En enkelt medarbejder kom til at sende for meget med ud i et aktindsigtssvar. Det kostede Hillerød Kommune 30.000 kr. i godtgørelse — tolv gange mere end landsretten havde fastsat. Samtidig strammer Datatilsynet skruen om svarfrister på indsigtsanmodninger og om kameraovervågning, og et nyt høringsudkast viser, hvor detaljerede personoplysninger om afskedigede medarbejdere der reelt flyder videre i beskæftigelsessystemet.
Sådan nåede Højesteret frem til 30.000 kroner
Højesteret afsagde den 24. august 2026 dom i sag BS-44501/2025-HJR og fastslog, at Hillerød Kommune var erstatningsansvarlig for at have videregivet helbredsoplysninger om en borger til en privatperson, hun stod i et modsætningsforhold til. Godtgørelsen blev sat til 30.000 kr. mod Østre Landsrets 2.500 kr. i dommen fra august 2025 — en afgørelse, Datatilsynet allerede dengang pegede på kunne blive et nybrud.
"Det var således en klar fejl, at oplysningerne blev videregivet i strid med databeskyttelsesforordningens artikel 6 og 9."
Dommen er interessant, fordi Højesteret så sent som i januar 2026 slog fast, at et sikkerhedsbrud ikke i sig selv giver ret til godtgørelse. Nu viser praksis den anden side af mønten: når skaden først er dokumenteret, ligger niveauet markant højere end hidtil antaget. Flere kommentatorer taler om et nyt niveau for GDPR-godtgørelser.
Fejlen i aktindsigten
Kommunen besvarede i april 2019 en aktindsigtsanmodning fra faderens tidligere ægtefælle. Med i svaret fulgte ved en fejl to dokumenter: en ansøgning om økonomisk støtte til et efterskoleophold, hvoraf det fremgik, at den nuværende ægtefælle var diagnosticeret med en alvorlig psykisk lidelse og var i jobafklaringsforløb efter lange sygeperioder, samt en afgørelse med en beregning af et månedligt rådighedsbeløb på knap 10.000 kr.
Oplysningerne blev efterfølgende brugt i en verserende sag ved Familieretshuset om barnets bopæl. Højesteret fandt, at videregivelsen af helbredsoplysningerne stred mod databeskyttelsesforordningens artikel 9, mens de økonomiske oplysninger blev videregivet i strid med artikel 6.
Hvorfor kun den ene fik godtgørelse
Højesteret lagde ved udmålingen vægt på, at oplysningerne var meget følsomme og private, at de blev givet til en privatperson i et modsætningsforhold, at de blev bragt videre til Familieretshuset, og at videregivelsen efter sin karakter var egnet til at påvirke selv- og æresfølelsen. Ægtefællen fik derimod intet: hverken oplysningen om hans rådighedsbeløb eller oplysningen om, at han er gift med en person med en psykisk lidelse, blev anset for at udgøre en immateriel skade.
| Part | Påstand | Østre Landsret | Højesteret |
|---|---|---|---|
| A (helbredsoplysninger) | 55.000 kr. | 2.500 kr. | 30.000 kr. |
| B (økonomiske oplysninger) | 55.000 kr. | Frifindelse | Frifindelse |
Begge blev anset for krænket efter Menneskerettighedskonventionens artikel 8, men kun for A var en konstatering af krænkelsen ikke tilstrækkelig kompensation. Godtgørelsen blev fastsat efter et samlet skøn med erstatningsansvarslovens § 26 som pejlemærke.
Menneskelig fejl fritager ikke den dataansvarlige
Kommunen forsøgte at slippe fri efter forordningens artikel 82, stk. 3, med henvisning til, at der var tale om en enkeltstående menneskelig fejl hos en ellers kompetent medarbejder. Det afviste Højesteret.
For arbejdsgivere er det pointen med praktisk rækkevidde. HR-funktioner sidder dagligt med mulighedserklæringer, friattester, § 56-aftaler, refusionssager og sygefraværsnotater — alt sammen helbredsoplysninger omfattet af artikel 9. En fejlsendt mail til en forkert kollega, en indsigtsbesvarelse med for brede vedhæftninger eller et fraværssystem med for åbne adgangsrettigheder er præcis den fejltype, sagen handler om. Dokumenterede procedurer, adgangsbegrænsning og fire øjne på udleveringer er billigere end 30.000 kr. pr. berørt person.
Når medarbejderen beder om indsigt løber fristen fra dag ét
Samme uge tog Udviklings- og Forenklingsstyrelsen en alvorlig kritik fra Datatilsynet til efterretning. Kritikken angår Skatteforvaltningens behandling af indsigtsanmodninger efter databeskyttelsesforordningen, hvor en betydelig andel af anmodningerne ikke blev besvaret inden for forordningens frister.
| Periode | Gennemsnitlig sagsbehandlingstid |
|---|---|
| 2019–2024 | Ca. 100 dage |
| 2025 | Ca. 59 dage |
En halvering af sagsbehandlingstiden var altså ikke nok. Udgangspunktet efter forordningen er svar uden unødig forsinkelse og senest en måned efter modtagelsen, med mulighed for forlængelse i komplekse sager — og forlængelsen skal meddeles den registrerede inden for den første måned.
