagsøgerne bestrider kommunens angivelse af, at der var tale om et ”hændeligt uheld” , hvilket ingen dækning har i faktum, jf. herved kommunens forpligtelser under lovgivning og egne regelsæt, hvor kommunen havde god tid til at vurdere aktindsigt m.v. fra
19. april 2019 og fremefter. Sagsøgerne gør gældende, at Databeskyttelsesforordningen og Databeskyttelsesloven skal fortolkes i overensstemmelse EUs Charter om Grundlæggende Rettigheder, EU-Domstolens praksis, Den Europæiske Menneskeretskonvention, samt Menneskeretsdomstolens praksis. Det gøres gældende, at Databeskyttelsesforordningen artikel 82 (Databeskyttelsesloven § 40) tilsikrer begge sagsøgerne en godtgørelse, hvor sagens direkte betydning og alvor begrunder, at begge tilkendes påstandsbeløbet på kr. 55.000 fra kommunen. Sagsøgernes rettigheder i medfør af Databeskyttelsesforordningen artikel 82 kan ikke fortolkes indskrænkende, hvor de kan støtte ret direkte på bestemmelsen som EUborgere. B. Databeskyttelsesforordningen – krænkelse i. Betingelser og bevisbyrde Retstilstanden ses dækkende beskrevet af professor Henrik Udsen (UfR 2024B, side 95 ff, …), herunder angivelse af at et erstatningskrav efter artikel 82 i Databeskyttelsesforordningen følger af de tre kumulative betingelser om, at der skal: 1) foreligge en overtrædelse af Databeskyttelsesforordningen, 2) være lidt en skade, og 3) være årsagssammenhæng mellem overtrædelsen og skaden. Den dataansvarlige, her Sagsøgte (Kommune), skal kunne bevise, at kommunen ikke er skyld i den begivenhed, der er årsag til skaden. Tilsvarende ses beskrevet af Korfits Nielsen og Lotterup (
20. udgave, 2025) …, bl.a. med reference til VB-dommen C-340/21 af
21. december 2023 præmis 69-72, herunder at fritagelse for civilretligt erstatningsansvar ”således være strengt begrænset til de omstændigheder, hvor den dataansvarlige kan påvise, at skaden ikke kan tilregnes den pågældende” , jf. … (præmis 70). Det fremgår endvidere tydeligt af praksis, at der ikke gælder en bagatelgrænse i artikel 82-sager, hvorved bemærkes, at Sagsøger 1's og Sagsøger 2's sag utvivlsomt befinder sig udenfor feltet for bagateldiskussionen i retspraksis og litteratur. Det bemærkes, at Sagsøger 2s fagforeningsmæssige tilknytningsforhold fremgår af betalingsoversigten, og at fagforeningsmæssigt tilknytningsforhold er en særlig kategori af personoplysninger, omfattet af Databeskyttelsesforordningen artikel 9 (følsom personoplysning), hvorfor videregivelse af denne personoplysning tillige udgør et sikkerhedsbrud. 43 Det er ubestridt, at der kan tilkendes erstatning for ikke-økonomisk skade, og det gøres gældende, at Sagsøgte (Kommune) har et præsumptionsansvar, jf. forordningens artikel 82, stk. 3-6, hvorfor kommunen skal løfte bevisbyrden for, at der ikke foreligger uagtsomhed. Der hen-vises til ”Databeskyttelsesforordningen og databeskyttelsesloven med kommentarer” , Korfits Nielsen og Lotterup (2025, …): ”Ud fra den foreliggende praksis må det imidlertid nok antages, at den dataansvarlige (eller databehandleren) skal kunne bevise, at vedkommende ikke er skyld i den begivenhed – den pågældendes (eventuelle) tilsidesættelse af forordningen – der er årsag til skaden, jf. artikel 82, stk.
