När människor tänker på en integritetskatastrof föreställer de sig vanligtvis hackare. En färsk dom från Danmarks Högsta Domstol pekar någonstans mindre dramatiskt: en rutinmässig administrativ begäran som hanterats felaktigt. Fallet väcker en praktisk fråga om GDPR-ersättning för obehörigt utlämnande av uppgifter, och det visar hur stor skada ett enda kontorsmisstag kan göra.

Vad som hände i det danska kommunfallet

Enligt rapporten lämnade en dansk kommun av misstag ut känslig hälsoinformation och ekonomiska uppgifter om en invånare till dennes före detta make/maka. Utlämnandet skedde medan kommunen hanterade en rutinmässig begäran om aktinsyn. Ingen angripare, skadlig programvara eller stulna inloggningsuppgifter var inblandade. En offentlig myndighet lämnade helt enkelt ut information till någon som inte borde ha fått den.

Fallet gick till Danmarks högsta domstol. Den granskade huruvida det obehöriga utlämnandet av synnerligen känsliga personuppgifter borde leda till ersättning enligt GDPR. Den sammanfattning som finns tillgänglig för oss redogör inte för den fullständiga motiveringen, det slutliga utfallet eller något tilldömt belopp, så vi kommer inte att spekulera i dessa detaljer. Läsare som vill ha specifikationerna bör konsultera den fullständiga domen eller en juridisk analys av den.

Hur Högsta Domstolen närmade sig GDPR-ersättning

Den rättsliga bakgrunden är artikel 82 i GDPR. Den slår fast att varje person som har lidit materiell eller immateriell skada till följd av en överträdelse av förordningen har rätt till ersättning från den personuppgiftsansvarige eller personuppgiftsbiträdet som är ansvarig. "Immateriell" skada är viktig här. Den omfattar skador som oro eller förlust av kontroll över personuppgifter, inte bara mätbara ekonomiska förluster.

Det är därför fall som detta följs noggrant. När uppgifter hamnar hos fel person finns det kanske inga stulna pengar eller identitetsbedrägerier att peka på. Frågan för en domstol är hur man ska bedöma den skada som följer av själva exponeringen, särskilt när mottagaren är någon med en personlig historia med den drabbade personen. Domstolar i hela Europa har arbetat med var gränsen går, och ett avgörande från en nationell högsta domstol tillför en användbar datapunkt för hur dessa anspråk bedöms.

En annan punkt värd att notera är att den personuppgiftsansvarige i detta fall var en offentlig myndighet. Offentliga organ innehar stora mängder uppgifter om invånare, ofta eftersom invånarna inte har något verkligt val när det gäller att dela dem. Det gör noggrann hantering till en juridisk skyldighet snarare än en artighet.

Varför känsliga hälso- och ekonomiska uppgifter ökar insatserna

GDPR behandlar hälsouppgifter som en särskild kategori som får starkare skydd. Ekonomisk information tillhör inte formellt samma kategori, men den kan vara lika avslöjande. Tillsammans kan de avslöja en persons medicinska tillstånd, inkomst, skulder och levnadsförhållanden.

I kontexten av en före detta make/maka är risken lätt att förstå. Information om någons hälsa eller ekonomi kan användas i tvister, eller helt enkelt orsaka oro, när den väl hamnar i händerna på en person som relationen har avslutats med. Ett utlämnande som detta kan inte göras ogjort. När informationen väl har setts finns det inget sätt att återkalla den.

Det är också därför incidenten skiljer sig från de intrång som vanligtvis dominerar rubrikerna. En hackare vill vanligtvis ha data i bulk. Ett felriktat utlämnande involverar en persons mest personliga detaljer, levererade till exakt fel läsare.

Vad individer kan och inte kan kontrollera om sina uppgifter

Det är värt att vara direkt om begränsningarna hos personliga säkerhetsverktyg. En VPN krypterar din anslutning och döljer din IP-adress från webbplatser du besöker. Den gör ingenting för att hindra en kommun, ett sjukhus eller en domstol från att skicka dina journaler till fel person. När en institution väl innehar dina uppgifter beror hanteringen av dem på den institutionens processer, utbildning och kontroller.

Detsamma gäller större incidenter. Thomson Reuters C-Track-intrånget som drabbade domstolar i 11 delstater är ett annat exempel på data som innehas av institutioner och hamnar utanför kontrollen av de personer den beskriver. På samma sätt visar statliga datainsamlingsprogram som Karnatakas föreslagna Aadhaar-krav för sociala medier hur mycket personlig information som flödar in i officiella system som individer inte kan granska.

Vad detta innebär för dig

Du kan inte förhindra varje institutionellt misstag, men du har rättigheter som gäller när ett sådant inträffar:

  • Rätt till tillgång: Du kan fråga en organisation vilka uppgifter den har om dig och hur de används.
  • Rätt att klaga: Om du anser att dina uppgifter har hanterats felaktigt kan du lämna in ett klagomål till din nationella dataskyddsmyndighet.
  • Rätt till ersättning: Enligt artikel 82 kan du söka ersättning för materiell eller immateriell skada orsakad av en GDPR-överträdelse.

Om du är i en tvist med en före detta partner, överväg att informera varje myndighet du har kontakt med, skriftligen, om att dina journaler inte bör lämnas ut till tredje part utan verifiering. Det kommer inte att garantera mot fel, men det skapar ett register och kan föranleda extra kontroller.

Viktiga slutsatser

  • Många av de mest skadliga integritetsmisslyckandena kommer från institutionella fel, inte hackning.
  • En VPN kan inte skydda data som en organisation innehar och hanterar felaktigt.
  • GDPR-ersättning för obehörigt utlämnande av uppgifter kan täcka immateriell skada, inte bara ekonomisk förlust.
  • Lär dig hur du utövar dina rättigheter till tillgång, klagomål och ersättning.

Det danska avgörandet är en påminnelse om att dataskyddslagstiftningen finns till för exakt dessa ögonblick. Lär dig vad GDPR ger dig rätt till, behåll dokumentation om något går fel, och läs om andra fall av institutionella datafel, såsom Thomson Reuters C-Track-intrånget, för att se hur ofta den svaga punkten ligger utanför din kontroll.