← Danmark

ECLI:DK:OLR:2024:BS0000001135 Landsretten stadfæster byrettens dom om brud på datasikkerheden og læk af personoplysninger

ØSTRE LANDSRET DOM afsagt den 15. november 2024 BS-19616/2021-OLR, BS-19647/2021-OLR, BS-19665/2021-OLR, BS-19671/2021OLR, BS-35113/2021-OLR og BS-35116/2021-OLR (6. afdeling) Appellant 1, tidligere S

6), 2) ” Følsomme personoplysninger” (Databeskyttelsesforordningens art. 9 og

§ 7

), samt 3) Oplysninger om straffedomme og lovovertrædelser eller tilknyt-tede sikkerhedsforanstaltninger (Databeskyttelsesforordningens art. 10 og

§ 8

). Desuden er der en særlig type personoplysninger, som er selvstændigt reguleret i Persondataloven (og kun her): 4) CPR-numre (

§ 11, jf.

Databeskyttelsesforord-ningens art. 87). Det kan lægges til grund, formentligt som ubestridt, at appellanterne har fået behandlet ”almindelige personoplysninger” i Databeskyttelses-forordningens art. 6’s forstand (navne og adresser) samt derudover de-res CPR-numre, jf.

§ 11

. Der er videre enighed om, at der for så vidt angår Appellant 1, tidligere Sagsøger 1, Appellant 2, tidligere Sagsøger 3 og Appellant 5, tidligere Sagsøger 6 tillige er behandlet helbredsoplysninger, som omhandlet i Databeskyttelsesfor-ordningens art. 4, nr. 15 (” personoplysninger, der vedrører en fysisk persons fysiske eller mentale helbred, herunder levering af sundhedsydelser, og som gi-ver information om vedkommendes helbredstilstand” ). Det kan på den baggrund tillige lægges til grund, at i hvert fald Appellant 1, tidligere Sagsøger 1, Appellant 2, tidligere Sagsøger 3 og Appellant 5, tidligere Sagsøger 6 også har fået behandlet ”følsomme personoplysninger” i Databeskyttelsesforordningens art. 9’s forstand (jf.

§ 7), hvil-ket byretten også fastslår, idet der dog ”kun” henvises til art.

4, nr. 15 (ikke art. 9 direkte), jf. dommens side 96. Det gøres af appellanten Appellant 3, tidligere Sagsøger 4 desuden gældende (og dette blev også fastslået af byretten), at der tillige var registreret ”følsomme per-sonoplysninger” (helbredsoplysninger) om ham, idet han i regnear-ket(fejlagtigt) var registreret med ophold på institutionen Egebo. Egebo er en institution, der henvender sig til personer med psykisk funktionsnedsættelse, ofte med diagnoser inden for skizofreni-spektret, og oplysningerne herom var egnede til at give fejlagtige informationer om hans mentale helbred og/eller modtagelsen af sundhedsydelser. 1.2 Principper for behandling af personoplysninger (art. 5, stk. 1) 1.2.a Lovlighed, rimelighed og gennemsigtighed (litra

  1. a)Art. 5, stk. 1, litra a, angiver det, som hidtil er betegnet ”god databehandlingsskik” . Persondatabehandlingen skal være lovlig, hvilket ikke blot gælder i forhold til forordningen, men også i relation til anden na-tional lovgivning eller anden lovgivning fra EU, og behandlingen skal være ”rimelig” , hvilket indebærer, at den skal være i overensstemmelse 20 med den ”ånd” , der udtrykker forordningens beskyttelsesinteresse. Denne del af bestemmelsen fungerer i Datatilsynets praksis som en generalklausul. De grundlæggende regler om tavshedspligt findes i Straffelovens § 152 og Forvaltningslovens § 27, smh.m. Offentlighedslovens §§ 30-33. Der henvises desuden til art. 7 og 8 i Chartret, hvoraf det fremgår, at enhver har ret til respekt for sit privatliv og ret til beskyttelse af sine personoplysninger. Det gøres af appellanterne med henvisning til ovenstående gældende, at personoplysningerne burde være holdt fortrolige, og at indstævnte som forvaltningsmyndighed har overtrådt sin tavshedspligt, herunder de ovennævnte regler. Det gøres gældende, at den stedfundne behandling af appellanternes personoplysninger også derved ikke opfylder ”god databehandlings-skik” , og at art. 5, stk. 1, litra a, er tilsidesat, jf. også nedenfor. 1.2.b Formålsbegrænsning (litra
  2. b)og dataminimering (litra
  3. c)Det følger af art. 5, stk. 1, litra b (vedrørende ”formålsbegrænsning”), at personoplysninger skal indsamles til udtrykkeligt fastslåede og ”legiti-me” , dvs. saglige, formål. Det skal være klart, hvorfor personhenførbare oplysninger bliver indsamlet, og formålet hermed skal være sagligt, jf. Peter Blume: ”Den nye persondataret” (2. dg.), side 86. Videre fremgår det af art 5, stk. 1, litra c (vedrørende ”dataminime-ring”), at personoplysninger skal være tilstrækkelige, relevante og be -grænset til, hvad der er nødvendigt i forhold til de formål, hvortil de behandles (konkret altså kontrol af beregning af mellemkommunal refusion). Princippet om ”dataminimering” indebærer, at personoplysninger kun bør behandles, hvis formålet med behandlingen ikke med rimelighed kan opfyldes på anden måde. Det er Gladsaxe Kommune, som skal dokumentere, 1) at kommunen har foretaget en tilstrækkelig konkret vurdering af, hvilke oplysninger der var nødvendige at indsamle i det i sagen omhandlede dokument, og 2) at alle de indsamlede oplysninger var nødvendige for at opfylde formålet med at foretage kontrol af beregningen af mellem-kommunal refusion. Af appellanterne gøres det gældende, at denne bevisbyrde ikke er løf-tet. Som dataansvarlig er man – ved behandlingen af personoplysninger – forpligtet til at overveje, om behandlingen af de enkelte oplysninger er 21 nødvendig, herunder om der indsamles for mange oplysninger i for-hold til formålet, eller om formålet kan opnås ved mindre indgribende behandlingsformer. Man bør i den forbindelse overveje, om formålet f.eks. kan opnås ved brug af anonymiserede eller pseudonymiserede data, eller om omfanget af behandlingen kan begrænses på anden vis. Af appellanterne gøres det gældende, at Gladsaxe Kommune ikke har foretaget en sådan tilstrækkelig konkret vurdering af, hvilke oplysnin-ger, der var nødvendige at indsamle i det i sagen omhandlede doku-ment. Dette dokumenteres utvivlsomt af det faktum, at der i regnearket for visse af borgerne (dog ikke appellanterne) er medtaget oplysninger om medlemskab af folkekirken og oplysninger om fødselsregistreringssted (hvilket i øvrigt – for nogens vedkommende – må være sammenfaldende med etnisk oprindelse (altså oplysninger, som slet ikke må behandles)). Det forhold, at der ikke for så vidt angår appellanterne er registreret oplysninger om medlemskab af folkekirken og/eller føderegistreringssted ændrer selvfølgelig ikke på, at retten kan tillægge det betydning ved vurderingen af, om Gladsaxe Kommune som dataansvarlig – da regnearket blev udarbejdet – må antages at have foretaget en overvejelse af, om behandlingen af de enkelte oplysninger var nødvendige, herunder om der blev indsamlet for mange oplysninger i forhold til formålet. Også på dette punkt synes byrettens dom altså forkert. Det forhold, at der både er angivet CPR-numre OG fulde navne OG fulde adresser vidner da også om, at en sådan tilstrækkelig konkret vurdering af oplysningernes nødvendighed ikke er foretaget; Et CPR-nummer er en unik talkombination eller kode for den pågældende person – og kun denne person –og CPR-nummeret udgør den relevante, nødvendige og tilstrækkelige identifikation af modtageren af ydelsen fra kommunen. På den måde synes det fortsat helt uforståeligt, hvorfor indstævnte også har angivet borgernes fulde navne, men endnu mere uforståeligt, hvorfor indstævnte har angivet adresserne i dokumentet. Appellanternes navne og/eller adresser var ikke nødvendige i regnearket, da deres CPR-numre udgjorde den tilstrækkelige og relevante identifikation af disse som modtagere. At navne og adresser i regnearket formentlig slet ikke var nødvendige for den stedfundne kontrol, dokumenteres da også af det faktum, at en af de øvrige sagsøgere i dommen (vedr. sag BS-51332/2019-GLO) netop kun var registreret med sit CPR-nummer, men uden navn og adresse. Gladsaxe Kommune har eksponeret en hel urimelig risiko ved at regi-strere sådanne til brug for kontrollen helt unødvendige oplysninger og forøget skadevirkningen af dokumentets bortkomst (smh.m. Databeskyttelsesforordningens art. 32). 22 Det er en skærpende omstændighed, at regnearket vedrører næsten 30% af kommunens borgere og også vedrører særlige kategorier af per-sonoplysninger, altså meget personlige oplysninger. Det gøres gældende, at det videre er en skærpende omstændighed, at visse af appellanterne også har fået behandlet ”følsomme personoplys-ninger” i Databeskyttelsesforordningens art. 9’s forstand (jf. Personda-talovens § 7). Sådanne præcise oplysninger om ydelsernes art (helbredsoplysninger
  4. ne)kunne være udeladt eller udskiftet med koder eller for udenforstå-ende uforståelige forkortelser. Adgangen til at behandle sådanne følsomme personoplysninger er som udgangspunkt forbudt, jf. art. 9, stk. 1. Kun i særlige i art 9, stk. 2 opregnede situationer, er behandlingen af følsomme personoplysninger tilladt, f.eks. hvis behandlingen er nød-vendig. Der er ovenfor redegjort for, at dette netop ikke var tilfældet i appellanternes situation. På den baggrund fastholdes det, at Gladsaxe Kommune har tilsidesat reglen om ”formålsbegrænsning” (manglende legitimitet i forhold til den konkrete opgave) og reglen om ”dataminimering” i art 5, stk. 1, li-tra b og c, og det gøres gældende, at byretsdommen også på dette om-råde er forkert. 1.2.c Rigtighed (litra
  5. d)Art. 5, stk. 1, litra d angiver princippet om datakvalitet, og fastslår, at behandlede oplysninger skal være korrekte og ajourført. Af appellanten Appellant 3, tidligere Sagsøger 4 gøres det gældende, at oplysningerne i reg-nearket, om, at han skulle have ophold på institutionen Egebo, er for-kerte. Egebo er en institution, der henvender sig til personer med psy-kisk funktionsnedsættelse, ofte med diagnoser inden for skizofrenispektret, og der er altså tale om ”følsomme personoplysninger” (helbredsoplysninger), således som byretten også har fastslået. Appellant 3, tidligere Sagsøger 4 har imidlertid aldrig boet på institutionen Egebo (eller no-gen anden institution, for den sags skyld), og han har heller ikke psy-kisk funktionsnedsættelse af nogen art. Den registrerede oplysning om ham er således utvivlsomt ukorrekt, og særlig skadelig for ham, fordi han beskæftiger sig med kommunalpoli-tik (og på daværende tidspunkt var byrådskandidat). På den baggrund kan det således også lægges til grund, at Gladsaxe Kommune har tilsidesat reglen om ”rigtighed” i Databeskyttelsesfor-ordningens art 5, stk. 1, litra d. 23 Det fremgår af 51. betragtning til Databeskyttelsesforordningen, at personoplysninger, der i kraft af deres karakter er særligt følsomme i for-hold til grundlæggende rettigheder og frihedsrettigheder, bør nyde specifik beskyttelse, da sammenhængen for behandling af dem kan in-debære betydelige risici for grundlæggende rettigheder og frihedsret-tigheder. Databeskyttelsesforordningens art. 9, stk. 1, fastsætter således princip-pet om forbud mod behandling af de heri nævnte særlige kategorier af personoplysninger. En af disse er ”helbredsoplysninger” som defineret i forordningens art. 4, nr. 15, sammenholdt med den 35. betragtning hertil. Domstolen har præciseret, at formålet med Databeskyttelsesforordnin-gens art. 9, stk. 1, består i at sikre en øget beskyttelse mod behandlinger, der som følge af de behandlede oplysningers særligt følsomme karakter kan udgøre et særligt alvorligt indgreb i den grundlæggende ret til respekt for privatlivet og til beskyttelse af personoplysninger, der er sikret ved art. 7 og 8 i Chartret om grundlæggende rettigheder (jf. i denne retning EU-Domstolens sag C-204/21, præmis 345 og den deri nævnte retspraksis), jf. EU-Domstolens sag C-667/21, præmis 39-41. Også af disse grunde bør appellanten Appellant 3, tidligere Sagsøger 4 af Østre Landsret få medhold i, at Gladsaxe Kommune har tilsidesat reglen om ”rigtighed” i Databeskyttelsesforordningens art 5, stk. 1, litra d. 1.3 Reglerne i Databeskyttelsesforordningen om behandlingssikkerhed Endelig fastholdes det af appellanterne – således som appellanterne og-så har fået medhold i af byretten – at personoplysningerne ikke er ”be -handlet på en måde, der sikrer tilstrækkelig sikkerhed for de pågæl-dende personoplysninger, herunder beskyttelse mod uautoriseret eller ulovlig behandling og mod hændeligt tab, [] under anvendelse af passende tekniske eller organisatoriske foranstaltninger” (mine understregninger), jf. art 5, stk. 1, litra f samt art. 32, stk. 1 og 2. Der foreligger et brud på datasikkerheden, når en hændelse ”fører til hændelig eller ulovlig [] tab, [] uautoriseret videregivelse af eller adgang til personoplysninger” (mine understregninger), jf. art. 4, nr. 12. Det er i præamblen således netop præciseret, at selv det hændelige tab af personoplysninger er omfattet af bestemmelsen. Under hensyntagen til det aktuelle tekniske niveau og den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene og alvor for fysiske personers rettigheder og frihedsrettigheder burde Gladsaxe Kommune have gennemført andre tekniske og organisatori-ske foranstaltninger for at sikre et (langt) højere sikkerhedsniveau, jf. Databeskyttelsesforordningens art. 32. Dermed har Gladsaxe Kommune tillige overtrådt princippet i Databeskyttelsesforordningens art. 5, stk. 1, litra f, om ”integritet og fortrolig-hed” . 24 1.4 Den Europæiske Unions charter om grundlæggende rettigheder Endelig gøres det gældende, at Gladsaxe Kommune har tilsidesat Chartret om grundlæggende rettigheder, som beskytter de grundlæg-gende rettigheder, som borgerne har i Den Europæiske Union. Ifølge Chartrets art. 7 har enhver ret til respekt for sit privatliv og ifølge art. 8 ret til beskyttelse af personoplysninger, der vedrører den pågæl-dende. Således fremgår det videre af art. 8, at personoplysninger skal behand-les rimeligt, til udtrykkeligt angivne formål og på grundlag af de berør-te personers samtykke eller på et andet berettiget ved lov fastsat grund-lag. 1.5 Delkonklusion Sammenfattende fastholdes det på baggrund af ovenstående, at hver af appellanterne har fået behandlet ”almindelige personoplysninger” i hht. Databeskyttelsesforordningens art. 6 og

