For nylig frifandt Østre Landsret Gladsaxe Kommune for kravet om at betale erstatning til seks af sine borgere. 

Tilsammen havde de rejst erstatningskrav mod kommunen for 130.000 kr. for psykiske skader, som de mener, at kommunens ulovlige håndtering af deres (og godt 20.600 andre borgeres) persondata har pådraget dem.

Men selvom begge instanser fandt, at kommunen har overtrådt databeskyttelsesforordningens regler om behandlingssikkerhed, slap den med skrækken.

I hvert fald i første omgang. 

Der er nemlig ikke sat punktum i sagen, og udfaldet kan få konsekvenser, der rækker langt ud over Gladsaxes kommunegrænse.

Stilling: 1-1

En weekend i 2018 blev der, som Kommunen.dk tidligere har beskrevet, stjålet fire bærbare computere fra rådhuset i Gladsaxe. På den ene lå der i strid med kommunens retningslinjer et regneark med 20.613 borgeres personoplysninger (cpr-nummer, navn, adresse, oplysninger om boligsikring og helbredsoplysninger) gemt på et ukrypteret lokaldrev. 

Syv af de berørte borgere anlagde sag mod kommunen med krav om godtgørelse for tort, men Retten i Glostrup mente ikke, at borgernes skader var store nok til at udløse erstatning. Seks af dem appellerede dommen til landsretten, som nu har afvist deres krav, fordi den ikke fandt årsagssammenhængen mellem datalækket og borgernes påståede skader tilstrækkeligt bevist. Alligevel betragter advokat Eva Persson, som repræsenterer borgerne, ikke afgørelsen som et nederlag.

- Det, som er bemærkelsesværdigt, er, at man kommer frem til samme resultat, men med forskellig begrundelse, siger hun.

Hun har hele tiden ment, at det var i strid med EU-retten at operere med en bagatelgrænse i reglerne om tort, hvilket indtil flere EU-domme og nu også Østre Landsret har givet hende ret i.

Dermed har landsretten givet borgerne medhold i, at byrettens begrundelse ikke var rigtig, så stillingen er nu 1-1, bemærker Eva Persson, der vil “kæmpe indædt” videre for borgerne. 

- Jeg har hele tiden sagt, at sagen skal afgøres ved Højesteret. Det mener jeg stadig. Det fortjener den uanset udfald, for den er den første af sin art i Danmark - den skriver historie, siger hun. 

Ansøgningen til Procesbevillingsnævnet er hun allerede gået i gang med.

Velbegrundet frygt

Når Østre Landsret er kommet frem til, at der ikke er nogen bagatelgrænse, er det ifølge professor i persondataret på Københavns Universitet Henrik Udsen en konsekvens af, at man læner sig op ad EU-Domstolens praksis. Spørgsmålet er, om det er godt eller dårligt nyt for kommuner og regioner, som på den ene eller anden måde har kompromitteret borgeres data. 

- Jeg tror, det vil føre til flere erstatninger end ved den tidligere praksis, men jeg tror stadig, domstolene vil være tilbageholdende med at give erstatning, siger han.

Selvom der ikke er nogen videre tradition for at give erstatning for immaterielle skader i Danmark, er man nødt til at overholde EU’s forordning. 

Og ifølge EU-Domstolen kan alene frygten for, at ens personoplysninger potentielt kan blive misbrugt af tredjemand som følge af en overtrædelse af forordningen udgøre en immateriel skade, der giver ret til erstatning, for så vidt den er “velbegrundet”.

- Hvis enhver gene eller bekymring er en skade, er det måske ikke særlig svært at løfte bevisbyrden. Men frygten skal være velbegrundet, så hvornår er den det?, siger Henrik Udsen.

I den konkrete sag mener Eva Persson, at betingelsen er opfyldt.

- Men fordi pc’en blev stjålet sammen med noget tøj og en pose med pant, lægger retten vægt på, at man ikke kunne være interesseret i det, der var i computeren, siger hun og henviser til, at data i stigende grad er en salgsvare. 

