Erstatning til de berørte efter et databrud (artikel 82)
Ud over Datatilsynets bøder kan de berørte selv kræve godtgørelse efter GDPR artikel 82. Højesteret 12-doblede i august 2026 godtgørelsen i en dansk databrudssag, og det ændrer regnestykket: Mange berørte med hver sit krav kan hurtigt overstige en bøde.
To forskellige risici: bøde og erstatning
Når man taler om konsekvenserne af et databrud, tænker de fleste på Datatilsynets bøder. Men der findes et andet spor, som rammer direkte på bundlinjen:
- Bøde (art. 83): Pålægges af myndigheden, tilfalder statskassen, kræver politianmeldelse og domstolsbehandling i Danmark.
- Erstatning/godtgørelse (art. 82): Kræves af de berørte selv ved domstolene og tilfalder dem direkte. Antallet af berørte ganger beløbet.
Hvad kræver artikel 82?
For at få medhold skal den berørte kunne påvise tre ting:
- En overtrædelse af GDPR – fx manglende sikkerhed efter art. 32 eller manglende underretning efter art. 34.
- En skade – materiel (økonomisk tab) eller immateriel (tab af kontrol, frygt for misbrug, ubehag).
- Årsagssammenhæng mellem overtrædelsen og skaden.
Den dataansvarlige kan fritages, hvis vedkommende kan bevise, at den ikke på nogen måde er ansvarlig for den begivenhed, der medførte skaden (art. 82, stk. 3). Det er en høj barre.
Højesterets dom fra august 2026
Højesteret 12-doblede i august 2026 den godtgørelse, landsretten havde tilkendt i en dansk databrudssag. Dommen er vigtig af to grunde:
- Den hæver niveauet for immateriel godtgørelse i Danmark markant.
- Den gør gruppesøgsmål realistiske: Når beløbet pr. person stiger, bliver det økonomisk attraktivt at samle mange krav i én sag.
Sådan begrænser I risikoen
- Reagér hurtigt og inddæm: Jo kortere eksponering, jo mindre skade.
- Underret ærligt ved høj risiko: En tidlig, konkret underretning med handlingsanvisninger reducerer de berørtes skade – og dermed kravet.
- Hjælp de berørte: Tilbyd konkret hjælp (spærring, overvågning, kontaktperson) i stedet for en generisk undskyldning.
- Dokumentér alt: Tidslinje, risikovurdering, beslutninger og foranstaltninger. Det er dét, der afgør, om I fremstår ansvarlige.
- Hav sikkerheden på plads på forhånd: Kryptering, adgangsstyring og databehandleraftaler er billigere end en erstatningssag.
Ofte stillede spørgsmål
Kan man få erstatning for et databrud i Danmark?
Ja. GDPR artikel 82 giver enhver, der har lidt materiel eller immateriel skade som følge af en overtrædelse, ret til erstatning fra den dataansvarlige eller databehandleren. Immateriel skade dækker fx tab af kontrol over sine oplysninger, frygt for misbrug og ubehag.
Skal man kunne bevise et økonomisk tab?
Nej. EU-Domstolen har fastslået, at også immateriel skade giver ret til erstatning, men at der skal være en konkret skade – ikke blot en overtrædelse i sig selv. Den berørte skal altså kunne beskrive, hvordan bruddet påvirkede vedkommende.
Hvor store beløb taler vi om?
Danske godtgørelser har historisk været beskedne, men Højesteret hævede niveauet markant i august 2026. Beløbet pr. person kan stadig være begrænset – risikoen ligger i antallet: Et brud med tusindvis af berørte kan give et samlet krav langt over en typisk bøde.
Hvordan begrænser vi risikoen?
Ved at reagere hurtigt, underrette de berørte ærligt og konkret, hjælpe dem med at begrænse skaden og dokumentere hele forløbet. En virksomhed, der har handlet ansvarligt og gennemsigtigt, står væsentligt stærkere både over for Datatilsynet og i en erstatningssag.
Dokumentation er dit bedste forsvar
GDPRdesk dokumenterer din risikovurdering, dine beslutninger og dine foranstaltninger – så du kan vise, at I handlede ansvarligt.
Prøv GDPRdesk gratis