6. Appellanterne Appellant 1, tidligere Sagsøger 1, Appellant 2, tidligere Sagsøger 3, Appellant 5, tidligere Sagsøger 6 og Appellant 3, tidligere Sagsøger 4 har derudover fået behandlet helbredsoplysninger, som omhandlet i Databeskyttelsesforord-ningens art. 4, nr. 15 – altså ”følsomme personoplysninger” i Databeskyttelses-forordningens art. 9’s forstand (jf.

§ 7

). Det fastholdes videre, at Gladsaxe Kommune har handlet i strid med principperne for behandling af personoplysninger i Databeskyttelsesforordningen, navnlig art. 5, stk. 1, litra a (jf. Chartrets art. 7 og 8), art. 5, stk. 1, litra b, c og d, jf. art. 6, stk. 1, litra e og art. 9, stk. 2, litra f, ligesom Gladsaxe Kommune har overtrådt reglerne om behandlingssikkerhed, herunder art. 32, jf. art. 5, stk. 1, litra f om krav til ”integritet og fortro-lighed” . Det kan på den baggrund lægges til grund, at Gladsaxe Kommune utvivlsomt har overtrådt Databeskyttelsesforordningen, Persondata-loven og Chartret om grundlæggende rettigheder. Ifølge Datatilsynet er der da også tale om en ”meget alvorlig overtræ-delse” af Databeskyttelsesforordningen, (…). 2. Hjemmelsgrundlaget i Databeskyttelsesforordningens art. 82, stk. 1, til godtgørelse ved ikke-økonomisk skade 2.1 Baggrund Ifølge Databeskyttelsesforordningens art. 82, stk. 1, har ”enhver, som har lidt materiel eller immateriel skade som følge af en overtrædelse af [Databeskyttelsesforordningen], [] ret til erstatning for den forvoldte skade fra den dataansvarlige eller databehandleren.” 25 Databeskyttelsesforordningen afløste persondatadirektivet fra 1995 (EuropaParlamentet og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af perso-noplysninger og om fri udveksling af sådanne oplysninger) (i det føl-gende ”Persondatadirektivet”). Af Persondatadirektivet art. 23, stk. 1 hed det: ” Medlemsstaterne fastsætter bestemmelser om, at enhver, som har lidt skade som følge af en ulovlig behandling eller enhver anden handling, der er uforene-lig med de nationale bestemmelser, der vedtages til gennemførelse af dette di-rektiv, har ret til erstatning for den forvoldte skade [].” Efter almindelig opfattelse i dansk ret, omfattede bestemmelsen kun økonomisk skade (formuetab), og sager om ikke-økonomisk skade blev behandlet på grundlag af Erstatningsansvarslovens § 26. Persondatadirektivet art. 23, stk. 1 blev i øvrigt implementeret i dansk ret ved § 69 i Persondataloven (Lov 2000-05-31nr. 429 om behandling af personoplysninger). Formodningen er, at hovedparten af sager vedrø-rende persondatabehandling vedrører immateriel og ikke-økonomisk skade (som ikke nødvendigvis er sammenfaldende begreber, jf. neden-for), hvorfor § 69 sandsynligvis aldrig har været anvendt. Det således helt afgørende nye ved Databeskyttelsesforordningens art. 82, stk. 1, er, at det nu er præciseret, at der også er hjemmel til, at ”im-materiel skade” kan give anledning til erstatning. 2.2 Databeskyttelsesforordningens ordlyd og fortolkning 2.2.a Indledning Af Databeskyttelsesforordningens art. 82 kan det ikke med sikkerhed udledes, at bestemmelsen omfatter godtgørelse ved ikke-økonomisk skade. Det bemærkes i den forbindelse, at det danske begreb ”immateriel ska-de” ikke (nødvendigvis) er synonymt med begrebet ”ikke-økonomisk skade” , da en immateriel skade godt kan føre til et økonomisk tab. Ud fra en streng ordlydsfortolkning alene, kan det altså ikke nødven-digvis udledes, at art. 82, stk. 1, omfatter krav på ”ikke-økonomisk ska-de” . På den anden side, er det en kendsgerning, at man ved Databe-skyttelsesforordningens tilblivelse anvendte begreberne ”immateriel skade” og ”ikkeøkonomisk skade” i flæng. I Databeskyttelsesforordningens præambel er det da også forudsat flere steder, at Databeskyttelsesforordningen beskytter mod ikke-økonomisk tab, og således savner det enhver mening, hvis ikke også art. 82, stk. 1 skulle omfatte sådanne skader; I præamblens betragtning 75 hedder det f.eks.: 26 ” Risiciene for fysiske personers rettigheder og frihedsrettigheder, af varierende sandsynlighed og alvor, kan opstå som følge af behandling af personoplysnin-ger, der kan føre til fysisk, materiel eller immateriel skade, navnlig hvis behandlingen kan give anledning til forskelsbehandling, identitetstyveri eller -svig, finansielle tab, skade på omdømme, tab af fortrolighed for personoplysninger, der er omfattet af tavshedspligt, uautoriseret ophævelse af pseudonymisering eller andre betydelige økonomiske eller sociale konsekvenser; hvis de registrerede kan blive berøvet deres rettigheder og frihedsrettigheder eller forhindret i at udøve kontrol med deres personoplysninger; [] hvis der behandles personoplysninger om sårbare fysiske personer, navnlig børn; eller hvis behandlingen omfatter en stor mængde personoplysninger og berører et stort antal registrerede” (mine understregninger). I præamblens betragtning 85 hedder det tilsvarende: ”Et brud på persondatasikkerheden kan, hvis det ikke håndteres på en passende og rettidig måde, påføre fysiske personer fysisk, materiel eller immateriel skade, såsom tab af kontrol over deres personoplysninger eller begrænsning af deres rettigheder, forskelsbehandling, identitetstyveri eller -svig, finansielle tab, uautoriseret ophævelse af pseudonymisering, skade på omdømme, tab af fortrolig hed for oplysninger, der er omfattet af tavshedspligt, eller andre betydelige øko nomiske eller sociale konsekvenser for den berørte fysiske person. Så snart den dataansvarlige bliver bekendt med, at der er sket et brud på persondatasikkerheden, bør vedkommende derfor anmelde bruddet på persondatasikkerheden til den kompetente tilsynsmyndighed uden unødig forsinkelse og om muligt senest 72 timer efter, at denne er blevet bekendt med det, medmindre den dataansvarlige i overensstemmelse med ansvarlighedsprincippet kan påvise, at bruddet på persondatasikkerheden sandsynligvis ikke indebærer risiko for fysiske personers rettigheder eller frihedsrettigheder” (mine understregninger). I præamblens betragtning 86 hedder det videre: ”Den dataansvarlige bør underrette den registrerede om et brud på persondatasikkerheden uden unødig forsinkelse, når dette brud på persondatasikkerheden sandsynligvis vil indebære en høj risiko for den fysiske persons rettigheder og frihedsrettigheder” (min understregning). Også i præamblens betragtning 10, 75, 76, 81, 84, 89 og 91 (ikke udtømmende) omtales ”rettigheder og frihedsrettigheder” i øvrigt som af hin-anden uafhængige begreber. 2.2.b Skadesbegrebet i Databeskyttelsesforordningens art. 82, stk. 1, og appellanternes subjektive følelser Databeskyttelsesforordningen indeholder ingen definition af skadesbe-grebet, men præambelbetragtning 146, der knytter sig til art. 82, fastslår, at skadesbegrebet bør fortolkes bredt, hvilket EU-Domstolen også har bekræftet i sin praksis (jf. C-300/21, præmis 46). 27 Skadesbegrebet er et EU-retligt begreb, og der er derfor ikke rum for nationale fortolkninger af begrebet (jf.-300/21, præmis 30). Begrebet ”skade” skal, ifølge Databeskyttelsesforordningens præambel (betragtning 146), da også fortolkes bredt. Heraf følger det, at ” Den dataansvarlige eller databehandleren bør yde erstatning for enhver skade, som en person måtte lide som følge af behandling, der overtræder denne forordning. [] Begrebet ”skade” bør fortolkes bredt i lyset af retspraksis ved Domstolen, således at det fuldt ud afspejler formålene for denne forordning. [] Regi strerede bør have fuld erstatning for den skade, som de har lidt” (mine understregninger). Det er i øvrigt helt afgørende, at denne betragtning 146 tager sit udgangspunkt i betragtning 118 i et af de første udkast til forordningstekst (jf. Den Europæiske Unions Tidende C 378/399-C 378/492 af 12. marts 2014), som var affattet således: ”Personer, der lider skade, uanset om den er økonomisk eller ej, som følge af en ulovlig behandlingsaktivitet, bør have ret til erstatning fra den dataansvarlige eller databehandleren, som kun kan fritages for erstatningsansvar, hvis denne kan bevise, (min understregning). at han ikke er skyld i den forvoldte skade []” Sædvanligvis omfatter det EU-retlige skadebegreb da også sådan skade, der ikke er af økonomisk art. I EU-Domstolens dom af 12. marts 2002 (sag C-168/00), blev det således lagt til grund, at der er hjemmel til tortgodtgørelse i art. 5 i Rådets di-rektiv 90/314/EØF af 13. juni 1990 (”Pakkerejsedirektivet”), der vedrø-rer” skader, der påføres forbrugeren som følge af manglende eller man-gelfuld opfyldelse af kontrakten” . I sagen var der tale om en turist, som havde fået ødelagt sin charterferie i Tyrkiet pga. salmonellaforgiftning. I EU-Domstolens dom af 24. oktober 2013 (sag C-277/12), blev det lagt til grund, at skadebegrebet omfattede immateriel skade (tortgodtgørel-

