BS-25652/2020-OLR

.ddb-conv-doc { text-align: left; background-color: gray; color: #000000; line-height: 1; margin: 0; padding: 0; text-decoration-skip: none; text-decoration-skip-ink: none; } .ddb-conv-doc .page { background-color: white; position: relative; z-index: 0; margin: auto auto; } .ddb-conv-doc P { margin: 0; } .ddb-conv-doc UL { margin: 0; list-style: none; } .ddb-conv-doc UL LI { line-height: 1.15; } .ddb-conv-doc SUP { vertical-align: baseline; position: relative; top: -0.4em; font-size: 0.7em; line-height: 0; } .ddb-conv-doc .ddb-segment { position: relative; } .ddb-conv-doc .ddb-segment .ddb-absolute { position: absolute; z-index: 3; } .ddb-conv-doc .text, .ddb-conv-doc div.ddb-block, .ddb-conv-doc div.ddb-block-nb { position: relative; z-index: 3; opacity: inherit; text-align: left; margin-right: 124.2px; line-height: 1.15; } .ddb-conv-doc div.ddb-block-nb { white-space: nowrap; } .ddb-conv-doc .ddb-table { white-space: nowrap; width: 1024.0px; } .ddb-conv-doc .ddb-table .table-span { vertical-align: top; word-wrap: break-word; display: inline-block; } .ddb-conv-doc .ddb-table * { white-space: normal; } .ddb-conv-doc .vector, .ddb-conv-doc .image, .ddb-conv-doc .annotation, .ddb-conv-doc .annotation2, .ddb-conv-doc .control { position: absolute; line-height: 0; } .ddb-conv-doc .vector { z-index: 1; } .ddb-conv-doc .image { z-index: 2; } .ddb-conv-doc .annotation { z-index: 5; } .ddb-conv-doc .annotation2 { z-index: 7; } .ddb-conv-doc .control { z-index: 10; } .ddb-conv-doc .dummyimg { vertical-align: top; border: none; line-height: 0; } .marking .identification { border-bottom: 2px solid #000; } .additional-marking-parts { display: none } .hidden { display: none }

ØSTRE LANDSRET

DOM

afsagt den 15. oktober 2026

Sag BS-25652/2020-OLR (17. afdeling)

HK Danmark som mandatar for Sagsøger (advokat Mathias Bromann Bukhave)

Biintervenient til støtte for sagsøger: Fagbevægelsens Hovedorganisation (advokat Bjørn Elling)

mod

Tandlægeforeningen som mandatar for Sagsøgte CVR nr. (advokat Anders Hosbond Nielsen)

Biintervenient til støtte for sagsøgte: Dansk Arbejdsgiverforening (advokat Søren Møller Rasmussen)

Landsdommerne Louise Saul, Jakob Friis Nolsø og Mathias Bech Bové (kst.) har deltaget i sagens afgørelse.

Sagen er den 25. marts 2020 anlagt ved Retten i Lyngby, som ved kendelse af 25. juni 2020 har henvist sagen til behandling ved landsretten som 1. instans efter retsplejelovens § 226, stk. 1.

2

Sagen angår i første række, om Tandlæge Sagsøgte har foretaget et op-slag i Det Fælles Medicinkort (FMK) på sin daværende klinikassistentelev Sagsøgers personoplysninger, og i så fald om der herved foreligger en overtrædelse af forordning nr. 2016/679 af 27. april 2016 (databeskyttelsesfor-ordningen) artikel 6 og 9, samt om Sagsøger som følge heraf har ret til erstatning for immateriel skade i medfør af databeskyttelsesforordningens artikel 82, stk. 1.

Sagen angår i anden række, om Sagsøgte har overtrådt helbredsoplysningslovens § 2, stk. 1 og 3, ved at anmode Sagsøger om at få oplyst, hvad der var galt med hendes albue, og ved at have indhentet en hospitalsudskrift fra Sagsøger. Det er herunder et spørgsmål, om det var på Sagsøgers egen foranledning, at der til Sagsøgte blev fremsendt en hospitalsudskrift og ikke en lægeerklæring.

Påstande

Sagsøgeren, HK Danmark som mandatar for Sagsøger, har nedlagt endelig påstand om, at Sagsøgte, skal tilpligtes at betale 75.000 kr. med tillæg af procesrente fra den 16. august 2019.

Biintervenienten, Fagbevægelsens Hovedorganisation, har støttet den af HK Danmark som mandatar for Sagsøger nedlagte påstand.

Sagsøgte, Tandlægeforeningen som mandatar for Sagsøgte, har påstået frifindelse, subsidiært frifindelse mod betaling af et af landsretten fastsat mindre beløb.

Biintervenienten, Dansk Arbejdsgiverforening, har støttet den af Tandlægefor-eningen som mandatar for Sagsøgte nedlagte påstand.

Sagsfremstilling

Sagsøgte indgik pr. 24. september 2018 en uddannelsesaftale med Sagsøger om ansættelse som voksenelev med henblik på en uddannelse som tandklinikassistent.

Den 16. januar 2019 faldt Sagsøger under en tur med sin hund. Hun kom til skade med sin højre arm og sygemeldte sig sent samme aften. Der er fremlagt følgende sms-korrespondance mellem parterne desangående for perioden 16. januar til 21. januar 2019:

3

Foto udeladt Foto udeladt

4

Foto udeladt

5

Foto udeladt

6

Foto udeladt I den omtalte mail, som blev sendt den 21. januar 2019 kl. 21.32 til klinikken, hedder det:

”Kære Sagsøgte.

Her er journal for Hillerød hospital. Vil du også have fra Helsingør sygehus og rtg for i dag, når de er til-gængelige?

Knus fra Sagsøger”

7

Af den medfølgende udskrift fra Hospitalerne i Nordsjælland, akutafdelingen, skadestuen, fremgår som notat for den 16. januar 2019 følgende:

”CAVE Ingen kendt CAVE

Anamnese 34 årig kvinde, faldet i dag da hun var ude og lufte sin hund. Taget fra med hø. hånd. Har nu meget ondt i hånde, albue og skulder…

Objektivt Der ses ingen hudskader, hævelse, fejlstilling eller misfarvning af hver-ken hånd eller underarm. Der er normal funktion af fingre samt følesans. Ved aktive bevægelser opleves smerter i hele armen rundt i alle vinkler og retninger uden smerter. Ingen indirekte ømhed i hånden.

Behandling Muskulær ømhed Instrueret i RICE-principper. Instrueret i brug af håndkøbssmertestillende medicin, som pt. tåler Anbefalet kontakt til egen læge ved manglende bedring eller forværring …”

Af kopi af skærmbillede fra Sagsøgers profil på Sundhed.dk frem-går det, at der den 21. januar 2019 kl. 21:55 foretoges et opslag (statusforespørg-sel) på FMK omfattende medicinoplysninger og patientdata, og at opslaget blev foretaget af Sagsøgte.

Af dagældende vejledning af 8. september 2015 til FMK-online fremgår om ind-hold og adgang blandt andet:

”1.0 Indledning

FMK-online er en national webløsning, hvor der er adgang for sund-hedsfaglige personer og borgere.

FMK-online indeholder følgende: •Medicinoplysninger •Vaccinationsoplysninger •Tilskudsansøgninger •Oversigt over bestillinger fra hjemmeplejen •Bemyndigelsesregisteret

1.1 Definition af begreber

8

Medicinoplysninger: Fælles Medicinkort er en central database hos National Sundheds-it, som indeholder oplysninger om alle danske bor-geres elektroniske recepter og indløste papirrecepter igennem de sene-ste to år, samt en liste over borgerens aktuelle lægemiddelordinationer (med tilhørende recepter og effektueringer). Når FMK er fuldt imple-menteret, vil både borgeren, læger, vagtlæger, tandlæger og andre rele-vante sundhedspersoner, som har borgeren i behandling, have adgang til opdaterede medicinoplysninger.

Aktuelle lægemiddelordinationer på FMK: En liste over de lægemid- ler, borgeren aktuelt er i behandling med og som er planlagt for borge-ren.

Løse recepter på FMK: En ”løs recept” er en recept, der ikke er tilknyt-tet en aktuel lægemiddelordination på FMK. ”Løse recepter” på FMK er således en oversigt over de af borgerens elektroniske recepter og indlø-ste papirrecepter fra de seneste to år, som ikke er knyttet til en aktuel lægemiddelordination.

Privatmarkeret: En Lægemiddelordination eller en vaccination kan være privatmarkeret, der er skjult for andre end borgeren selv. Det vil dog fremgå tydeligt, at der findes privatmarkerede lægemiddelordina-tioner eller vaccinationer.

Effektuering på FMK: Udlevering eller administration af medicin til borgeren f.eks. hos lægen, på sygehuset eller på apoteket.

Vaccinationer: Alle vaccinationer der er afregnet med Sygesikringen si-den 1996 findes på FMK.

Vaccinationer kan være oprettet af borgeren selv eller af den sundheds-person, der har givet vaccinationen.

1.2 Adgang til FMK-online

1.2.1 Adgang via internettet Man kan få adgang til FMK via www.sundhed.dk eller www.fmk-on-

line.dk

1.2. NemID medarbejdersignatur Adgang til FMK forudsætter brug af en NemID medarbejdersignatur med tilknyttet cprnummer. NemID medarbejdersignatur kan bestilles på https://www.nets-danid.dk/. Der er også adgang for læger med brug af privat NemID.

1.2.3 Forudsætning for opslag på FMK Sundhedsfaglige personer er berettiget til at indhente oplysninger på en borgers FMK, såfremt:

• man har borgeren i aktuel behandling, • oplysningerne er nødvendige af hensyn til behandlingen, og • oplysningerne skal anvendes med henblik på at sikre kvaliteten,

sikkerheden og effekten af borgerens lægemiddelanvendelse

9

Eller man har:

• indhentet informeret samtykke fra borgeren

Uberettiget indhentning, videregivelse og/eller udnyttelse af oplysnin-ger er strafbart i henhold til sundhedsloven. Alle opslag på FMK logges i borgerens ”Min Log” . …

2.0 Fælles Medicinkort

Indeholder oplysninger om:

• aktuelle lægemiddelordinationer med evt. tilhørende recepter og

effektueringer, herunder eventuelle privatmarkerede lægemid-delordinationer

• ”løse recepter” fra de seneste to år

En borgers FMK vil indeholde en oversigt over alle elektroniske recep-ter samt indløste papir- og telefonrecepter igennem de seneste to år. Desuden vil borgerens Fælles Medicinkort indholde oplysninger om vedkommendes aktuelle lægemiddelordinationer (inkl. tilhørende re-cepter og effektueringer), når en læge har opdateret borgerens FMK med disse oplysninger. …”

Sagsøgte skrev herefter den 25. januar 2019 kl. 14.37 en mail til Sagsøger. I mailen hedder det:

”Hej Sagsøger

Du lovede at maile journal/udskrivningsbrev fra Helsingør Sygehus, men jeg har endnu ikke modtaget det og rykker hermed for det.

God weekend og god bedring …”

Sagsøger sendte herefter udskrift fra Hospitalerne i Nordsjælland, SH akutklinik, skadestue, vedrørende skadenotat for den 21. januar 2019, hvoraf fremgår følgende:

”CAVE Ingen kendt CAVE

Anamnese 34 årig kvinde, faldet på strakt arm for 5 dage siden. smerter i håndled og albue rtg. via egen læge

Objektivt

10

INSPEKTION Misfarvning svt. laterale kondyl Iøvrigt ingen hævelse, misfarvning, fejlstilling el. sår, svt overarm el. underarm.

PALPATION Direkte ømhed svt. laterale kondyl Iøvrigt ingen direkte eller indirekte ømhed svt. Skulder el. overarm

FUNKTION Nedsat aktiv bevægelighed, extensionsdefekt på ca 15 grader, kan flek-tere til bløddelsstop.. Iøvrigt normal kraft, tonus, bevægelighed og normale neurovaskulære forhold svt. Underarm og alle fingre.

Billeddiagnostik Rtg. af hø. håndled og albue viser: ingen tegn til fraktur, luksation eller afrivning Der ses ansamling i leddet. Billederne konfereret med vagthavende læge…

Behandling Collar’n’cuff til brug i 1-2 uger Instrueret i brug af smertestillende medicin, som pt. Tåler …”

Den 17. juli 2019 meddelte HK Hovedstaden i en mail til Tandlægeforeningen i forbindelse med at parterne forhandlede om en afbrydelse af elevkontrakten, at Sagsøger nu var blevet opmærksom på, at hendes arbejdsgiver ”har været inde på Sundhed.dk…” . HK rejste i den anledning krav om erstatning og godtgørelse i alt 125.000 kr.

Af Datatilsynets udtalelse af 29. januar 2020 vedrørende anmeldelse af brud på persondatasikkerheden fremgår følgende:

”Datatilsynet har den 29. juli 2019 modtaget en anmeldelse fra Sagsøgte om et brud på persondatasikkerheden.

1. Datatilsynets tilsyn Datatilsynet fører tilsyn med enhver behandling af oplysninger, der er omfattet af databeskyttelsesforordningen, databeskyttelsesloven og an-den lovgivning, som ligger inden for databeskyttelsesforordningens rammer for særregler om behandling af personoplysninger, jf. databe-skyttelseslovens § 27, stk. 1.

