Gladsaxe Kommune skal ikke betale erstatning til borgere, som trak kommunen i retten, efter deres personoplysninger for syv år siden havnede i uvedkommendes hænder.

Det afgjorde Højesteret i dag.

Ifølge professor i persondataret på Københavns Universitet Henrik Udsen er dommen “ret betydelig” for kommuner, regioner og andre offentlige myndigheder, der på en eller anden måde har lækket borgernes data.

- Den siger noget om, hvilken linje, der bliver lagt i Danmark for den type af sager, siger han.

Ikke tilstrækkeligt bevist

Som Kommunen.dk tidligere har beskrevet, kunne sagen have åbnet sluserne for flere tusinde borgeres krav på erstatning for selverklærede psykiske skader. 

Men retten fandt det ikke tilstrækkeligt bevist, at de pågældende borgere havde lidt skade på grund af datalækket.

- Udover deres egne forklaringer er der ikke fremlagt andre beviser, der støtter, at de har lidt en skade, siger Henrik Udsen, og i den konkrete sag har det ikke været nok til at løfte bevisbyrden.

Højesteret har desuden lagt vægt på omstændighederne ved sikkerhedsbruddet, og at der ikke er beviser for, at nogen tredjemand har fået adgang til oplysningerne, forklarer han. 

Det var i en weekend i 2018, at der blev stjålet fire bærbare computere fra rådhuset i Gladsaxe, hvoraf én indeholdt et regneark med 20.613 borgeres personoplysninger.

Ifølge Henrik Udsen kan det derfor have indgået i Højesterets vurdering, at tyvene ikke var interesseret i personoplysningerne, men i at sælge computerne.

Dermed var risikoen for, at nogen havde fået kendskab til oplysningerne, formentlig mindre, end hvis det var en hacker, der havde stjålet oplysningerne og lagt dem på nettet. 

Hvor sandsynligt det er, at oplysninger er blevet misbrugt, vil dog altid bero på en konkret vurdering af omstændighederne i den enkelte sag, understreger han.

Kan stadig udløse erstatningsansvar

Selvom sagen faldt ud til Gladsaxes fordel, kan kommuner og regioner godt blive erstatningsansvarlige for borgernes psykiske skader. Det kræver dog, at de kan bevise, at deres frygt og negative følelser skyldes et givent datalæk.

Hvilken form for bevisførelse, der vil kunne udløse erstatning, siger dommen ikke noget om.

Men den bekræfter EU’s praksis om, at der ikke er nogen bagatelgrænse for, hvilke skader der kan udløse ret til erstatning efter databeskyttelsesforordningens artikel 82. 

Omend spørgsmålet om en eventuel erstatningsstørrelse fortsat er ubesvaret, er der ifølge Henrik Udsen en lille krølle på den danske dom: 

For mens EU-Domstolen mener, at kompensation til en skadelidt kan bestå af en undskyldning, siger Højesteret, at der ikke er hjemmel til at spise folk af med det i dansk ret.

- Hvis nogen har lidt en skade og har bevist det, skal de have penge, siger han.

- Spørgsmålet er så hvor mange. 

Og selvom Højesterets afgørelse sætter et endeligt punktum i erstatningssagen, kan kommunen fortsat blive tvunget til at punge ud. 

Forude venter nemlig en straffesag, hvor kommunen for samme datalæk er indstillet til en bøde på 100.000 kr. Den sag skal for Retten i Glostrup sidst i april.

Som reaktion på dagens dom lyder det fra Mikael Wolf, chef for Byrådssekretariatet i Gladsaxe Kommune, at man tager dommen til efterretning.  

"Der skal ikke herske tvivl om, at vi tager behandling af borgernes personoplysninger meget alvorligt, og at vi har lært af sagen. Derfor har vi også i de syv år, der er gået siden tyveriet, gjort en massiv indsats for at sikre, at vi passer godt på borgernes oplysninger," skriver han i en sms.