Ja. Efter art. 82 kan enhver, der har lidt materiel eller immateriel skade på grund af en overtrædelse af GDPR, kræve erstatning, og databeskyttelseslovens § 40 henviser til samme regel. Et brud på persondatasikkerheden giver dog ikke automatisk et krav. Personen skal godtgøre en overtrædelse, en skade og sammenhængen mellem dem. Virksomheden skal til gengæld bevise, at sikkerheden var passende, hvis den vil undgå ansvar. Det er domstolene, der afgør sagerne, og Datatilsynet kan ikke tage stilling til dem.
Artiklen gennemgår reglen og EU-Domstolens praksis ud fra dommene selv. Den nævner ingen beløb. Et konkret krav er et spørgsmål til advokat.
Reglen i art. 82
Bestemmelsen har seks stykker, og fire af dem betyder mest for en virksomhed.
- Stk. 2. Den dataansvarlige hæfter for skade fra behandling, der overtræder forordningen. Databehandleren hæfter kun, hvis den har svigtet pligter rettet mod databehandlere, eller har handlet i strid med lovlige instrukser.
- Stk. 3. Fritagelse kræver bevis for, at den pågældende ikke er skyld i den begivenhed, der medførte skaden.
- Stk. 4. Er flere ansvarlige for samme behandling, hæfter de solidarisk for hele skaden.
- Stk. 5. Den, der har betalt det hele, kan kræve de andres andel tilbage.
Reglen om tilbagesøgning gør det vigtigt, at ansvaret mellem jer og leverandøren står klart. Se også fælles dataansvar.
Overtrædelse, skade og sammenhæng
EU-Domstolen fastslog i C-300/21, at en overtrædelse ikke i sig selv er nok, og at national ret ikke må kræve en vis alvorsgrad af den immaterielle skade. C-456/22 siger det samme om en bagatelgrænse, og tilføjer, at personen skal godtgøre en skade, der adskiller sig fra selve overtrædelsen. Bevisbyrden for skaden ligger hos den, der kræver erstatning, jf. C-687/21.
Små skader kan altså tælle, når de er bevist.
Hvornår tæller frygt som skade?
Det er det spørgsmål, der oftest opstår efter et brud. Personen ved, at oplysningerne er væk, men ikke, om nogen vil misbruge dem.
I C-590/22 fandt Domstolen, at frygten for, at oplysninger er nået til tredjemand, kan være nok, selv om det ikke kan vises, at det er sket. Frygten og dens negative konsekvenser skal være behørigt bevist. C-655/23 siger det samme om negative følelser som frygt eller utilfredshed på grund af tab af kontrol. Efter C-182/22 kan erstatning for tyveri af oplysninger heller ikke afhænge af, at der efterfølgende sker identitetstyveri.
Grænsen ses i C-687/21. Et dokument blev ved en fejl givet til en uvedkommende, som bevisligt ikke havde fået kendskab til oplysningerne. Den blotte frygt for senere misbrug var her ikke en skade.
Derfor betyder det noget, hvad I kan vise om bruddet. Kan jeres logs vise, hvad der blev set, er det også nyttigt, hvis et krav kommer.
Bevisbyrden for sikkerheden
Et brud viser ikke i sig selv, at sikkerheden var for dårlig. Domstolen fastslog det i C-340/21 om et angreb udefra og i C-687/21 om medarbejderes fejl. Domstolen lagde dog bevisbyrden hos den dataansvarlige. Efter C-340/21 skal virksomheden bevise, at foranstaltningerne var passende, og domstolene vurderer det konkret ud fra risikoen. At skaden skyldes en tredjemand, fritager heller ikke i sig selv.
To domme mere strammer billedet. Efter C-741/21 er det ikke nok at henvise til en fejl begået af en ansat. Efter C-667/21 kræver ansvar skyld, men skylden formodes, indtil den dataansvarlige beviser det modsatte.
For en virksomhed er den praktiske konsekvens, at dokumentationen fra før bruddet tæller. Risikovurdering, valg af foranstaltninger og kontrol af, at de virker, er det, I skal kunne lægge frem. Se passende sikkerhed efter artikel 32.
Hvad afgør størrelsen?
Erstatningen er kompenserende og skal fuldt ud dække den skade, der konkret er lidt. Den har ingen straffende eller afskrækkende funktion, jf. C-667/21, C-687/21 og C-182/22. Det har flere følger.
- Kriterierne for bøder i art. 83 bruges ikke, jf. C-590/22 og C-741/21.
- Graden af skyld må ikke tages i betragtning ved fastsættelsen, jf. C-655/23.