  1. se)i anledning af et trafikuheld, hvor et barn mistede begge forældre. I sag C-340/21 er det af EU-Domstolen fastslået, at tab af kontrol over personoplysninger kan udgøre en skade i art. 82’s forstand. Professor Henrik Udsen anfører da også i sin artikel på side 98 (UfR 2024B.95), at ”Det synes nærliggende, at begrebet ikke-økonomisk (immateriel) skade i art. 82 dækker over et psykisk ubehag, som den regi-strerede påføres ved den ulovlige behandling af den pågældendes per-sonoplysninger.” EU-Domstolen har da også gentaget adskillige gange (jf. f.eks. sag C-340/21, præmis 78, sag C-456/22, præmis 16 samt sag C-687/21, præmis 59), at der ikke gælder en alvorstærskel efter art. 82. 28 I sag C-456/22 anfører EU-Domstolen således, at skaden ikke skal ligge over en vis ”bagatelgrænse” (jf. præmis 18) og at en skade kan kræves erstattet, ”uanset hvor lille den måtte være” (jf. præmis 22). I den førnævnte artikel af professor Henrik Udsen (UfR 2024B.95) hed-der det da også: ” Analyse og konklusion: Enhver (ubetydelig) psykisk gene udgør formentlig en skade, der giver ret til erstatning om netop anført, synes EU-Domstolens afgørelse at medføre, at selv simpel irritation mv. omfattes af skadesbegrebet i art. 82. [] Uanset de sidstnævnte argumenter taler mest for, at EU-Domstolen rent faktisk har ment, at alle former for psykisk ubehag omfattes af skadesbegrebet, og at Domstolen derfor i sidste ende vil bekræfte dette” (jf. side 100-101) samt – for så vidt angår spørgsmålet om, hvorvidt skadesbegrebet er subjektivt eller objektivt: ” Som anført har EU-Domstolen med henvisning til præambelbetragtning 146 understreget, at skadesbegrebet skal fortolkes bredt, hvilket isoleret set peger i retning af, at skadesbegrebet også bør omfatte det reelle psykiske ubehag, en re-gistreret oplever, selvom dette skyldes en særlig psykisk skrøbelighed” (jf. side 101). Allerede på den baggrund må det lægges til grund, at det er forkert, når byretten i sine præmisser anfører, at appellanternes ”subjektive følel-ser” ikke ”i sig selv anses for tilstrækkelige til, at [appellanterne] har ret til erstatning/godtgørelse for ikke-økonomisk skade i medfør af databeskyttelsesforordningens artikel 82, stk. 1” . Appellanterne er særligt sårbare, hvilket i øvrigt gør sig gældende for mange af de på listen opregnede personer, da listen netop vedrører borgere i kommunen, som modtager offentlige ydelser af den ene eller den anden art. Således har det givet vis været (endnu) værre for appellanterne end det ville have været for borgere i almindelighed, at blive udsat for person-datatabet, og det har utvivlsomt ændret deres liv – flere af dem ganske betragteligt. Flere af appellanterne er i konstant ”alarmberedskab” og lever med angst, som muligvis er værre at kapere for dem pga. deres særlige skrøbelighed og det faktum, at ”korthuset” lettere vælter. Appellanternes partsforklaring for retten var da også både autentiske, troværdig og hjerteskærende. Ikke desto mindre synes byretten ikke at tage (tilstrækkelig) højde for det såkaldte ”sårbarhedsprincip” i erstatningsretten, som indebærer, at 29 skadevolderen i udgangspunktet gøres ansvarlig for den indtrådte ska-de og hele det heraf følgende tab, også selvom skaden og tabet (delvist) måtte indtræde som følge af den skadelidtes sårbarhed. Gladsaxe Kommune har kausalt bidraget til (og altså udløst) skaden, som ikke allerede havde manifesteret sig, jf. ”latenthedsbetingelsen” . Videre må det lægges til grund, at det er Gladsaxe Kommunes adfærd (ansvarshændelsen), som har udløst sårbarhedens skadespotentiale, jf. ”realisationsbetingelsen” . Af appellanterne gøres det for så vidt angår appellanterne Appellant 2, tidligere Sagsøger 3 og Appellant 4, tidligere Sagsøger 5 gældende, at skaden da også har materialiseret sig i mere håndgribelige og særdeles uhyggelige hændel-ser, da de begge – kort efter bortkomsten af computeren – var udsat for identitetstyveri. Appellant 2, tidligere Sagsøger 3 fik i den forbindelse tømt sin bankkonto. Tabet af netop adresseoplysningerne var i øvrigt særlig katastrofalt for Appellant 4, tidligere Sagsøger 5, som havde(har) adressebeskyttelse af personli-ge – og potentielt livstruende – årsager. For så vidt angår appellanten Appellant 3, tidligere Sagsøger 4, som stillede op til Kommu-nalvalget, er det selvsagt meget ubehageligt og krænkende, at der i kriminelle miljøer deles oplysninger om ham (tilmed ”følsomme personoplysninger” (helbredsoplysninger)), som indikerer, at han lider af en sygdom inden for skizofreni-spektret. For så vidt angår appellanterne Appellant 2, tidligere Sagsøger 3, Appellant 4, tidligere Sagsøger 5 og Appellant 3, tidligere Sagsøger 4 er der med andre ord tale om andet og langt mere end det, der må betegnes som ”subjektive følelser” , og det må væ-re helt åbenbart, at deres lidelser klart falder under skadesbegrebet i Databeskyttelsesforordningen, herunder art. 82, stk. 1. Samlet for alle de seks appellanter gøres det dog gældende, at deres ”subjektive følelser” burde have vejet langt tungere i subsumptionen. Der er tale om sårbare borgere, som har en reel og velbegrundet angst for (yderligere) misbrug af deres personoplysninger, og følgelig burde det forhold, at de lever i konstant frygt, have medført, at de alle fik medhold i deres krav om tortgodtgørelse, da deres skader klart ”adskil-ler sig fra den blotte tilsidesættelse af bestemmelserne i” Databeskyttel-sesforordningen, smh.m. EU-Domstolens sag C-456/22 (Gemeinde Um-mendorf). 3. Betingelser for tilkendelse af tortgodtgørelse og tortgodtgørelsens størrelse 3.1 Indledning Ifølge professor Henrik Udsen (i UfR 2024B.95) er et erstatningskrav ef-ter art. 82 i Databeskyttelsesforordningen betinget af tre kumulative be-tingelser: 30 1) Der skal foreligge en overtrædelse af Databeskyttelsesforord-ningen; 2) Der skal være lidt en skade, og 3) Der skal være årsagssammenhæng mellem overtrædelsen og skaden Der er ovenfor redegjort for, at der er sket flere og alvorlige overtrædel-ser af Databeskyttelsesforordningen, jf. navnlig pkt. 1.2 og 1.3. Ligeledes er der under pkt. 2.2b redegjort for skadesbegrebet og under sagsfremstillingen og pkt. 2.2b redegjort for, at appellanterne har lidt skader, der klart ”adskiller sig fra den blotte tilsidesættelse af bestem-melserne i” Databeskyttelsesforordningen (smh.m. EU-Domstolens sag C-456/22 (Gemeinde Ummendorf)). Af appellanterne er der redegjort for, at skaderne er indtrådt som en di-rekte følge af Gladsaxe Kommunes tab af deres persondata, og at der altså er årsagssammenhæng mellem overtrædelsen og skaderne. 3.2 Forholdet til Erstatningsansvarslovens § 26 og udvidelsen af registreredes rettigheder Det er en grundlæggende forudsætning for at tildele tortgodtgørelse ef-ter Erstatningsansvarslovens § 26, at der foreligger en krænkelse af en vis grovhed. ” Udgangspunktet efter art. 82 er et andet. Efter denne bestemmelse skal vurde-ringen tage udgangspunkt i, om der er sket en overtrædelse af forordningen, dvs. om der er sket en ulovlig behandling af personoplysninger” , jf. professor Henrik Udsen i UfR 2020B.226. I nærværende sager kan det lægges til grund, at der er sket klare over-trædelser af Databeskyttelsesforordningen og Persondataloven, herun-der at der har fundet ulovlige behandlinger af personoplysninger sted. På baggrund af de seneste domme fra EU-Domstolen (som behandles hver for sig under pkt. 4 nedenfor) har professor Henrik Udsen i en ny-ere artikel fra 2024 da også skærpet sin vurdering, og konstateret, at ”der efter EUDomstolens praksis ikke gælder en bagatelgrænse for skadesbegrebet efter art. 82” og at ”art. 82 og EU-Domstolens praksis indebærer, at danske domstole skal tilkende godtgørelse for personda-takrænkelser i videre omfang end hidtil” , jf. UfR 2024B.95. En sådan udvidelse af de registreredes rettigheder harmonerer med Databeskyttelsesforordningens formål, som er at ”sikre et ensartet og højt niveau for beskyttelse af fysiske personer” (jf. præamblens nr. 10) samt” styrke og præcisere de registreredes rettigheder og de forpligtelser, der påhviler dem, der behandler og træffer afgørelse om behandling af per-sonoplysninger” . I den forbindelse nævnes i øvrigt, at formålet med Da-tabeskyttelsesforordningen er at give ”beføjelser til at føre tilsyn med og sikre overholdelse af reglerne om beskyttelse af personoplysninger og indføre tilsvarende sanktioner ved overtrædelser (jf. præamblens nr. 11). 