For private arbejdsgivere er parallellen ubehagelig nær. Indsigtsanmodninger fra medarbejdere kommer sjældent i rolige perioder; de kommer typisk i forbindelse med en advarsel, en sygefraværssag eller en opsigelse, hvor de bruges til at kortlægge arbejdsgiverens dokumentation. Har virksomheden ikke på forhånd besluttet, hvem der ejer opgaven, hvilke systemer der skal søges i (mailarkiv, HR-system, lønsystem, chatlogs), og hvordan tredjemands oplysninger sorteres fra, er en måned kort tid.
Kameraovervågning kræver tungtvejende grunde og aktiv oplysning
Datatilsynet har afsluttet et tilsyn med fem boligforeningers tv-overvågning. Sagerne endte uden sanktioner, men de opmærksomhedspunkter, tilsynet formulerer, gælder principielt enhver dataansvarlig med kameraer — også arbejdsgivere med overvågning af lager, produktion, kasselinje eller adgangsveje.
- Overvågning bør kun iværksættes, når der foreligger tungtvejende grunde; enkeltstående tyveri eller hærværk er som udgangspunkt ikke nok.
- Mindre indgribende midler skal være overvejet først.
- Kameraer skal placeres, så man ikke kan følge enkeltpersoners færden.
- De 30 dages opbevaring i tv-overvågningsloven er en maksimumgrænse, ikke en standard — optagelser skal slettes tidligere, hvis der ikke er et reelt behov.
- Overvågningen skal standses, når det problem, der begrundede den, er væk.
"Oplysningspligten kræver, at den dataansvarlige aktivt giver oplysningerne til den registrerede, og det er som udgangspunkt ikke tilstrækkeligt at have dem liggende på en hjemmeside, som den registrerede selv skal finde."
Dertil kommer en udvikling, der rækker ud over boligområdet: EU-Domstolen fastslog den 18. december 2025 i en sag om kropsbårne kameraer hos billetkontrollører, at kameraindsamling er indsamling direkte fra den registrerede, så oplysningspligten efter artikel 13 skal opfyldes på indsamlingstidspunktet. Datatilsynet forventer, at dommen fører til en ændring af tv-overvågningsloven og til en ændret tilsynspraksis — relevant for enhver virksomhed, der overvejer bodycams til vagter, kontrollører eller udkørende personale.
Masseafskedigelser sender CPR-numre og fratrædelsesdatoer videre i systemet
Styrelsen for Arbejdsmarked og Rekruttering har sendt to ændringsbekendtgørelser i høring med frist den 29. september 2026. Anledningen er et tilsyn fra Beskæftigelsesministeriets databeskyttelsesrådgiver.
"Bekendtgørelsesændringerne følger af databeskyttelsesrådgiverens tilsyn, der har vurderet, at de regionale beskæftigelsesråd og STAR anses som to selvstændige dataansvarlige myndigheder."
Udkastet nyaffatter reglerne om dataansvar, så det fælles dataansvar efter forordningens artikel 26 fastholdes, men suppleres med en ny bestemmelse, hvorefter STAR er selvstændig dataansvarlig for de varslingsoplysninger, rådene videregiver til styrelsen til koordinering og arbejdsmarkedsanalyse. Samtidig oplistes præcist, hvilke personoplysninger der må behandles i hver enkelt opgave — herunder navne, CPR-numre, stillingsbetegnelser, bopælskommune, opsigelses- og fratrædelsesdato, årsag til afskedigelsen, medarbejderkategori og afskedigelsesgodtgørelse.
Den anden ændring udvider underretningspligten over for de regionale beskæftigelsesråd fra ét til fire led i varslingsloven:
| Varslingsloven | Indhold | I dag | Efter udkastet |
|---|---|---|---|
| § 6, stk. 2 | Genpart af meddelelsen til lønmodtagerne (årsager, antal, kategorier, udvælgelseskriterier, godtgørelser) | Nej | Ja |
| § 7, stk. 1, 1. pkt. | Meddelelse om, at afskedigelserne fortsat agtes gennemført | Nej | Ja |
| § 7, stk. 3 | Hvilke personer der omfattes af afskedigelserne | Kun 1. pkt. | Hele bestemmelsen |
| § 7, stk. 4, 1. pkt. | Det endelige resultat af forhandlingerne | Nej | Ja |
Styrelsen beskriver udvidelsen som en kodificering af gældende praksis og som en opfyldelse af varslingsdirektivets krav om underretning af den kompetente myndighed. For virksomheder, der planlægger en afskedigelsesrunde af større omfang, er pointen praktisk: det materiale, HR sender som led i varslingsproceduren, er personhenførbart og bliver behandlet af to selvstændige myndigheder. Udvælgelseskriterier, begrundelser og godtgørelsesoplysninger bør derfor formuleres med samme omhu som i et procesdokument — og de interne kopier bør have en slettefrist.
