Skadestånd enligt GDPR vid dataläcka

Vad ger GDPR dig rätt till?

Rätten till ersättning står i artikel 82.1 i dataskyddsförordningen:

Varje person som har lidit materiell eller immateriell skada till följd av en överträdelse av denna förordning ska ha rätt till ersättning från den personuppgiftsansvarige eller personuppgiftsbiträdet för den uppkomna skadan.

Två saker är värda att notera i ordalydelsen. För det första omfattar rätten både materiell skada, alltså ekonomisk förlust, och immateriell skada — det som i svensk rätt brukar kallas ideell skada. Obehag och oro kan alltså ersättas, inte bara pengar du har blivit av med.

För det andra riktar sig kravet mot den personuppgiftsansvarige, det vill säga den organisation som bestämmer varför och hur uppgifterna behandlas. Ett personuppgiftsbiträde, som behandlar uppgifter på någon annans uppdrag, ansvarar bara i två fall: om biträdet inte har följt de skyldigheter som riktar sig särskilt till biträden, eller om det har agerat utanför eller i strid med den ansvariges instruktioner.

Har flera organisationer medverkat vid samma behandling kan var och en av dem hållas ansvarig för hela skadan. Du behöver alltså inte reda ut vem som bär vilken del av ansvaret innan du kan kräva ersättning.

Du måste visa överträdelse, skada och samband

EU-domstolen prövade artikel 82 i målet C-300/21 och slog fast att tre villkor måste vara uppfyllda samtidigt:

1. Någon har brutit mot GDPR.
2. Du har lidit en skada — ekonomisk eller ideell.
3. Skadan beror på överträdelsen.

Domstolen var tydlig med att en överträdelse inte räcker i sig. GDPR har alltså inget straffskadestånd, det vill säga ersättning som döms ut för att bestraffa den som brutit mot reglerna. Att ett företag har brustit i säkerheten ger därför inte i sig alla registrerade pengar.

Det finns ingen bagatellgräns

Samtidigt underkände domstolen i samma mål nationella regler som kräver att den ideella skadan ska ha nått upp till en viss allvarlighetsgrad. Något krav på att skadan ska vara särskilt kännbar finns alltså inte, och en domstol får inte avvisa ett krav enbart för att skadan framstår som liten.

De två beskeden hänger ihop: det finns ingen undre gräns för hur allvarlig skadan måste vara, men du måste fortfarande visa att de negativa konsekvenserna för dig faktiskt utgör en skada. Domstolen påpekade det uttryckligen.

Oro kan räcka som skada om den är välgrundad

Efter en dataläcka är oron ofta den avgörande frågan, eftersom något konkret missbruk sällan har hunnit inträffa. I målet C-340/21 slog EU-domstolen fast att den fruktan en person känner för att uppgifterna ska missbrukas av någon annan i sig kan utgöra ideell skada. Målet gällde ett dataintrång hos bulgariska skattemyndigheten, där uppgifter om över sex miljoner personer offentliggjordes.

Rätten är dock inte automatisk. Domstolen ska pröva om oron kan anses välgrundad med hänsyn till omständigheterna i det enskilda fallet och till dig som person. Vilka uppgifter som läckte, hur spridda de blev och hur känsliga de är i just din situation spelar alltså roll.

Företaget måste bevisa att säkerheten höll

Bevisbördan är delad, och i ett viktigt avseende gynnar den dig. I samma mål slog domstolen fast att det är den personuppgiftsansvarige som ska visa att säkerhetsåtgärderna var lämpliga enligt artikel 32.

Domstolen preciserade två saker. Att uppgifter har läckt bevisar inte i sig att åtgärderna var otillräckliga, eftersom en läcka kan inträffa trots fullgott skydd. Den som vill slippa ansvar helt måste enligt artikel 82.3 visa att den inte på något sätt är ansvarig för händelsen. Att en utomstående gjorde intrånget räcker alltså inte som ursäkt.

Du behöver däremot fortfarande visa din egen skada och sambandet mellan överträdelsen och skadan. Bevisbördan är inte omvänd i den delen.

IMY:s sanktionsavgift ger dig inga pengar

Många blandar ihop tillsyn och skadestånd. Det är två skilda spår.

Integritetsskyddsmyndigheten (IMY) utövar tillsyn och kan besluta om sanktionsavgift. En sådan avgift tillfaller staten enligt 6 kap. 5 § dataskyddslagen och betalas till Kammarkollegiet. Ingen del av den går till de drabbade. Ett klagomål till IMY leder alltså aldrig till ersättning för dig, och IMY skriver själv att myndigheten inte kan hjälpa dig att begära skadestånd.

Skadestånd är i stället en fråga mellan dig och den personuppgiftsansvarige. Du kan kräva ersättning direkt av organisationen, eller stämma den i tingsrätten. Har staten behandlat dina uppgifter i strid med GDPR kan du vända dig till Justitiekanslern.

Att IMY har konstaterat brister betyder alltså inte att pengar är på väg till dig. Beslutet kan däremot ha betydelse som underlag, eftersom en myndighet då redan har utrett vad som hänt.

Hur höga blir beloppen?

Ingen vet säkert. GDPR anger inga belopp, och EU-domstolen har överlämnat till varje medlemsstat att bestämma ersättningens storlek, så länge ersättningen blir full och effektiv. Domstolen har också slagit fast att ersättningen ska kompensera dig, inte bestraffa företaget. Hur allvarlig överträdelsen är påverkar alltså inte beloppet i sig.

Den svenska praxis som brukar nämnas är NJA 2013 s. 1046. Där bestämde Högsta domstolen ersättningen till ett schablonbelopp på 3 000 kronor och uttalade att nivån vid kränkningar som inte är allvarliga bör ligga under 5 000 kronor. Läs avgörandet med tre förbehåll:

• Det gäller personuppgiftslagen, som upphävdes 2018, inte GDPR.
• Det gäller en avsiktlig publicering av en dom med namn och adress, inte en dataläcka. Domstolen prövade inga frågor om säkerhetsåtgärder.
• Det bygger på en gradering av hur allvarlig kränkningen är, ett tröskeltänkande som ligger nära det EU-domstolen senare har underkänt.

Avgörandet visar därför främst att svenska domstolar historiskt har dömt ut låga belopp vid integritetskränkningar. Det går inte att använda som en prislista för vad en dataläcka är värd enligt GDPR. Den frågan är fortfarande oprövad i svensk domstol.

Så kräver du ersättning

1. Dokumentera. Spara beskedet du fick om läckan, datum och allt som tyder på att uppgifterna har missbrukats.
2. Kontakta den personuppgiftsansvarige och begär ersättning. Många krav går att lösa utan domstol.
3. Stäm i tingsrätten om ni inte kommer överens. Skadestånd enligt artikel 82 prövas som ett tvistemål i allmän domstol, alltså tingsrätt i första instans.

Tänk på att ett klagomål till IMY är något annat. Det kan leda till tillsyn, men aldrig till ersättning för dig.