31 Med Databeskyttelsesforordningen er der tiltænkt en betydelig udvi-delse af beskyttelsen af registrerede, hvilket i øvrigt også afspejler sig i de eksorbitante administrative bøder, som tilsynsmyndighederne har hjemmel til at pålægge (op til Euro 20 mio. eller 4 % af virksomhedens samlede, årlige globale omsætning), jf. Databeskyttelsesforordningens art. 83, stk. 5. Af appellanterne gøres det med henvisning til ovenstående gældende, at art. 82, stk. 1, tillige dækker tab af kontrol med personoplysninger – navnlig sådanne, som er ”følsomme” (jf. art. 9) og fortrolige (jf. betragt-ning 75 og 85). Det er en skærpende omstændighed, at der er behandlet personoplys-ninger om sårbare fysiske personer, og behandlingen har omfattet ”en stor mængde personoplysninger og berører et stort antal registrerede” , næsten 30 % af borgerne i kommunen (jf. betragtning 75). Også Datatilsynet har i sin politianmeldelse af Gladsaxe Kommune (jf. bilag H (i sag BS-19616/2021-OLR), side 8) tillagt det betydning, at ”kommunen behandler meget store mængder af personoplysninger om kommunens borgere, herunder oplysninger af følsom karakter. En bor-ger har ikke mulighed for at fravælge kommunens behandling af op-lysninger om vedkommende, og kommunen har derfor et stort ansvar for at beskytter borgerne mod, at disse oplysninger kommer til uved-kommendes kendskab” . Det synes med andre ord at være en skærpende omstændighed, at da-tabruddet er begået af en offentlig institution, til hvem man bør kunne have tillid. Af appellanterne gøres det videre gældende, at Danmark er forpligtet til at fortolke unionsretlige begreber og legaldefinitioner (herunder skadesbegrebet) i EU-retten EU-konformt. Denne forpligtelse blev udtrykkeligt bekræftet af Domstolen i ”Google Spainsagen” (sag C-131/12), og forpligtelsen må anses for at være ble-vet skærpet med Databeskyttelsesforordningens vedtagelse. Ét af ho-vedformålene med forordningen var netop at imødegå den fragmente-ring, der var opstået under det tidligere Databeskyttelsesdirektiv, her-under at opnå en mere konsekvent og ensartet retsstilling, jf. præam-belbetragtning nr. 9 og 10 i Databeskyttelsesforordningen. Af Databeskyttelsesforordningen fremgår det helt eksplicit, at formålet er at ”sikre et ensartet og højt niveau for beskyttelse af fysiske personer” (min understregning). Når domstole i Storbritannien, Tyskland, Østrig og Holland således al-lerede har fastslået, at der er hjemmel i Databeskyttelsesforordningens artikel 82, stk. 1, til tortgodtgørelse, og samtidig har sat ”barren” for, hvornår krænkelsen er så stor, at man er berettiget til tortgodtgørelse, relativt lavt, giver det ikke mening, at appellanternes krav om tortgodt-gørelse er afvist af Retten i Glostrup. 32 Det gøres gældende, at byretten har forsømt at foretage en EU-konform fortolkning af artikel 82, stk. 1, når ”barren” for godtgørelse – forment-lig fordi, det er svært at abstrahere fra danske retstraditioner og den praksis, der allerede foreligger i henhold til Erstatningsansvarslovens § 26 - sættes så højt, at retten til tort-godtgørelse de facto bliver illusorisk. I nærværende sager har Gladsaxe Kommune – pga. sløseri og en lang række fejl - udløst en tidsubegrænset, potentiel og reel risiko for mis-brug, ikke mindst henset til, at det med sikkerhed kan lægges til grund, at oplysningerne er kommet i hænderne på kriminelle, og at personop-lysninger er en reel salgsvare. Ovenstående bør klart tale for, at appellanterne af Østre Landsret til-kendes tortgodtgørelse. 3.3 Størrelsen på tortgodtgørelsen I Databeskyttelsesforordningen, herunder art. 82, er der ingen nærmere regulering af, hvordan godtgørelse for ikke-økonomisk skade skal fast-sættes. På den baggrund er EU-Domstolen bl.a. i sag C-300/21 blevet spurgt, om EUretten opstiller andre krav end effektivitetsprincippet og ækvi-valensprincippet ved fastsættelsen af erstatningen (godtgørelsen) efter art. 82. EU-Domstolen har i den forbindelse fastslået følgende: ” Når der ikke findes EU-retlige regler på området, tilkommer det følgelig hver enkelt medlemsstat i sin retsorden at fastsætte reglerne for sager til sikring af beskyttelsen af borgernes rettigheder i henhold til artikel 82 og navnlig at fastsætte de kriterier, der giver mulighed for at bestemme omfanget af den erstatning, der skal betales i denne forbindelse” (præmis 54). Spørgsmålet om, hvorvidt de nationale domstole – inden for rammerne af de to overordnede principper(effektivitetsprincippet og ækviva-lensprincippet) – har frihed til at fastsætte godtgørelsens størrelse, er altså besvaret bekræftende. Art. 82 har ikke pønal karakter, og godtgørelsen skal derfor alene have kompenserende (men ikke pønal effekt), jf. sag C-300/21, præmis 58. På den baggrund fastslog EU-Domstolen da også i sag I C-667/21, at der ved fastsættelsen af godtgørelsen ikke skal tages hensyn til grovheden af det regelbrud, der har ført til skaden (præmis 102). I sag C-741/21 fastslog EU-Domstolen videre, at de kriterier, der er op-stillet for fastsættelsen af bødestørrelse efter art. 83, ikke kan anvendes analogt ved fastsættelsen af godtgørelsesbeløb efter art. 82, fordi denne bestemmelse ikke har pønal karakter (præmis 62). 33 På baggrund af ovenstående gøres det af appellanterne gældende, at det altså er overladt til medlemsstaterne og de nationale domstole at fastlægge godtgørelsesniveauet, om end effektivitetsprincippet og ækvivalensprincippet skal iagttages. Dette indebærer bl.a., ”at national ret ikke må føre til så lave godtgørelsesbeløb, at den ret til godtgørelse, der følger af art. 82, bliver illusorisk.” , jf. professor Henrik Udsen i UfR 2024B.95, side 103. Appellanterne har alle oplevet en livsændrende skade som følge af Gladsaxe Kommunes behandling af deres persondata, hvilket vil blive yderligere dokumenteret under sagen for Østre Landsret. På den bag-grund bør de tilkendes tortgodtgørelse i hht. Databeskyttelsesforord-ningens art. 82 med de i påstandene nævnte beløb, som både tager høj-de for effektivitetsprincippet og ækvivalensprincippet. Fastsættes beløbene lavere, vil beskyttelsen i hht. art. 82 nemt kunne opfattes illusorisk. 4. Praksis fra EU-Domstolen vedr. Databeskyttelsesforordningens art. 82, stk. 1 Efter, at der i maj 2021 af Retten i Glostrup blev afsagt dom i de seks sa-ger, har EU-Domstolen afsagt min. seks domme vedr. Databeskyttelsesforordningens art. 82, stk. 1, og det er i dem alle forudsat, at der i Databeskyttelsesforordningens art. 82, stk. 1, er hjemmel til tortgodtgørelse, jf. nedenstående. 4.1 Dom af 4. maj 2023 i EU-Domstolens sag C-300/21 (Österreichische Post AG) Österreichische Post, som er et østrigsk selskab, der sælger adresseoplysninger, har indsamlet oplysninger, bl.a. om den østrigske befolk-nings formentlige politiske tilhørsforhold. Sådanne data er blevet solgt til forskellige virksomheder for at give mulighed for målrettet reklame. På den baggrund har Österreichische Post bl.a. solgt oplysninger om, at sagsøgeren i hovedsagen nærede sympati for et bestemt østrigsk poli-tisk parti. Oplysningerne blev ikke videregivet til tredjemand, men sagsøgeren i hovedsagen, som ikke havde givet sit samtykke til behand-lingen af sine personoplysninger, følte sig krænket over, at han var ble-vet tilskrevet sympati for det pågældende parti. Den omstændighed, at oplysninger om hans formodede politiske an-skuelser var blevet opbevaret i dette selskab, fik ham til at føle ærgrelse, tab af tillid og ydmygelse (altså alene krænkelser af midlertidig og følel-sesmæssig karakter). Sagsøgeren krævede derfor et beløb, stort Euro 1.000, i erstatning for denne immaterielle skade. I dommen forudsættes det simpelthen af EU-Domstolen, at der i art. 82, stk. 1, er hjemmel til tortgodtgørelse (erstatning for ikke økonomisk skade). 34 EU-Domstolen fastslår desuden, at Databeskyttelsesforordningens art. 82, stk. 1 skal fortolkes således, at den blotte overtrædelse af forordnin-gens bestemmelser ikke er tilstrækkelig til at give ret til erstatning (præmis 42). Det fastslås dog samtidigt, at art. 82, stk. 1 er til hinder for en national regel eller praksis, hvorefter erstatning for en immateriel skade som omhandlet i den nævnte bestemmelse er betinget af, at den skade, som den registrerede har lidt, har en vis alvorsgrad (præmis 51). Såfremt erstatning for immateriel skade var betinget af, at en vis alvor-stærskel var nået, ville det risikere at skade sammenhængen i den ord-ning, der er indført ved databeskyttelsesforordningen, eftersom gradu-eringen af en sådan tærskel, som muligheden for at opnå en sådan er-statning ville afhænge af, ville kunne variere afhængigt af de påken-dende retters bedømmelse (præmis 49). Navnlig med henvisning hertil gøres det af appellanterne gældende, at den af byetten fastsatte (subjektive)” bagatelgrænse” er forkert, ligesom det er forkert, når byretten indfortolker et krav om, at et brud på data-sikkerheden – for at berettige til tortgodtgørelse – skal have ”medført skade eller nærliggende risiko for skade på fx omdømme, tab af fortro-lighed, identitetstyveri eller andre økonomiske eller sociale konsekven-ser [] af en vis kvalificeret karakter” (min understregning). 