22 Erstatning (oppreisning)

22.1 Gjeldende rett

Personopplysningsloven § 49 fastsetter regler om erstatning. Det følger av første ledd at den behandlingsansvarlige skal erstatte skaden som er oppstått som følge av at personopplysninger er behandlet i strid med bestemmelser i eller i medhold av loven, med mindre det godtgjøres at skaden ikke skyldes feil eller forsømmelser på den behandlingsansvarliges side. Tredje ledd viser til at erstatningen skal tilsvare det økonomiske tapet den skadelidte er påført som en følge av behandlingen og fastsetter at det også kan pålegges erstatning for ikke-økonomisk skade (oppreisning).

22.2 Forordningen

Forordningen har nokså detaljerte bestemmelser om erstatningsansvar i artikkel 82. Det fastsettes her at alle som har lidd skade som følge av en overtredelse av forordningen, har krav på erstatning fra den behandlingsansvarlige eller databehandleren. Av fortalepunkt 146 fremgår det at det samme gjelder for overtredelse av delegerte rettsakter eller gjennomføringsrettsakter Kommisjonen fastsetter med hjemmel i forordningen. Artikkel 82 nr. 2 fastsetter at den behandlingsansvarlige er ansvarlig for skade som er oppstått som følge av brudd på forordningen, mens databehandlere bare er ansvarlige for brudd på regler som direkte henvender seg til databehandlere eller dersom de har opptrådt i strid med en lovlig instruks. Etter artikkel 82 nr. 3 skal en behandlingsansvarlig eller databehandler fritas for ansvar dersom det godtgjøres at vedkommende ikke er ansvarlig for hendelsen som førte til skaden. Artikkel 82 nr. 4 og 5 gir regler om solidaransvar og regressrett når flere behandlingsansvarlige eller både en behandlingsansvarlig og en databehandler er erstatningsansvarlige for samme skade.

22.3 Forslaget i høringsnotatet

Departementet viste i høringsnotatet til at forordningen ikke åpner for nasjonale tilpasninger for så vidt gjelder reglene om erstatning, men at bestemmelsene i all hovedsak er i samsvar med gjeldende rett.

22.4 Høringsinstansenes syn

Av høringsinstansene er det kun Lånekassen som har uttalt seg om erstatningsreglene. Lånekassen uttaler:

«Det er ikke videreført noen regler om erstatningsansvar i ny personopplysningslov fordi slike regler er regulert i forordningen art 82, jf. fortalepunkt 146. Av pedagogiske årsaker mener Lånekassen det kan være hensiktsmessig med en henvisning i ny personopplysningslov til forordningen slik at det går tydelig frem at det foreligger et erstatningsansvar knyttet til brudd på personvern og informasjonssikkerhet.»

22.5 Departementets vurdering

Departementet foreslår at det inntas en bestemmelse i personopplysningsloven som gjør det klart at den som er erstatningsansvarlig etter reglene i personvernforordningen artikkel 82, også kan pålegges å betale slik erstatning for skade av ikke-økonomisk art (oppreisning) som synes rimelig. Dette innebærer en videreføring av gjeldende rett, jf. personopplysningsloven § 49 tredje ledd annet punktum.

Departementet mener det er grunn til å innta en bestemmelse om erstatning for ikke-økonomisk skade (oppreisning) da det ikke er klart om forordningen artikkel 82 nr. 1 alene gir et tilstrekkelig grunnlag for å ilegge erstatningsansvar for dette. Etter artikkel 82 nr. 1 har den som har lidd «materiell eller ikke-materiell skade» som følge av en overtredelse av forordningen, rett til erstatning for skaden, men det kan stilles spørsmål ved om ansvaret etter artikkel 82 nr. 1 også omfatter tap av ikke-økonomisk karakter. Etter departementets vurdering er det adgang til å gi en slik nasjonal bestemmelse om erstatning for ikke-økonomisk tap (oppreisning) i nasjonal rett, jf. forordningen artikkel 84. Tilsvarende er lagt til grunn i betenkningen Databeskyttelsesforordningen – og de retlige rammer for dansk lovgivning, Betænkning nr. 1565 på side 914, utgitt av det danske justisdepartementet.