Rättigheter eller GDPR-missbruk – var går gränsen?

EU-domstolen meddelade under torsdagen den 19 mars dom i Brillen Rottler-målet.

Bakgrund

I mars 2023 registrerade sig en privatperson bosatt i Wien, i målet benämnd TC, för ett nyhetsbrev från det tyska familjeägda optikföretaget Brillen Rottler GmbH & Co. KG med säte i Arnsberg. Han angav sina personuppgifter i registreringsformuläret på företagets webbplats och samtyckte till att dessa uppgifter behandlades. Tretton dagar senare skickade TC en begäran om information enligt artikel 15 GDPR till Brillen Rottler.

Brillen Rottler vägrade att tillmötesgå begäran inom tidsfristen, eftersom företaget ansåg att begäran utgjorde rättsmissbruk, och anmodade TC att slutgiltigt avstå från sin begäran. TC vidhöll sin begäran och krävde dessutom ersättning enligt artikel 82 GDPR uppgående till 1 000 euro.

Brillen Rottler väckte talan och hävdade att det framgick av rapporter i onlinemedier och blogginlägg att TC systematiskt och på ett sätt som utgör rättsmissbruk använder sig av rätten att begära tillgång enbart för att erhålla skadestånd, genom att följa samma mönster: prenumerera på ett nyhetsbrev, begära information, och därefter ställa skadeståndskrav. Målet hamnade hos distriktsdomstolen i Arnsberg, som beslutade att hänskjuta ett antal tolkningsfrågor till EU-domstolen.

Målet rör två centrala problemställningar under GDPR.

• För det första: kan en första begäran om information anses vara ”orimlig” i den mening som avses i artikel 12.5 GDPR, när den registrerade har framställt begäran för att kunna erhålla ersättning och det framgår av offentligt tillgängliga uppgifter att den registrerade i ett stort antal fall riktat skadeståndsanspråk mot personuppgiftsansvariga?
• För det andra: ska artikel 82.1 GDPR tolkas så att endast skada som uppkommit till följd av en behandling av personuppgifter är ersättningsgill, och om så är fallet – kan en registrerad överhuvudtaget få ersättning enbart på grund av att rätten till tillgång enligt artikel 15.1 GDPR har åsidosatts?

EU-domstolen meddelade dom den 19 mars 2026 i mål C-526/24.

Kan en första begäran om information anses vara ”orimlig”?

Enligt artikel 12.5 GDPR kan en begäran från en registrerad anses vara orimlig ”särskilt på grund av dess repetitiva art”. Domstolen framhåller dock att framställningens repetitiva art enbart nämns som ett exempel. För att en begäran ska anses vara orimlig krävs alltså inte att begäran är en i raden av många framställningar från den registrerade.

Domstolen ställer upp en tvådelad missbruksprövning med ett objektivt och ett subjektivt rekvisit. Det objektiva rekvisitet består i att det ska föreligga objektiva omständigheter av vilka det framgår att syftet med rätten till tillgång – att hålla sig underrättad om att behandling av personuppgifter sker och kontrollera att den är laglig – inte har uppnåtts, trots att förutsättningarna för att tillämpa artikel 15 formellt sett är uppfyllda.

Enligt domstolen är det avgörande därefter huruvida den registrerade har haft en otillbörlig avsikt att erhålla en förmån genom att på ett konstlat sätt skapa förutsättningar för ett skadeståndsanspråk.

Offentligt tillgängliga uppgifter om att den registrerade i stor omfattning skickat liknande begäranden följt av skadeståndskrav kan beaktas som ett indicium på otillbörlig avsikt, men bör stödjas av andra relevanta omständigheter i det enskilda fallet. Domstolen pekar på omständigheter som kan vara relevanta: att den registrerade frivilligt lämnat ut uppgifterna, syftet med utlämnandet, tidsintervallet mellan utlämnandet och begäran, samt den registrerades agerande i övrigt. Gränsen går alltså inte vid antalet tidigare begäranden, utan vid avsikten bakom den aktuella begäran. Domstolen framhåller dock att det bör gälla högt ställda krav för att en första begäran om tillgång ska anses vara orimlig.

Skadestånd på grund av att artikel 15 åsidosatts?

Domstolen slog också fast att artikel 82.1 GDPR inte är begränsad till skada som uppkommit till följd av behandling av personuppgifter i snäv mening, utan även kan omfatta skada som uppkommit genom att en registrerad nekats att utöva sina rättigheter enligt kapitel III i GDPR, inklusive rätten till tillgång enligt artikel 15.

En överträdelse räcker dock inte i sig för att ersättningsskyldighet ska uppstå. Den registrerade måste visa att en överträdelse förelegat, att faktisk skada uppkommit och att det finns ett orsakssamband mellan överträdelsen och skadan. Domstolen framhåller dock att orsakssambandet kan brytas genom den registrerades eget handlande, när detta handlande visar sig vara den avgörande orsaken till skadan. Som ett konkret exempel på detta lyfter domstolen fram det fall där den registrerades påstådda förlust av kontroll eller ovisshet orsakats av den registrerades eget beslut att lämna ut sina personuppgifter i syfte att på ett konstlat sätt skapa förutsättningar för ett skadeståndsanspråk.

Policyutvecklingen kring GDPR-rättigheter

Parallellt med domstolsutvecklingen rör det sig även på policyplanet. Sedan Mario Draghi i Draghirapporten ställde diagnosen att EU håller på att halka efter vad gäller ekonomisk och teknologisk konkurrenskraft, har kommissionen presenterat ett flertal så kallade Omnibusförslag med ambitionen att åstadkomma regelförenklingar, inte minst för små och medelstora företag. Du kan läsa mer om förslaget om en Digital Omnibus här och här.

Ett av förslagen på det digitala området rör just rätten till tillgång enligt artikel 15 GDPR. Kommissionen föreslår en ändring av artikel 12 GDPR som uttryckligen tar sikte på situationer där rätten till tillgång missbrukas för andra ändamål än skyddet av personuppgifter. Som exempel på missbruk nämns att en registrerad avser att förmå den personuppgiftsansvarige att avvisa en begäran för att sedan kräva ersättning, eventuellt under hot om skadestånd, att överdrivet utnyttja artikel 15 för att orsaka skada, eller att erbjuda sig att dra tillbaka en begäran mot någon form av fördel.

Kommissionens förslag tar alltså direkt sikte på ett sådant scenario som är föremål för prövning i Brillen Rottler-målet. Enligt läckta handlingar från Ministerrådet ställer sig majoriteten av EU:s medlemsstater i huvudsak positiva till förslaget om artikel 15. Vi inväntar dock en officiell reviderad version av förslaget.

Denna artikel är skriven av Associate Rebecka Undén.