4.2 Dom af 14. december 2023 i EU-Domstolens sag C-456/22 (Gemeinde Ummendorf) Dommen fastslår (ligesom dommen i sag C-300/21), jf. præmis 23, at Databeskyttelsesforordningens art. 82, stk. 1, skal fortolkes således, at denne bestemmelse er til hinder for en national lovgivning eller natio-nal praksis, der fastsætter en ”bagatelgrænse” med henblik på at kvali-ficere en immateriel skade, der er forårsaget af en tilsidesættelse af den-ne forordning. Den registrerede skal dog godtgøre, at konsekvenserne af denne tilsidesættelse, som vedkommende hævder at have lidt, udgør en skade, der adskiller sig fra den blotte tilsidesættelse af bestemmelserne i den nævnte forordning. 4.3 Dom af 14. december 2023 i EU-Domstolens sag C-340/21 (Natsio-nalna agentsia za prihodite) NAP er en offentlig myndighed i Bulgarien, som har til opgave, bl.a., at identificere, sikre og inddrive offentlige fordringer. I 2019 skete der en uautoriseret adgang til NAP’s IT-system via en cyberangreb, og en række personoplysninger var blevet offentliggjort på internettet, og nogle hundrede af de berørte personer anlagde sag mod NAP med påstand om erstatning for immaterielle skader som følge af videregivelsen af deres personoplysninger. 35 Erstatningskravet, der blev fremsat på grundlag af Databeskyttelsesforordningens art. 82 og bestemmelser i bulgarsk ret, udgjorde takstmæs-sigt BGN 1.00 (svarende til ca. Euro 510) pr. person, idet sagsøgerne gjorde gældende, at sagsøgerne havde lidt en immateriel skade. Den immaterielle skade bestod i frygten for, at sagsøgernes personoplysninger, der var blevet offentliggjort uden deres samtykke, skulle bli-ve misbrugt i fremtiden. NAP gjorde bl.a. (ligesom Gladsaxe Kommune i nærværende sag) gæl-dende, at der ikke var årsagsforbindelse mellem den hævdede immate-rielle skade og det nævnte brud. I EU-Domstolens præmisser hedder det bl.a., at art. 82, stk. 1, ikke son-drer mellem tilfælde, hvor den ”immaterielle skade” , som den registre-rede hævder at have lidt,
  2. a)er forbundet med tredjemands allerede stedfundne misbrug, og
  3. b)frygten for, at et sådant misbrug kan finde sted i fremtiden (jf. præmis 79). Ordlyden af Databeskyttelsesforordningens art. 82, stk. 1, udelukker derfor ikke, at begrebet ”immateriel skade” kan omfatte en situation, hvor den registrerede med henblik på at opnå erstatning påberåber sig sin frygt for, at den pågældendes personoplysninger i fremtiden vil bli-ve misbrugt af tredjemand (jf. præmis 80). Samtidigt hedder det i dommen, at den nationale ret, hvor sagen an-lægges, skal efterprøve, om den registreredes frygt kan anses for at væ-re velbegrundet under de pågældende specifikke omstændigheder og i forhold til den registrerede. 4.4 Dom af 21. december 2023 i EU-Domstolens sag C-667/21 (Medizinischer Dienst der Krankenversicher-ung Nordrhein) Ovennævnte sag vedrører en medarbejders erstatningskrav, stort Euro 20.000, for den psykiske skade, han havde lidt som følge af arbejdsgive-rens behandling af helbredsoplysninger om ham. Medarbejderen var blevet uarbejdsdygtig af helbredsmæssige årsager, og efter at den sygekasse, han var tilknyttet, var begyndt at udbetale sygedagpenge til ham, anmodede sygekassen hans arbejdsgiver om at udfærdige en erklæring om uarbejdsdygtigheden. Denne erklæring blev udarbejdet af en hos arbejdsgiveren ansat læge, bl.a. ved at indhen-te oplysninger fra medarbejderens behandlende læge. I EU-Domstolens afgørelse hedder det på den baggrund bl.a., at Databeskyttelsesforordningens art. 82, stk. 1, skal fortolkes således, 1) at den ret til erstatning, der er fastsat i bestemmelsen, opfylder en kompenserende funktion, og ikke en afskrækkende eller straffende funktion, og 36 2) at en økonomisk erstatning på grundlag af den nævnte bestemmelse skal gøre det muligt fuldstændigt at kompensere den skade, der konkret er lidt på grund af overtrædelsen af forordningen jf. præmis 87. Videre hedder det i dommen, at Databeskyttelsesforordningens art. 82 ” skal fortolkes således dels, at det er en betingelse for, at den dataansvarlige kan ifalde ansvar, at denne har pådraget sig skyld, hvilket formodes at være tilfældet, medmindre den dataansvarlige beviser, at den pågældende ikke er skyld i den begivenhed, der medførte skaden, dels at artikel 82 ikke kræver, at der tages hensyn til graden af denne skyld ved fastsættelsen af størrelsen af den erstat-ning, der tildeles for en immateriel skade på grundlag af denne bestemmelse” , jf. præmis 103. 4.5 Dom af 25. januar 2024 i EU-Domstolens sag C-687/21 (MediaMarktSaturn) Sagsøgeren i hovedsagen havde i Saturns forretning købt et elektrisk husholdningsapparat, i hvilken forbindelse der i Saturns IT-system var indgået en købs- og kreditaftale indeholdende sagsøgerens fornavn og efternavn, hans adresse, hans opholdssted, hans arbejdsgivers navn, hans indkomst og hans bankoplysninger. Aftalen blev printet ud og underskrevet af begge parter, og sagsøgeren medbragte derefter dokumenterne til de medarbejdere hos Saturn, der arbejdede på vareudleveringsstedet. En anden kunde, som ubemærket havde mast sig frem foran sagsøgeren i hovedsagen, modtog derefter ved en fejl såvel det apparat, som sagsøgeren i hovedsagen havde be-stilt, som de omhandlede dokumenter, og tog det hele med. Fejlen blev imidlertid hurtigt opdaget, og inden for en halv time efter udleveringen til den anden kunde, fik sagsøgeren udleveret apparatet og den skriftlige, underskrevne aftale. Sagsøgeren i hovedsagen anlagde herefter sag ved Amtsgericht Hagen (byretten i Hagen, Tyskland), med påstand – bl.a. på grundlag af Databeskyttelsesforordningens art. 82, stk. 1 – om erstatning for den imma-terielle skade, han havde lidt som følge af den fejl, som Saturns medar-bejdere begik, og den deraf følgende risiko for tab af kontrol over hans personoplysninger. Saturn gjorde heroverfor for det første gældende, at der ikke var sket en tilsidesættelse af Databeskyttelsesforordningen, og at en sådan over-trædelse kun kan foreligge, hvis den overskrider en vis alvorstærskel, som ikke var nået i det foreliggende tilfælde. I afgørelsen fra EU-Domstolen hedder det bl.a. – ligesom i ovennævnte sag C687/21 – at Databeskyttelses-forordningens art. 82, stk. 1, skal for-tolkes således, at den ret til erstatning, der er fastsat i denne bestemelse, navnlig i tilfælde af immateriel skade, opfylder en kompenserende funktion, og ikke en straffende funktion, da en økonomisk erstatning på grundlag af den nævnte bestemmelse skal gøre det muligt fuldstændigt 37 at kompensere den skade, der konkret er lidt på grund af overtrædelsen af denne forordning, jf. præmis 50. Desuden hedder det i dommen, at Databeskyttelsesforordningens art. 82 skal fortolkes således, at denne artikel ikke kræver, at der med hen-blik på erstatning for en skade på grundlag af denne bestemmelse tages hensyn til graden af grovhed af den dataansvarliges overtrædelse, jf. præmis 55, og at den person, der fremsætter et erstatningskrav i hen-hold til art. 82, stk. 1, er forpligtet til ikke alene at godtgøre en overtræ-delse af denne forordnings bestemmelser, men ligeledes, at denne over-trædelse har forvoldt vedkommende materiel eller immateriel skade, jf. præmis 61. Endelig konkluderer EU-Domstolen følgende i dommen, jf. præmis 65-69: ” Domstolen har fastslået, at det ikke alene fremgår af ordlyden af databeskyttelsesforordningens artikel 82, stk. 1, sammenholdt med 85. og 146. betragtning til denne forordning, som opfordrer til at anlægge en bred fortolkning af begrebet ”immateriel skade” som omhandlet i denne førstnævnte bestemmelse, men ligeledes af formålet, der består i at sikre et højt beskyttelsesniveau for fysiske personer i forbindelse med behandling af personoplysninger, som er omhandlet i den nævnte forordning, at den frygt, som en registreret nærer for, at dennes personoplysninger potentielt kan blive misbrugt af tredjemand som følge af en overtrædelse af denne forordning, i sig selv kan udgøre en »immateriel skade« som omhandlet i denne artikel 82, stk. 1 (jf. i denne retning [] C-340/21, [], præmis 79-86). Domstolen har i øvrigt – ligeledes støttet på både ordlyds-, system- og formålsbetragtninger – fastslået, at tabet af kontrol med personoplysninger i et kort tidsrum kan påføre den registrerede en ”immateriel skade” som omhandlet i databeskyttelsesforordningens artikel 82, stk. 1, der giver ret til erstatning, forudsat at den nævnte registrerede godtgør, at vedkommende faktisk har lidt en sådan skade, uanset hvor lille den måtte være, idet Domstolen har udtalt, at den blotte tilsidesættelse af bestemmelserne i denne forordning ikke er tilstrækkelig til at give ret til erstatning på dette grundlag (jf. i denne retning [] C456/22, [], præmis 18-23). Desuden skal det i det foreliggende tilfælde bemærkes, at det både er i overensstemmelse med ordlyden af