En kommune videregav ved en fejl oplysninger om en kvindes psykiske helbred til en person, som kvinden befandt sig i et konfliktforhold til. Højesteret har nu tilkendt kvinden 30.000 kr. i godtgørelse og samtidig – med henvisning til EU‑Domstolens praksis – præciseret skadebegrebet og beviskravet for immateriel skade.
Dommen er relevant for både offentlige myndigheder og private virksomheder. Den viser, at en enkelt fejlagtig udlevering kan få betydelige konsekvenser, særligt når der er tale om følsomme personoplysninger.
Hvad handlede sagen om?
Sagen udsprang af en anmodning om aktindsigt til Hillerød Kommune. Kommunen havde ved en fejl videregivet oplysninger om en kvindes psykiske helbred.
Oplysningerne blev sendt til ægtefællens tidligere ægtefælle, som kvinden var i et modsætningsforhold til. Modtageren videregav efterfølgende oplysningen om kvindens psykiske helbred til Familieretshuset. Kommunen havde samtidig videregivet oplysninger om ægtefællens privatøkonomi (månedlige rådighedsbeløb). Også denne videregivelse var ulovlig. Højesteret fandt, at kommunen herved havde krænket både kvindens og ægtefællens ret til privatliv efter EMRK artikel 8, men ikke, at ægtefællen havde godtgjort en immateriel skade, der gav ret til godtgørelse – i modsætning til kvinden.
Højesteret fandt, at videregivelserne var ansvarspådragende for kommunen, idet det var en klar fejl, i at oplysningerne blev videregivet i strid med GDPR.
Hvornår giver et GDPR-brud ret til godtgørelse?
Et brud på GDPR giver ikke i sig selv ret til godtgørelse. Den berørte person skal godtgøre, at der foreligger en overtrædelse, at personen har lidt en materiel eller immateriel skade, og at skaden skyldes overtrædelsen.
Det følger af GDPR artikel 82, stk. 1, og databeskyttelseslovens § 40, som henviser til artikel 82. Efter artikel 82, stk. 2, hæfter den dataansvarlige for skader, der er forvoldt af behandling i strid med forordningen, mens artikel 82, stk. 3, giver mulighed for fritagelse, hvis den dataansvarlige beviser, at vedkommende ikke er skyld i den begivenhed, der medførte skaden. Højesteret fandt, at kommunen havde handlet ansvarspådragende, og at der var tale om en klar fejl, hvorfor kommunen ikke kunne fritages for ansvar.
Der gælder ikke en minimumstærskel for, hvor alvorlig skaden skal være. Det er imidlertid ikke tilstrækkeligt, at databeskyttelsesreglerne er overtrådt. Den berørte skal også godtgøre, at overtrædelsen faktisk har medført en skade.
Hvad er en immateriel skade?
I GDPR‑sammenhæng anvendes “immateriel skade” som betegnelse for ikke‑økonomisk skade – typisk psykisk ubehag, frygt, tab af kontrol eller omdømmekrænkelse. Begrebet er ikke fuldstændig sammenfaldende med den civilretlige sondring mellem materiel og immateriel skade, men EU‑Domstolen og Højesteret anvender det her som udtryk for ikke‑økonomisk skade.
En immateriel skade kan således blandt andet bestå i frygt, tab af kontrol over egne personoplysninger eller skade på omdømmet. Det afgørende er, at den berørte kan godtgøre, at overtrædelsen faktisk har medført en sådan negativ påvirkning. Selvom der ikke gælder nogen minimumstærskel for skadens alvor, er selve overtrædelsen af GDPR ikke tilstrækkelig til at udløse godtgørelse.
Højesteret understregede samtidig – i forlængelse af EU-Domstolens praksis – at frygt for fremtidigt misbrug af personoplysninger kan udgøre en immateriel skade. Det forudsætter imidlertid, at frygten kan anses for velbegrundet under de konkrete omstændigheder, og at den berørte kan godtgøre de negative konsekvenser heraf. En rent abstrakt frygt er derfor ikke tilstrækkelig.
Hvorfor fik kvinden 30.000 kr.?
Højesteret lagde navnlig vægt på fire forhold:
- Der var tale om meget følsomme og private oplysninger om en alvorlig psykisk lidelse.
- Oplysningerne blev videregivet til en person, som kvinden befandt sig i et modsætningsforhold til.
- Videregivelsen var efter sin karakter egnet til at påvirke kvindens selv- og æresfølelse.