2. Datatilsynets bemærkninger Det fremgår af anmeldelsen, at Sagsøgte i sin klinik har adgang til opslag i Det Fælles Medicinkort Online (FMK). Denne adgang delte tandlægen med sine ansatte, herunder en klinikassistent-elev, der alle havde adgang til at anvende tandlægens nøglefil. Af en logudskrift fremgik, at der var foretaget opslag i FMK fra tandlægens konto. Ingen i klinikken har erindring om at have foretaget det pågæl-dende opslag og tandlægen har henvist til, at der var tale om personer

11

med tavshedspligt og at de i øvrigt ville være berettiget til at foretage opslag i FMK.

Datatilsynet lægger som følge af anmeldelsen fra Sagsøgte til grund, at der er sket et brud på persondatasikkerheden, idet der fra tandlægeklinikken er foretaget opslag i Det Fælles Medicinkort Online ved hjælp af Sagsøgtes nøglefil uden det er muligt at påvise hvem, der har foretaget opslaget og med hvilket for-mål.

I den forbindelse skal Datatilsynet bemærke, at sikkerhedsbrud, der ud-sætter fysiske personers rettigheder for risiko, oftest vil have en sådan karakter, at det vil give anledning til kritik fra tilsynet. På trods af det vil Datatilsynet på det foreliggende grundlag ikke foretage sig yderli-gere i anledning af det skete brud på persondatasikkerheden.

Datatilsynet har i den sammenhæng lagt vægt pa karakteren af det på-gældende brud sammenholdt med, at sagens behandling må forventes at indebære et forbrug af tilsynets ressourcer, som ikke står mål med den beskyttelse af privatlivet, som en behandling af sagen vil medføre.

Det skal dog understreges, at Datatilsynet - hvis der måtte fremkomme nye oplysninger i sagen, eller hvis der modtages nye anmeldelser om brud på persondatasikkerheden fra Sagsøgte- vil kunne genoptage nærværende sag eller lade den indgå i vurderingen af eventuelle fremtidige brud.

Det er i øvrigt Datatilsynets opfattelse, at man som dataansvarlig i for-længelse af et brud på persondatasikkerheden har pligt til at forholde sig til risikoen for de registrerede, navnlig med henblik på at forebygge lignende hændelser, og om nødvendigt træffe supplerende sikkerheds-foranstaltninger.

3. Relevante regler Databeskyttelsesforordningens artikel 32, stk. 1, fastslår, at den dataan-svarlige, under hensyntagen til det aktuelle tekniske niveau, implemen-teringsomkostningerne og den pågældende behandlings karakter, om-fang, sammenhæng og formål samt risiciene af varierende sandsynlig-hed og alvor for fysiske personers rettigheder og frihedsrettigheder, gennemfører passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passer til disse risici.

Af forordningens artikel 32, stk. 2, fremgår det, at der ved vurderingen af, hvilket sikkerhedsniveau der er passende, navnlig tages hensyn til de risici, som behandling udgør, navnlig ved hændelig eller ulovlig til-intetgørelse, tab, ændring, uautoriseret videregivelse af eller adgang til personoplysninger, der er transmitteret, opbevaret eller på anden måde behandlet. …”

Forklaringer Sagsøger og Sagsøgte har afgivet forklaring.

12

Sagsøger har forklaret bl.a., at hun har været ansat som klinikassi-stentelev i Sagsøgtes tandlægeklinik. På tandlægeklinikken arbejdede desuden en deltidsansat tandlæge ved navn Person 1, en klinikassistentelev ved navn Person 2 og en deltidsansat klinikassistent fra klinikassi-stentskolen.

Hun arbejede sædvanligvis fra kl. 07.30 til kl. 16.00, nogle gange til kl. 17.30. Om fredagen havde hun fri kl. 14.00. Hun udførte almindelige klinikassistent-opgaver og klargjorde herunder tandlægeinstrumenter og bistod de to tand-læger under behandlinger. Hun sad også i receptionen og udarbejede desuden såkaldte Q-rapporter, som indeholdt detaljerede arbejdsgange i klinikken.

Hun anvendte i alle tilfælde de to computere, der stod i receptionen. Hun havde ikke fået udleveret en arbejdscomputer, og det havde de øvrige ansatte heller ikke. Hun har været ansat på omkring otte tandlægeklinikker, og i alle tilfælde blev computeropgaverne udført på klinikkerne.

Hun skrev den 16. januar 2019 en sms til Sagsøgte om, at hun måtte sy-gemelde sig, idet hun havde slået sin arm og fået en blodansamling i albuen og derfor ikke kunne strække sin arm. Hun skrev disse oplysninger, idet Sagsøgte generelt krævede, at de ansatte skulle skrive, hvad de fejlede, og hvor lang tid sygdommen forventedes at vare. Dette var af hensyn til klinikkens drift. Hvis sygemeldingen angik en ansats barn, skulle man også oplyse, hvad barnet fejlede.

Hun tog efterfølgende til lægen for at få udstedt en lægeerklæring. Hun havde ikke fået penge fra Sagsøgte til at betale for lægeerklæringen, og hos lægen sagde de, at deres erfaring var, at arbejdsgiver helst ikke ville betale for lægeerklæringen. Derfor ringede hun til klinikken for at spørge, om Sagsøgte så hellere ville have udskriften fra hospitalet i stedet, da en lægeerklæ-ring kostede 1.500 kr.

Hun talte med sin kollega Person 2, der efter at have spurgt Sagsøgte herom meddelte, at hun bare skulle sende hospitalsud-skriften. Hun turde ikke at undlade at sende udskriften, idet Sagsøgte i så fald ville skælde hende ud. Hun sendte udskriften fra Hillerød Hospital til Sagsøgte ved mail af 21. januar 2019. Hun ville være sikker på, at Sagsøgte fik, hvad hun skulle bruge.

Derfor spurgte hun, om Sagsøgte også ville have tilsendt røntgenjournalen og udskriften fra Helsingør Hospital. Hun anså sig selv som en loyal medarbejder, og ville opfylde de krav, som Sagsøgte stillede. Hun tænkte, at det var sådan, man gjorde det i branchen, og det, Sagsøgte bad om, virkede meget reelt.

Hun havde det psykisk dårligt under sin ansættelse hos Sagsøgte. Hun opsøgte derfor sin læge, som hjalp hende med en sygemelding i slutningen af ansættelsesforholdet. Lægen agerede tillige en form for psykolog for hende. Læ-

13

gen spurgte om lov til at slå nogle medicinske oplysninger op om hende. Lægen sagde, at man skulle spørge hende om lov til at tilgå medicinske oplysninger om hende. Efter dette lægebesøg – og nok omkring den 17. juli 2019 – opdagede hun, at Sagsøgte havde foretaget det i sagen omhandlede opslag.

Hun fik det rigtig skidt, da hun opdagede, at Sagsøgte havde foretaget det omhandlede opslag om hende. Det var meget uvirkeligt, og hun fik tunnel-syn og hjertebanken. Hun følte at hendes chef havde kigget i hendes krop. Det var meget intimt. Sagsøgte havde kigget i hendes medicinoplysninger og journaler. Det var intimiderende og grænseoverskridende.

Hun tænkte på, hvad Sagsøgte kunne bruge oplysningerne til, da hun og Sagsøgte ikke var ret gode venner og var ved at gå fra hinanden i arbejdsmæssig sammenhæng. Under sin seneste telefonsamtale med Sagsøgte var hun blevet skældt ud. Sådan var det hver onsdag, når Sagsøgte var hjemme og holdt øje med, om de lavede noget på klinikken.

Hun sagde, at hun ville gå syg hjem, hvortil Sagsøgte svarede, at hvis hun gik hjem, ville det være en sten i hendes kiste, og at hun aldrig ville få et job i tandlægebranchen igen. Hun var derfor også nervøs for, at fremtidige arbejdsgivere ville frasortere hende på grund af de medicinske oplysninger, som Sagsøgte var kom-met i besiddelse af.

Hun blev meget vred, da Sagsøgte efterfølgende nægtede selv at have foretaget opslaget. Hun overvejede dernæst, om andre kunne have foretaget op-slaget, herunder om opslaget kunne være foretaget af en kollega, hvilket ikke var rart at tænke på.

Hun sov dårligt i den pågældende periode, og hun var også tæt på ikke at møde op under hovedforhandlingen, da hun ikke ønskede at sidde over for et menneske, der har gjort noget så grænseoverskridende over for hende. Hun har afslået, at personalet på de klinikker, hvor hun efterfølgende har været ansat, kunne foretage tandlægebehandling af hende. Dette er ellers sædvanligvis et personalegode. Grunden hertil er, at hun i så fald ville være kommet ind i deres systemer med sit CPR-nummer.

Sagsøgte kan ved opslaget i Det Fælles Medicinkort have set alt muligt om hende, herunder hvilken prævention hun brugte. Sagsøgte kan også have set andre oplysninger om hende i Det Fælles Medicinkort. Hun ønsker ikke at uddybe, hvilke oplysninger der er tale om. Der er tale om følsomme oplysninger, som kun angår kvinder, men der er også tale om oplysninger, som angår noget, der kan ramme både mænd og kvinder. Under alle omstændigheder vedkommer disse oplysninger ikke nogen.

14

Det er ikke hende selv, der har foretaget det omhandlede opslag. Hun var ikke i besiddelse af klinikkens kode og nøglefil til brug for opslag i Det Fælles Medi-cinkort. Hun havde alene fået udleveret koden til computerne på klinikken.

Hun har ikke oplyst sit CPR-nummer til nogen. Hun var ikke patient i Sagsøgtes klinik. Hun har haft samme tandlæge, siden hun var 15 år.

Sagsøgte har forklaret bl.a., at hun har arbejdet som tandlæge siden 1986. Hun har været klinikejer siden 1. april 2003. Hun solgte klinikken pr. 1. marts 2026 og er overgået til at være ansat på klinikken. Hun arbejder aktuelt 15 timer om ugen.

Hendes og Sagsøgers samarbejde var ikke ret godt. Det gik nogen-lunde i starten af ansættelsesforholdet, men det viste sig henad vejen, at Sagsøger havde svært ved at tage imod læring og instruktioner. Sagsøger havde også meget fravær. De havde mange samtaler under an-sættelsesforholdet, og den ene gang var HK med som bisidder. Hun gav Sagsøger to advarsler under ansættelsesforholdet.

I første halvår af 2019 indledte hun og Sagsøger forhandlinger om at stoppe uddannelsesforløbet. Sagsøger havde på daværende tids-punkt haft en længere sygefraværsperiode, og tandlægen ved navn Person 1 havde opsagt sin stilling i forsommeren 2019 delvis på grund af Sagsøger. Klinikken var derfor i en situation, hvor der ikke var nok tandlæger i for-hold til antallet af elevaftaler.

Hun har ikke truet Sagsøger med, at denne ikke ville have en frem-tidig i tandlægebranchen. Hun har utallige gange bedt Sagsøger om at dæmpe sig, da Sagsøger var meget højrøstet på klinikken. En af disse gange besluttede Sagsøger sig for at tage sit tøj og lagde an til at forlade klinikken. Hun sagde derfor, at hvis Sagsøger forlod kli-nikken, kunne det have den konsekvens, at uddannelsesaftalen blev ophævet. Sagsøger spurgte, om hun truede hende. Hun svarede Sagsøger, at hun blot oplyste om konsekvensen, hvis Sagsøger for-lod klinikken. Sagsøger havde på daværende tidspunkt fået to ad-varsler.

Hun bruger Det Fælles Medicinkort til to ting, dels til at udskrive recepter til sine patienter, dels til at få information om patienternes medicin, da hun som tandlæge er ansvarlig for ikke at foretage tandlægebehandlinger, som strider mod patienternes medicin. Hun foretager kun opslag om patienternes medicin, hvis hun har fået lov til det. Når hun foretager et opslag, indtaster hun patien-tens CPR-nummer, hvorefter hun kan se en liste over de præparater, som pati-enten får. Hvis patienten eksempelvis får blodtrykssænkende medicin, kan det

15

være anført, at patienten har for højt blodtryk. Der vil i alle tilfælde være tale om en overordnet beskrivelse af den sygdom, som medicinen angår.

Alle ansatte på klinikken havde adgang til klinikkens nøglekort, da hun havde brug for, at klinikassistenterne kunne hjælpe hende, hvis der var behov for at trække et medicinkort på en patient. Det fysiske nøglekort med koder, som man anvendte på daværende tidspunkt, lå i receptionen. Man tilgik medicinkortet på en af klinikkens computere. De ansatte burde have haft individuelle koder til medicinkortet, men de var på klinikken ikke så dygtige til det persondataretlige dengang, og under alle omstændigheder var klinikkens ansatte underlagt tavs-hedspligt, hvilket alle var klar over.

Sagsøger var generelt en meget talende person, som også fortalte meget om sit privatliv, og hun var sædvanligvis meget detaljeret, når hun skrev beskeder. Hun var derfor ikke overrasket over indholdet af Sagsøgers sms af 16. januar 2019. Hun var heller ikke overrasket over, at sms’en in-deholdt medicinoplysninger. Hun havde ikke pålagt sine ansatte at oplyse, hvad de fejlede, hvis de meldte sig syge. Det ved hun godt, at man ikke må. Hun ved også godt, at en lægeerklæring alene angiver, at den ansatte er syg, og at det ikke fremgår, hvad de ansatte fejler.