databeskyttelsesforordningens artikel 82, stk. 1, og med det beskyttelsesformål, der forfølges med denne forordning, at begrebet ”immateriel skade” omfatter en situation, hvor den registrerede har en velbegrundet frygt for, at visse af vedkommendes personoplysninger i fremtiden vil blive udbredt eller misbrugt af tredjemand – hvilket det tilkommer den nationale ret at efterprøve – som følge af den omstændighed, at et dokument, der indeholder de nævnte oplysninger, er blevet udleveret til en uautoriseret tredjemand, der var i stand til at tage kopier heraf, inden det blev tilbageleveret. Det forholder sig imidlertid ikke desto mindre således, at det tilkommer sagsøgeren i et erstatningssøgsmål på grundlag af databeskyttelsesforordningens artikel 82 at godtgøre, at der foreligger en sådan skade. Navnlig kan en rent hypotetisk risiko for misbrug fra en uautoriseret tredjemands side ikke give an- 38 ledning til erstatning. Dette er tilfældet, når ingen tredjemand har fået kendskab til de omhandlede personoplysninger. Det forholder sig imidlertid ikke desto mindre således, at det tilkommer sagsøgeren i et erstatningssøgsmål på grundlag af databeskyttelsesforordningens artikel 82 at godtgøre, at der foreligger en sådan skade. Navnlig kan en rent hypotetisk risiko for misbrug fra en uautoriseret tredjemands side ikke give anledning til erstatning. Dette er tilfældet, når ingen tredjemand har fået kendskab til de omhandlede personoplysninger. Det femte spørgsmål skal derfor besvares med, at databeskyttelsesforordningens artikel 82, stk. 1, skal fortolkes således, at i det tilfælde, hvor et dokument, der indeholder personoplysninger, er blevet udleveret til en uautoriseret tredje-mand, som bevisligt ikke har fået kendskab til disse oplysninger, kan en ”immateriel skade” som omhandlet i denne bestemmelse ikke udgøres af den blotte omstændighed, at den registrerede frygter, at der efter denne videregivelse, som har gjort det muligt at lave en kopi af det nævnte dokument, inden det er blevet returneret, vil ske en udbredelse eller endog misbrug af den pågældendes oplysninger i fremtiden” (mine understregninger). 4.6 Dom af 11. april 2024 i EU-Domstolens sag C-741/21 Sagsøgeren, som er selvstændig advokat og kunde hos Juris, som er et selskab, der driver en juridisk database, konstaterede, at hans perso-noplysninger også blev anvendt af Juris med henblik på direkte mar-kedsføring. På den baggrund tilbagekaldte han skriftligt alle sine samtykker til at modtage oplysninger fra Juris pr. e-mail eller telefo-nisk, og han modsatte sig enhver behandling af disse oplysninger, bort-set fra behandling til brug for fremsendelse af nyhedsbreve, som han fortsat ønskede at modtage. På trods heraf fortsatte Juris med at fremsende reklameskrivelser til forretningsadressen, hvori advokatens navn var nævnt som modtager, og på den baggrund gjorde advokaten gældende, at han havde lidt et tab af kontrol over sine personoplysninger, at der var tale om ulovlig be-handling af personoplysningerne og at han var berettiget til tortgodtgø-relse i hht. Databeskyttelsesforordningens art. 82. Advokaten påstod – tilsyneladende – ikke under sagen, at han frygtede, at hans personoplysninger i fremtiden ville blive udbredt eller misbrugt af tredjemand (som det f.eks. var tilfældet i EU-Domstolens sag C-687/21) eller at kontroltabet havde medført ærgrelse, tab af tillid og ydmygelse (som det f.eks. var tilfældet i EU-Domstolens sag C-300/21). Tværtimod var sagens omdrejningspunkt, om advokaten var berettiget til tortgodtgørelse i hht. Databeskyttelsesforordningens art. 82 på fuld-stændig objektivt grundlag og helt uden, at skulle godtgøre virkninger-ne eller alvoren af tabet, og til dette svarede EU-Domstolen nej. 39 Med dommen er det således fastslået, at art. 82, stk. 1, skal fortolkes så-ledes, at en overtrædelse af bestemmelserne i Forordningen ikke i sig selv er tilstrækkelig til at udgøre en ”immateriel skade” , jf. præmis 43. Idet der henvises til sag C-687/21 (præmis 58) præciseres det således også i denne dom, at der er følgende tre betingelser for ret til tortgodt-gørelse efter art. 82, stk. 1: 1) At der foreligger en materiel eller immateriel ”skade” eller at der er ”forvold[t] skade” , 2) At Databeskyttelsesforordningen er blevet overtrådt, og 3) At der er årsagsforbindelse mellem skaden og overtrædelsen På den anden side henvises der, for så vidt angår ovenstående pkt. 1, til, at der i Databeskyttelsesforordningens art. 82, stk. 1, er hjemmel til tort-godtgørelse, hvis blot den registrerede godtgør, at vedkommende fak-tisk har lidt en skade – uanset hvor lille, den måtte være (jf. C-687/21 (præmis 66) – og at den registrerede ikke er forpligtet til at bevise, at skaden har overskredet en vis alvorstærskel (jf. C-741/21, præmis 42). 5. Sammenfatning og konklusion Retten i Glostrup har i nærværende sager fastslået, at Gladsaxe Kom-mune som dataansvarlig ikke har overholdt Databeskyttelsesforord-ningens krav til behandlingssikkerhed som omhandlet i databeskyttel-sesfor-ordningens artikel 32, stk. 1, og stk. 2, jf. artikel 5, stk. 1, litra f (byretsdommens side 99). Ifølge Datatilsynet er der tale om en ”meget alvorlig overtrædelse” af Databeskyttelsesforordningen, jf. [Datatilsynets politianmeldelse af Gladsaxe Kommune]. Ifølge Datatilsynet (…), er det ” almen viden blandt de, der beskæftiger sig professionelt med IT, at det er simpelt at tilgå de filer, der er gemt på computeren, når en computers harddisk ikke er krypteret” . Tyveriet af de i sagen omhandlede computere er ikke blevet opklaret, og det er således uvist, hvem som har begået tyveriet og hvad formålet var med tyveriet. Ifølge Datatilsynet er det dog sandsynligt, at formålet med tyveriet (også) var at skaffe sig adgang til personoplysninger. Ifølge Datatilsynets ovennævnte politianmeldelse (…) bliver ” stjålne mobile enheder i almindelighed i højere grad end tidligere [] gennem-gået for personoplysninger, [] f.eks. [] personnumre, inden disse bortskaffes f.eks. ved videresalg. Dette skyldes til dels det voksende undergrundsmarked, hvor disse typer oplysninger kan videresælges, og dels den øgede digitalisering af samfundet i almindelighed, hvormed mulighederne for udnyttelse af perso-noplysninger vokser.” Gladsaxe Kommune har da også oplyst, at computerens anskaffel-ses/ny-pris kun var ca. kr. 5.00 [rettelig kr. 5.000]. Der var altså tale om en relativ ”billig” computer, hvilket også indikerer, at det formentlig 40 ikke var computeren som sådan, der havde tyvenes interesse, men der-imod indholdet. Den frygt for misbrug, som appellanterne giver udtryk for, forfølger dem, er altså helt reel, hvilket da også dokumenteres derved, at to ud af de seks appellanter efterfølgende har været udsat for identitetstyveri på baggrund af Gladsaxe Kommunes databrud. De seks appellanter har under sagen for retten i Glostrup dokumente-ret, at det stedfundne datatab har haft meget store konsekvenser for dem; visse af appellanterne – som i forvejen er sårbare borgere – har udviklet PTSDlignende symptomer, og i deres hverdag er de fortsat i dag, næsten seks år senere, mærket af datatabet – To af appellanterne har altså tilmed været udsat for identitetstyveri. Med de seks ovennævnte domme fra EU-Domstolen (jf. pkt. 4.1-4.6) kan det lægges til grund, at der utvivlsomt er hjemmel i Databeskyttelsesforordningens art. 82, stk. 1, til godtgørelse for ikke-økonomisk skade (tortgodtgørelse). Med EU-Domstolens sag C-300/21 kan det endvidere lægges til grund, at det er i strid med EU-retten, når Retten i Glostrup i sine præmisser har anført, at appellantens ”subjektive følelser” ikke ”i sig selv anses for tilstrækkelige til, at [appellanterne] har ret til erstatning/godtgørelse for ikke-økonomisk skade i medfør af databeskyttelsesforordningens arti-kel 82, stk. 1” . Ligeledes kan det med EU-Domstolens sag C-340/21 lægges til grund, at begrebet ”immateriel skade” kan omfatte en situation, hvor den registrerede med henblik på at opnå erstatning påberåber sig sin frygt for, at den pågældendes personoplysninger i fremtiden vil blive misbrugt af tredjemand (jf. præmis 80). Under sagernes behandling i byretten redegjorde appellanterne netop for den (velbegrundede) invaliderende frygt for misbrug, de har været plaget af siden datatabet i 2018. Støttet på både ordlyds-, system- og formålsbetragtninger har EU-Domstolen i f.eks. sag C-687/21 (MediaMarktSaturn), præmis 66 (smh.m. C-456/22, præmis 18-23), fastslået, at tabet af kontrol med per-sonoplysninger i (selv) et kort tidsrum kan påføre den registrerede en ”immateriel skade” som omhandlet i Databeskyttelsesforordningens art. 82, stk. 1, der giver ret til erstatning, forudsat at den nævnte regi-strerede godtgør, at vedkommende faktisk har lidt en sådan skade, uanset hvor lille den måtte være. Så meget desto mere