AG: ingen GDPR-ersättning för fabricerade Google Fonts-masskrav

Generalanvokaten Maciej Szpunar föreslogEuropa den 5 november 2026 att fabricerade GDPR-massetalan ska falla: i sitt förslag till avgörande i mål C-654/25 [Undelam]Europa, på hänvisning från Bundesgerichtshof, drar han slutsatsen att en dynamisk IP-adress som sänds till Google i USA från en webbplats med Google Fonts som standard är personuppgift för Google direkt, där Google kan identifiera besökaren, och för operatören indirekt, där denne vet, eller borde ha vetat, att så är falletEuropa; och att ingen ideell skada kan erkännas där den registrerade medvetet framkallat en överträdelse av förordningen, automatiserat och upprepat, för att få ersättning för den.

Tvisten är en affärsmodell: besökaren byggde en crawler-mjukvara som skannar ett stort antal webbplatser efter den dynamiska Google Fonts-konfigurationen och sedan besöker dem automatiskt så att hans egen dynamiska IP överförs till Google i USA. Hans advokat skickade därefter ett formellt krav på åtagande, upphörande med överträdelsen och betalning av 170 euroEuropa, en rutin som upprepats mot tusentals operatörer, över 100 000 gånger enligt den hänskjutande domstolen. Operatören betalade och stämde sedan för återbetalning. Den första domstolen dömde till återbetalning av 70 euro; överklagandedomstolen dömde solidariskt besökaren och hans advokat till återbetalning av hela 170 euro för avsiktlig otillbörlig skadevållande, utan att pröva frågan om GDPR-överträdelsen, med motiveringen att ingen ideell skada finns där överföringen medvetet framkallats för pengar. Bundesgerichtshof gjorde återbetalningen beroende av om besökaren överhuvudtaget hade en ersättningsrätt enligt artikel 82.

I den första frågan ansluter sig generaladvokaten till den relativa ansatsen i domstolens praxis sedan Breyer: huruvida en dynamisk IP är personuppgift enligt artikel 4.1 beror på den enhet som innehar den, bedömt konkretEuropa. Avgörande är mottagarens perspektiv, eftersom endast IP-adressen, inte någon identitet, överförs; en analogi med överföring av pseudonymiserade uppgifter till tredje part är tillåten. Tröskeln är relativt låg: inte bevisad, säker identifiering, utan en risk som inte är obetydlig. Googles väldiga samlade data, från identifierare och surfbeteende till IP och plats, kombinerat med den överförda IP-adressen för personalisering, kan grunda en sådan risk, för den hänskjutande domstolen att kontrollera. Men personuppgiftsansvar föreligger för operatören endast där denne visste eller borde ha vetat att mottagaren kunde identifiera besökarenEuropa; annars svarade denne för en överträdelse på rent yttre omständigheter som denne kanske inte ens känner till.

I den andra frågan uppställer artikel 82.1 ersättning endast vid tre kumulativa villkor, överträdelse av förordningen, lidande skada och orsakssamband, varvid skada aldrig presumeras. Domstolen räknar blotta ”kontrollförlust” över uppgifter, och grundad rädsla för framtida missbruk under omständigheterna i målet, som ersättningsgill ideell skada. Ingetdera passar här: besökaren förlorade ingen kontroll, hans uppgifter användes precis som han planerat, och upprepad massiv provokation med specialbyggd mjukvara visar ingen grundad rädsla för missbruk, högst riskviljaEuropa.

I andra hand, om domstolen skulle finna ideell skada, skulle generaladvokaten avvisa talan som missbrukEuropa: GDPR:s mål uppnåddes inte trots formell efterlevnad, och besökaren syftade främst till pengarEuropa, varvid denne artificiellt skapade förutsättningarna genom massiva automatiserade besök och tusentals krav på 170 euro. Det ekonomiska motivet behöver bara vara huvudsakligt, inte det enda, liksom vid copyright-trollverksamheten i M.I.C.M.; en eventuell medvetandehöjande bieffekt för operatörer botar inte missbruket.

Rättslig grund: artikel 4.1 och artikel 82.1 i förordning (EU) 2016/679.