Den 20. januar 2019 skrev hun en sms til Sagsøger, da det var blevet søndag, og da hun havde brug for at vide, om Sagsøger mødte på arbejde om mandagen, idet hun ellers skulle have fat i en vikar. Sagsøger havde jo også om torsdagen skrevet, at lægen havde sagt, at hun ville være rask efter et par dage. Hun skrev senere om søndagen en sms til Sagsøger, hvori hun bad om en lægeerklæring eller udskriften fra sygehu-set. Hun ville bare have dokumentation for, at Sagsøger var uar-bejdsdygtig som følge af sygdom. Det var ikke Sagsøgers første sy-gemelding. Sagsøger havde meldt sig syg flere gange tidligere.

Mandag den 21. januar 2019 sendte hun en sms til Sagsøger og spurgte, hvad der var galt med hendes albue, og hvor længe hun regnede med at være sygemeldt. Dette var udtryk for almindelig omsorg for en ansat, og hun havde desuden brug for at vide, om hun så ind i en længere sygemelding. En nærmere oplysning om albuen kunne også indikere, hvor længe Sagsøger ville være sygemeldt.

Om Sagsøgers sms af 21. januar 2019, hvoraf fremgår, at ”Person 2 sagde at du hellere ville have en hospitalsudskrift i stedet for en lægeerklæring til 1500 kr” , har hun forklaret, at Sagsøger havde ringet til klinikken og talt med Person 2. Sagsøger havde herunder bedt Person 2 spørge, om hun kunne nøjes med en hospitalsudskrift i stedet for en lægeerklæring. Det var Sagsøgers forslag at sende en

16

hospitalsudskrift. Hun ville gerne spare pengene til en lægeerklæring, og derfor accepterede hun at modtage en hospitalsudskrift.

Hun modtog udskriften fra Hillerød Hospital ved Sagsøgers mail af 21. januar 2019 om aftenen. Sagsøger spurgte i mailen, om hun også ville have udskriften fra Helsingør Hospital og røntgenjournalen, når de var klar. Hun rykkede for disse to udskrifter ved mail af 25. januar 2019, da Sagsøger jo selv have foreslået at sende dem.

Hun har ikke foretaget opslaget i Det Fælles Medicinkort på Sagsøger den 21. januar 2019 kl. 21.55. Det er hun helt sikker på. Hun har heller ikke bedt nogen om at foretage opslaget. Hun havde intet ønske om og ingen interesse i at foretage kontrol af Sagsøger. Det Fælles Medicinkort indeholder kun medicinoplysninger og gav hende slet ikke mulighed for at kontrollere noget.

Man kunne foretage opslag i Det Fælles Medicinkort fra begge computere i receptionen. Hun har fået Sundhedsdatastyrelsen eller -tilsynet til at spore, hvorfra opslaget er foretaget, og opslaget er angiveligt foretaget fra computeren, der stod ved skranken, hvor man modtog klinikkens patienter, og hvor nøglekortet også lå. Hun kenderikke til, hvordan sporingen rent teknisk foregik.

Sundhedsdatastyrelsen var ikke fysisk ude på klinikken.

Hun var ikke på klinikken mandag den 21. januar 2019 om aftenen. Hun havde hele uge 3 fra lørdag til lørdag været på kursus- og skirejse arrangeret af et den-talfirma. Det var både fagligt og festligt, og hun har altid været meget træt, når hun kom hjem fra disse ture. Hun har derfor meget vanskeligt ved at forestille sig, at hun skulle have været inde på klinikken mandag aften. Dengang var der ikke alarm i klinikken. Man skulle bare låse sig ind. Alle ansatte og rengørings-manden havde nøgle til klinikken.

Hun kunne godt logge sig på klinikkens IT-system hjemmefra, men kun via computeren, der stod ved vinduet, og det er ikke fra denne computer, at opsla-get er foretaget.

Da hun blev bekendt med opslaget i Det Fælles Medicinkort, anmeldte hun det efter anbefaling fra Tandlægeforeningen som databrud til Datatilsynet. Tandlæ-geforeningen anbefalede hende også at få sporet, fra hvilken computer opslaget var foretaget. Hun fjernede vist også Sagsøger fra klinikkens hjem-meside.

Hun fik efterfølgende arrangeret det sådan, at hun var den eneste på klinikken, der kunne foretage opslag i Det Fælles Medicinkort. Det var besværligt, men hun turde ikke andet.

17

HK henvendte sig efterfølgende til hende og hævdede, at hun havde slået Sagsøger op på www.sundhed.dk, og hun gjorde gennem Tandlægefor-eningen meget ud af at forklare, at hun slet ikke havde adgang til www.sund-hed.dk, og at man kun kunne se medicinoplysninger på Det Fælles Medicin-kort.

Anbringender

HK Danmark som mandatar for Sagsøger har i påstandsdokument af 13. august 2026 anført følgende bl.a.:

”ANBRINGENDER

Til støtte for den nedlagte påstand gøres det overordnet gældende, at Sagsøger har krav på erstatning for immateriel skade (godt-gørelse) i medfør af databeskyttelsesforordningens artikel 82, jf. databe-skyttelseslovens § 40, og godtgørelse efter helbredsoplysningslovens § 12.

Godtgørelse efter databeskyttelsesforordningens artikel 82

Generelt om artikel 82

EU-Domstolen har afsagt et betydeligt antal domme om artikel 82.

Højesteret har i sin dom af 19. december 2025 (U.2026.1140) opsumme-ret den EU-retlige praksis således i sine præmisser:

” Det følger af databeskyttelsesforordningens artikel 82, stk. 1, at enhver, som har lidt en materiel eller immateriel skade som følge af en overtrædelse af for-ordningen, har ret til erstatning fra den dataansvarlige for den forvoldte skade.

Der er en omfattende praksis fra EU-Domstolen om betingelserne for at få er-statning eller godtgørelse efter artikel 82, jf. bl.a. EU-Domstolens dom af 20. juni 2024 i sag C-590/22 (AT, BT), præmis 31-36, dom af 4. oktober 2024 i sag C-200/23 (Agentsia po vpisvaniyata), præmis 139-156 og 161-166, samt dom af 4. september 2025 i sag C-655/23 (IP), præmis 55-64, 66-72 og 77-79.

EU-Domstolen har i de anførte domme udtalt bl.a., at den, der fremsætter krav efter artikel 82, skal godtgøre, at der foreligger en overtrædelse af forordningen, og at denne overtrædelse har forvoldt en materiel eller immateriel skade.

Bestemmelsen kræver ikke, at skaden overstiger en bagatelgrænse, og der kan heller ikke stilles krav til skadens konkrete karakter eller krænkelsens objektive karakter.

En immateriel skade efter artikel 82 omfatter negative følelser, som den pågæl-dende oplever som følge af en uautoriseret videregivelse af vedkommendes per-sonoplysninger til en tredjemand, såsom frygt eller utilfredshed, der udløses af et tab af kontrol over oplysningerne, af et potentielt misbrug af oplysningerne eller af en krænkelse af vedkommendes omdømme, for så vidt som den registre-

18

rede godtgør, at vedkommende har sådanne følelser, og godtgør de negative konsekvenser heraf som følge af den omhandlede overtrædelse af forordningen.”

At der ikke er en bagatelgrænse for skader efter artikel 82, eksemplifice-res yderligere af, at tab af kontrol med personoplysninger i et kort tids-rum kan udgøre en immateriel skade, jf. præmis 66 i EU Domstolens dom i sag C-687/21 (BL mod MediaMarktSaturn Hagen-Iserlohn GmbH).

For så vidt angår bevisbyrden for overholdelse af forordningen følger det af ansvarlighedsprincippet i forordningens artikel 5, stk. 2, at det påhviler den dataansvarlige at kunne påvise overholdelse af behand-lingsprincipperne i artikel 5, stk. 1.

Dette har ført til, at EU-Domstolen har fastslået, at det er den dataan-svarlige, som har bevisbyrden for overholdelse af reglerne om behand-lingssikkerhed (art. 5, stk. 1, litra f, art. 24 og art. 32), jf. bl.a. præmis 48-57 i EU-Domstolen dom i sag C-340/21 (VB mod Natsionalna agentsia za prihodite).

Om den dataansvarliges fritagelse for ansvar efter artikel 82, stk. 3, har EU-Domstolen i domspræmis 51- 54 i sag C-741/21 (GP mod Juris GmbH) fastslået, at den fritagelse, der er fastsat i databeskyttelsesfor-ordningens artikel 82, stk. 3, er strengt begrænset til de omstændighe-der, hvor den dataansvarlige kan påvise, at skaden ikke kan tilregnes den pågældende.

Videre følger det, at i tilfælde af et brud på persondatasikkerheden be-gået af en person, der udfører arbejde for den dataansvarlige, kan den dataansvarlige kun fritages for ansvar, såfremt den dataansvarlige bevi-ser, at der ikke er nogen årsagsforbindelse mellem den eventuelle til-sidesættelse af vedkommendes forpligtelse til at beskytte oplysningerne efter databeskyttelsesforordningens artikel 5, 24 og 32, og den skade, som den registrerede har lidt.

Følgelig er det ikke tilstrækkeligt, at den dataansvarlige godtgør at have givet instrukser til de personer, der ud-fører arbejde for vedkommende, og at en af de nævnte personer har til-sidesat sin forpligtelse til at følge disse instrukser.

Sagsøgtes overtrædelser af databeskyttelsesreglerne

Det gøres gældende, at Sagsøgte har overtrådt reg-lerne i databeskyttelsesforordningen ved uhjemlet og i strid med de grundlæggende principper for databehandling at have tilgået Sagsøgers personoplysninger på Det Fælles Medicinkort (herefter FMK).

Sagsøgte var dataansvarlig, som defineret i databe-skyttelsesforordningens artikel 4, nr. 7, for behandlingen af Sagsøgers personoplysninger ved opslaget på hendes medicin- og pa-tientoplysninger på FMK den 21. januar 2019.

Databeskyttelsesforordningens artikel 4, nr. 15, definerer helbredsop-lysninger:

19

” Helbredsoplysninger” : personoplysninger, der vedrører en fysik persons fysi-ske eller mentale helbred, herunder leveringer af sundhedsydelser, og som giver information om vedkommendes helbredstilstand.”

Sagsøgers medicin- og patientoplysninger falder utvivlsomt ind un-der denne definition.

Manglende hjemmel

Sagsøgtes behandling af Sagsøgers per-sonoplysninger ved opslag i FMK havde ikke hjemmel i databeskyttel-sesforordningen eller databeskyttelsesloven.

Helbredsoplysninger er følsomme personoplysninger omfattet af data-beskyttelsesforordningens artikel 9, stk. 1, og er dermed som udgangs-punkt forbudt at behandle, medmindre en af undtagelserne i art. 9, stk. 2, finder anvendelse, og der i øvrigt er et lovligt behandlingsgrundlag i artikel 6, stk. 1, på samme måde som ved almindelige oplysninger, der kun er reguleret af artikel 6.

Hverken artikel 9 eller 6 er overholdt ved Sagsøgtes opslag i FMK.

Sagsøgte har gjort gældende, at der skulle være hjemmel til opslag i FMK på Sagsøgers helbredsoplysninger den 21. januar 2019 under henvisning til databeskyttelsesforordningens artikel 9, stk. 2, litra e (offentliggørelse), og artikel 6, stk. 1, litra f (interesseafvejningsreglen). Dette bestrides.

Artikel 9, stk. 2, litra e, giver ikke grundlag for opslag på Sagsøgers helbredsoplysninger i FMK.

Det fremgår af databeskyttelsesforordningens artikel 9, stk. 2. litra e, at:

” Behandling vedrører personoplysninger, som tydeligvis er offentliggjort af den registrerede.”

Allerede fordi Sagsøger på ingen måde ”tydeligvis har of-fentliggjort” disse oplysninger, giver artikel 9, stk. 2, litra e, ikke hjem-mel til opslaget. Det følger således direkte af en ordlydsfortolkning af bestemmelsen, at den ikke finder anvendelse.

Af betænkningen om databeskyttelsesforordningen (nr. 1565), s. 214, følger det, at bestemmelsen er en videreførelse af gældende ret efter persondatalovens § 7, stk. 2, nr. 3, hvorefter behandling af følsomme oplysninger må finde sted, hvis behandlingen vedrører oplysninger, som klart er offentliggjort af den registrerede.

Af betænkningen s. 199f fremgår det, at offentliggørelse efter bestem-melsen indebærer, at oplysningerne er bragt til kundskab hos en bre-dere kreds af personer fx gennem tv, aviser og lignende landsdækkende medier. Omvendt vil der ikke være tale om offentliggørelse, hvis der

20

sker offentliggørelse på et socialt medie til en lukket kreds af modta-gere, hvor enhver ikke kan få adgang.

Det er dermed helt evident, at Sagsøger ikke har offentlig-gjort personoplysningerne, som Sagsøgte som data-ansvarlig har behandlet.

Desuden har Sagsøgte - eller den af hendes ansatte, der har foretaget opslaget i FMK på Sagsøgers helbredsop-lysninger den 21. januar 2019 - behandlet flere personoplysninger om Sagsøger, end dem hun har videregivet. Bilag 15 dokumen-terer, at Sagsøgte eller den af hendes ansatte, der evt. har foretaget opslaget for hende, har kunnet se samtlige oplysninger i FMK om Sagsøger, som Sagsøgte havde adgang til. De oplysninger, som har været tilgået ulovligt, er således et overblik over Sagsøgers medicin, recepter, indikationen for disse og vacciner, jf. bilag 22.

For så vidt angår artikel 6, stk. 1, litra f, er anbringendet fremsat uden, at der redegøres for, hvilken legitim interesse, som Sagsøgte skulle have forfulgt ved at foretage opslaget.