22. Domstolen har fastslået, at der med stk. 3 (og indirekte erstatningsbetingelse nr. 3) er tale om en culpaordning med omvendt bevisbyrde, jf. præmis 99 og 103 i dom af
23. decem-ber 2023 i sag C-667/21, ZQ.” Der henvises tillige til Sophia Hassel (2024, …), bl.a. følgende: ”Fear deriving from loss of control over personal data from an infringement of GDPR is sufficient to give raise to non-material damage.” med henvisning til C-340/21 præmis 80, …. ii. Skadesbegrebet Databeskyttelsesforordningen indeholder ingen definition af skadesbegrebet, men præambelbetragtning 146, der knytter sig til art. 82, fastslår, at skadesbegrebet bør fortolkes bredt (hvilket EU-Domstolen også har bekræftet i sin praksis, jf. C-300/21, præmis 46): "Den dataansvarlige eller databehandleren bør yde erstatning for enhver skade, som en person måtte lide som følge af behandling, der overtræder denne forordning. […] Begrebet "skade" bør fortolkes bredt i lyset af rets-praksis ved Domstolen, således at det fuldt ud afspejler formålene for den-ne forordning. […] Registrerede bør have fuld erstatning for den skade som de har lidt" EU-Domstolen har gentagne gange bekræftet, at der ikke gælder en alvorstærskel i forhold til skadesbegrebet i art. 82, jf. f.eks. sag C-340/21, præmis 78, sag C-456/22, præmis 16 samt sag C-687/21, præmis
24. Professor Henrik Udsen anfører tillige i sin artikel U.2024B.95, at "… begrebet ikke-økonomisk (immateriel) skade i art. 82 dækker over et psykisk ubehag, som den registrerede påføres ved den ulovlige behandling af den pågældendes personoplysninger," … I EU-Domstolens første dom om art. 82, C-300/21 af
25. maj 2023 fastslog Domstolen, at ”skadesbegrebet er et EU-retligt begreb, og at der ikke er rum for nationale fortolkninger af begrebet” , jf. tillige U.2024B.95, … l sag C-456/22 anfører EU-Domstolen således, at skaden ikke skal ligge over en vis "bagatelgrænse” , jf. præmis 18 og at en skade kan kræves erstattet, "uanset hvor lille den måtte være", jf. præmis
26. I U.2024B.95 konkluderes det, at ”Enhver (ubetydelig) psykisk gene udgør formentlig en skade, der giver ret til erstatning” og ”Hvis nogle 44 former for psykisk ubehag ligger under tærsklen for, hvad der udgør en skade i art. 82’s forstand, har man i realiteten indført den bagatelgræn-se, som EU-Domstolen så klart har afvist.” , … Videre har EU-Domstolen ”med henvisning til præambelbetragtning 146 understreget, at skadesbegrebet skal fortolkes bredt, hvilket isoleret set peger i retning af, at skadesbegrebet også bør omfatte det reelle psy-kiske ubehag, en registreret oplever, selvom dette skyldes en særlig psykisk skrøbelighed.” , jf. U.2024B.95, … Det gøres herefter gældende, at sagsøgerne har godtgjort at have lidt en skade i forordningens forstand, der tydeligt ”adskiller sig fra den blotte tilstedeværelse af bestemmelserne i” Databeskyttelsesforordningen, jf. herved C-456/22 (VX og AT), … Det gøres gældende, at hændelsen i forbindelse med Sagsøgte (Kommune)s besvarelse af aktindsigtsanmodningen til Vidne 1 er dokumenteret, at de oplysninger om sagsøgerne, som Vidne 1 afgiver eller har afgivet til brug for sagsbehandlingen i Familieretshu-set, stammer fra sikkerhedsbruddet i aktindsigtsbesvarelsen. Hertil kommer Vidne 1's dokumenterede anvendelse af oplysnin-ger, som led i argumentationen/pressionen mod Sagsøger
27. Til støtte herfor henvises til e-mail af
28. juni 2019 fra Vidne 1 til Familieretshuset, hvor det fremgår, at ”Sagsøger 2's’ kone Sagsøger 1 [ Udeladt ]. Dette har Sagsøger 2 oplyst i sin ansøgning til Sagsøgte (Kommune) om efterskole-ophold for Person 1.” (…). Oplysningen fra databruddet fremgår direk-te, ligesom det eksplicit fremgår, hvor oplysningen kommer fra. Endvi-dere henvises til mødenotatet for familieretlig udredning dateret
