Den nye persondataforordning, som finder anvendelse fra den 25. maj 2018, indebærer mulighed for enormt store bøder for virksomheder i tilfælde af brud på reglerne. Virksomheder og offentlige myndigheder bør imidlertid også være opmærksomme på, at overtrædelse af persondatalovens regler allerede i dag – ud over bøder og andre sanktioner – kan udløse tortgodtgørelse på typisk kr. 25.000 til de registrerede – og at denne mulighed også består fremadrettet, muligvis i udvidet form. Og der synes at være stigende fokus på denne mulighed.
Tortgodtgørelse
Erstatningsansvarslovens § 26, stk. 1, fastslår, at en person, der har fået sin frihed, fred, ære eller person krænket på retsstridig vis, har ret til tortgodtgørelse herfor fra den ansvarlige. Tortgodtgørelse er ikke betinget af, at der er lidt et beviseligt tab. Bestemmelsen har i dansk praksis vedrørende overtrædelser af persondataloven været anvendt som et supplement til persondatalovens § 69 om erstatning. Det skyldes, at sidstnævnte bestemmelse kun omfatter erstatning for målbare tab. En registreret person behøver derimod ikke i henhold til erstatningsansvarslovens § 26 at bevise, at en uberettiget behandling af personoplysninger har medført en økonomisk skade for personen. Retten til godtgørelse er dog betinget af, at den skete krænkelse er retsstridig, dvs. der skal være lidt en "tort". Det betyder, at krænkelsen skal være culpøs og af en vis grovhed. Det er således ikke enhver overtrædelse af persondatareglerne, der kan begrunde godtgørelse efter erstatningsansvarslovens § 26.
Dansk praksis
Dansk retspraksis om tortgodtgørelse på baggrund af overtrædelse af persondatareglerne er forholdsvis sparsom – men der er dog det seneste lille års tid blevet afsagt mindst tre landsretsdomme herom (hvoraf mindst to er anket til Højesteret). Dette kan måske ses som udtryk for stigende fokus på muligheden for at opnå tortgodtgørelse ved krænkelse af persondataloven.
I den hidtil eneste og ledende Højesteretsdom, refereret i UfR 2011.2343 H, tilkendte Højesteret en tidligere ansat i en kommune tortgodtgørelse på 25.000 kr., fordi kommunen havde videregivet oplysninger til en potentiel ny arbejdsgiver om, at den tidligere ansatte var mistænkt for alkoholmisbrug. Det var i den forbindelse afgørende, at den ansatte flere gange havde bestridt mistanken og havde anmodet om, at rygtet ikke blev spredt yderligere. I vurderingen af, om der foreligger en æreskrænkelse, har det således særlig betydning, om personoplysningernes rigtighed er bestridt, men oplysningerne alligevel er videregivet – eller om videregivelse er sket i god tro.
Persondataforordningen
Den nye persondataforordning indeholder en ny selvstændig regel om erstatning i artikel 82. Bestemmelsen pålægger såvel dataansvarlige som databehandlere erstatningsansvar for både materielle og immaterielle skader. Det må formentlig forstås sådan, at forordningen regulerer både erstatning for dokumenterbare tab og godtgørelse for ikke-målelige tab. Muligheden for at opnå godtgørelse ved brud på persondataforordningen vil dermed i Danmark som udgangspunkt være dobbeltreguleret – nemlig både i persondataforordningens artikel 82 og i erstatningsansvarslovens § 26.
Det fremgår ikke af ordlyden af persondataforordningens artikel 82, om "immateriel skade" forudsætter en kvalificeret krænkelse, dvs. en krænkelse af en vis grovhed som efter erstatningsansvarslovens § 26, eller om der kan tilkendes godtgørelse i videre omfang end efter sidstnævnte regel. Det er et spørgsmål, der først kan besvares, når der foreligger praksis om forordningen.