Behandling på grundlag af databeskyttelsesforordningens artikel 6, stk. 1, litra f, kan alene ske, hvis den er nødvendig for, at den dataansvarlige eller en tredjemand kan forfølge en legitim interesse, medmindre den registreredes interesser eller grundlæggende rettigheder og frihedsret-tigheder, der kræver beskyttelse af personoplysninger, går forud herfor.

Det er naturligvis vanskeligt for Sagsøgte at bestride at have foretaget opslag i FMK og samtidig pege på sin legitime inte-resse i at tilgå helbredsoplysninger via FMK, som overstiger Sagsøgers interesse i, at det ikke sker.

Det bemærkes, at førend en interesse overhovedet kan være legitim, skal den være lovlig.

I henhold til sundhedslovens regler må FMK udelukkende anvendes til opslag med et sundhedsfagligt formål, jf. bl.a. bilag 22, afsnit 1.2.3, og sundhedslovens § 42 d. Da intet formål er dokumenteret, så kan det ikke lægges til grund, at det har haft et sundhedsfagligt sigte. Dermed er opslaget allerede af den grund ikke lovligt og bliver heller ikke legi-timt.

Selv hvis Sagsøgte havde haft en legitim interesse, så vil hensynet til Sagsøgers ret til og interesse i, at uvedkom-mende ikke snager i hendes personoplysninger med henblik på kontrol af hendes sygefravær fra arbejde eller andre uvedkommende formål, al-tid gå forud for den interesse, som Sagsøgte måtte mene at have.

Sagsøgte har subsidiært anført, at der var hjemmel til behandlingen som følge af Sagsøgers samtykke.

21

Betingelserne for, at en registreret anses for at have givet samtykke til en behandling af personoplysninger, fremgår af databeskyttelsesforord-ningens artikel 7.

Det følger direkte af artikel 7, stk. 1, at det er Sagsøgte, der som dataansvarlig skal dokumentere, at der er indgået et gyl-digt samtykke. Dette er ikke sket.

Det følger af præambelbetragtning 32 til databeskyttelsesforordningen, at:

” Samtykke bør gives i form af en klar bekræftelse, der indebærer en frivillig, specifik, informeret og utvetydig viljestilkendegivelse fra den registrerede, hvorved vedkommende accepterer, at personoplysninger om vedkommende be-handles, f.eks. ved en skriftlig erklæring, herunder elektronisk, eller en mundt-lig erklæ- ring.

Dette kan f.eks. foregå ved at sætte kryds i et felt ved besøg på et websted, ved valg af tekniske indstillinger til informationssamfundstjenester eller en anden erklæring eller handling, der tydeligt i denne forbindelse tilken-degiver den registreredes accept af den foreslåede behandling af vedkommendes per sonoplysninger. Tavshed, forudafkrydsede felter eller inaktivitet bør derfor ikke udgøre samtykke.

Samtykke bør dække alle behandlingsaktiviteter, der ud-føres til det eller de samme formål. Når behandling tjener flere formål, bør der gives samtykke til dem alle. Hvis den registreredes samtykke skal gives efter en elektronisk anmodning, skal anmodningen være klar, kortfattet og ikke unødigt forstyrre brugen af den tjeneste, som samtykke gives til.”

Sagsøgte har på ingen måde forud for opslaget infor-meret Sagsøger om formålet med opslaget, at det ville blive foretaget eller givet hende mulighed for at samtykke eller lade være.

Synspunktet forekommer meget vidtgående, da det vil medføre, at så-fremt en arbejdstager videregiver en enkelt helbredsoplysning til en ar-bejdsgiver eller dennes repræsentant, så skulle arbejdsgiveren, hvis denne er autoriseret sundhedsperson, have samtykket til at tilgå samt-lige helbredsoplysninger om den pågældende i FMK.

En sådan forståelse af det dataretlige samtykke vil gå imod ordlyden af bestemmelsen, danske forarbejder vedrørende samtykke, vejledningen herom fra Datatilsynet, vejledninger herom fra EDPB og praksis fra EU-domstolen.

Sagsøger har helt åbenbart ikke givet samtykke til opslaget.

Det bestrides i øvrigt som anført af Sagsøgte, at det skulle være Sagsøger, der selv har foretaget opslag i FMK den 21. januar 2019, og sagsøgte kan ikke løfte bevisbyrden for, at op-slaget i FMK skulle være foretaget af Sagsøger.

Manglende overholdelse af behandlingsprincipper og oplysningspligt

Sagsøgte har som dataansvarlig ikke overholdt prin-cipperne i databeskyttelsesforordningens artikel 5, stk. 1, litra a, da be-

22

handlingen hverken har været lovlig, rimelig eller har været behandlet på en for Sagsøger gennemsigtig måde.

Sagsøgte har som dataansvarlig endvidere handlet i strid med artikel 14, da hun som den dataansvarlige har forsømt at give Sagsøger oplysninger i henhold til denne artikel, der skal medvirke til at skabe gennemsigtig og rimelig behandling for registre-rede, jf. også præambelbetragtning 39 og 60 i databeskyttelsesforord-ningen. Det er heller ikke bestridt af Sagsøgte.

Under punkt 1.2.3 i bilag 22 fremgår det, at:

” Sundhedsfaglige personer er berettiget til at indhente oplysninger på en bor-gers FMK, såfremt:

• man har borgeren i aktuel behandling, • oplysningerne er nødvendige af hensyn til behandlingen, og • oplysningerne skal anvendes med henblik på at sikre kvaliteten, sikkerheden og effekten af borgerens lægemiddelanvendelse

Eller man har: indhentet informeret samtykke fra borgeren

Uberettiget indhentning, videregivelse og/eller udnyttelse af oplysninger er strafbart i henhold til sundhedsloven. Alle opslag på FMK logges i borgerens ”Min Log” .”

Som det fremgår, er det utvivlsomt i strid med sundhedslovens regler, hvis man som sundhedsperson foretager opslag på en borger uden, at en af de opremsede betingelser er opfyldt. Betingelserne fremgår også direkte af sundhedslovens § 42 d.

Opslaget i Sagsøgers helbredsoplysninger i FMK den 21. ja-nuar 2019, kl. 21.55, som Sagsøgte er ansvarlig for som dataansvarlig og som sundhedsperson, opfyldte ikke nogen af de i sundhedsloven anførte betingelser. Det forhold, at opslaget er i strid med sundhedslovens regler, betyder, at opslaget også var i strid med databeskyttelsesforordningens artikel 5 og 24.

Behandlingen af Sagsøgers helbredsoplysninger er heller ikke sket i overensstemmelse med databeskyttelsesforordningens artikel 5, stk. 1, litra b, da indsamlingen af oplysningerne ikke er sket i henhold til ud-trykkeligt angivne og legitime formål.

Sagsøgte har i processkrift D, side 4, punkt 14, om formålet anført, at:

” De oplysninger, som kan være behandlet ved opslag i FMK, er de samme op-lysninger, som Sagsøger sendte til sagsøgte ved SMS af 17. januar 2019 (bilag 2) og mail af 21. januar 2019 (bilag 3). Der vil ikke ved FMK-opslaget være tale om behandling til et nyt eller andet formål end oplysningerne blev modtaget til fra Sagsøger.”

23

Dette er ikke korrekt. Behandlingen af de oplysninger, som havde til formål at opnå dokumentation for sygemeldingen var - i strid med hel-bredsoplysningsloven - at få oplyst yderligere helbredsoplysninger, der knyttede sig til sygemeldingen.

Opslaget i FMK kl. 21:55 kan derimod efter omstændighederne kun have haft til formål at foretage kontrol af, om de oplysninger, der var afgivet af Sagsøger 23 minutter tidligere kl. 21:32, var kor-rekte, og om der var yderligere oplysninger, som kunne anvendes af Sagsøgte som arbejdsgiver.

Det eneste andet alternativ er, at det var almindelig nysgerrighed, der var bevæggrunden til opslaget. Uanset hvad, kan formålet aldrig blive det samme, som formålet med indhentningen af oplysninger modtaget fra Sagsøger. Det bemærkes, at opslaget gav adgang til flere oplysninger end dem, som Sagsøger havde givet.

Manglende behandlingssikkerhed og ansvarlighed

Som det fremgår ovenfor under afsnittet ”Generelt om artikel 82” , så har Sagsøgte bevisbyrden for at have overholdt arti-kel 5, stk. 1, litra f, artikel 24, stk. 1, og artikel 32, stk. 1. Denne bevis-byrde er ikke løftet.

Det udgør en klar overtrædelse af databeskyttelsesforordningens artikel 5, 24 og 32, at Sagsøgte delte sin egen adgang til FMK med alle de ansatte i stedet for at sikre, at hver medarbejder havde sin egen unikke adgang.

Sagsøgte har tidligere - efter at have modtaget kom-petent juridisk vejledning - ændret forholdene, så alle medarbejdere nu har egne arbejdslicenser til FMK-online, hvilket fremgår direkte af bilag 11.

Det må lægges til grund, at årsagen til, at forholdene blev ændret var, at både Datatilsynet og Sundhedsdatastyrelsen kunne oplyse, at det ikke var lovligt blot at lade alle ansatte anvende Sagsøgtes adgang til FMK online.

Det fremgår af bilag 22 (FMK-vejledningen) på side 4, under punkt 1.2, at:

” Adgang til FMK forudsætter brug af en NemID medarbejdersignatur med til-knyttet cpr-nummer. NemID medarbejdersignatur kan bestilles på https://www.nets-danid.dk/. Der er også adgang for læger med brug af privat NemID.”

Sagsøgte havde ikke oprettet NemID medarbejder-signatur for Sagsøger.

Sagsøgte havde forsømt at sikre, at der var etableret de nødvendige sikkerhedsforanstaltninger til sikring af, at man kunne se, hvilken person, der foretog opslag på FMK.

24

Det følger af punkt 5 i bilag 22, at autoriserede sundhedspersoner kan uddelegere forbeholdt sundhedsfaglig virksomhed, og der vejledes i, hvordan medhjælpere oprettes på FMK-online.

Såfremt Sagsøgte havde oprettet medarbejderne kor-rekt, ville hun kunne have dokumenteret, hvis det var en medarbejder og ikke hende selv, der havde foretaget opslaget.

Ved ikke at have etableret passende sikkerhed, adgangsstyring og i øv-rigt at have tilsidesat de sundhedsfaglige regler på området groft, kan sagsøgte ikke løfte bevisbyrden for, at databeskyttelsesforordningens artikel 5, 24 og 32 er overholdt.

Sagsøger har lidt immateriel skade

Opslaget på Sagsøger i FMK blev foretaget uden hendes vi-dende. Hun oplevede det som aldeles krænkende, hvilket understøttes af bilag 7.

Sagsøger har oplevet et meget væsentligt psykisk ubehag på grund af det uberettigede opslag i FMK. Enhver bonus pater ville opleve det som yderst krænkende og dermed opleve et meget væsent-ligt psykisk ubehag, hvis ens arbejdsgiver, som i den foreliggende sag, uden ens vidende eller samtykke tilgik ens helbredsoplysninger. Ube-haget bliver så yderligere forværret af, at Sagsøgte forsøger at så tvivl om, hvem der har foretaget opslaget, og hvad formå-let har været.

Det må således stå klart, at der er bevist en immateriel skade, som der i øvrigt ikke består nogen bagatelgrænse for efter databeskyttelsesforord-ningens artikel 82.

At der ikke er nogen bagatelgrænse er imidlertid ikke relevant for denne sag, da det burde stå klart både objektivt og subjektivt, at alene det forhold, at en arbejdsgiver eller en ansat hos en arbejdsgiver uden medarbejderens vidende eller samtykke tilgår helbredsoplysninger om medarbejderen, medfører en krænkelse af selvfølelse og privatliv, psy-kisk ubehag, manglende kontrol over egne oplysninger, eller hvordan man sprogligt skal karakterisere den immaterielle skade, som Sagsøger blev udsat for, da Sagsøgte som data-ansvarlig tilgik hendes helbredsoplysninger på FMK.

Det er i øvrigt underordnet for sagen, om det er Sagsøgte personligt eller en ansat, der ulovligt har tilgået Sagsøgers oplysninger i FMK, da Sagsøgte som dataan-svarlig under alle omstændigheder er ansvarlig for skaden påført Sagsøger som følge af den ulovlige behandling af hendes per-sonoplysninger, jf. EU-Domstolens afgørelse i sag C-741/21 (Juris-dom-men), pr. 51-54. Sagsøgte kan ikke og har ikke løftet bevisbyrden for ansvarsfritagelse efter databeskyttelsesforordningens artikel 82, stk. 3.

25

Det bemærkes, at det forhold, at Sagsøger på anfordring sendte en hospitalsjournal, ikke har nogen betydning for vurderingen af den immaterielle skade. Der er ikke holdepunkter i den foreliggende EU-retspraksis for, at en skade skulle anses som mindre på baggrund af forhold, som er uvedkommende for den overtrædelse af databeskyttel-sesforordningen, som er årsagen til skaden.

U 2004.273 Ø, som Sagsøgte har henvist til, er uden betydning for bedømmelsen af denne sag. Af landsrettens præmisser følger det, at det er betingelsen efter erstatningsansvarslovens § 26 om, at forholdet skal være retsstridigt og have en vis grovhed, som førte til, at der ikke blev givet en godtgørelse i sagen. Det ville være i strid med databeskyttelsesforordningens artikel 82 at anvende denne betingelse til at konstatere, at der ikke er lidt en skade, jf. bl.a. EU-Domstolens afgø-relse i sag C-300/21 (Österreichische Post-dommen), præmis 49 og 51.

