Hur mycket skadestånd kan du få efter en dataläcka?

Din skada avgör beloppet

Artikel 82 i GDPR ger dig rätt till ersättning för hela den skada du har lidit. GDPR anger inga belopp, utan varje medlemsstat bestämmer hur beloppet räknas ut (C-300/21). Två krav gäller i hela EU:

• Ersättningen ska vara full och effektiv. Den ska täcka hela din skada.
• Ersättningen ska motsvara din skada. Den bestäms efter vad du har drabbats av, inte efter hur allvarlig överträdelsen var (C-667/21).

EU-domstolen har preciserat kraven i flera senare domar:

• En dataläcka kan ge lika allvarlig skada som en kroppsskada (C-182/22 och C-189/22).
• Även en liten skada ger rätt till ersättning, med ett belopp som motsvarar skadan (C-182/22 och C-189/22).
• Domstolen får inte sänka ersättningen under din faktiska skada, hur företaget än har agerat (C-507/23).
• Hur mycket företaget kan lastas för läckan påverkar inte beloppet (C-667/21 och C-655/23), och inte heller hur många regler det har brutit mot (C-741/21).
• Reglerna för hur IMY bestämmer sanktionsavgifter gäller inte för skadeståndet (C-741/21 och C-590/22).

Svenska belopp: från 3 000 till 25 000 kronor

Den svenska referenspunkt som brukar nämnas är NJA 2013 s. 1046, där Högsta domstolen dömde ut 3 000 kronor och uttalade att kränkningar som inte är allvarliga bör ersättas med under 5 000 kronor. Avgörandet gäller den upphävda personuppgiftslagen och en avsiktlig publicering, inte en dataläcka, och ingen svensk domstol har ännu prövat beloppet efter en dataläcka enligt GDPR. Jag går igenom vad avgörandet säger på sidan om skadestånd enligt GDPR.

Justitiekanslern (JK) prövar krav mot staten och har betalat ut ersättning enligt artikel 82 i två fall som visar hur nivån stiger med känsliga uppgifter:

• 20 000 kronor till en kvinna med skyddade personuppgifter, sedan Försäkringskassan av misstag skickat hennes nya namn och personnummer till tidigare arbetsgivare (dnr 2023/4825). Hon fick dessutom 11 000 kronor för flyttkostnader, och hennes son fick 20 000 kronor.
• 25 000 kronor till en person vars känsliga hälsouppgifter offentliggjordes vid en förhandling i tingsrätten (dnr 2023/1025). Fallet gällde ett offentliggörande, inte ett dataintrång.

Belopp i andra EU-länder

Domstolar i andra EU-länder har prövat betydligt fler krav efter dataläckor. Tabellen visar väldokumenterade avgöranden där domen finns i domstolens egen databas.

Det tyska avgörandet om Facebook-scrapingen kommer från Tysklands högsta domstol för tvistemål. Bundesgerichtshof slog fast att redan en kort förlust av kontrollen över dina uppgifter är en ideell skada. Du behöver inte visa att uppgifterna har missbrukats eller att du har drabbats av andra kännbara följder. Domstolen godtog omkring 100 euro som ersättning för enbart kontrollförlusten och skickade tillbaka målet till hovrätten i Köln för att bestämma beloppet. Beloppet gäller alltså den som inte kan visa något mer än att uppgifterna kommit på avvägar.

I domarna ger en läcka utan andra följder några hundra euro. Beloppen stiger när uppgifterna är känsliga eller när den drabbade kan visa konkreta följder.

Det här höjer beloppet

Hälsouppgifter och andra känsliga uppgifter. GDPR pekar själv ut uppgifter om hälsa som särskilt skyddsvärda (skäl 75). Den Haag-målet gällde medicinska uppgifter om en person med allvarliga psykiska besvär, och Rotterdam-målet gällde journaluppgifter. I beslutet om hälsouppgifterna betalade JK ut 25 000 kronor.

Skyddade personuppgifter. Har du skyddad identitet kan en läcka få direkta följder för din säkerhet. JK:s beslut om Försäkringskassan visar att ersättningen då blir flera gånger högre än schablonbeloppet, och att kostnader som en flytt ersätts utöver kränkningen.

Barn. GDPR ger barns personuppgifter ett särskilt skydd, eftersom barn är mindre medvetna om riskerna (skäl 38). Domstolen ska bedöma skadan med hänsyn till den drabbade som person (C-340/21), och att den drabbade är ett barn talar för ett högre belopp.

Faktiskt missbruk. Har någon använt dina uppgifter, till exempel för bedrägerier eller för att ta över din identitet, är skadan större och lättare att visa. Ekonomisk förlust ersätts fullt ut som materiell skada, utöver ersättningen för oro och obehag. Du kan ändå ha rätt till ersättning även om uppgifterna inte har missbrukats (C-182/22 och C-189/22).

Välgrundad oro. Kan du visa att din oro för missbruk är befogad och hur den har påverkat dig, är oron en skada som ger rätt till ersättning (C-340/21 och C-590/22). Spara därför allt som visar hur läckan har påverkat dig.

Belopp i de svenska läckorna

Båda de stora svenska läckorna innehåller flera av de omständigheter som höjer beloppet:

• SportAdmin-läckan omfattade många barn och i vissa fall hälsorelaterade noteringar.
• Miljödata-läckan omfattade uppgifter om sjukfrånvaro, som IMY räknar som hälsouppgifter, och i viss omfattning skyddade personuppgifter.

Ingen domstol har ännu prövat beloppen för läckorna.

Du kan kräva ersättning utan egen kostnadsrisk

Du kan låta mig driva kravet åt dig. Jag erbjuder gratis rådgivning till den som drabbats av en dataläcka, arbetar mot provision, alltså en andel av ersättningen om du får någon, och står för alla rättegångskostnader, även motpartens om målet förloras. Du riskerar då inga egna pengar.

Driver du kravet själv gäller vanliga regler. Den som förlorar ett tvistemål ska i regel betala motpartens rättegångskostnader (18 kap. 1 § rättegångsbalken). Ett företags advokatkostnader kan snabbt bli högre än det skadestånd du kräver.

Ett krav på högst halva prisbasbeloppet, 29 600 kronor under 2026, handläggs som ett småmål (1 kap. 3 d § rättegångsbalken). I ett småmål är de kostnader du kan behöva ersätta begränsade till bland annat en timmes juridisk rådgivning per instans, ansökningsavgiften och resor (18 kap. 8 a § rättegångsbalken). De flesta krav efter en dataläcka ligger under gränsen, så risken är liten och går att räkna ut i förväg.