- Flere overtrædelser ved samme behandling tæller ikke i sig selv med, jf. C-741/21.
- Den dataansvarliges holdning og begrundelse kan ikke sænke erstatningen under den skade, der er lidt, jf. C-507/23.
- En undskyldning kan være passende erstatning for immateriel skade, hvis den fuldt ud kompenserer, jf. C-507/23.
- Er skaden ikke grov, kan retten tilkende en ubetydelig erstatning, hvis den fuldt ud dækker skaden, jf. C-182/22. Samme dom siger, at immateriel skade efter et brud ikke efter sin art er mindre alvorlig end personskade.
Størrelsen fastsættes ellers efter national ret, jf. C-300/21.
Højesterets dom fra august 2026
Dommen er ikke læst. Omtalen bygger alene på referater fra Datatilsynet og Dansk Erhverv, som stemmer overens på de punkter, der gengives her. Læs dommen selv, før I bygger noget på den.
Ifølge referaterne havde en kommune ved en fejl videregivet oplysninger om en kvindes psykiske helbred til hendes ægtefælles tidligere ægtefælle i forbindelse med en anmodning om aktindsigt. Det var ubestridt, at det stred mod reglerne. Højesteret fandt, at kvinden havde godtgjort en immateriel skade. Retten lagde vægt på, at oplysningerne var meget følsomme og private, at modtageren var en person, hun stod i et modsætningsforhold til, og at oplysningerne blev givet videre til Familieretshuset. Højesteret forhøjede godtgørelsen fra landsretten markant.
Hendes ægtefælle fik ifølge Dansk Erhverv ingen godtgørelse, selv om oplysninger om hans økonomi også var videregivet i strid med reglerne. Han havde ikke godtgjort en skade. Dansk Erhverv gengiver tre betingelser fra dommen, nemlig overtrædelse, skade og årsagssammenhæng, og ingen egentlig bagatelgrænse.
Datatilsynet vurderer, at dommen får betydning for fremtidige sager, og at størrelsen altid fastsættes ud fra en samlet vurdering. Sagen angik en kommune. Dansk Erhverv mener, at læsningen af art. 82 er relevant for alle dataansvarlige, og peger på manuelle udleveringer som den særlige risiko. Det svarer til mailen til den forkerte modtager.
Det gør I, når bruddet er sket
Skriv bruddet i brudloggen med fakta, virkninger og det, I gjorde. Gem det, der viser, hvem der fik adgang til hvad. Hold kravet adskilt fra Datatilsynets sag, for kritik, påbud og anmeldelse er et andet spor. Når personerne skal have besked, står underretningen af de berørte særskilt. Kommer der et krav, så send det til advokat, før nogen svarer. Skyldes bruddet en leverandør, er aftalen og art. 82, stk. 5, det næste, I skal læse.
Vil I vide, om dokumentationen kan bære sådan en sag, kan det indgå i GDPR-gennemgangen.
Det skal I lade være med
· At afvise et krav, fordi Datatilsynet ikke har udtalt kritik. Sporene er adskilte.
· At regne med, at et brud uden kendt misbrug er uden risiko. Frygt kan tælle, når den er bevist.
· At undskylde med, at det var en ansats fejl. Det fritager ikke i sig selv.
Det skal I kræve af den eksterne
- ☐ Kontrol af, at risikovurdering og foranstaltninger er dokumenteret, før noget sker.
- ☐ Rådgivning om, hvad der skal i brudloggen og gemmes.
- ☐ Henvisning til advokat, så snart et krav bliver konkret.
- ☐ Gennemgang af ansvarsfordelingen i databehandleraftalerne.
Kilder
- Databeskyttelsesforordningen (EU) 2016/679: art. 82 og betragtning 146.
- Databeskyttelsesloven, LBK nr. 289 af 8/3 2024: § 40.
- C-300/21 af 4/5 2023.
- C-340/21 af 14/12 2023.
- C-456/22 af 14/12 2023.
- C-667/21 af 21/12 2023.
- C-687/21 af 25/1 2024.
- C-741/21 af 11/4 2024.
- C-590/22 af 20/6 2024.
- C-182/22 og C-189/22 af 20/6 2024.
- C-507/23 af 4/10 2024.
- C-655/23 af 4/9 2025.
- Datatilsynet: Højesteret tilkender godtgørelse for ulovlig videregivelse af personoplysninger: 24. august 2026, referat.
- Dansk Erhverv om Højesterets dom: 15. september 2026, referat.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Skal bruddet anmeldes? · Er det et brud på persondatasikkerheden?
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