Højesterets bevisbedømmelse i sag BS-14485/2025-HJR (Kommune-sagen) angår en påberåbt immateriel skade i form af en frygt for et eventuelt fremtidigt misbrug af oplysninger som følge af et sikker-hedsbrud. Højesteret fandt, at frygten og øvrige negative følelser ikke var velbegrundede eller i øvrigt tilstrækkelig underbygget.

Nærværende sag handler om den immaterielle skade forårsaget af et konstateret misbrug af Sagsøgers personoplysninger i FMK og ikke en frygt for et hypotetisk fremtidigt misbrug, og det er derfor ikke relevant med en bevisbedømmelse af, om en frygt for noget hypo-tetisk er velbegrundet eller dokumenteret.

Klar årsagsforbindelse mellem overtrædelserne og den immaterielle skade

De databeskyttelsesretlige overtrædelser forbundet med opslaget i Sagsøgers personoplysninger i FMK, er den direkte årsag til Sagsøgers immaterielle skade.

Erstatningens/godtgørelsens størrelse

Den erstatning, som skal udmåles efter forordningens artikel 82, er ikke nærmere reguleret i databeskyttelsesforordningen udover, at det følger af præambelbetragtning 146, at den registrerede har krav på fuld erstat-ning.

EU-Domstolen har dog i flere domme præciseret, hvordan erstat-ning/godtgørelse skal udmåles efter bestemmelsen, som har en kom-penserende og ikke en straffende funktion.

Af domspræmis 61 i sag C-741/21 (GP mod Juris GmbH) følger det, at en økonomisk erstatning på grundlag af artikel 82 anses for at være »fuld«, hvis den fuldstændigt kompenserer for den skade, der konkret er lidt på grund af overtrædelsen af denne forordning.

Endvidere er en skade forvoldt af brud på persondatasikkerheden ikke efter sin art mindre alvorlig end personskade (præmis 39 i de forenede sager C-182/22 og C-189/22, JU og SO mod Scalable Capital GmbH), og

26

den kompenserende funktion er til hinder for, at der ved udmåling af erstatningens størrelse eller form tages hensyn til den dataansvarliges begrundelse for overtrædelserne, dennes skyld heri eller grovheden af disse (bl.a. domspræmis 72 i sag C-655/23 IP mod Quirin Privatbank AG)

Af blandt andet præmis 59 i sag C-300/21 (Österreichische Post-dom-men) følger det, at de nationale domstole skal foretage udmåling af er-statningens størrelse i overensstemmelse med den pågældende med-lemsstats nationale regler vedrørende den økonomiske erstatnings om-fang. Det følger af samme præmis, at udmålingen samtidigt skal ske i overensstemmelse med de EU-retlige principper om effektivitet og ækvivalens.

Derfor er praksis om godtgørelsesniveauet efter erstatningsansvarslo-vens § 26 relevant, idet bestemmelsen under det tidligere gældende per-sondatadirektiv og persondataloven udgjorde grundlaget for tilken-delse af godtgørelse for persondatakrænkelser i dansk ret.

Henvisningen til erstatningsansvarslovens § 26 sker imidlertid med det væsentlige forbehold, at praksis vedrørende udmåling af tortgodtgø-relse ikke er direkte overførbar til udmåling af erstatning efter databe-skyttelsesforordningens artikel 82, stk. 1.

Det skyldes, at erstatningslovens § 26 har et mere snævert anvendelses-område end det, der følger af databeskyttelsesforordningens artikel 82, stk. 1, idet tort forudsætter culpøs krænkelse af en vis grovhed, og at krænkelsen skal angå pågældendes selv- og æresfølelse. Det er i littera-turen antaget, at tort forudsætter et element af krænkelse, ydmygelse eller hån.

Erstatning efter artikel 82, stk. 1, er ikke underlagt lignende betingelser, idet der alene skal foreligge en overtrædelse af reglerne i databeskyttel-sesforordningen, som har medført en skade. Det er således ikke en be-tingelse, at skaden angår selv- og æresfølelsen, er af en vis grovhed, el-ler at behandlingen i øvrigt er egnet til at krænke, ydmyge eller håne den registrerede.

Artikel 82 indbefatter således også andre typer immaterielle skader end tort som eksemplificeret ved afgørelsen fra Retten i EU i sag T-384/20 RENV.

I nærværende sag er det dog ganske åbenlyst, at der er sket en betyde-lig krænkelse af Sagsøger, hvis arbejdsgiver i strid med ad-skillige af de databeskyttelsesretlige regler og ledelsesretten har be-handlet følsomme oplysninger med henblik på ulovlig kontrol eller an-dre ulovlige formål.

For så vidt angår arbejdsgivere, der behandler personoplysninger om ansatte til ulovlige kontrolformål, kan henvises til bl.a. U.2020.1615H og U.2008.727/2S. Der kan også henvises til Den Europæiske Menneskeret-tighedsdomstols dom i sagen Copland v. the United Kingdom, 2007, hvor en kontoransats privatliv blev krænket som følge af arbejdsgivers

27

overvågning af hendes telefon, e-mail og brug af internet, hvilket var i strid med hendes ret til privatliv efter Den Europæiske Menneskerettig-hedskonvention, artikel 8.

I nærværende sag er der dog tale om en betydelig større krænkelse hen-set til karakteren af de behandlede oplysninger og omstændighederne, hvor Sagsøger blev udsat for et massivt tillidsbrud.

Der er derfor grundlag for en godtgørelse som krævet. Det gøres desu-den gældende, at godtgørelse for immateriel skade efter databeskyttel-sesforordningens artikel 82 også indbefatter godtgørelse for den tort, som er lidt.

Subsidiært gøres det gældende, at der foruden godtgørelse efter artikel 82 også skal tilkendes tortgodtgørelse efter erstatningsansvarslovens § 26.

Godtgørelse helbredsoplysningsloven § 12

Det følger af lov om helbredsoplysninger § 2, stk. 1, at en arbejdsgiver under en lønmodtagers løbende ansættelse må anmode om helbredsop-lysninger med det formål at få belyst, om lønmodtageren lider eller har lidt af en sygdom, eller har haft symptomer på en sygdom, som har el-ler ville have væsentlig betydning for lønmodtagerens arbejdsdygtig-hed ved det pågældende arbejde.

Det følger endvidere af lov om helbredsoplysninger § 2, stk. 3, at:

” Ved anmodning om oplysninger efter stk. 1 og 2 skal arbejdsgiveren angive over for lønmodtageren, hvilke sygdomme eller symptomer på sygdomme der ønskes oplysninger om.”

Sagsøgte har overtrådt helbredsoplysningslovens § 2, stk. 1 og stk. 3, ved i SMS af 21. januar 2019, bilag 2, at have anmodet om at få oplyst, hvad der var galt med Sagsøgers albue.

Sagsøgte har endvidere overtrådt helbredsoplys-ningslovens § 2, stk. 1 og stk. 3, ved på SMS og via kollegaen Person 2 at anmode om en kopi af hospitalsudskrift fremfor en lægeerklæring fra Sagsøger.

En kopi af sygehusjournalen indeholder flere helbredsoplysninger, som Sagsøgte ikke havde krav på at modtage. Sagsøgte burde således alene have anmodet om en lægeerklæring.

Det er ikke en forudsætning for overtrædelse af loven, om anmodnin-gerne efterkommes eller ej. Hvis Sagsøger ikke havde efter-kommet de ulovlige anmodninger fra sin arbejdsgiver, med den ibo-ende risiko for ansættelsesretlige konsekvenser, som det medfører, ville der således stadig være tale om en overtrædelse af helbredsoplysnings-lovens § 2, uagtet om Sagsøgte ulovligt modtog og behandlede helbredsoplysninger om Sagsøger.

28

Sagsøger har som følge af overtrædelserne af helbredsoplysningslo-vens § 2 krav på godtgørelse i henhold til lov om helbredsoplysninger, jf. § 12, der passende kan fastsættes som opgjort.

Godtgørelse efter både helbredsoplysningsloven og databeskyttelses-forordningens artikel 82

Godtgørelsen efter helbredsoplysningsloven og databeskyttelsesforord-ningen kompenserer ikke for de samme forhold.

Der er sket en krænkelse af Sagsøgers rettigheder efter hel-bredsoplysningsloven som følge af Sagsøgtes ulov-lige anmodninger om helbredsoplysninger, der selvstændigt bør med-føre godtgørelse efter helbredsoplysningslovens § 12.

Derudover har Sagsøger lidt immateriel skade forårsaget af Sagsøgtes overtrædelse af databeskyttelsesforord-ningen ifm. den ulovlige behandling af Sagsøgers person-oplysninger ved det ulovlige opslag i FMK.

Der er således tale om uafhængige forhold og overtrædelser af forskel-lig lovgivning, der hver især hjemler godtgørelse efter forskellige betin-gelser. …”

Tandlægeforeningen som mandatar for Sagsøgte har i på- standsdokument af 13. august 2026 anført følgende bl.a. (henvisninger til eks-trakt og materialesamling er udeladt):

”4.1 Hovedsynspunkter

Det gøres overordnet gældende:

at Sagsøgte ikke har overtrådt databeskyttelsesfor-ordningen, databeskyttelsesloven, sundhedsloven eller helbredsoplys-ningsloven, idet der ikke er foretaget en ulovlig behandling af Sagsøgers personoplysninger eller uretmæssig anmodning om el-ler indsamling af helbredsoplysninger.

at hvis Landsretten måtte finde, at Sagsøgte er an-svarlig for opslaget i FMK, forelå der gyldig behandlingshjemmel og en lovlig behandling.

at anvendelsen af et delt kliniklogin til FMK i januar 2019 ikke indebæ-rer en overtrædelse af databeskyttelsesforordningens artikel 24 og 32.

at den blotte overtrædelse af databeskyttelsesforordningen ikke i sig selv udgør en skade, der berettiger til godtgørelse for immateriel skade efter databeskyttelsesforordningens artikel 82, og at Sagsøger bærer bevisbyrden for, at hun har lidt immateriel skade. Denne bevisbyrde ikke er løftet.

29

at Sagsøger bærer bevisbyrden for, at der er årsagssammen-hæng mellem den påståede overtrædelse af forordningen og den påstå-ede skade, og at denne bevisbyrde ikke er løftet.

at hvis det lægges til grund, at de tre kumulative betingelser for godt-gørelse for immateriel skade i artikel 82 er opfyldt, er Sagsøgte ansvarsfri efter artikel 82, stk. 3.

at hverken opslaget i FMK eller korrespondancen mellem Sagsøgte og Sagsøger indebærer en overtrædelse af helbredsop-lysningsloven.

at Sagsøger ikke kan oppebære dobbeltkompensation efter både databeskyttelseslovgivningen og helbredsoplysningsloven for samme forhold, og såfremt Landsretten finder, at der skal ydes godtgø-relse, skal den fastsættes til et ubetydeligt beløb.

4.2 Sagsøgte kan ikke holdes ansvarlig for opsla-get i FMK

Det gøres principalt gældende, at opslaget i FMK den 21. januar 2019 … ikke er foretaget ulovligt eller uautoriseret af Sagsøgte, og at klinikken som hhv. dataansvarlig og arbejdsgiver, hverken har overtrådt databeskyttelsesforordningen, databeskyttelsesloven, sundhedsloven eller helbredsoplysningsloven.

Et opslag i FMK forudsætter to forhold: klinikkens login-oplysninger (nøglefil) og kendskab til Sagsøgers fulde CPR-nummer. En person med adgang til begge dele kunne foretage opslaget. Som følge af klinikkens delte login fremstod alle opslag som foretaget af Sagsøgte, uanset hvem der reelt udførte dem. Det kan i princip-pet være foretaget af Sagsøger selv – der som ansat på klinikken havde adgang til loginoplysningerne og naturligvis kendte sit eget CPR-nummer – eller af en kollega, som Sagsøger havde be-troet sit CPR-nummer.

Det er ikke godtgjort, at Sagsøgte personligt, eller anden af kli-nikkens medarbejdere, uautoriseret har foretaget opslaget.

4.3 Der forelå behandlingshjemmel

For det tilfælde at retten måtte finde, at Sagsøgte er ansvarlig for opslaget, gøres det gældende, at der forelå gyldig behand-lingshjemmel for de oplysninger, som måtte være tilgængelige i FMK.

For så vidt angår følsomme personoplysninger (helbredsoplysninger) følger behandlingshjemlen af databeskyttelsesforordningens artikel 9, stk. 2, litra e …, hvorefter behandling er lovlig, når den vedrører per-sonoplysninger, "som tydeligvis er offentliggjort af den registrerede ". Sagsøger havde forinden frivilligt fremsendt en komplet hospitals-journal (bilag 3) … og havde i SMS-korrespondancen (bilag 2) … af egen drift oplyst om symptomer, diagnose, behandling og medicine-ring. De oplysninger, som var tilgængelige via FMK (recepter og medi-

30

cinoplysninger), var af tilsvarende eller mindre fortrolig karakter end de oplysninger, Sagsøger allerede selv havde delt.

Subsidiært gøres det gældende, at Sagsøgers frivillige fremsendelse af helbredsoplysningerne udgør et samtykke til sagsøgtes behandling i henhold til databeskyttelsesforordningens artikel 9, stk. 2, litra a …, og artikel 6, stk. 1, litra a ...