Håbet er, at Højesteret modsat landsretten giver hende ret.

Kan det virkelig passe?

Det vil ikke komme bag på Henrik Udsen, hvis det lykkes at få sagen prøvet ved Højesteret. 

Den rejser nemlig flere principielle spørgsmål, som gør området svært at operere i. For er alt virkelig en skade? Er det en objektiv eller subjektiv vurdering? Hvornår kan man bevise en bekymring, og hvad er det i grunden, der skal bevises?

Spørgsmålet om, hvorvidt det virkelig kan passe, at der ikke er nogen nedre grænse for, hvilken immateriel skade, der kan udløse erstatning, har den tyske Højesteret spurgt EU-Domstolen om, fortæller Henrik Udsen. Men for nuværende er det altså den linje, der er lagt, og det kan, som han siger, udløse “en vis bekymring for, at man får en flodbølge af sager baseret på bekymring eller irritation, hvis det i sig selv er nok til at kræve erstatning.”

Så kan tusindvis af borgere nemlig potentielt have krav på erstatning, for Gladsaxe er langt fra ene om at have lækket persondata til uvedkommende. For eksempel udleverede Hedensted Kommune i 2018 ved en fejl 76 cpr-numre på en usb-nøgle til en borger, der søgte om aktindsigt i en ny omfartsvej. 

I 2021 mistede Vejle en usb-nøgle med navn, fødselsdato og adresse på samtlige 92.425 stemmeberettigede, hvoraf 1.400 havde navne- og adressebeskyttelse. Samme år lå mindst 4.543 cpr-numre og adresseoplysninger på 66 borgere med adressebeskyttelse i flere måneder offentligt tilgængeligt på Aarhus Kommunes digitale byggesagsarkiv. 

For ikke at åbne sluserne fuldstændigt, skal man dog kunne bevise, at den ulovlige behandling har ført til en skade, understreger Henrik Udsen, og det er op til de nationale domstole at afgrænse, hvad det indebærer.

Ønsker de danske domstole at holde fast i dansk retstradition om, at der ikke punges stort ud til torterstatninger, har de nogle håndtag at dreje på: Dels kan de sætte krav til bevisbyrde mere eller mindre højt, dels kan de sætte erstatningsstørrelser mere eller mindre højt.

Selv mener Henrik Udsen, at landsrettens dom peger i retning af, at man i Danmark vil sætte bevisbarren relativt højt. 

Skeler man til, hvad nyere sager fra EU viser om erstatningsudmåling, vil man se, at erstatningen kan være meget lille - endog begrænse sig til en undskyldning.

- Jeg fortolker det sådan, at det er et forsøg på, at sætte rammer ad en anden vej, når man nu har etableret, at der ikke er en bagatelgrænse, siger Henrik Udsen.

Straffesag venter forude

Ifølge sit påstandsdokument mener Gladsaxe Kommune slet ikke, at den har handlet i strid med reglerne, og alene derfor ikke kan være erstatningsansvarlig.

Ikke desto mindre besluttede kommunen efter tyveriet at kryptere alle administrative computere og tilføre ca. 15,6 mio. kr. til et tre-årigt projekt, der skulle løfte kommunen op blandt de førende kommunale myndigheder hvad angår informationssikkerhed og databeskyttelse. 

Kommunen.dk har forsøgt at få en kommentar til dommen fra Gladsaxe Kommune, som ikke ønsker at udtale sig, da “modparten” stadig har mulighed for at prøve sagen ved en højere instans. 

Næste år venter i forvejen en straffesag, hvor kommunen for samme forhold er indstillet til en bøde på 100.000 kr. Sagen er berammet ved Retten i Glostrup sidst i april, og selvom man kunne tro, at Østre Landsrets dom i den civile sag forsegler udfaldet i straffesagen, er intet givet på forhånd. 

- Byretten i straffesagen kan ikke bare lægge landsrettens dom til grund. Det er en selvstændig straffesag, hvor der kan komme andre beviser frem, siger Henrik Udsen.