Østre Landsret havde tidligere fastsat godtgørelsen til 2.500 kr. Dommen er vigtig for virksomheder, fordi den giver ny vejledning om, hvornår et brud på GDPR kan udløse et økonomisk krav fra den registrerede.

Sagen vedrørte en kvinde og mand, som havde fået lækket oplysninger om 1) kvindens psykiske lidelse og 2) mandens økonomiske rådighedsbeløb, til mandens tidligere ægtefælle. Den tidligere ægtefælle fik adgang til oplysningerne igennem en aktindsigtsanmodning til Hillerød Kommune, hvor kommunen ved en fejl kom til at videregive oplysningerne til mandens tidligere ægtefælle.

Mandens tidligere ægtefælle anvendte efterfølgende helbredsoplysningen samt oplysningerne om mandens økonomiske forhold i en forældesamværssag ved Familieretshuset.

Østre Landsret fandt den 20. august 2025, at kvinden havde godtgjort, at hun havde lidt en immateriel skade. Landsretten lagde blandt andet vægt på oplysningens meget følsomme karakter og på, at modtageren havde anvendt oplysningen over for Familieretshuset. Godtgørelsen blev fastsat til 2.500 kr. Manden fik derimod ikke godtgørelse for videregivelsen af hans økonomiske forhold.

Afgørelsen
Højesteret anførte i sagen, at det var ubestridt, at videregivelsen af helbredsoplysningen var i strid med GDPR artikel 9, stk. 1, og at videregivelsen af mandens økonomiske oplysninger var i strid med artikel 6.

Højesteret fastslog desuden, at videregivelsen havde krænket både kvindens og mandens ret til privatliv efter Den Europæiske Menneskerettighedskonventions artikel 8.

Højesteret nåede frem til, at kommunens videregivelse af manden og kvindens oplysninger måtte anses for ansvarspådragende, da det var en klar fejl at videregive oplysningerne til mandens tidligere ægtefælle.

Højesteret fremhævede samtidig, at tre betingelser skal være opfyldt for tilkendelse af godtgørelse efter GDPR artikel 82: 1) der skal være sket en overtrædelse af GDPR, 2) den registrerede skal på baggrund af overtrædelsen have lidt en materiel eller immateriel skade, og 3) der skal være årsagssammenhæng mellem overtrædelsen og skaden.

Der gælder ikke en egentlig bagatelgrænse for skaden, men selve overtrædelsen er ikke nok til at tilkende godtgørelse efter artikel 82. Den registrerede skal godtgøre skaden og de negative konsekvenser forbundet med overtrædelsen af GDPR.  

For kvinden lagde Højesteret navnlig vægt på, at oplysningerne var af meget følsom og privat karakter, at de blev videregivet til en person, som hun befandt sig i et modsætningsforhold til, og at oplysningerne efterfølgende blev videregivet til Familieretshuset. Videregivelsen var efter sin karakter egnet til at påvirke kvindens selvfølelse og æresfølelse. Hun havde derfor godtgjort en skade efter GDPR artikel 82.

For kvinden var en konstatering af krænkelsen ikke tilstrækkelig kompensation, og hun blev efter en samlet vurdering tilkendt en godtgørelse på 30.000 kr.

Manden blev derimod ikke tildelt godtgørelse. Højesteret påpegede at kommunen havde overtrådt GDPR ved at videregive oplysninger om mandens nuværende ægtefælle samt om hans privatøkonomi. Højesteret fandt dog ikke, at han havde godtgjort en skade som følge af videregivelsen af oplysningerne, idet videregivelsen ikke var egnet til at påvirke hans ”selv- og æresfølelse”. Det understreger, at vurderingen af om overtrædelsen har påført den registrerede en skade fortsat er konkret for den enkelte registrerede.

Konsekvenser for virksomheder
Selvom sagen vedrørte en kommune, er Højesterets fortolkning af GDPR artikel 82 relevant for alle virksomheder, der er dataansvarlige. Dommen viser navnlig, at fejl ved fremsendelse eller videregivelse af personoplysninger kan få en økonomisk konsekvens ud over risikoen for bøder efter GDPR.

Virksomheder bør derfor have særligt fokus på situationer, hvor medarbejdere manuelt udleverer eller sender oplysninger til tredjemand. Risikoen er særlig, når oplysningerne omfatter helbred, fagforeningsforhold eller andre følsomme oplysninger, og når en fejlagtig modtager efter omstændighederne kan anvende oplysningerne til skade for den registrerede.

Dommen betyder ikke, at enhver menneskelig fejl udløser 30.000 kr. i godtgørelse. Tværtimod fastholder Højesteret kravet om, at den registrerede skal godtgøre en konkret skade. Men dommen viser, at når denne skade kan godtgøres, kan niveauet være en del højere end de 2.500 kr., som Østre Landsret nåede frem til.

Dansk Erhverv bemærker
Dansk Erhverv ser positivt på, at Højesterets dom bidrager til øget klarhed om virksomheders potentielle erstatningsansvar ved overtrædelser af GDPR. Det er afgørende, at reglerne anvendes forudsigeligt, og at godtgørelse fortsat fastsættes på baggrund af en konkret vurdering af den skade, som den registrerede faktisk har lidt.

Selv om Datatilsynet fremhæver, at Højesteret har forhøjet godtgørelsesbeløbet markant, er det Dansk Erhvervs vurdering, at Højesteret fortsat anlægger en relativt tilbageholdende linje ved fastsættelsen af godtgørelsesniveauet.

Dansk Erhverv følger retsudviklingen tæt. Det bliver navnlig interessant at se, hvordan dommen fremover anvendes i sager mod private virksomheder, og hvordan godtgørelsesniveauet udvikler sig i dansk praksis.