For så vidt angår almindelige personoplysninger følger behandlings-hjemlen af artikel 6, stk. 1, litra f (legitim interesse) ... Sagsøgte havde som arbejdsgiver en klar og saglig interesse i at afklare en sygemeldt medarbejders arbejdsdygtighed og forventede fraværsperiode, hvilket er en anerkendt legitim interesse i ansættelsesforhold, jf. også databe-skyttelseslovens § 12.

Sagsøgte har i svarskriftet opfordret Sagsøger (procesopfordring 1) til at fremlægge et udskrift af sit FMK fra januar 2019 med henblik på at dokumentere, hvilke oplysninger der var til-gængelige ved et opslag. Sagsøger har afvist denne opfordring. Det er herefter udokumenteret, at der på Sagsøgers FMK har været hel-bredsoplysninger ud over de medicinoplysninger, hun allerede selv havde oplyst om. Det er således ikke bevist, at opslaget indebar be-handling af følsomme personoplysninger ud over det, Sagsøger allerede frivilligt havde delt.

4.3.1 Om sundhedsloven

Allerede fordi Sagsøger ikke var patient, finder sundhedslo-vens § 42d … ikke anvendelse. Forholdet falder uden for rammerne af sundhedsloven.

Såfremt Landsretten finder, at sundhedsloven desuagtet finder anven-delse, gøres det gældende, at der forelå tilstrækkeligt samtykke til op-slaget af de grunde, som er anført ovenfor.

4.4 Sagsøgte har ikke overtrådt artikel 24 og 32 om tekniske og organisatoriske foranstaltninger

Sagsøgte havde i januar 2019, og forud herfor, en delt brugeradgang for klinikkens personale til at tilgå oplysninger i FMK.

Det følger af databeskyttelsesforordningens artikel 24, at

” Under hensyntagen til den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og al-vor for fysiske personers rettigheder og frihedsrettigheder gennemfører den dataansvarlige passende tekniske og organisatoriske foranstaltninger for at sikre og for at være i stand til at påvise, at behandling er i overens-stemmelse med denne forordning. Disse foranstaltninger skal om nød-vendigt revideres og ajourføres.” …

Og videre af artikel 32, at:

31

” Under hensyntagen til det aktuelle tekniske niveau, implementerings-omkostningerne og den pågældende behandlings karakter, omfang, sam-menhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder gennemfører den dataansvarlige og databehandleren passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passer til disse risici, herunder bl.a. alt efter hvad der er relevant” …

Vurderingen af, om der er implementeret passende foranstaltninger, skal ske ud fra det på hændelsestidspunktet gældende tekniske niveau, markedsstandarder, risikobillede og den pågældende behandlings ka-rakter, omfang og formål samt sandsynligheden og alvoren af risiciene. Implementeringen af passende sikkerhedsforanstaltninger er en fly-dende standard, der følger med tiden og den teknologiske udvikling. For nærværende er det således afgørende at vurdere, hvorvidt anven-delsen af en delt klinikadgang i januar 2019 udgjorde en manglende im-plementering af passende tekniske og organisatoriske foranstaltninger.

Hertil gøres gældende, at klinikkens brug af et delt login til FMK ikke var i strid med databeskyttelsesforordningens artikel 24 og 32. Adgang til FMK var under alle omstændigheder begrænset af to-faktorgodken-delse ved, at en adgang forudsatte adgang til klinikkens loginoplysnin-ger (nøglefil) og en given persons fulde CPR-nummer.

Alle medarbej-dere med adgang til loginoplysningerne havde et arbejdsbetinget og sagligt behov for at foretage FMK-opslag og var underlagt tavsheds-pligt og fortrolighedsvilkår. At en person, der har været bemyndiget med denne adgang og Sagsøgers CPR-nummer, har foreta-get et opslag, udgør ikke en tilsidesættelse af kravene til at implemen-tere passende foranstaltninger.

Det gøres videre gældende, at i januar 2019 var det sædvanlig praksis på mindre tandlægeklinikker at anvende et delt login til FMK.

At klinikken efter hændelsen har oprettet personlige medarbejderad-gange er en naturlig tilpasning til den løbende udvikling i sikkerheds-standarder. Det er ikke en anerkendelse af, at det forud herfor var i strid med artikel 24 og 32.

4.5 Der er ikke lidt en skade

4.5.1 Om skadesbegrebet

Selv hvis Landsretten mod forventning måtte finde, at der er sket en overtrædelse af databeskyttelsesforordningen, er den blotte overtræ-delse af forordningen ikke i sig selv tilstrækkelig til at udgøre en erstat-ningsberettiget skade efter artikel 82.

EU-Domstolen har i C-300/21 (Österreichische Post), præmis 33, fast-slået, at det ikke kan lægges til grund, at enhver overtrædelse af databe-skyttelsesforordningens bestemmelser i sig selv giver den registrerede ret til erstatning.

32

” Det kan derfor ikke lægges til grund, at enhver »overtrædelse« af data-beskyttelsesforordningens bestemmelser i sig selv giver den registrerede, som defineret i forordningens artikel 4, nr. 1), den nævnte ret til erstat-ning. En sådan fortolkning ville være i strid med ordlyden af forordnin-gens artikel 82, stk. 1.” C-300/21, præmis 33 …

Afgørende er den forpligtelse som udtrykkes i EU-Domstolens dom i C-456/22 (Gemeinde Ummendorf), præmis 23. Heri fastslås, at det er op til den registrerede, i dette tilfælde Sagsøger, at godtgøre, at hun har lidt en skade:

"Den registrerede skal godtgøre, at konsekvenserne af denne tilsidesæt-telse [af forordningen, red.] , som vedkommende hævder at have lidt, udgør en skade, der adskiller sig fra den blotte tilsidesættelse af bestem-melserne i den nævnte forordning." C-456/22, præmis 23 …

Det følger af fast praksis ved EU-domstolen, at tre kumulative betingel-ser skal være opfyldt for erstatning for immateriel skade efter artikel 82, jf. bl.a. præmis 24 i C-507/23 (Patērētāju tiesību aizsardzības centrs):

” Domstolen har gentagne gange fortolket artikel 82, stk. 1, således, at den blotte overtrædelse af denne forordning ikke er tilstrækkelig til at give ret til erstatning, eftersom en af betingelserne for ret til erstatning er, at der foreligger en materiel eller immateriel »skade«, eller at der er »forvold[t] skade«, ligesom denne forordning skal være overtrådt, og der skal være en årsagsforbindelse mellem skaden og overtrædelsen, idet disse tre betingelser er kumulative.” C-507/23, præmis 24 …

Det påhviler således Sagsøger at bevise, at de tre kumula-tive betingelser er opfyldt, at der foreligger:

1) en overtrædelse af forordningen, 2) en skade, og 3) en årsagsforbindelse mellem overtrædelsen og skaden.

Det følger endvidere af C-590/22 (AT og BT mod PS GbR), præmis 34-35, at den registrerede skal bevise, at vedkommende faktisk har lidt ma-teriel eller immateriel skade, og at den blotte henvisning til en frygt – uden godtgjorte negative konsekvenser – ikke kan give anledning til er-statning.

” En registreret, der mener, at vedkommendes personoplysninger er blevet behandlet i strid med de relevante bestemmelser i databeskyttelsesforord-ningen, og kræver erstatning på grundlag af denne forordnings artikel 82, stk. 1, skal derfor bevise, at vedkommende faktisk har lidt materiel el-ler immateriel skade.

Den blotte henvisning til en frygt – uden godtgjorte negative konsekven-ser – kan således ikke give anledning til erstatning i henhold til denne be-stemmelse [artikel 82, red.]. ” C- 590/22, præmis 34 – 35 …

4.5.2 Sagsøger har ikke løftet bevisbyrden for at der er lidt

en skade

33

Sagsøger bærer således bevisbyrden for at have lidt en skade, der berettiger til godtgørelse efter databeskyttelsesforordningens artikel 82, jf. bl.a. C-300/21 (Österreichische Post AG), præmis 50 …, C-340/21 (VB mod Natsionalna agentsia za prihodite), præmis 84 …, C-687/21 (Medi-aMarktSaturn), præmis 68 … og C-507/23 (Patērētāju tiesību ai-zsardzības centrs), præmis 24 ...

Højesteret har ved dom af 19. december 2025 i sag BS-14485/2025-HJR (Kommune) fastslået, at en persons egen forklaring om frygt og negative følelser ikke i sig selv udgør tilstrækkeligt bevis for, at der er lidt en skade omfattet af artikel 82. Højesteret udtalte:

"Ud over deres egne forklaringer er der ikke fremlagt beviser, der støtter, at de har lidt skade i form af negative følelser og negative konsekvenser heraf, og at sådanne negative følelser og negative konsekvenser er en følge af kommunens behandling af deres personlige oplysninger i regnearket eller sikkerhedsbruddet." …

Østre Landsret nåede til samme resultat i dom af 20. august 2025 i BS-27044/2020-OLR …, hvor en parts forklaring om ubehag ikke i sig selv fandtes at udgøre en immateriel skade i databeskyttelsesforordningens forstand.

” Herefter, og da det forhold, at han efter sin forklaring har været påvirket af Sagsøger 1's reaktion på videregivelsen af oplysningen om [ Udeladt ], ikke i sig selv findes at udgøre en immateriel skade, finder landsretten, at Sagsøger 2 ikke har godtgjort at have lidt en skade i databeskyttelsesfor-ordningens forstand.” …

I nærværende sag har Sagsøger ikke fremlagt nogen form for doku-mentation, ud over forventeligt sin egen partsforklaring, for, at hun har oplevet de psykiske konsekvenser, der hævdes.

Der er ikke fremlagt lægelige erklæringer, journalnotater, dokumenta-tion for behandling, adfærdsændringer eller anden form for bevisfø-relse eller tredjeparters involvering til at understøtte, at der skulle være indtrådt en skade.

Sagsøger har i processkrift VIII gjort gældende, at "enhver bonus pater ville opleve det som yderst krænkende " at opdage et uberettiget opslag. Dette synspunkt udgør imidlertid ikke bevis for, at Sagsøger faktisk har lidt en skade.

Tværtimod bekræfter formuleringen, at der argumenteres ud fra en abstrakt vurdering af, hvad enhver ville op-leve (hvilket i øvrigt er udokumenteret) og ikke ud fra en konkret doku-mentation af, hvad Sagsøger har oplevet som faktiske nega-tive konsekvenser. Hvorvidt der er lidt en skade, må vurderes med ud-gangspunkt i de subjektive forhold og den registreredes beviser for, at de kumulative betingelser er opfyldt.

En eventuel objektiv standard el-ler generelle betragtninger har således ikke betydning for skadesbegre-bet og kan ikke løfte bevisbyrden for, at der er lidt en skade.

34

Opslaget i FMK blev foretaget den 21. januar 2019, altså for mere end 7 år siden. Der er ingen oplysninger om, at de ved opslaget tilgåede op-lysninger er kommet til uvedkommendes kendskab eller er blevet mis-brugt (eller overhovedet brugt).

Der er i nærværende sag alene tale om ét enkelt opslag via FMK, som er forblevet inden for tandlægeklinikkens adgangsbegrænsede login. Den som har logget ind og set oplysningerne, har været i besiddelse af en kombination af Sagsøgers CPR-nummer og klinikkens ad-gangslogin (nøglefil). Der er altså tale om en autoriseret bruger og alle med adgang var underlagt tavshedspligt.

De eventuelt behandlede oplysninger er ikke videregivet til tredje-mand, udbredt, brugt, misbrugt eller har i øvrigt haft nogen konkret ne-gativ konsekvens for Sagsøger. En eventuel frygt for fremti-digt misbrug er under disse omstændigheder af rent hypotetisk karak-ter.

EU-Domstolen har i C-687/21 (MediaMarktSaturn), præmis 68, fastslået:

"Det forholder sig imidlertid ikke desto mindre således, at det tilkommer sagsøgeren i et erstatningssøgsmål på grundlag af databeskyttelsesforord-ningens artikel 82 at godtgøre, at der foreligger en sådan skade. Navnlig kan en rent hypotetisk risiko for misbrug fra en uautoriseret tredjemands side ikke give anledning til erstatning. Dette er tilfældet, når ingen tred-jemand har fået kendskab til de omhandlede personoplysninger." …

Denne situation foreligger i nærværende sag. Ingen uvedkommende tredjemand har fået kendskab til oplysningerne, og der er ingen doku-mentation for nogen form for misbrug, psykisk eller fysisk ubehag, ne-gative konsekvenser mv. i de mere end 7 år, der er gået siden opslaget.

Under hensyn til, at Sagsøger inden opslaget frivilligt havde fremsendt en komplet hospitalsjournal (bilag 3) … og pr. SMS (bilag 2) … af egen drift oplyst om symptomer, diagnose, behandling og medicinering, er det ganske udokumenteret, at der skulle have været nogen form for skade ved at der har været foretaget et opslag efter samme oplysninger fra login tilhørende Sagsøgte. De oplysninger, som var tilgængelige via FMK (recepter og medicinoplys-ninger), var af tilsvarende eller mindre fortrolig karakter end de oplys-ninger Sagsøger allerede selv havde delt.

Sagsøger har således ikke bevist, at der skulle være lidt en skade. Og det er ikke bevist, at den påståede skade adskiller sig fra den eventuelle blotte overtrædelse af forordningen, idet Sagsøger ikke har godtgjort nogen faktisk negativ konsekvens af opslaget, udover konstatering af, at et opslag blev foretaget, jf. herom C-456/22 (Gemeinde Ummendorf), præmis 23 ...

