Brudd på personopplysningsloven § 30 - Avgjørelse om utmåling av oppreisningserstatning

Hva handlet saken om, og hva ble resultatet?

Saken dreide seg om en e-post med sensitive opplysninger om en elev, som ved et uhell ble vist på storskjerm i klasserommet. Partene i saken, eleven ved sine foresatte og kommunen, var enige om at vilkårene for å tilkjenne oppreisningserstatning var oppfylt. Dette fordi det hadde oppstått en ikke-materiell skade, som følge av at det forelå brudd på personopplysningsloven og personvernforordningen.

I motsetning til NAV saken (LB-2022-46509) hvor spørsmålet var hvorvidt vilkårene for erstatning var til stede, var sakens (TROG-2023-81694) kjerne i dette tilfelle utmåling av summen på oppreisningserstatningen. Retten kom i denne saken frem til at kommunen skulle betale oppreisningserstatning på 90 000 kroner til eleven. 

Partenes påstander og forslag til erstatningsutmåling

Saksøker, eleven ved sine foresatte, la ned påstand om oppreisningserstatning på mellom 150-250 000 kroner, på bakgrunn av det de mente var en grov krenkelse av elevens personvern. Saksøker mente læreren hadde utvist grov skyld, at konsekvensene av bruddet hadde vært store, og at det var brutt lovpålagt taushetsplikt. De mente også at oppreisningserstatningen måtte være høy for å gi betalingen et pønalt preg. 

Saksøkte, kommunen, la ned påstand om at oppreisningserstatningen burde begrenses oppad til 30 000 kr. Kommunen mente at det måtte vektlegges at opplysningene kun hadde blitt delt med en avgrenset gruppe i få sekunder, og at episoden bar preg av å være en forglemmelse. Med andre ord at det ikke var et tilfelle av grov skyld eller uaktsomhet. Til støtte for sine påstander la kommunen frem både norsk og internasjonal rettspraksis, som viste at oppreisningserstatning for brudd på personvernlovgivningen har blitt holdt på et nøkternt nivå. 

Rettens vurdering av saken

I sin vurdering av saken la retten innledningsvis til grunn at vilkårene for oppreisningserstatning etter personopplysningsloven var oppfylt. Det var sannsynliggjort at hendelsen i klasserommet utgjorde et brudd på personvernet til eleven, at eleven hadde lidd skade ved deling av opplysningene, samt at det var årsakssammenheng mellom skaden og bruddet på taushetsplikten.

Det rettslige utgangspunktet for vurderingen av utmålingen:

I vurderingen vises det først til personopplysningsloven § 30, som sier at det skal utmåles en oppreisningserstatning som «synes rimelig». Tingretten viser så til forarbeidene til bestemmelsen (prop. 56 LS (2017–2018), punkt 38.1) hvor faktorer i rimelighetsvurderingen er «krenkelsens grovhet, utvist skyld, den behandlingsansvarliges økonomi og hvilke andre sanksjoner som rettes mot den behandlingsansvarlige». Videre blir personvernforordningen og dens betydning påpekt, hvor det følger av fortalen til forordningen at den som har lidt en skade, bør få «full og effektiv erstatning for den skade de har lidd». Retten går så inn i en strukturert vurdering av faktorene fra forarbeidene. 

• Ved vurderingen av krenkelsens grovhet, la retten vekt på at de aktuelle personopplysningene var av en særlig kategori og at eleven opplevde delingen av opplysningene som et tillitsbrudd. Retten la spesielt vekt på at opplysningene omhandlet et barn, som etter fortalen til personvernforordningen skal ha et særlig vern, og uttaler at «objektivt sett var krenkelsen derfor alvorlig».
• Når det gjaldt graden av skyld, fremhevet retten at den aktuelle læreren var uaktsom da personopplysningene ble spredt i klassen. Retten fant imidlertid at verken læreren eller kommunen hadde utvist grov uaktsomhet i saken, da det var snakk om et uhell.
• Ved vurderingen av økonomi og andre sanksjoner mot den behandlingsansvarlige, sa retten seg enig med saksøker om at det er relevant å vektlegge pønale hensyn generelt, men påpekte at når saksøkte var et offentlig organ, vil ikke et høyt oppreisningsbeløp nødvendigvis være det som har størst preventiv effekt. Spesielt siden det hadde blitt konstatert brudd på personvern både av Statsforvalteren og Datatilsynet, og kommunen i ettertid av hendelsen har gjort rutineendringer på eget initiativ for å hindre at det skal gjenta seg.
• Videre fremhevet retten at det pønale hensynet veier mindre når den som har begått bruddet, i dette tilfelle kommunen, ikke hadde noen egeninteresse i eller fordel av hendelsen. Retten vurderte dermed at en spesielt høy oppreisningserstatning verken vil ha ønsket preventiv eller pønal effekt, blant annet fordi erstatningsbetaler var et offentlig organ. 

Rettspraksis tilknyttet personopplysningsloven § 30, tidligere lovgivning og skadeserstatningsloven § 3-6 ble også tatt inn i rettens vurdering. Retten påpekte at i alle nevnte dommer, bortsett fra én avgjørelse, har oppreisningserstatning blitt satt til mellom 20-50 000 kroner. Til tross for at ingen av sakene ikke var direkte sammenlignbare, ble Rt. 2006 s. 799 veiledende for utmålingen. I den saken ble oppreisningserstatningen satt til kr. 50 000, som tilsvarer om lag 77 000 kroner i dag. 

Rettens konklusjon

Basert på det overnevnte kom retten til at en rimelig oppreisningserstatning var på kr. 90 000. Dette basert på at krenkelsen måtte anses som grov, særlig fordi det var snakk om personopplysninger om et barn. Retten uttaler at det må forventes at denne typen opplysninger ivaretas på en trygg måte, særlig da eleven i liten eller ingen grad hadde mulighet til å motvirke eller hindre spredningen. Det blir vektlagt at 30 000 kroner, som var tilbudt av kommunen, var «vesentlig for lavt» - samtidig som at det ikke ble funnet støtte i rettskildene til å gå opp til saksøkers påstand på mellom 150-250 000 kroner. 

Dommens betydning - hva forteller denne saken oss?

Avgjørelsen i denne saken understreker viktigheten å reagere på brudd på taushetsplikt og personvern, spesielt i relasjon til barn. Dommen viser at utmålingen må være på et nivå som oppfattes som strengt, særlig der det er klare brudd på formålene personopplysningsloven skal ivareta. Dommen har også en annen side, hvor den sier noe om oppreisningserstatning i tilfeller hvor det er det offentlige som krenker personvernet til borgere. Retten virker å legge til grunn at høye erstatningssummer ikke vil ha samme preventive effekt for offentlige organer, som hos eksempelvis private aktører eller privatpersoner. 

Dommen er rettskraftig. Etter alminnelig rettskildelære har en tingrettsdom begrenset rettskildemessig vekt. Den kan likevel være illustrerende for hvordan oppreisningserstatning skal utmåles. Dette gjelder spesielt når det foreligger lite rettspraksis rundt bestemmelsen.

Har du spørsmål om brudd på personopplysnings- eller personvernloven, eller ønsker bistand? Ta kontakt med en av våre advokater.