29. ju-ni 2019, hvor Familieretshuset under punktet ”Vidne 1's syn på sam-arbejdet om barnet” blandt andet er citeret for følgende: ”Vidne 1 for-tæller, at bopælen skal forblive hos hende. Person 2 har sine venner og omgangskreds hos mor. Vidne 1 har også en bekymring i forhold til [ Udeladt ].” , … Hertil kommer …, med mail af
30. marts 2021 fra Vidne 1, hvor der i en mail omkring Person 2's bopæl og samvær anføres, at det har haft betydning for Vidne 1, hvorvidt der er ”[ Udeladt ].” Det gøres særskilt gældende, at den kontinuerlige anvendelse af oplysningerne skal tillægges betydning, herunder Vidne 1's fortsat-te anvendelse, der fandt sted første gang umiddelbart efter databruddet i juni 2019, er fortsat senest dokumenteret imarts 2021 og således vil fortsætte. Der er derfor direkte årsagssammenhæng mellem Sagsøgte (Kommune)s besvarelse af aktindsigtsanmodningen til Vidne 1 og den al-vorlige og væsentlige gene, krænkelse og ulempe, som databruddet har haft med konkret påvirkning af sagsøgerne, både individuelt og kon-kret i forbindelse med familiesagen. C. Erstatningsansvarsloven 45 Sagsøgerne finder, at Erstatningsansvarsloven, herunder § 26, alt andet lige sikrer dem i mindre omfang end den EU-traktatfæstede ret til beskyttelse af personlige oplysninger, som fastsat i Databeskyttelsesforordningen. Sagsøgerne gør dog tillige gældende, at betingelserne for tilkendelse af tort er opfyldte, henset til væsentligheden af kommunens sikkerhedsbrud, herunder væsentligheden af, at borgerne kan have til-lid til kommunens håndtering af stærkt personfølsomme oplysninger som i denne sag. Sagsøgte henviser til U.2020.1879H (Se & Hør-sagen, …), hvortil bemærkes, at Højesteret fremhævede, at der i nævnte sag ikke indgik personfølsomme oplysninger, der var egnede til at påvirke selv- og æresfølelse, hvilket derimod er tilfældet i nærværende sag. Sagsøgerne henviser eksempelvis til, at Højesteret i U.2020.1615H tilkendte kr. 20.000 for en stor psykisk belastning, hvor tv-overvågningen af en ansat havde den fornødne grovhed. Endvidere bemærkes, at godtgørelsen for tort i en række sagstyper angående be-skyttelse af selv- og æresfølelse, herunder privatlivsbeskyttelse, blev forhøjet via lovgivning per
31. januar 2019 med forøgelse med en faktor tre. D. EMRK artikel 8 Sagsøgerne gør gældende, at EMRK artikel 8 tillige er overtrådt i deres sag. Det udgør et indgreb i et berørt individs ret til et privatliv, når en myndighed overfører personlige og følsomme oplysninger om en privatperson til en anden. EMD anser særligt beskyttelsen af personlige oplysninger, ”herunder i særdeleshed helbredsoplysninger, som helt central for individets ret til et privatliv” , jf. Den Europæiske Menneskerettighedskonvention for praktikere (Jon Kjølbro,
32. udgave, 2023) … Helbredsoplysninger om private nyder en stærk beskyttelse, hvorfor det er afgørende, at ”indsamling, behandling og videregivelse af oplys-ninger om helbred opfylder kravet om legalitet, herunder med hensyn til hvornår, under hvilke betingelser, og til hvilket dette kræver under-retning af eller samtykke fra den eller de berørte personer.” Sagsøgerne henviser til EMDs officielle guide om databeskyttelse fra februar 2025, herunder at kommunens sikkerhedsbrud angående Sagsøger 1 an-går ”highly intimate or sensitive data” , … ”Information on an individu-al’s mental health constitutes highly sensitive data” med henvisninger til EMDs praksis, … ”constitutes a key element of private life” , … Sagsøgerne gør tillige gældende, at familielivet, som er særskilt beskyt-tet af artikel 8, også er krænket grundet kommunens retsbruds indvirk-ning på familielivet, herunder med Person
33. Angående EMRK henviser sagsøgerne endvidere til dommene Radu v. Moldova og Biancardi v. Italy som eksempler, jf. i øvrigt EMDs guide, herunder noterer sagsøgerne godtgørelsesbetaling af henholdsvis Euro 4.500 (EMD) og Euro 5.000 (Italiens højesteret) i de to sager, jf. tillige den norske dom af
34. februar 2024, som sagsøgtes advokatfirma omtaler i et GDPR-nyhedsbrev, hvor databruddet førte til en artikel 82- godtgø-relse på NOK 90.