4.6 Der er ikke årsagssammenhæng

35

Såfremt Landsretten mod forventning finder, at Sagsøger har lidt en skade, gøres det gældende, at Sagsøger ikke har løftet bevisbyrden for, at det påståede psykiske ubehag er en følge af opslaget i FMK.

Der er ikke ført bevis for årsagssammenhæng mellem de påståede følel-ser og ubehag og selve opslaget.

Det er både ulogisk og udokumenteret, at et FMK-opslag har forvoldt "et meget væsentligt psykisk ubehag " [Processkrift VII, …, når Sagsøger kort forinden uopfordret havde delt mere omfattende og detaljerede helbredsoplysninger.

4.7 Sagsøgte er ansvarsfri efter artikel 82, stk. 3

Det gøres gældende, at Sagsøgte er fritaget for erstat-ningsansvar i henhold til databeskyttelsesforordningens artikel 82, stk. 3, idet klinikken ikke er skyld i den begivenhed, der medførte den even-tuelle skade. Det fremgår af artikel 82, stk. 3, at

” En dataansvarlig eller databehandler er fritaget for erstatningsansvar i hen-hold til stk. 2, hvis det bevises, at den pågældende ikke er skyld i den begiven-hed, der medførte skaden." …

EU-Domstolen har i C-741/21 (juris-dommen), præmis 49-52 …, fast-slået, at en dataansvarlig ikke kan frigøre sig for sit ansvar blot ved at påberåbe sig, at en ansat har udvist uagtsomhed eller forsømmelse. Sagsøgtes anbringende er imidlertid ikke, at en an-sats uagtsomhed fritager hende; det er derimod, at hun konkret ikke er skyld i begivenheden, fordi opslaget enten er foretaget af Sagsøger selv eller af en person som hun har betroet sit CPR-nummer, hvilket udgør et forhold, der falder uden for den dataansvarliges kon-trol og ansvar.

Sagsøgte har konsistent fastholdt, at hun ikke personligt fore-tog opslaget den 21. januar 2019. Videre har Sagsøgte (og Tand-læge Sagsøgte) ikke instrueret andre heri eller bemyndiget an-dre med Sagsøgers CPR-nummer.

4.8 Sagsøgte har ikke overtrådt helbredsoplys-ningsloven

Sagsøger gør gældende, at helbredsoplysningslovens § 2, stk. 1, og stk. 3, er overtrådt ved opslaget i FMK og parternes korre-spondance med anmodningen om udskrift fra sygehuset. Dette bestri-des.

Helbredsoplysningslovens § 2, stk. 1, regulerer efter sin ordlyd arbejds-giverens adgang til at "anmode" en lønmodtager om helbredsoplysnin-ger med henblik på at belyse, om en sygdom har væsentlig betydning for arbejdsdygtigheden. Bestemmelsen opstiller ikke et generelt forbud mod, at en arbejdsgiver i et sygefraværsforløb kommunikerer med en lønmodtager om arbejdsdygtighed, fraværets forventede varighed eller dokumentation for fraværet.

36

I relation til opslaget i FMK gøres det gældende, at et opslag i FMK ikke udgør en "anmodning " i lovens forstand. Allerede af denne grund kan helbredsoplysningsloven ikke være overtrådt herved.

I relation til SMS-korrespondancen bemærkes, at Sagsøger allerede forud for den omtalte kommunikation af egen drift havde oplyst, at hun var faldet, havde slået albuen, havde blodansamling, ikke kunne strække armen, skulle holde armen i ro og havde fået udskrevet smerte-stillende medicin. På denne baggrund var det både sagligt og naturligt – og inden for helbredsoplysningslovens og ledelsesrettens rammer – at Sagsøgte fulgte op på sygemeldingen og spurgte til arbejdsdygtighed og forventet fravær. Kommunikationen var desuden præget af tillid og havde karakter af almindelig interesse og omsorg.

En anmodning om lægeerklæring eller udskrift fra sygehuset går ikke videre end helbredsoplysningslovens regler tilsiger. En lægeerklæring til arbejdsgiveren må ikke indeholde helbredsoplysninger, og en hospi-talsudskrift bekræfter blot, at vedkommende har været tilset. Doku-menterne afgives til patienten, der selv videregiver dem.

Det bestrides, at Sagsøgte via Person 2 anmodede om hospitalsudskrift. Det var Sagsøger selv, der foreslog en hospitalsudskrift frem for en lægeerklæring.

Helbredsoplysningsloven er ikke til hinder for, at en arbejdsgiver mod-tager oplysninger, som medarbejderen af egen drift fremsender.

4.9 Sagsøger kan ikke opnå dobbeltkompensation for samme forhold

Der kan ikke tilkendes godtgørelse for det samme forhold efter både databeskyttelsesforordningens artikel 82 og helbredsoplysningslovens § 12. Såvel kravet efter databeskyttelsesforordningens artikel 82 som en del af kravet efter helbredsoplysningslovens § 12 angår godtgørelse for ikke-økonomisk skade.

I overensstemmelse med Højesterets praksis i Umbrella-sagerne U 2020.3922 H [M. 439ff] kan der alene udmåles én samlet godtgørelse for den samlede skade. Højesteret anførte herved:

” Selv om enhver deling af de pågældende videoer som udgangspunkt in-debærer en krænkelse af B’ og As ære og person, finder Højesteret heref-ter, at de allerede tilkendte godtgørelser må anses for at kompen-sere for den samlede tort , som de lider i anledning af sager som den fo-religgende. Højesteret tager derfor Cs påstand om frifindelse til følge” [min fremhævelse] …

Efter forarbejderne til helbredsoplysningslovens § 12 skal godtgørelsen dække den ikke-økonomiske skade, og der kan ved siden af godtgørel-sen alene ydes erstatning efter de almindelige erstatningsretlige regler – dvs. erstatning for et dokumenteret økonomisk tab.

37

Der er herved intet til hinder for, at der ved siden af godtgørelsen eller alene ydes erstatning efter de almindelige erstatningsretlige regler. Dette kan f:x tænkes, hvor den pågældende har lidt et egentligt økono-misk tab, hvilket kan være tilfældet, når en ansøger har undladt at søge andre stillinger i tillid til, at loven overholdes, men hvor vedkommende ikke har fået stillingen på grund af helbredsoplysninger, der er indhentet i strid med lovforslagets bestemmelser. […]

Der er for så vidt tale om en fravigelse af erstatningsansvarslovens § 26, der ikke vil kunne påberåbes ved siden af § 12.” (de specifikke be-mærkninger til § 12) …

Da der er tale om forhold som relaterer sig til samme forløb og har samme genstand, er der ikke grundlag for dobbelt godtgørelse for ikke-økonomisk skade ved at tilkende godtgørelse efter begge regelsæt.

4.10 Godtgørelsens størrelse

For det tilfælde, at Landsretten mod forventning måtte finde, at Sagsøger har godtgjort at have lidt en immateriel skade og at Sagsøgte har overtrådt helbredsoplysningsloven, gøres det gæl-dende, at godtgørelsen skal fastsættes til et ubetydeligt beløb.

EU-Domstolen har konsistent fastslået, at retten til godtgørelse efter da-tabeskyttelsesforordningens artikel 82, stk. 1, udelukkende har en kom-penserende funktion og ikke har en afskrækkende eller straffende funk-tion.

I C-655/23 (IP mod Quirin Privatbank AG), præmis 70, udtalte EU-dom-stolen, at principperne for bøder ikke finder anvendelse på erstatninger efter artikel 82, der udelukkende har kompenserende funktion:

” Til forskel fra, hvad databeskyttelsesforordningens artikel 83 fastsætter for administrative bøder, idet kriterierne herfor ikke finder tilsvarende an-vendelse inden for rammerne af forordningens artikel 82, udfylder den ret til erstatning, der er fastsat i artikel 82, navnlig i tilfælde af immate-riel skade, en udelukkende kompenserende funktion, og ikke en afskræk-kende eller straffende funktion, da en økonomisk erstatning på grundlag af artikel 82 skal gøre det muligt fuldstændigt at kompensere den skade, der konkret er lidt på grund af overtrædelsen af den nævnte forordning (jf. i denne retning domme af 4.10.2024, Agentsia po vpisvaniyata, C-200/23, EU:C:2024:827, præmis 153, og Patērētāju tiesību aizsardzības centrs, C-507/23, EU:C:2024:854, præmis 39-41).” C- 655/23, præmis 70 …

Videre anfører EU-domstolen i præmis 79 i sagen (C-655/23 - IP mod Quirin Privatbank AG) …, og C-507/23 (Patērētāju tiesību aizsardzības centrs ), præmis 35-37 …, at når den skade, som den registrerede har lidt, ikke er alvorlig, kan en national ret tilkende vedkommende en ube-tydelig erstatning. EU-Domstolen har desuden anerkendt, at en und-skyldning efter omstændighederne kan udgøre passende erstatning.

38

” Det er blevet fastslået, at når den skade, som den registrerede har lidt, ikke er alvorlig, kan en national ret tilkende vedkommende en ubetydelig erstatning, forudsat at denne beskedne erstatning gør det muligt fuld-stændigt at kompensere for den skade, der er forvoldt, hvilket det tilkom-mer den forelæggende ret at efterprøve.

På samme måde kan en und-skyldning anses for at udgøre en passende erstatning for en immateriel skade på grundlag af artikel 82, bl.a. når det er umuligt at genoprette den situation, der forelå, før skaden indtraf, forudsat at denne form for erstat-ning, for så vidt som den er fastsat i national ret, muliggør en sådan fuldstændig kompensation for den nævnte skade (jf. i denne retning dom af 4.10.2024, Patērētāju tiesību aizsardzības centrs, C-507/23, EU:C:2024:854, præmis 35-37 og den deri nævnte retspraksis).” C-655/23, præmis 79 …

Sagsøgers påstand om 50.000 kr. for immateriel skade og kr. 25.000 for overtrædelse af helbredsoplysningsloven er åbenbart ufor-holdsmæssig og helt uden for rammerne af dansk retspraksis og den påberåbte skade.

Til sammenligning tilkendte Københavns Byret ved dom af 23. septem-ber 2025, BS-15698/2024-KBH en samlet godtgørelse på 5.000 kr. for of-fentliggørelse på en forenings hjemmeside af oplysninger om en medar-bejders sygefravær. Godtgørelsen blev givet under henvisning til erstat-ningsansvarslovens § 26, trods forholdet kunne afgøres under artikel 82 ...

Østre Landsret tilkendte ved dom af 13. november 2024, BS-50776/2023-OLR en samlet godtgørelse på 5.000 kr. efter databeskyttelsesforordnin-gens artikel 82, erstatningsansvarslovens § 26 og markedsføringslovens § 24 for uberettiget offentliggørelse af navn og portrætbillede ...

U 2004.273 Ø hvor Østre Landsret i anledning af et detektivbureaus overvågning af en sygemeldt medarbejder for at klarlægge, om syge-meldingen var reel, fastslog, at overtrædelsen ikke berettigede til tort-godtgørelse efter erstatningsansvarslovens § 26, som nu er erstattet af databeskyttelsesforordningens artikel 82 ...

” Selv om indstævntes videregivelse af de nævnte personoplysninger til detektivbureauet måtte gå videre end hjemlet i lov om behandling af per-sonoplysninger, findes dette ikke at indebære en sådan krænkelse af ap-pellanten, at der er grundlag for tortgodtgørelse i medfør af erstatnings-ansvarslovens § 26, stk. 1.” Landsrettens præmisser, U 2004.273 Ø …

I nærværende sag – hvor oplysningerne ikke er videregivet til tredje-mand, ikke er offentliggjort, ikke er misbrugt, og hvor Sagsøger af egen drift og frivilligt havde delt mere omfattende oplysninger, kan en eventuel godtgørelse under ingen omstændigheder nå et niveau på 50.000 kr. efter databeskyttelsesforordningens artikel 82, eller 75.000 kr. kombineret.

Det gøres gældende, at hvis der er sket en godtgørelsesberettiget skade efter artikel 82 og/eller en overtrædelse af helbredsoplysningsloven,

39

skal den samlede godtgørelse fastsættes til et ubetydeligt beløb under hensyn til ovennævnte forhold.

Endelig er der ikke grundlag for en godtgørelse på kr. 25.000 efter hel-bredsoplysningslovens § 12.”

Landsrettens begrundelse og resultat

Sagens baggrund og problemstillinger Sagen angår i første række, om Sagsøgte har foretaget et op-slag i Det Fælles Medicinkort (FMK) på sin daværende klinikassistentelev Sagsøgers personoplysninger, og i så fald om der herved foreligger en overtrædelse af forordning nr. 2016/679 af 27. april 2016 (databeskyttelsesfor-ordningen) artikel 6 og 9, samt om Sagsøger som følge heraf har ret til erstatning for immateriel skade i medfør af databeskyttelsesforordningens artikel 82, stk. 1.

Sagen angår i anden række, om Sagsøgte har overtrådt hel-bredsoplysningslovens § 2, stk. 1 og 3, ved at anmode Sagsøger om at få oplyst, hvad der var galt med dennes albue, og ved at have indhentet en hospitalsudskrift fra Sagsøger. Det er herunder et spørgsmål, om det var på Sagsøgers egen foranledning, at der til Sagsøgte blev fremsendt en hospitalsudskrift og ikke en lægeerklæring.