må det lægges til grund, at byrettens afgørelse vedr. kravene som sådanne, herunder indfortolkningen af en ”bagatel-grænse” , var forkert, og at de seks appellanter skal tilkendes tortgodt-gørelse som anført i de nedlagte påstande. …” 41 Gladsaxe Kommune har i det væsentlige procederet i overensstemmelse med det sammenfattende processkrift af 17. september 2024, hvoraf fremgår bl.a.: ”… 3 ANBRINGENDER Gladsaxe Kommune ser med stor alvor på, at man på den anførte måde har mistet fortrolige oplysninger om sagsøgerne og andre borgere, og kommunen har beklaget hændelsen over for de pågældende. Ud fra en juridisk vurdering er det imidlertid vores opfattelse, at kommunen ikke har pådraget sig et ansvar, der berettiger sagsøgerne til erstatning eller godtgørelse. Det må konstateres, at retsgrundlaget i denne sag primært skal udledes af nyere praksis fra EU-domstolen. Østre Landsret vil således i de 6 konkrete sager, efter hvad der efterhånden er fast praksis fra EU-Domstolen, skulle tage stilling til, om tre kumulative betingelser er op-fyldt, hvor den første er, om reglerne i databeskyttelsesforordningen er overtrådt. Hvis dette er tilfældet, skal landsretten for det andet vurdere, om appellanterne har godtgjort, at der herudover er lidt en skade, og landsretten skal herefter for det tredje vurdere, om appellanterne har godtgjort, at der er en årsagssammenhæng mellem den konstaterede overtrædelse af databeskyttelsesforordningen og den godtgjorte skade. Det er kun, hvis alle tre betingelser er opfyldt, at der skal tages stilling til, om der skal tilkendes en kompensation og størrelsen heraf. Der er altså tre kumulative betingelser, og den første er, om reglerne i databeskyttelsesforordningen er overtrådt. EU-domstolen har den 20. juni 2024 i præmis 25 i sag C-590/22 gjort det klart, at det er den, der fremsætter et erstatningskrav, som er forpligtet til ”at godtgøre en over-trædelse af denne forordnings bestemmelser” . Gladsaxe Kommune gør gældende, at appellanterne i de 6 sager ikke har godtgjort, at Gladsaxe Kommune har overtrådt forordningens be-stemmelser. Særligt i forhold til, om de grundlæggende betingelser har været op-fyldt, og om kommunen har haft den fornødne hjemmel til at behandle de pågældende oplysninger: Gladsaxe Kommune er enig i byrettens resultat og byrettens vurdering af, hvorvidt kommunen har handlet i overensstemmelse med bl.a. dataminimeringsprincippet og de øvrige principper i artikel 5, og at kommunen har haft det fornødne hjemmelsgrundlag til at foretage be-handlingen som sket i netop de sager, som retssagerne vedrører. Byret-ten anfører på side 98 i dommen (…) følgende om det sidste spørgsmål: ”Der er herefter ikke grundlag for at fastslå, at Gladsaxe Kommune har handlet i strid med principperne for behandling af personop-lysninger i databeskyttelsesforordningens artikel 5, stk. 1, litra a, b eller c, ligesom der er behandlet i overensstemmelse med forord- 42 ningens artikel 6, stk. 1, litra e og artikel 9, stk. 2, litra f og databeskyttelseslovens § 5, stk. 1.” De oplysninger om sagsøgerne, som indgår i det regneark, der fandtes på en af de stjålne computere, er personoplysninger og dermed omfat-tet af databeskyttelsesforordningens og databeskyttelseslovens anven-delsesområde. Regnearket var blevet udarbejdet med henblik på at sikre korrekt mellemkommunal refusion, og den behandling af oplysninger om sagsø-gerne, som kommunens udarbejdelse og anvendelse af regnearket ud-gør, har efter vores opfattelse været lovlig. Der henvises herved blandt andet til artikel 6, stk. 1, litra e, i databeskyttelsesforordningen om behandling, som er nødvendig af hensyn til udførelse af en opgave i samfundets interesse, eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt. Bestemmelsen har et bredt anvendelsesområde, der giver offentlige myndigheder vid adgang til at behandle personoplysninger som led i varetagelsen af deres opgaver. I den forbindelse kan der henvises til betænkning nr. 1565/2017 ”Databeskyttelsesforordningen (2016/679) – og de retlige rammer for dansk lovgivning” , hvor der blandt andet er an-ført følgende (betænkningen, side 139-140): ”Det kan […] ikke antages at være hensigten med forordningen at begrænse offentlige myndigheders mulighed for at behandle personoplysninger. […] Forordningen må i det hele taget også kunne udgøre hjemmel, når offentlige myndigheder indhenter oplysninger i overensstemmelse med officialmaksimen, jf. artikel 6, stk. 1, litra e.” Særligt når det gælder behandling af oplysning om cpr-nummer, kan der henvises til databeskyttelseslovens § 11, stk. 1, hvorefter offentlige myndigheder kan behandle oplysninger om personnummer med hen-blik på entydig identifikation eller som journalnummer. Her skal lands-retten under alle omstændigheder være opmærksom på, at der ikke vil være tale om overtrædelse af forordningen, men om overtrædelse af en dansk særregel, hvor landsretten ikke vil være forpligtet til at se bort fra de danske regler på området, hvor det konkret vil skulle vurderes efter erstatningsansvarslovens § 26, om der skal gives kompensation for ikke økonomisk skade. EU-Domstolen har f.eks. i dom af 20. juni 2024 i sag C-590/22 fastslået dette i præmis 48-50, allerede fordi overtrædelsen af sådanne nationale regler ikke er omfattet af artikel 82 i databeskyttel-sesforordningen sammen med 146. betragtning hertil. Det skal desuden nævnes, at det fremgår af Gladsaxe Kommunes svar af 21. januar 2019 til Datatilsynet (…), at kontrol af, om der er sket kor-rekt registrering af den enkelte borger, ikke kan ske uden brug af cpr-nummeret i regnearket, idet opgaven netop består i blandt andet at sik-re, at betalingskommuneforhold bliver korrekt registreret i cpr- 43 registeret. Allerede derfor bestrides det, at formålet med behandlingen af de pågældende oplysninger kunne været opnået ved brug af anony-miserede eller pseudonymiserede oplysninger. I øvrigt bestrides det mere generelt, at databeskyttelsesforordningen i et tilfælde som det fo-religgende, hvor der er tale om en forvaltningsmæssig opgave, der kræver konkret og sikker identifikation af involverede borgere (kontrol af refusion i de pågældende sager) – og ikke f.eks. en opgave af viden-skabelig eller statistisk karakter – skulle indebære krav om anonymise-ring eller pseudonymisering af den karakter, som der tilsyneladende bliver lagt op til af appellanterne. Dette underbygges også af databe-skyttelseslovens § 11, stk. 1, der fastsætter, at offentlige myndigheder kan behandle oplysninger om personnummer med henblik på entydig identifikation eller som journalnummer. Endvidere kan der særligt i forhold til oplysninger, der må anses for helbredsoplysninger i forordningens forstand, henvises til forordnin-gens artikel 9, stk. 2, litra f, og databeskyttelseslovens § 7, stk. 1, hvoref-ter der er hjemmel til at behandle blandt andet helbredsoplysninger, hvis det er nødvendigt for, at et retskrav kan fastlægges. Det bemærkes herved, at kommunen er enig i, at visse af oplysningerne om Appellant 1, tidligere Sagsøger 1, Appellant 2, tidligere Sagsøger 3 og Appellant 5, tidligere Sagsøger 6 må anses for helbredsoplysninger, således som dette udtryk i forord-ningens artikel 9 må forstås. Det gælder, uanset at oplysningerne ikke indeholder nogen konkret information om, hvilken sygdom eller hvil-ket handicap f.eks. Appellant 1, tidligere Sagsøger 1 måtte have. Også behandlingen af helbredsoplysninger har været lovlig, idet oplysningerne for det første er indgået i en sagsbehandling, hvor der blandt andet har skullet tages stilling til, hvilke krav de pågældende sagsøgere ville have på ydelser mv. efter lovgivningen, og for det andet er indgået i den ef-terfølgende behandling, hvor man har skullet fastlægge kommunens krav på mellemkommunal refusion. Der kan i den forbindelse henvises til betænkning nr. 1565/2017 om ”Databeskyttelsesforordningen (2016/679) – og de retlige rammer for dansk lovgivning” , hvor det er omtalt, at den nævnte bestemmelse i forordningen – ligesom det daværende databeskyttelsesdirektiv og den daværende persondatalov – blandt andet giver offentlige myndigheder hjemmel til som led i varetagelsen af deres myndighedsopgaver at be-handle helbredsoplysninger og andre følsomme personoplysninger, hvis det sker for, at et retskrav kan fastslås mv. I betænkningen er såle-des blandt andet anført følgende (betænkningen, side 213): ”Det fremgår af forordningens artikel 9, stk. 2, litra f, at behandling af følsomme oplysninger er lovlig, hvis behandling er nødvendig, for at retskrav kan fastlægges, gøres gældende eller forsvares, eller når domstole handler i deres egenskab af domstol. Bestemmelsen i forordningens artikel 9, stk. 2, litra f, svarer efter ordlyden til bestemmelsen i databeskyttelsesdirektivets artikel 8, stk. 2, litra e, 2. led, og