35. Sagsøgerne noterer, at landsrettens dom af
36. november 2024 (B19616/2021, …) hovedforhandles i Højesteret i december 2025, hvorfor 46 dommen ikke er endelig. Sagsøgerne henviser til appellanternes synspunkter i nævnte dom, og udtrykker tvivl om dommen indeholder en tilstrækkelig beskyttelse af borgerne under EU-retten, hvorved sagsøgerne i øvrigt bemærker, at der ses en del punkter af retlig relevans, hvor Sagsøgte (Kommune)-sagen adskiller sig fra Kommune 3-sagen, herunder angående alvor, konsekvenser og den berørte personkreds.” Sagsøgte (Kommune) har i de væsentlige procederet i overensstemmelse med sit påstandsdokument af
37. maj 2025, hvoraf fremgår (bilagshenvisninger ude-ladt): ”
38. Anbringender Det gøres overordnet gældende, at Sagsøgte (Kommune) dels ikke har videregivet de økonomiske beregningsskemaer, lønseddel, betalingsover-sigt mv., …, og sagsøger 1’s cpr. nr., dels at videregivelsen af de oplys-ninger …, som ubestridt er udleveret til Vidne 1 som svar på hendes aktindsigtsanmodning, ikke var uretmæssig. Videregivelsen af oplysningerne til Vidne 1 kan allerede der-for ikke udløse tortgodtgørelse efter

§ 26og/eller erstatning for ikke-økonomisk skade, jf.

databeskyttelsesfor-ordningens artikel

1. Sagsøgerne har for det først ikke godtgjort, at Sagsøgte (Kommune) har udleveret de økonomiske bilag, som sagsøger 2 har fremlagt for Sagsøgte (Kommune) i forbindelse med ansøgningen om støtte til et efterskoleophold …, eller sagsøger 1’s cpr.nr. som påstået af sagsøgerne, jf. oplysningerne i … samt sagsøgernes manglende besvarelse af Sagsøgte (Kommune)s opfordring … Det fremgår derimod af Sagsøgte (Kommune)s aktindsigtsbesvarelse til Vidne 1 af
2. april 2019 …, at de økonomiske beregnings-skemaer, lønseddel, pantebrev, betalingsoversigt mv., … netop ikke blev medtaget i dokumentsamlingen til Vidne 1, jf. …, der ud-gjorde hele besvarelsen af aktindsigten. Det er i denne sammenhæng uden betydning, at der i referatet fra Økonomiudvalgsmødet angives at være udleveret økonomiske oplysninger, eller at der i indberetningen til Datatilsynet (…) angives at være udleve-ret oplysninger om økonomiske forhold. Det afgørende er, at de øko-nomiske bilag, som påstås at være udleveret, faktisk ikke blev udleveret til Vidne 1 som led i besvarelsen af aktindsigtsanmodningen, …. Af samme årsag har Sagsøgte (Kommune) ikke ” uberettiget” videregivet oplysningerne, og allerede derfor skal Sagsøgte (Kommune) frifindes for så vidt angår sagsøgernes påstand om godtgørelse for videregivelsen af de pågældende økonomiske oplysninger. 47 Det gøres gældende, at Sagsøgte (Kommune) hverken har handlet forsætligt eller uagtsomt i forhold til udleveringen af de helbredsmæssige oplysninger om sagsøger 1 … samt afgørelsen vedrørende sagsøger 2’s ansøgning om økonomisk støtte til betaling af efterskoleophold af
3. marts 2019, hvori beregningen af sagsøger 1’s månedlige overskud på Beløb fremgår …. Sagsøgte (Kommune) har truffet passende tekniske og organisatoriske sikkerhedsforanstaltninger til beskyttelse af borgernes personoplysnin-ger, herunder også i forbindelse med kommunens besvarelse af aktindsigtsanmodning, jf. kommunens It-sikkerhedspolitik af
4. februar 2011 …. Af It-sikkerhedspolitikkens side 4 fremgår bl.a., at Sagsøgte (Kommune) vedligeholder, understøtter og fastholder vidensniveauet hos alle medarbejderne for at understøtte sikker behandling af informationer i Sagsøgte (Kommune)s it-systemer, samt at lt-sikkerhedspolitikken for Sagsøgte (Kommune) er baseret på bl.a. efterlevelse af den anerkendte standard i DS484:2005 henholdsvis ISO27001, som statslige myndigheder er forpligtet til at følge. Kommunens overordnede It-sikkerhedspolitik … står ikke alene, og Sagsøgte (Kommune) har truffet flere foranstaltninger med henblik på at efterleve kravene til et passende niveau for tekniske og organisatoriske foranstaltninger, jf. databeskyttelsesforordningens artikel