- Modtageren videregav efterfølgende oplysningerne til Familieretshuset.
Højesteret fandt desuden, at videregivelsen var et ulovligt indgreb i hendes ret til privatliv efter Den Europæiske Menneskerettighedskonventions artikel 8.
Højesteret fastsatte godtgørelsen efter GDPR artikel 82 og databeskyttelseslovens § 40 samt efter princippet i erstatningsansvarslovens § 26 sammenholdt med Menneskerettighedskonventionens artikel 13. Ved udmålingen inddrog Højesteret desuden artikel 41 i Menneskerettighedskonventionen og Den Europæiske Menneskerettighedsdomstols praksis. Godtgørelsen blev efter en samlet vurdering fastsat til 30.000 kr.
Du kan også læse om: Datatilsynes fokusområder 2026
Er 30.000 kr. en ny fast takst for GDPR-brud?
Nej.
Højesterets beløb er markant højere end de 2.500 kr., som Østre Landsret havde tilkendt kvinden i samme sag. Dommen er derfor væsentlig for niveauet for godtgørelse, men de 30.000 kr. er ikke en standardtakst ved ulovlig videregivelse af helbredsoplysninger.
Beløbet blev fastsat efter en samlet vurdering af blandt andet:
Datatilsynet vurderer, at dommen vil få betydning for fremtidige sager om godtgørelse for immateriel skade. Tilsynet understreger samtidig, at godtgørelsens størrelse altid skal fastsættes på baggrund af omstændighederne i den enkelte sag.
Beløbet er desuden en godtgørelse til den berørte person – ikke en administrativ GDPR-bøde. Det er domstolene og ikke Datatilsynet, der afgør krav om erstatning og godtgørelse efter databeskyttelsesreglerne.
Hvad betyder dommen for virksomheder?
GDPR og reglerne om erstatning gælder både den private sektor og størstedelen af den offentlige sektor. For private virksomheder er det derfor navnlig Højesterets præcisering af skadebegrebet og beviskravet efter GDPR-artikel 82, der er umiddelbart relevant.
Dommen viser samtidig, at risikoen ikke nødvendigvis afhænger af, hvor mange oplysninger der bliver videregivet. En enkelt oplysning om eksempelvis psykisk sygdom kan være særdeles indgribende, hvis den sendes til den forkerte modtager eller anvendes i en konflikt.
For virksomheder understreger dommen derfor betydningen af procedurer, der forebygger fejlagtig udlevering – eksempelvis kontrol af modtageren, systematisk gennemgang og eventuel overstregning af oplysninger inden udlevering samt skærpet kontrol, når materialet indeholder helbredsoplysninger eller andre følsomme personoplysninger.
Læs Højesterets dom af d. 24. august 2026
Vores bemærkninger
Dommens måske vigtigste pointe er sondringen mellem selve GDPR-overtrædelsen og den skade, som overtrædelsen medfører. Højesteret fandt, at kommunen havde handlet ansvarspådragende over for både kvinden og hendes ægtefælle, og at begges ret til privatliv efter EMRK artikel 8 var krænket. Alligevel var det kun kvinden, der fik godtgørelse, fordi det alene for hendes vedkommende var godtgjort, at videregivelsen havde medført en skade.
For virksomheder betyder det på den ene side, at et GDPR-brud ikke automatisk udløser et godtgørelseskrav. På den anden side viser dommen, at godtgørelsen kan blive mærkbar, selv om der alene er tale om en enkeltstående fejlagtig videregivelse, når oplysningerne er meget følsomme og omstændighederne omkring videregivelsen er særligt belastende.
Har jeres virksomhed styr på procedurerne for dataudlevering?
Hos WTC advokaterne rådgiver vi virksomheder om blandt andet interne og eksterne datapolitikker, procedurer og kontroller, databehandleraftaler samt undervisning af medarbejdere.
Vi kan også hjælpe med at vurdere et konkret godtgørelseskrav, sikre den nødvendige dokumentation og lægge en pragmatisk strategi, hvis sagen udvikler sig til en tvist eller retssag. WTC advokaterne har omfattende erfaring med retssager, herunder sager ved de overordnede domstole.
Kontakt os, hvis I ønsker en gennemgang af virksomhedens procedurer
Har du spørgsmål?
Hvis du har brug for hjælp, er du naturligvis velkommen til at kontakte os.
Kontakt en ekspert på området
Gabriel L. Martiny
Advokat (H) | Partner