§ 7, stk.

2, nr.

  1. Det fremgår af præambelbetragtning nr. 52, at en fravigelse desu-den bør gøre det muligt at behandle sådanne personoplysninger, 44 hvis det er nødvendigt, for at retskrav kan fastslås, gøres gældende eller forsvares, uanset om det er i forbindelse med en retssag eller en administrativ eller udenretslig procedure. Som tidligere anført følger det af gældende ret, at den situation, at behandling af oplysninger om den registrerede er nødvendig for, at den dataansvarlige kan afgøre, om den registrerede har et retskrav, er omfattet af bestemmelsen bl.a. vil være tilfældet med hensyn til offentlige myndigheders behandling af oplysninger som led i myn-dighedsudøvelse. På baggrund af en ordlydsfortolkning af bestemmelsen ses der ikke at være holdepunkter for, at bestemmelsen ikke længere skulle fin-de anvendelse i forbindelse med offentlige myndigheders myndighedsudøvelse. Det fremhæves endda i præambelbetragtning nr. 52, at bestemmelsen vil finde anvendelse i disse situationer, idet det fremgår, at bestemmelsen kan anvendes, hvis det er nødvendigt, for at et retskrav kan fastslås i forbindelse med administrativ proce-dure. Bestemmelsens anvendelse i forbindelse med offentlig myn-dighedsudøvelse ses derfor at være i overensstemmelse med gæl-dende ret. Forordningens artikel 9, stk. 2, litra f, kan således anven-des på offentlig afgørelsesvirksomhed. Det vil endvidere ikke være udelukket, at bestemmelsen kan anvendes inden for faktisk for-valtningsvirksomhed, hvis dette sker for, at et retskrav kan fastlægges, gøres gældende eller forsvares…” ] Som eksempel på, at der vil være databeskyttelsesretlig hjemmel til at behandle personoplysninger i tilfælde, hvor det er nødvendigt for en tilstrækkelig sagsoplysning (officialmaksimen), kan også nævnes U 2017.1294 H, hvor Højesteret fandt, at en kommune i forbindelse med en påtænkt afgørelse om at standse udbetalinger af refusion af syge-dagpenge til en arbejdsgiver var berettiget til som led i partshøring af arbejdsgiveren at videregive nogle helbredsoplysninger om den syge-meldte medarbejder. Kommunen havde som udgangspunkt pligt til at partshøre over oplysningerne i medfør af forvaltningslovens § 19, stk. 1, og videregivelsen af helbredsoplysningerne var derfor berettiget og ik-ke i strid med reglerne i forvaltningsloven og den daværende personda-talov. Højesteret har i U 2021.1058/2 H også haft anledning til at tage stilling til en sag, hvor en myndighed (Patienterstatningen) havde indrettet sin praksis (om erstatning for patientskader) på en sådan måde, at de først tog stilling til, om der var et ansvarsgrundlag, og kun hvis det var til-fældet, tog de også stilling til opgørelsen af et eventuelt tab. Kamme-radvokaten gjorde på den baggrund gældende, at myndigheden i den indledende sagsbehandling ikke var berettiget til at behandle de oplys-ninger, der belyste tabet, hvilket i givet fald også i den konkrete sag vil-le have den positive sidegevinst, at myndighedernes pligt til at betale renter blev udskudt. Højesteret skar imidlertid igennem og fastslog, at myndigheden havde ret til at behandle oplysningerne også på et tidli-gere tidspunkt og uanset den med rette valgte praksis, og at dette bl.a. ikke var i strid med det databeskyttelsesretlige dataminimeringsprin-cip. 45 Det er vores vurdering også på baggrund af Højesterets dom, at myndighederne har en vid adgang til at behandle personoplysninger, når blot dette må anses for sagligt og nødvendigt. Der kan som eksempel også henvises til Datatilsynets afgørelse af
  2. oktober 2019, hvor en borger klagede over, at en kommune behandlede oplysninger om borgeren med en såkaldt ”type-ahead” -funktion på kommunens hjemmeside (det vil sige en funktion, der automatisk kommer med bestemte søgeforslag). Datatilsynet fandt ikke grundlag for at tilsidesætte kommunens vurdering af, at behandlingen kunne ske inden for rammerne af forordningens artikel 6, stk. 1, litra e. Der blev herved lagt vægt på, at søgefunktionen skulle understøtte overholdel-sen af den almindelige vejledningspligt

🔗 Til officiel kilde

AI-forklaring ud fra den officielle lovtekst. Vejledende, erstatter ikke juridisk rådgivning.