Gladsaxe Kommune kom i byretten for GDPR overtrædelse

GDPR overtrædelse i Gladsaxe Kommune 

I 2018 blev fire arbejdscomputere stjålet fra rådhuset i Gladsaxe Kommune. På en af computerne var der lagret et regneark med personoplysninger på 20.620 borgere. Arbejdscomputeren var sikret med brugernavn og adgangskode, men yderligere sikkerhedsforanstaltninger var ikke iagttaget, hvilket var en GDPR-overtrædelse af kommunens egen sikkerhedspolitik. Syv borgere lagde efterfølgende sag an mod kommunen, der var den dataansvarlige, med krav om erstatning på grund af overtrædelsen. Byretten kom i sagen frem til, at Gladsaxe Kommune ikke havde overholdt reglerne om behandlingssikkerhed i GDPR. Spørgsmålet var herefter, om borgerne havde krav på ikke-økonomisk erstatning efter GDPR-artikel 82.

GDPR-artikel 82

Det fremgår af artikel 82, at enhver, der har lidt materiel eller immateriel skade på grund af en GDPR-overtrædelse, har ret til erstatning for den skete skade.

Rettens afgørelse om erstatning for GDPR overtrædelse

Retten i Glostrup kom i sagen frem til, at artikel 82 også omfatter erstatning for ikke-økonomisk skade. På trods af dette, blev der ikke udbetalt erstatning i den konkrete sag. Dette var på baggrund af en samlet vurdering af sikkerhedsbruddet, arten og karakteren af oplysningerne.

Hvad viser dommen 

Dommen viser, at selvom en registreret ikke har lidt økonomisk skade i forbindelse med en overtrædelse af GDPR, så er det efter en konkret vurdering muligt at blive tilkendt erstatning. Afgørelsen er principiel, da hverken de danske domstole eller EU-domstolen før har taget stilling til, om artikel 82 i GDPR giver adgang til erstatning for ikke-økonomisk skade.

Hvad skal du som arbejdsgiver være opmærksom på for at undgå GDPR overtrædelser?

Som arbejdsgiver vil du ofte være dataansvarlig for behandling af en række personoplysninger, hvorfor du ligeledes vil være ansvarlig for tilstrækkelige sikkerhedsforanstaltninger til beskyttelse af oplysningerne.
Dette betyder, at du kan ifalde et erstatningsansvar, hvis personoplysningerne ikke bliver behandlet i overensstemmelse med GDPR. Den ovenstående principielle afgørelse betyder, at du som arbejdsgiver skal være endnu mere opmærksom på, at tilstrækkelige sikkerhedsforanstaltninger er foretaget og at behandlingen i øvrigt lever op til kravene i GDPR.

Står du og mangler hjælp til en konkret sag eller har du spørgsmål til, hvordan din virksomhed bliver complient eller andet, så kontakt Raadgiver.dk for en uforpligtende samtale.

Få mere viden om GDPR her.