Gruppesøgsmål med data som fælles bevis

Når en fejl i et IT-system eller et persondatabrud rammer mange på én gang, er kravene ofte ensartede, men hver for sig små. Det er netop den situation, gruppesøgsmål er tænkt til. Digitale data spiller en dobbeltrolle i sådanne sager. De er beviset for, hvad der skete. Og de er ofte også grundlaget for at finde ud af, hvem der er ramt. Denne artikel handler om de tekniske spørgsmål, der opstår, når data skal bære en sag for en hel gruppe. Det tekniske bevis efter et persondatabrud i almindelighed er beskrevet i Erstatning efter persondatabrud: digitale beviser.

Rammerne

Reglerne om gruppesøgsmål står i retsplejelovens kapitel 23 a. Efter § 254 a kan ensartede krav, der fremsættes på vegne af flere personer, behandles under et gruppesøgsmål. Efter § 254 b er det blandt andet en betingelse, at gruppesøgsmål skønnes at være den bedste måde at behandle kravene på, og at gruppemedlemmerne kan identificeres og underrettes om sagen på en hensigtsmæssig måde.

Sagen føres af en grupperepræsentant, som retten udpeger, jf. § 254 c. Retten fastlægger rammen for gruppesøgsmålet efter § 254 e, stk. 4. Som udgangspunkt omfatter sagen dem, der tilmelder sig. I visse sager om små krav kan retten efter § 254 e, stk. 8, bestemme, at sagen omfatter alle, der ikke har frameldt sig. Efter § 254 f, stk. 2, har afgørelserne bindende virkning for de gruppemedlemmer, der er omfattet. Efter § 400, stk. 3, gælder småsagsreglerne ikke for gruppesøgsmål.

Hvorfor data er centrale i gruppesøgsmål

I en almindelig sag handler bevisførelsen om én parts forhold. I et gruppesøgsmål skal det samme bevis bære mange krav. Det stiller to krav til de digitale beviser:

De skal belyse det fælles. Hvad skete der i systemet, hvornår, og hvorfor? Det er typisk det samme for alle i gruppen.
De skal kunne skelne mellem medlemmerne. Hvem var omfattet, og hvilke oplysninger eller transaktioner drejede det sig om for den enkelte?

Det første er et klassisk spørgsmål for syn og skøn. Det andet er ofte et spørgsmål om udtræk og datakvalitet.

Identifikation af gruppen

Betingelsen om, at medlemmerne kan identificeres og underrettes, er i mange IT-sager et teknisk spørgsmål. Efter § 254 e, stk. 9, skal de personer, hvis krav falder inden for rammen, underrettes om sagen og om retsvirkningerne af at tilmelde sig eller framelde sig.

Ofte er det modparten, der har oplysningerne. Det kan være:

den dataansvarliges egen opgørelse over, hvilke registrerede der var berørt af bruddet,
logs, der viser, hvilke konti eller poster der blev tilgået,
kundelister og abonnementsdata, der viser, hvem der havde den berørte ydelse i perioden,
transaktionsdata, der viser, hvem der blev opkrævet et omstridt beløb.

Det er værd at undersøge tidligt, om der findes en sådan opgørelse, og hvordan den er lavet. En liste, der er udarbejdet i hast efter en hændelse, kan være ufuldstændig. Logs kan være slettet efter den sædvanlige opbevaringsperiode. Hvis den dataansvarlige har anmeldt bruddet, kan der også være dokumentation hos myndigheden. → Sager hos Datatilsynet: dokumentation fra IT-siden

Rammen og datagrundlaget

Rammen for gruppesøgsmålet afgør, hvem der er med. Den bør formuleres, så den kan anvendes på de data, der faktisk findes. En ramme, der er defineret ud fra begreber, som systemet ikke registrerer, er svær at bruge i praksis.

