EU-Domstolen tillader ulovligt indhentede data som bevis trods GDPR-brud

Baggrunden for sagen

Sagen udspringer af en konflikt mellem en klimateknikvirksomhed og en tidligere medarbejder, der tillige havde været gift med virksomhedens direktør. Efter deres separation fik virksomheden mistanke om, at kvinden solgte virksomhedens ejendom via sin private eBay-konto. For at bevise dette skaffede virksomheden sig adgang til hendes konto, angiveligt ved at anmelde hendes firmamobil som bortkommet, bestille et nyt SIM-kort og derigennem ændre hendes adgangskode.

Fri bevisbedømmelse kontra GDPR

Selvom indsamlingen af disse data højst sandsynligt var ulovlig, slog EU-Domstolen fast, at GDPR ikke per automatik forbyder domstole at tillade sådanne beviser. Domstolen fremhævede, at retten til en retfærdig rettergang og principperne for fri bevisbedømmelse vejer tungt:

"disse bestemmelser og dette princip ikke er til hinder for, at en national domstol anvender bevismateriale, der indeholder personoplysninger, som er indsamlet i strid med retten til beskyttelse af privatlivets fred og retten til beskyttelse af personoplysninger af den part, der har fremsendt oplysningerne til den nationale domstol"

Domstolen præciserede dog, at domstolene fortsat er forpligtede til at overholde GDPR-princippet om "dataminimering". Det betyder, at der kun må føres bevis for de oplysninger, der er strengt nødvendige for at oplyse den konkrete sag. Hvis beviserne indeholder overflødige persondata, skal retten overveje at foretage pseudonymisering eller anonymisering, før dokumenterne indgår i sagens akter [1].

Afvisning af klage underkendt

En østrigsk læge havde anmodet en onlineplatform om at slette hendes personoplysninger. Da platformen nægtede, anlagde hun først et civilt søgsmål ved domstolene og indgav derefter en formel klage til det østrigske datatilsyn over præcis samme forhold.

Datatilsynet afviste imidlertid rutinemæssigt klagen med den begrundelse, at der allerede verserede en retssag om spørgsmålet, og at man ville undgå modstridende afgørelser.

Dobbelt retsbeskyttelsessystem

EU-Domstolen underkender nu denne praksis fuldstændigt. Domstolen slår fast, at GDPR netop er bygget op om et dobbelt retsbeskyttelsessystem, hvor de registrerede borgere har ret til at benytte flere uafhængige retsmidler samtidigt.

I dommen udtaler EU-Domstolen skarpt om de nationale tilsynsmyndigheders forpligtelser:

"Det ville imidlertid være i strid med samme forpligtelse at fratage en registreret, der er berørt af en behandling af personoplysninger, muligheden for at benytte sig af en sådan beskyttelsesmekanisme ved at tillade, at tilsynsmyndigheden afviser vedkommendes klage alene med den begrundelse, at der tidligere er anlagt et søgsmål"

Hvis et datatilsyn frygter at træffe en afgørelse, der strider imod en civil domstol, har tilsynet mulighed for at udsætte sagsbehandlingen, mens retssagen pågår – men borgerens klage må aldrig blot afvises [2].

Konflikten om navngivning

I en kendelse fra Pressenævnet var omdrejningspunktet fagbladet Journalisten, som i en artikel havde valgt at navngive en person, der ellers var blevet fuldt ud anonymiseret i en tidligere afgørelse fra selvsamme Pressenævn.

Klageren argumenterede for, at det var en krænkelse af privatlivets fred, at Journalisten offentliggjorde hans fulde navn, når nævnet netop havde truffet beslutning om at pseudonymisere ham i den offentligt tilgængelige database for at beskytte hans data.

Pressenævnets afgørelse og medieansvarsloven

Pressenævnet frifandt imidlertid Journalisten. Nævnet sondrer skarpt mellem deres egne strenge forpligtelser under databeskyttelseslovgivningen, hvor de optræder som offentlig myndighed, og mediernes udvidede frihed under Medieansvarsloven § 34. Da klageren i forvejen var en offentligt kendt provokunstner og debattør, og da sagens kerne handlede om mediet Politikens ret til at betegne ham som "højreradikal", vurderede nævnet, at sagen havde en så væsentlig almen interesse, at det var lovligt for Journalisten at de-anonymisere ham.

Sag om ærekrænkelser i tv-serie

EU-Domstolen har netop samme uge (C-232/25) taget stilling til en sag, hvor polske krigsveteraner sagsøgte tyske tv-producere for ærekrænkelser i en tv-serie, der blev streamet og udsendt i adskillige EU-lande.

Afgørelse om interessecentrum

Her fastslog EU-Domstolen, at det afgørende for valg af værneting – altså i hvilket land retssagen overhovedet kan anlægges – er, hvor sagsøgerne har deres "interessecentrum". Fordi seriens skildring havde en særlig historisk og kulturel gennemslagskraft i Polen, og sagsøgerne residerede der, kunne de polske domstole lovligt behandle kravet om erstatning for de skader, der var forvoldt i samtlige medlemsstater. Denne afklaring er et centralt redskab for borgere, der rammes af internationalt distribuerede krænkelser [3].

En pragmatisk tendens i retspraksis

Udviklingen på tværs af de forskellige instanser bekræfter en pragmatisk tendens: Persondataretten og de stramme GDPR-regler udgør ikke en absolut uigennemtrængelig mur, men indgår i en konstant afvejning over for fundamentale institutioner – hvad enten det drejer sig om det civilretlige systems behov for sandhedssøgning, borgernes adgang til klageinstanser, eller den frie presses ret til at informere offentligheden.