GA: ingen GDPR-erstatning for fremprovoserte Google Fonts-massekrav

Generaladvokat Maciej Szpunar foresloEuropa 5. november 2026 å la konstruerte GDPR-massesøksmål falle: i sitt forslag til avgjørelse i sak C-654/25 [Undelam]Europa, etter foreleggelse fra Bundesgerichtshof, konkluderer han med at en dynamisk IP-adresse sendt til Google i USA fra et nettsted med Google Fonts som standard er personopplysning for Google direkte, der Google kan identifisere den besøkende, og for operatøren indirekte, der denne visste, eller burde ha visst, at dette var tilfelletEuropa; og at ingen immateriell skade kan anerkjennes der den registrerte bevisst har fremprovosert et brudd på forordningen, automatisert og gjentatt, for å oppnå erstatning for det.

Tvisten er en forretningsmodell: den besøkende bygde en crawler-programvare som skanner et stort antall nettsteder etter den dynamiske Google Fonts-konfigurasjonen og deretter besøker dem automatisk slik at hans egen dynamiske IP overføres til Google i USA. Hans advokat sendte deretter et formelt krav om tilsagn, opphør med bruddet og betaling av 170 euroEuropa, en rutine gjentatt overfor tusenvis av operatører, over 100 000 ganger ifølge den foreleggende domstol. Operatøren betalte og saksøkte deretter for tilbakebetaling. Retten i første instans dømte 70 euro tilbakebetalt; ankeretten dømte solidarisk den besøkende og hans advokat til tilbakebetaling av fulle 170 euro for forsettlig usedelig skadeforvoldelse, uten å ta stilling til spørsmålet om GDPR-bruddet, med den begrunnelse at det ikke finnes noen immateriell skade der overføringen bevisst er fremprovosert for pengenes skyld. Bundesgerichtshof gjorde tilbakebetalingen avhengig av om den besøkende i det hele tatt hadde et erstatningskrav etter artikkel 82.

Vedrørende det første spørsmålet slutter generaladvokaten seg til den relative tilnærmingen i Domstolens praksis siden Breyer: om en dynamisk IP er personopplysning etter artikkel 4 nr. 1 avhenger av den enheten som råder over den, bedømt konkretEuropa. Avgjørende er mottakerens perspektiv, ettersom bare IP-adressen, ikke noen identitet, overføres; en analogi med overføring av pseudonymiserte opplysninger til tredjepart er tillatt. Terskelen er relativt lav: ikke påvist, sikker identifisering, men en risiko som ikke er ubetydelig. Googles veldige innsamlede data, fra identifikatorer og nettleseratferd til IP og posisjon, kombinert med den overførte IP-en til personalisering, kan begrunne en slik risiko, for den foreleggende domstol å etterprøve. Men behandlingsansvar påhviler operatøren bare der denne visste eller burde ha visst at mottakeren kunne identifisere den besøkendeEuropa; ellers heftet denne for et brudd på rent ytre omstendigheter som denne kanskje ikke engang kjenner.

Vedrørende det andre spørsmålet betinger artikkel 82 nr. 1 erstatning av tre kumulative vilkår, brudd på forordningen, lidt skade og årsakssammenheng, idet skade aldri presumeres. Domstolen regner blotte »kontrolltap« over opplysninger, og begrunnet frykt for fremtidig misbruk under sakens omstendigheter, som erstatningsberettiget immateriell skade. Hverken det ene eller det andre passer her: den besøkende mistet ingen kontroll, hans opplysninger ble brukt nøyaktig som han hadde planlagt, og gjentatt massiv provokasjon med spesialbygd programvare viser ingen begrunnet frykt for misbruk, høyest risikoviljeEuropa.

Subsidiært, hvis Domstolen måtte finne immateriell skade, ville generaladvokaten avvise kravet som misbrukEuropa: GDPRs formål ble ikke oppnådd til tross for formell overholdelse, og den besøkende siktet først og fremst etter pengerEuropa, idet denne kunstig skapte betingelsene gjennom massive automatiserte besøk og tusenvis av krav på 170 euro. Det økonomiske motivet behøver bare å være hovedsakelig, ikke det eneste, likesom ved copyright-trollvirksomheten i M.I.C.M.; en eventuell bevisstgjørende bieffekt for operatører helbreder ikke misbruket.

Rettslig grunnlag: artikkel 4 nr. 1 og artikkel 82 nr. 1 i forordning (EU) 2016/679.