Østre Landsret tilkender erstatning for immateriel skade efter databrud

Østre Landsret har den 20. august 2025 afsagt dom i en sag om Hillerød Kommunes behandling af personoplysninger i forbindelse med behandling af en aktindsigtsanmodning. Under sagsbehandlingen udleverede en medarbejder ved en fejl helbredsoplysninger om, at en borger var diagnosticeret med en bipolar lidelse. Disse oplysninger blev videregivet til hendes mands tidligere ægtefælle. Samtidig blev der udleveret oplysninger om mandens økonomiske forhold.

Retten fandt, at kommunen havde overtrådt databeskyttelsesforordningen ved uberettiget at videregive helbredsoplysningerne og tilkendte borgeren 2.500 kr. i erstatning for at have lidt immateriel skade. Landsretten lagde bl.a. vægt på, at oplysningerne var af følsom karakter, og at de blev anvendt i en familieretlig tvist. Et tilsvarende krav fra manden angående dennes økonomiske forhold blev derimod afvist, da videregivelsen ikke blev anset for at have medført ham immateriel skade.

Dommen er anket til Højesteret.

Sagens hovedpunkter

Parterne var enige om, at kommunen havde overtrådt databeskyttelsesforordningen ved at videregive helbredsoplysninger om borgeren. Tvisten for landsretten handlede derfor om, hvorvidt videregivelsen havde medført en immateriel skade. Retten fandt, at det var tilfældet og tilkendte borgeren erstatning.

I sin vurdering af erstatningsspørgsmålet tog retten udgangspunkt i, at databeskyttelsesforordningens artikel 82 giver mulighed for at tilkende erstatning for immateriel skade, også selv om der ikke foreligger et økonomisk tab. 

Kommunen gjorde under sagen gældende, at videregivelsen skyldtes en enkeltstående menneskelig fejl, og at kommunen derfor burde fritages for ansvar efter databeskyttelsesforordningens artikel 82, stk. 3. Retten afviste dette og fastslog, at dataansvarlige som udgangspunkt hæfter for fejl begået af egne medarbejdere også selvom de er enkeltstående.

Dommen er et nybrud i dansk retspraksis, da det er den første danske dom, hvor der er blevet tilkendt erstatning for immateriel skade efter databeskyttelsesforordningens artikel 82.

Ved fastsættelsen af erstatningen lagde retten vægt på oplysningernes følsomhed og de konkrete omstændigheder omkring videregivelsen til mandens tidligere ægtefælle. Erstatningsbeløbet på 2.500 kr. afspejler, at skaden blev anset som reel, men af begrænset omfang for borgeren.

Mulig betydning for praksis

Datatilsynet har i sin omtale af dommen fremhævet, at Højesterets kommende behandling kan få betydning for dansk praksis om erstatning for immateriel skade efter GDPR, særligt i forhold til spørgsmålet om, hvorvidt der kan tilkendes erstatning uden økonomisk tab. Dommens rækkevidde og eventuelle betydning for fremtidig praksis vil dog først stå klart, når Højesteret har truffet endelig afgørelse.

Hvad bør dataansvarlige være opmærksomme på?

Hvis Højesteret stadfæster dommen, vil det blive fastslået, at selv enkeltstående fejl i behandlingen af personoplysninger, der fører til utilsigtede databrud, kan medføre erstatningsansvar efter databeskyttelsesforordningen, samt at registrerede kan kræve erstatning for immateriel skade uden at dokumentere et økonomisk tab.

For både offentlige myndigheder og private virksomheder er sagen en påmindelse om vigtigheden af at:

• have klare og kontrollerede procedurer for behandling og udlevering af personoplysninger, særligt når der er tale om følsomme oplysninger
• være opmærksom på, at databrud kan føre til krav om erstatning for immateriel skade, også selvom der ikke foreligger økonomisk tab,
• sikre løbende træning, intern kontrol og dokumentation, der kan understøtte overholdelsen af GDPR.

DLA Piper følger udviklingen

DLA Piper følger sagen og udviklingen på databeskyttelsesområdet tæt. Vores specialister rådgiver både private virksomheder og offentlige myndigheder om databeskyttelse, herunder håndtering af brud på persondatasikkerheden, vurdering af mulige erstatningskrav og implementering af forebyggende tiltag.

Har du spørgsmål til dommen eller behov for rådgivning om øvrige databeskyttelsesretlige forhold, er du velkommen til at kontakte os.