Eksempler på kriterier, der kan kobles til data:

kunder med en aktiv konto i en bestemt periode,
registrerede, hvis oplysninger lå i en bestemt database på tidspunktet for bruddet,
brugere, der fik en bestemt opdatering eller fejlmeddelelse.

En IT-sagkyndig kan vurdere, om kriterierne er teknisk entydige, og hvilke usikkerheder der er i afgrænsningen.

Ét skøn for mange krav

Fordelen ved et gruppesøgsmål er, at de fælles tekniske spørgsmål kan afklares én gang. Det kræver et skønstema, der er formuleret til gruppen og ikke til den enkelte.

Spørg til systemets funktion og hændelsens forløb for hele perioden.
Spørg til, hvilke kategorier af oplysninger der var berørt, og hvordan det kan fastslås for den enkelte.
Overvej, om stikprøver kan bruges til at belyse variationen mellem medlemmerne. → Stikprøver i store datamængder

Individuelle forhold, som kun gælder enkelte medlemmer, kan være svære at håndtere i samme skøn. Det kan påvirke, om kravene kan anses for ensartede. → Anmodning om syn og skøn i IT-sager

Medlemmernes egne data

Medlemmerne kan selv have relevante oplysninger, for eksempel mails om bruddet, kontoudskrifter eller svar på en indsigtsanmodning. Det kan være nyttigt at give dem en kort, ensartet vejledning i, hvad de skal gemme, og hvordan. Det giver et mere ensartet materiale og mindsker risikoen for, at vigtige spor forsvinder. → Indsigtsanmodning efter GDPR som led i en tvist

Vejledningen bør være enkel: hvilke mails og beskeder der skal gemmes, hvordan de gemmes uden at blive ændret, og hvor de skal sendes hen. Bed medlemmerne om ikke at slette noget, heller ikke det, de ikke selv tror er relevant. Det gør det også lettere senere at sammenholde medlemmernes materiale med modpartens data.

Grupperepræsentanten kommer til at behandle personoplysninger om mange mennesker. Det kræver en sikker måde at modtage, opbevare og dele materialet på.

Spørgsmål til modpartens opgørelse over berørte

Når modparten fremlægger en liste over, hvem der var berørt, er det metoden bag listen, der afgør, hvor meget den kan bære. Nogle spørgsmål går igen:

Hvilke datakilder er listen lavet ud fra, og hvilken periode dækker de?
Hvordan er det fastslået, at en konto eller post blev tilgået, og ikke blot kunne tilgås?
Er der logs, som var slettet eller ufuldstændige, da listen blev lavet?
Er dubletter fjernet, og hvordan er personer med flere konti håndteret?
Hvem har lavet udtrækket, og kan det gentages med samme resultat?

En IT-sagkyndig kan efterprøve udtrækket på de samme data og pege på huller i metoden. Det kan derimod ikke konkluderes, at en person ikke var berørt, alene fordi personen mangler på listen, hvis de logs, der skulle vise det, ikke findes. Mangler data, bør det fremgå som en usikkerhed i afgrænsningen og ikke som et resultat.

Forlig og fordeling

Efter § 254 h skal et forlig, som grupperepræsentanten indgår, godkendes af retten. Retten godkender det, medmindre der sker usaglig forskelsbehandling, eller forliget er åbenbart urimeligt. Hvis forliget fordeler beløb efter, hvad der skete for den enkelte, skal fordelingen kunne gennemføres ud fra data. Det er en fordel, at kriterierne er afprøvet på datagrundlaget, før forliget indgås.

Typiske fejl

At definere gruppen ud fra kriterier, som data ikke kan afgøre.
At gå ud fra, at modpartens liste over berørte er fuldstændig.
At vente med at sikre logs, til opbevaringsperioden er udløbet.
At formulere skønstemaet om enkeltsager i stedet for gruppen.
At aftale en fordelingsnøgle, der ikke kan beregnes ud fra de tilgængelige data.