Dansk sag om GDPR-erstatning på vej til EU-domstolen

I baggrunden af at GDPR væltede ind over os har vi alle, organisationer, forvaltninger og firmaer kunne høre den konstante sabelraslen om store bøder, og hvor alvorligt det vil være ikke at opføre sig ordentligt og ansvarligt som databehandler.

Men her flere år inde i samlivet med GDPR er der fortsat fundamentale spørgsmål, som er uafklarede. Spørgsmål om hvornår man er berettiget til godtgørelse, og hvor meget man er berettiget til, hvis ens data ikke er blevet behandlet som loven foreskriver.

”De spørgsmål er fuldstændig uafklarede her fire år inde i forordningen”.

Art. 82 giver flest præjudicielle

Ovennævnte sagde Henrik Udsen fra scenen på førstedagen af årets Forvaltningsretskonference i Aalborg. Han, professor dr.jur. fra i Københavns Universitet, holdt oplæg under overskriften ’Erstatningskrav ved brud på GDPR’. For det er på dagsordenen over hele Europa. Og på konferencen gav en status og sit bud på, hvad vi kan forvente, der sker.

”Jeg tror, at artikel 82 er den, der giver anledning til flest præjudicielle spørgsmål ved EU-domstolen lige nu”, siger Henrik Udsen og konkretiserer antallet af sager.

”7-8 stykker lige nu og en mere på vej fra Danmark”.

Han opridsede de tre hovedspørgsmål, der huserer. Spørgsmål, der overordnet flyver ubesvarede rundt i medlemsstaterne – og fra medlemsstaterne til EU-domstolen er:

*Gælder retten til økonomisk godtgørelse også for ikke-økonomisk skade?

*Er der er en bagatelgrænse, eller gælder den alle krænkelser af GDPR?

*Hvordan skal den bagatelgrænse fastsættes?

Disse spørgsmål, faststslog Henrik Udsen, er der ingen klare svar på endnu. Og det er på trods af, at de første tre linjer i forordningen lyder ’Enhver, som har lidt materiel eller immateriel skade som følge af en overtrædelse af denne forordning, har ret til erstatning for den forvoldte skade fra den dataansvarlige eller databehandleren.’

Men artikel 82 er i sin samlede form så uklart formuleret på det her konsekvenspunkt, at en medlemsstat endda har stillet spørgsmål om, hvorvidt artikel 82 overhovedet er gyldig, fortæller han fra scenen i en sidebemærkning.

Han viste slides med overskrifter om sager om datalæk i Danmark og i udlandet. Fra Herlev kommune der har sendt sundhedsoplysninger til et konsulenthus, over British Airlines, som indgik et forlig – hemmeligt og ukendt - efter et kolossalt kundelæk til et utroskabssite, der fik hacket data på millioner af kunder. Han tilføjede, at han havde i øvrigt hørt en radioreklame, hvor det utroskabsfirma opfordrede til, at man downloadede deres app. Et interessant eksempel på, hvordan tillid til, at et firma passer på dine data, kan være svær at genopbygge.

Det, der er på vej

På den måde opridsede han hvilke sager, der har været. Og han gik videre til dem, der er i gang. Herunder samt den danske sag, der af Østre Landsret er ved at blive sendt videre til EU-domstolen for at få en en præjudiciel afgørelse.

Den danske sag handler om en sagsbehandler i en kommune, der i ukrypteret form gemte data om 20.620 borgere. De blev stjålet fra et ulåst kontor og så var skaden for alvor sket. På vegne af syv af de mange tusinde datakrænkede borgere er sagen rejst som gruppesøgsmål.

Artiklen fortsætter efter billedet, hvor Henrik Udsen fremhæver enkelte detaljer fra den danske dom, der er blevet anket og nu er på vej til EU via landsretten. 

 
I Danmark blev det slået fast vedrørende den sag, at ikke-økonomisk skade godt kan udløse en erstatning. Men det blev også slået fast, at der åbenbart er en bagatelgrænse. De syv er ikke tilkendt erstatning. Sagen er nu videre på sin vej til landsretten. Og landsretten, fortalte han, er altså ved at sende den til præjudiciel afgørelse hos EU-domstolen.

Gruppesøgsmål, som eksemplet med de syv danskere, er både vejen frem og den potentielt farlige mulighed. Eller som han siger.

”Potentielt er der en risiko for meget store krav. Det kan være lidt af en økonomisk bombe under artikel 82”.

Selv en fastsættelse af små beløb kan lukke virksomheder, såfremt det handler om et stort nok antal personer.

Men som han også sagde i den forbindelse.

”Jeg tror dog ikke, at risikoen er så stor”.

Det begrundede med flere henvisninger og sammenholdninger af udviklingen. Og han nævnte, inden han kom til sine konklusioner om, hvad han tror og håber på sker, at det med gruppesøgsmål åbner nye spørgsmål.

For når en skade er sket og dømt som en del af et gruppesøgsmål, skal selve udmålingen af erstatningen så også være ens for alle.

Og skal skaden udmåles ud fra en præmis om, at hver enkelt krænkelse er en ny erstatningsudløsende hændelse eller også skal alle krænkelserne samlet anses som en krænkelse.
Konkret trak han her tråd til Umbrella-sagen, hvor der reelt i Danmark blev sat et øvre loft for erstatningen. Relevant fordi en deling af en krænkende video jo reelt er en krænkelse hver eneste gang, den uønskede video ses af en. Men samtidig skal der være balance i forhold til erstatningspraksis andre steder i systemet som f.eks. erstatninger efter voldtægt, fysisk vold e.a. voldsomt.

Håber på indskrænkning

Henrik Udsen dokumenterede undervejs med slides og konkrete henvisninger. Enkelte af de medbragte eksempler kan ses på artiklens fotos.

Og så nåede han til slutningen, hvor han – opsummeret – sagde, at han tror og håber på, at det, der kommer til at ske, er, at risikoen for massekrav vil blive søgt inddæmmet. Hvis ikke det stoppes, vil der opstå en industri, der udnytter dette. Og det vil være uforholdsmæssigt farefuldt for skadevolder, den datansvarlige.”

”Vi ved det ikke. Men vi får forhåbentlig svar inden for de kommende måneder. Jeg tror, vi får nogle afgørelser, der inddæmmer det. Det håber jeg på og tror på."

Om Danmark sagde han i øvrigt afslutningsvis, at vi vil være tilbageholdende med at tildele godtgørelser. Og at vi i Danmark har tradition for at give rimelig lave godtgørelser.

Efter oplægget – eller indsparket som han selv benævnte det – var der fem minutter til spørgsmål fra tilhørerne. En af dem stillede et ret kompliceret et af slagsen.

Henrik Udsen svarede og tilføjede derefter et grin.

”Det er et komplekst spørgsmål. Jeg har ikke rådgiveransvar, så jeg kan altid give et hurtigt svar”. 
Billedet: Henrik Udsen foran sin afsluttende slide med opsummering under overskriften: Hvad kan vi forvente? Svært at sige, men et bud.