Hvad Supreme Court Faktisk Afgjorde den 27. Juli

Den 27. juli 2026 delte et dommerpanel på fem dommere fra Storbritanniens Supreme Court sig 3 mod 2 i Kingdom of Bahrain v Shehabi and another, citeret som [2026] UKSC 25. Lord Lloyd-Jones, Lord Hamblen og Lady Simler udgjorde flertallet; Lord Leggatt og Lord Burrows var uenige. Sagen havde nået landets øverste domstol, efter at både High Court og derefter Court of Appeal, i [2024] EWCA Civ 1158, havde afvist Bahrains påstand om statsimmunitet.

Flertallet i Supreme Court fastslog, at en fremmed stat ikke har ret til immunitet fra civile sager, når dens agenter installerer spyware på en computer i Storbritannien, og dette forårsager psykisk skade, selv når statens egne agenter aldrig fysisk kom ind i landet. Det baner vejen for en fuld retssag ved High Court, hvor Bahrains faktiske involvering og en eventuel erstatning vil blive afgjort på grundlag af sagens fakta.

FinSpy-infektionen Bag Sagen

Dr. Saeed Shehabi og Moosa Mohammed er bahrainske prodemokratiske aktivister, der har boet i London i mange år. De hævder, at agenter, der handlede på vegne af Kongeriget Bahrain, fra omkring september 2011 inficerede deres computere med spywaren FinSpy, et overvågningsværktøj, der kan indsamle filer, kommunikation og tastetryk fra en inficeret enhed. Ifølge Supreme Courts sagsresume siger de to aktivister, at de opdagede indtrængningen omkring august 2014, gennem afsløringer knyttet til WikiLeaks og forskningsgruppen Bahrain Watch, og at det at opdage, at de havde været under overvågning i årevis, gav dem varig psykisk skade.

Bahrains forsvar gennem hele sagen var ikke, at hacket ikke havde fundet sted, men at landet som suveræn stat slet ikke kunne sagsøges herfor ved en britisk domstol. Det er netop dette immunitetsargument, ikke selve de underliggende fakta i hacket, som Supreme Court nu har afvist.

Hvorfor Stedet Var Hele det Juridiske Slagsmål

Paragraf 5 i State Immunity Act 1978 fratager en fremmed stat immunitet i sager om personskade forårsaget af en handling eller undladelse i Storbritannien. Tvisten, der nåede frem til fem dommere i Supreme Court, handlede ikke om, hvorvidt Shehabi og Mohammed havde lidt skade, men om spyware, der blev drevet fra Bahrain og rettet mod computere i London, overhovedet tæller som en handling i Storbritannien.

Flertallet argumenterede for, at den juridisk relevante adfærd finder sted der, hvor operationen udføres mod sit mål, så en handling kan være territorial, selv når den, der styrer den, aldrig selv krydser en grænse; afgørelsen skal ifølge referater have draget en sammenligning med et droneangreb eller et fjernangreb på NHS-systemer, tilfælde hvor ingen for alvor ville hævde, at skaden kun opstod der, hvor operatørens konsol tilfældigvis stod. Lord Leggatt og Lord Burrows var uenige på netop dette punkt og argumenterede for, at en embedsmand, der betjener spyware fra Bahrain, handler i Bahrain, og at Storbritannien blot er stedet, hvor konsekvenserne blev mærket, ikke hvor selve handlingen fandt sted.

Original Tese: Spywaren Var Aldrig en Udenlandsk Import

Det meste af omtalen af denne afgørelse har fokuseret på, hvad den betyder for statsimmunitetens rækkevidde ind i cyberoperationer. Det, der ændrer regnestykket for britisk politik, er, hvor FinFisher, også markedsført som FinSpy, egentlig kom fra. Ifølge en retssag, som Privacy International anlagde mod britiske eksportmyndigheder, og forskning offentliggjort af Citizen Lab, blev spywaren udviklet og solgt af Gamma International, en virksomhed registreret i Andover i Storbritannien, der opererer side om side med et søsterselskab med hjemsted i München.

Det betyder, at dette ikke blot er en præcedens om fremmede stater, der rækker ind i Storbritannien udefra. Det er en præcedens, der lander på en britisk kommerciel forsyningskæde, en kæde der allerede i årevis har været under separat undersøgelse for, om dens eksportlicenser til autoritære købere overholdt britisk lov. Et værktøj bygget og markedsført på britisk jord, der senere blev videresolgt til en fremmed regering, har nu udløst en afgørelse, der eksponerer den regering for et britisk sagsanlæg netop for, hvordan værktøjet blev brugt, hvilket øger risikoen for enhver overvågningsleverandør med hjemsted i Storbritannien, der sælger til markeder med en svag menneskerettighedshistorik: køberens senere adfærd kan nu komme tilbage gennem en britisk domstol, hvilket også trækker ubehagelig opmærksomhed på, hvor værktøjet blev bygget.

Hvad Der Sker Nu, og Hvad Denne Afgørelse Ikke Gør

Supreme Court fastslog ikke, at Bahrain faktisk havde godkendt hacket, og fastsatte ingen erstatningssum. Det, retten afgjorde, er snævrere og i praksis mere vidtrækkende: Bahrain kan ikke bruge statsimmunitet til at holde sagen ude af en britisk retssal. Kravet går nu tilbage til High Court til en fuld retssag om sagens realitet, hvor Shehabi og Mohammed skal bevise Bahrains involvering og omfanget af deres psykiske skade.

For enhver fremmed regering, der udfører, eller overvejer at udføre, en overvågningsoperation mod en person, der fysisk befinder sig i Storbritannien, er immunitet ikke længere et automatisk skjold, i det øjeblik en britisk domstol bliver bedt om at behandle sagen. Og for enhver virksomhed med hjemsted i Storbritannien, der bygger værktøjer, som gør den slags operation mulig, er denne afgørelse en påmindelse om, at eksponeringen ikke slutter ved eksportlicensen; den kan dukke op igen år senere som et indenlandsk sagsanlæg om, hvad en udenlandsk kunde gjorde med det, han købte.

Læs videre: En dagbog fra 1947 sætter EU's VPN-ansvarsregel  |  En Meta-dom rammer enhver britisk platform