5. Det bemærkes, at en nærmere redegørelse herfor potentielt vil kompromittere sikkerhedsniveauet hos Sagsøgte (Kommune), hvorfor en sådan redegørelse er undladt i denne sag. At Sagsøgte (Kommune) har iværksat passende tekniske og organisatoriske foranstaltninger, understøttes i øvrigt ved det forhold, at der blandt de dokumenter, der blev udleveret i forbindelse med aktindsigtsanmodningens besvarelse, ikke blev udleveret bilag vedrørende den økonomiske beregning, …. Dette understøtter også, at de øvrige oplysnin-ger om sagsøger 1’s helbredsforhold og sagsøger 2’s månedlige over-skud på Beløb alene blev videregivet som følge af et hændeligt uheld. Datatilsynets afgørelse af
6. oktober 2020 … understøtter da også, at der ikke var noget at udsætte på Sagsøgte (Kommune)s generelle sikkerhedspolitik eller på de konkrete procedurer, som førte til den konkrete hændelse. Det fremgår af afgørelsen, at Datatilsynet ” […] ikke foretager sig yderlige-re” i sagen vedrørende Sagsøgte (Kommune)s anmeldelse af bruddet på persondatasikkerheden, som blev indberettet til Datatilsynet af Sagsøgte (Kommune) den
7. juni 2019 straks efter, at Sagsøgte (Kommune) blev be-kendt med videregivelsen til Vidne 1 …. Datatilsynet har dermed ikke fundet anledning til at udtale kritik af Sagsøgte (Kommune)s håndtering af sikkerhedsbruddet, herunder den behandling af perso-noplysninger der gav anledning til bruddet. 48 Datatilsynets afgørelse må dermed tages til indtægt for, at også den kompetente myndighed har anset hændelsen i denne sag for et hænde-ligt uheld, som hverken kan karakteriseres som forsætligt eller uagtsomt af den dataansvarlige. Datatilsynets offentliggjorte statistik over anmeldte brud på persondatasikkerheden i perioden maj 2018 til februar 2021 (med undtagelse af perioden uge 1 - uge 16 i 2020, hvor Datatilsynet ikke offentliggjorde statistik over brud på persondatasikkerheden) … understøtter desuden, at sådanne hændelige uheld sker, uden at det har været intentionen el-ler er udtryk for uagtsomhed hos den person, som beklageligvis har ud-leveret oplysningerne. Ifølge statistikken blev der anmeldt 15.061 sikkerhedsbrud i perioden fra maj 2018 til februar
8. 5.272 af disse sikkerhedsbrud vedrørte brud på det kommunale område, og mellem 60 og 70% af anmeldelser-ne i perioden vedrørte sikkerhedsbrud, hvor personoplysninger blev sendt til forkerte modtagere, dvs. sikkerhedsbrud, som svarer til det, der er pågået i nærværende sag …. Der er således tale om et ”helt almindeligt” hændeligt uheld, som sker dagligt i alle landets kommuner, jf. det betydelige antal sikkerhedsbrud, som er anmeldt i perioden siden maj 2018 …. På baggrund af ovenstående gøres det således gældende, at sikkerhedsforanstaltningerne var ” passende” , jf. databeskyttelsesforordningens artikel 32, og at videregivelsen må betragtes som et hændeligt uheld, som ikke i sig selv medfører at forordningen ikke er overholdt, jf. BL -sagen (C-687/21), præmis
9. Der er heller ikke sket en erstatningspådragende og/eller godtgørelsesrelevant tilsidesættelse af forvaltningslovens §§ 15b eller 27, og gerningsindholdet i straffelovens § 152 er ikke realiseret. Det gøres endvidere gældende, at uheldet ikke kan kvalificeres som en hændelse af d