Højesteret firdobler erstatning i databrudssag: Nu kan det blive dyrt at rode med borgeres data

Det bliver dyrere at klumre i det, når man håndterer danskernes personoplysninger. Det står klart efter en ny afgørelse fra Højesteret, som mandag den 27. august sendte et klokkeklart signal om, at erstatningerne for databrud i Danmark fremover skal ligge markant højere end det, vi hidtil har set i praksis.

Sagen udspringer af en fejl hos Hillerød Kommune, der ved et uheld delte følsomme personoplysninger om en kvinde med uvedkommende. Kvinden, der blev repræsenteret af advokat Tyge Trier, krævede erstatning for den krænkelse, som kommunens fejl havde påført hende. Sammen med hende krævede også en mand godtgørelse i en tilsvarende sag.

Landsretten havde tidligere vurderet, at 2.500 kroner var en passende godtgørelse for krænkelsen. Den vurdering er Højesteret markant uenig i. I stedet er beløbet skruet op til 30.000 kroner - en tolvdobling af den oprindelige erstatning.

Et signal til hele det offentlige Danmark

Det er ikke bare tallet i sig selv, der gør afgørelsen interessant. Det er den præcedens, som Højesteret hermed sætter for alle fremtidige GDPR-sager herhjemme. Når landets øverste domstol vurderer, at et enkelt databrud er godtgørelsen 30.000 kroner værd, ændrer det fundamentalt på risikobilledet for alle organisationer, der håndterer personoplysninger - fra kommuner og regioner til private virksomheder med kundedata liggende i deres systemer.

Indtil nu har mange danske organisationer kunnet regne GDPR-bøder og erstatningskrav som en overkommelig, næsten symbolsk udgift, hvis uheldet skulle være ude. Med Højesterets afgørelse i baglommen bliver regnestykket markant anderledes. En tolvdobling af erstatningsniveauet betyder, at selv relativt små databrud, hvor få personers oplysninger er involveret, nu kan udløse betydelige erstatningskrav, hvis sagen ender i retten.

Hvorfor det rammer alle, der arbejder med it-sikkerhed

For it-ansvarlige og sikkerhedsfolk i danske virksomheder og myndigheder er dommen en øjenåbner. Det er ikke længere nok at have styr på GDPR-compliance på papiret - konsekvenserne af et reelt databrud er nu langt mere håndgribelige og dyre. Adgangsstyring, kryptering og korrekte procedurer for håndtering af følsomme data er ikke bare god praksis - det er nu en forsikring mod erstatningskrav, der kan løbe op i betragtelige summer, hvis der er tale om mange berørte personer.

Sagen føjer sig til en stigende tendens i både Danmark og resten af EU, hvor domstole og datatilsyn i stigende grad tager databrud alvorligt og udmåler erstatninger, der reelt afspejler den krænkelse, borgere oplever, når deres data havner de forkerte steder. Det er en udvikling, alle med ansvar for persondata i deres organisation bør have skarpt fokus på fremover.