Romerike og Glåmdal tingrett avsa nylig dom i sak TROG-2023-81694 om utmåling av oppreisningserstatning etter brudd på personvernforordningen.
Saken gjaldt en hendelse på en skole hvor en lærer benyttet storskjerm i undervisningen av et valgfag. Ved fremvisning på storskjermen ble det i en kortere periode vist en e-post hvor det fremkom sensitive personopplysninger om eleven A. Enkelte av elevene i klasserommet fikk med seg deler av innholdet i e-posten og fortalte A om dette i friminuttet.
Skolen ble orientert om hendelsen fra As foresatte, og fulgte opp saken ved å varsle kommunens personvernombud og Datatilsynet, hvor sistnevnte kom til at hendelsen innebar et brudd på personvernforordningens artikkel 32. Senere vurderte også Statsforvalteren at hendelsen måtte anses som et brudd på reglene om taushetsplikt i opplæringsloven § 15-1, jf. forvaltningsloven § 13 første ledd.
A fremmet deretter – ved sine foresatte – krav om oppreisningserstatning mot kommunen.
Kommunen erkjente at det forelå ansvarsgrunnlag og årsakssammenheng, ettersom hendelsen innebar et brudd på personopplysningsloven, og at A dermed kunne kreve erstatning, jf. personopplysningsforordningen artikkel 82. Videre var kommunen enig i at utmålingen av erstatningen måtte foretas etter reglene i personopplysningsloven § 30. Som følge av dette tilbød kommunen en oppreisningserstatning til A på 30 000 kroner.
A aksepterte ikke tilbudet, og det ble tatt ut stevning for å få fastsatt utmålingen av oppreisningserstatningen.
Ved tingrettens behandling av saken la As prosessfullmektig særlig vekt på at det var tale om en grov krenkelse av As personvern, ettersom hun var et barn og at det var tale om svært sensitive opplysninger. Det ble også anført at læreren hadde utvist grov uaktsomhet, i lys av at lærere som håndterer særlig sensitive opplysninger om barn vil måtte være særlig oppmerksom på lagring og bruk av disse opplysningene. Endelig ble det anført at ettersom at kommunen som behandlingsansvarlig ikke hadde blitt ilagt andre sanksjoner, burde erstatningen være av en viss størrelse for å ivareta det pønale aspektet ved et slikt ansvar.
As prosessfullmektig nedla påstand om at oppreisningserstatningen burde ligge på omkring 150 – 200 000 kroner.
Kommunens bestred ikke at det forelå grunnlag for erstatning, men viste til at nivået for oppreisningserstatning både nasjonalt og internasjonalt lå på et nøkternt nivå. Ettersom dette også gjaldt ved forsettlige overtredelser, måtte dette også være tilfellet i denne saken, hvor overtredelsen etter kommunens syn var et utslag av simpel uaktsomhet hos læreren. Kommunen la videre vekt på at personopplysningen kun ble vist i noen sekunder, for en avgrenset gruppe, slik at spredningspotensiale var langt lavere enn i tidligere saker for domstolene. Kommunen bestred at læreren hadde utvist grov uaktsomhet, og hevdet at alle rutiner for varsling ble fulgt, samt at rutinene i etterkant av hendelsen hadde blitt skjerpet. Endelig viste kommunen til at det pønale aspektet ved erstatningen ville ha mindre betydning overfor kommunen, da de ikke hadde noen egeninteresse eller fordel av overtredelsen. Kommunen anførte på denne bakgrunn tilbudet om en oppreisningserstatning på 30 000 kroner var tilstrekkelig.
Ved rettens vurdering ble det først tatt utgangspunkt i personopplysningsloven § 30, hvor det fremkommer at ved overtredelser personvernforordningen § 82, skal det pålegges å betale oppreisningserstatning som «synes rimelig».
Retten viste deretter til forarbeidene til bestemmelsen hvor det fremgår at det ved vurderingen er:
«naturlig å legge vekt på krenkelsens grovhet, utvist skyld, den behandlingsansvarliges økonomi og hvilke andre sanksjoner som rettes mot den behandlingsansvarlige eller databehandleren. Det vil også være naturlig å legge vekt på i hvilken utstrekning krenkingen har ført til en berikelse for den behandlingsansvarlige eller databehandleren.»
Ved vurderingen av de ovenstående momentene legger retten til grunn at hendelsen var et utslag av menneskelig svikt, og at det ikke var tale om en forsettlig handling. Retten konkluderer med at lærerens opptreden var uaktsom, men ikke så graverende at den kunne karakteriseres som grovt uaktsom, ettersom hendelsen skyldtes et uhell.
Når det gjaldt krenkelsens grovhet, la retten vekt på at det var tale om personopplysninger av en sensitiv kategori, at opplysningene omhandlet et barn, og at barn hadde et særskilt vern iht. personvernforordningen. Retten la derfor til grunn at krenkelsen objektivt sett var alvorlig.
Retten ga visere uttrykk for at As anførsel om at erstatningen måtte ivareta det pønale aspekt, var relevant, men at dette var av mindre betydning ettersom det var tale om et offentlig organ. I et slikt tilfelle ville Datatilsynets og Statsforvalterens konstatering av regelbrudd, i tillegg til at kommunen hadde innført rutineendringer for å forhindre at en tilsvarende situasjon, innebære at hendelsen hadde fått konsekvenser for kommunen. Videre hadde kommunen ikke hatt noen egeninteresse eller fordel av hendelsen, og retten fant derfor ikke å kunne tillegge dette momentet betydelig vekt.
Retten vurderer også utmålingen av oppreisningserstatning opp mot andre tilsvarende saker, både etter någjeldende og tidligere personvernlovgivning, samt saker om oppreisningserstatning etter skadeserstatningsloven § 3-6 om erstatning for krenking av privatlivets fred. Etter en gjennomgang av en rekke dommer kommer retten til at nivået på erstatningen med ett unntak synes å ligge på mellom 25 – 30 000 kroner. Retten fant imidlertid at ingen av disse sakene var direkte sammenlignbare med denne saken, selv om det forelå relevante momenter i alle avgjørelsene.
I den konkrete vurderingen slår retten innledningsvis fast at det ikke er grunnlag til å gi A medhold i påstanden om at oppreisningserstatningen burde ligge på mellom 150 – 200 000 kroner. Samtidig uttales det at kommunens anførsel om 30 000 kroner i oppreisningserstatning vil være vesentlig for lavt sett i sammenheng med at krenkelsen grove karakter. Dette fordi saken omhandlet særlige personopplysninger om et barn og at bruddet hadde hatt alvorlige konsekvensene for A.
Tingretten viste så til en Høyesterettsdom fra 2006 – som man mente hadde flest likhetstrekk med den aktuelle sak - hvor Høyesterett hadde kommet til at oppreisningserstatningen skulle settes til 50 000 kroner, hvilket justert for inflasjon tilsvarte 77 000 kroner i 2024. Retten viser deretter til at kommunen er den sterke parten i saken, og at den må forventes å ivareta særlig personopplysninger for elever på en trygg måte, særlig siden elevene har lite eller ingen mulighet til å påvirke skolens og kommunens håndtering av opplysningene. Etter en samlet vurdering ble oppreisningserstatningen derfor fastsatt til 90 000 kroner.
Dommen er interessant ettersom det finnes lite praksis knyttet til nivået på oppreisningserstatning for det offentliges krenkelser av personvernet. Videre viser dommen at personvernet anses som fundamentalt viktig, og at alvorlige overtredelser bør møtes med en erstatningsrettslig reaksjon som kan oppfattes som streng.
Dommen er pr. idag ikke rettskraftig