Opslaget i Det Fælles Medicinkort Det fremgår af sagen, at der den 21. januar 2019 kl. 21.55 gennem Sagsøgtes adgang til Det Fælles Medicinkort blev foretaget et opslag ved-rørende Sagsøger. Samme aften havde Sagsøger kort forinden sendt Sagsøgte en udskrift af sin journal fra sit forløb på Hille-rød Hospital, hvoraf Sagsøgers CPR-nummer fremgik.

Henset til det tidsmæssige sammenfald mellem Sagsøgtes modtagelse af journaludskriften, hvoraf CPR-nummeret fremgik, og det omhandlede op-slag lægger landsretten til grund, at det var Sagsøgte, der foretog det omhandlede opslag i Det Fælles Medicinkort.

Opslaget indebar indhentning og dermed behandling af personoplysninger om Sagsøger. Da oplysningerne i Det Fælles Medicinkort angik hendes medicinering og dermed Sagsøgers helbredsforhold, er der tale om behandling af personoplysninger omfattet af databeskyttelsesforordningens ar-tikel 9, stk. 1.

Landsretten finder, at Sagsøger ikke ved sin forudgående sms- og mailkorrespondance med Sagsøgte eller ved fremsendelsen af journal-udskriften havde givet samtykke til, at Sagsøgte foretog et opslag i Det

40

Fælles Medicinkort, jf. artikel 9, stk. 2, litra a. Sagsøger kan heller ikke herved anses for at have offentliggjort de oplysninger, som Sagsøgte kunne få adgang til ved opslaget, jf. artikel 9, stk. 2, litra e.

Der er endvidere ikke godtgjort omstændigheder, som kan udgøre et behand-lingsgrundlag efter databeskyttelsesforordningens artikel 6, stk. 1. Landsretten finder herefter, at opslaget blev foretaget i strid med databeskyttelsesforordnin-gens artikel 6 og 9.

Sagsøger har herudover gjort gældende, at opslaget var i strid med sundhedslovens § 42 d. Efter bestemmelsens stk. 1 kan autoriserede sundheds-personer med patientens samtykke til andre formål end behandling ved opslag i elektroniske systemer i fornødent omfang indhente oplysninger om patientens helbredsforhold og andre fortrolige oplysninger. Bestemmelsens stk. 2 angiver, under hvilke omstændigheder sådanne oplysninger kan indhentes uden patien-tens samtykke.

Det er ubestridt, at opslaget ikke skete i forbindelse med behandling af Sagsøger som patient. Opslaget havde derfor ikke et behandlingsmæssigt formål. Da Sagsøger som anført ovenfor ikke havde samtykket til opslaget, og da der ikke forelå omstændigheder omfattet af § 42 d, stk. 2, blev opslaget tillige foretaget i strid med sundhedslovens § 42 d.

Databeskyttelsesforordningens artikel 82 Databeskyttelseslovens § 40 bestemmer, at enhver person, som har lidt materiel eller immateriel skade som følge af en ulovlig behandlingsaktivitet eller enhver anden behandling i strid med denne lov og databeskyttelsesforordningen, har ret til erstatning efter databeskyttelsesforordningens artikel 82.

Det følger af databeskyttelsesforordningens artikel 82, stk. 1, at enhver, som har lidt en materiel eller immateriel skade som følge af en overtrædelse af forord-ningen, har ret til erstatning fra den dataansvarlige for den forvoldte skade. Ef-ter stk. 2 hæfter enhver dataansvarlig, der er involveret i behandling, for den skade, der er forvoldt af behandling, der overtræder forordningen. En dataan-svarlig er ifølge stk. 3 fritaget for erstatningsansvar i henhold til stk. 2, hvis det bevises, at den pågældende ikke er skyld i den begivenhed, der medførte ska-den.

Som anført i Højesterets dom af 19. december 2025 (UfR 2026.1140) og Højeste-rets dom af 24. august 2026 (UfR 2026.4983) foreligger der en omfattende prak-sis fra EU-Domstolen om betingelserne for at få erstatning eller godtgørelse ef-ter artikel 82.

41

Det fremgår af højesteretsdommene, at den, der fremsætter krav efter artikel 82, skal godtgøre, at der foreligger en overtrædelse af forordningen, at vedkom-mende herved har lidt en materiel eller immateriel skade, og at der er årsagsfor-bindelse mellem overtrædelsen og skaden. En overtrædelse af forordningen er således ikke i sig selv tilstrækkelig til at begrunde et krav på erstatning eller godtgørelse.

Bestemmelsen kræver ikke, at skaden overstiger en bagatelgrænse, og der kan heller ikke stilles krav til skadens konkrete karakter eller krænkelsens objektive karakter.

En immateriel skade kan bl.a. bestå i negative følelser, såsom frygt eller util-fredshed, der som følge af overtrædelsen udløses af et tab af kontrol over per-sonoplysningerne, et potentielt misbrug af oplysningerne eller en krænkelse af den pågældendes omdømme, for så vidt som den registrerede godtgør, at ved-kommende har sådanne følelser og de negative konsekvenser heraf.

Når den registrerede påberåber sig en frygt for, at der i fremtiden vil ske mis-brug af vedkommendes personoplysninger som følge af en overtrædelse af for-ordningen, skal retten navnlig efterprøve, om denne frygt kan anses for velbe-grundet under de konkrete omstændigheder og for den pågældende person. Den blotte henvisning til en frygt uden godtgjorte negative konsekvenser kan ikke give anledning til erstatning eller godtgørelse efter artikel 82.

Spørgsmålet er herefter, om Sagsøger har godtgjort, at opslaget og den derved skete behandling af hendes personoplysninger har påført hende en immateriel skade.

Landsretten lægger efter oplysningerne om Det Fælles Medicinkort og Sagsøgers forklaring til grund, at opslaget gav Sagsøgte adgang til følsomme og private oplysninger om Sagsøgers helbredsforhold, herunder oplysninger om præventionsmidler og om øvrig medicin, som hun havde fået ordineret. Det kan efter den skete bevisførelse ikke herudover fast-slås, hvilke konkrete eller yderligere medicinoplysninger, der fremgik ved Sagsøgtes opslag.

Sagsøger har forklaret, at hun fik det meget dårligt, da hun blev be-kendt med opslaget, og at hun bl.a. oplevede tunnelsyn og hjertebanken. Hun oplevede det som intimiderende og grænseoverskridende, at Sagsøgte havde haft adgang til hendes medicinske oplysninger, og hun bekymrede sig om, hvad Sagsøgte kunne bruge oplysningerne til. Hun har endvidere forklaret, at hun sov dårligt i den pågældende periode.

42

Oplysningerne blev indhentet af Sagsøgte, som var Sagsøgers arbejdsgiver, og som hun på daværende tidspunkt befandt sig i et mod-sætningsforhold til. Henset hertil, til oplysningernes følsomme og private ka-rakter og til Sagsøgers forklaring om sin reaktion på opslaget finder landsretten det godtgjort, at opslaget indebar et tab af kontrol over hendes per-sonoplysninger, som i situationen var egnet til, og som også påførte hende, ne-gative følelser og følger heraf. Landsretten finder på den baggrund, at Sagsøger har lidt en immateriel skade som følge af overtrædelsen af data-beskyttelsesforordningens artikel 6 og 9.

Da Sagsøgte efter det ovenfor anførte selv foretog det uberettigede op-slag, har hun ikke godtgjort, at den begivenhed, der medførte skaden, ikke kan tilregnes hende. Betingelserne for ansvarsfritagelse efter databeskyttelsesfor-ordningens artikel 82, stk. 3, er derfor ikke opfyldt.

Udmåling af godtgørelse for immateriel skade Det fremgår af Højesterets dom af 19. december 2025 (UfR 2026.1140), at erstat-ningen eller godtgørelsen efter artikel 82 skal kompensere den lidte skade fuldt ud og fastsættes af de nationale domstole ved anvendelse af nationale regler og under overholdelse af de EU-retlige principper om ækvivalens og effektivitet. Når den skade, som den pågældende har lidt, ikke er alvorlig, kan der tilkendes en ubetydelig erstatning eller godtgørelse.

EU-Domstolen har endvidere i dom af 4. september 2025 i sag C-655/23 (IP), jf. præmis 70, fastslået, at retten til erstatning efter artikel 82 har en udelukkende kompenserende og ikke en afskrækkende eller straffende funktion, og at graden af den dataansvarliges skyld ikke skal tillægges betydning ved fastsættelsen af erstatningens størrelse.

Det er i den foreliggende sag uoplyst, hvilke konkrete medicinoplysninger der var registreret om Sagsøger i Det Fælles Medicinkort på tidspunktet for opslaget, og dermed hvilken nærmere karakter de oplysninger, som Sagsøgte fik adgang til, havde. Der foreligger heller ikke oplysninger om, at oplysningerne blev videregivet til andre eller anvendt i anden sammenhæng, eller at opslaget havde andre konkrete følger end dem, der er beskrevet oven-for.

Efter en samlet vurdering finder landsretten, at godtgørelsen for den immateri-elle skade passende kan fastsættes til 5.000 kr.

Helbredsoplysningsloven Af helbredsoplysningslovens § 2, stk. 1, fremgår, at en arbejdsgiver under an-sættelse af en lønmodtager alene må anmode om helbredsoplysninger med det formål at få belyst, om lønmodtageren lider af en sydom eller har symptomer

43

på en sygdom, når sygdommen vil have væsentlig betydning for lønmodtage-rens arbejdsdygtighed ved det pågældende arbejde.

Lønmodtageren har underretningspligt over for arbejdsgiveren ved sygefravær, og som udgangspunkt er medarbejderens egen erklæring om at være syg til-strækkelig dokumentation for sygdommen. Medarbejderen har ikke pligt til til-lige at oplyse om sygdommens art, jf. f.eks. UfR 2022.3317 H. Ved sygefravær af længere varighed kan arbejdsgiveren kræve en lægeerklæring, der i almindelig-hed vil være tilstrækkelig dokumentation for et sygefravær.

Det fremgår af den fremlagte sms-korrespondance, at Sagsøger ons-dag den 16. januar 2019 sygemeldte sig over for Sagsøgte og samtidig oplyste at have slået sin arm med blodansamling i albuen til følge. Sagsøgte anmodede herefter ved sms af søndag den 20. januar 2019 Sagsøger om en lægeerklæring eller om udskriften fra sygehuset, og mandag den 21. januar 2019 spurgte Sagsøgte, hvad der var galt med Sagsøgers albue.

Sagsøger oplyste samme mandag, at hun var blevet røntgenfotograferet, og at lægen havde sagt, at hun havde forstuvet sit håndled og havde fået en blodansamling i albuen. Hertil spurgte Sagsøgte, hvornår Sagsøger vidste dette, og bemærkede, at Sagsøger havde pligt til at underrette klinikken herom. Sagsøgte bemærkede afslutningsvis, at hun fortsat afventede en lægeerklæring.

Samme aften svarede Sagsøger, at Person 2 havde sagt til hende, at Sagsøgte hellere ville have en hospitalsudskrift i stedet for en lægeer-klæring til 1.500 kr., hvortil Sagsøgte svarede, at det var fint med en hospitalsudskrift.

Sagsøger har om de to sidstenævnte beskeder forklaret, at hendes kollega, Person 2, ringede og sagde, at Sagsøgte ikke vil-le betale for lægeerklæringen, når den kostede 1.500 kr., og at Sagsøger kunne sende udskriften fra hospitalet i stedet.

Sagsøger sendte herefter den 21. januar 2019 hospitalsudskriften fra Hillerød Hospital til Sagsøgte, og den 25. januar 2019 rykkede Sagsøgte tillige for hospitalsudskriften fra Helsingør Hospital.

Landsretten lægger herefter til grund, at Sagsøgte i to tilfælde i strid med helbredsoplysningslovens § 2, stk. 1, har anmodet Sagsøger om at fremsende hospitalsudskrifter frem for en lægeerklæring.

Da Sagsøger i forbindelse med sin sygemelding af 16. januar 2019 selv oplyste at have en blodansamling i albuen, findes det ikke at være i strid med helbredsoplysningslovens § 2, stk. 1, at Sagsøgte den 21. januar 2019 spurgte, hvad der var galt med Sagsøgers albue.

44

Sagsøger har efter det anførte krav på godtgørelse i medfør af helbredsoplysningslovens § 12, som efter indholdet af de omhandlede hospitalsudskrifter – der i det væsentlige svarer til de oplysninger, som Sagsøger selv havde afgivet til Sagsøgte i de nævnte sms’er – passende findes at kunne fastsættes til 1.000 kr.

Konklusion og sagsomkostninger Sagsøgte skal herefter til Sagsøger betale i alt 6.000 kr., som omfatter 5.000 kr. i godtgørelse for immateriel skade som følge af overtrædelsen af databeskyttelsesforordningen og 1.000 kr. i godtgørelse for overtrædelse af helbredsoplysningsloven. Beløbet forrentes fra sagens anlæg.

Under hensyntagen til sagens videregående betydning finder landsretten, at in-gen part skal betale sagsomkostninger til den anden part.

THI KENDES FOR RET:

Sagsøgte skal inden 14 dage til Sagsøger betale 6.000 kr. med procesrente fra den 25. marts 2020.

Ingen af parterne skal betale sagsomkostninger til den anden part.

Publiceret til portalen d. 15-10-2026 kl. 10:00 Modtagere: Biintervenient Dansk Arbejdsgiverforening, Biintervenient Fagbevægelsens Hovedorganisation, Sagsøgte, Sagsøger