E-2519/2015

Mál þetta, sem dómtekið var 6. apríl 2016, var höfðað 15. júní 2015 af hálfu A, [..., ...], á hendur Fjarskiptum hf., Skútuvogi 2, Reykjavík.

Endanlegar dómkröfur stefnanda eru þær að stefndi verði dæmdur til greiðslu skaðabóta að fjárhæð 600.000 krónur auk vaxta samkvæmt 1. mgr. 8. gr. laga nr. 38/2001 um vexti og verðtryggingu frá 1. desember 2013 til 26. mars 2014 og með dráttarvöxtum samkvæmt 9. gr., sbr. 1. mgr. 6. gr. sömu laga frá 26. mars 2014 til greiðsludags.

Þá krefst stefnandi málskostnaðar úr hendi stefnda að skaðlausu.

Stefndi krefst sýknu af öllum kröfum stefnanda og málskostnaðar úr hendi stefnanda að skaðlausu.

Þinghöld eru lokuð og nafnleynd haldin við meðferð málsins, sbr. a-lið 1. mgr. 8. gr. laga nr. 91/1991.

Yfirlit málsatvika og ágreiningsefna

Stefndi er fjarskiptafyrirtæki sem veitir þjónustu undir nafninu Vodafone, þar á meðal símaþjónustu. Stefndi heldur einnig úti vefsíðunni vodafone.is og bauð viðskiptavinum sínum aðgang að þjónustu á vefsíðunni sem nefndist ,,Mínar síður“. Á ,,Mínum síðum“ gátu viðskiptavinir stefnda meðal annars sent SMS-skeyti í farsíma, varðveitt send skeyti og meðhöndlað þau.

Við sendingu á SMS-skeytum á ,,Mínum síðum“ var texti skeytisins ritaður í þar til gerðan reit og þar undir birtist meðal annars reiturinn ,,Vista í skeyta sögu“, sem var fyrir fram hakað við. Við hliðina á þeim reit birtist ,,senda“ hnappur um leið og fyrsti stafur nýs skeytis var skrifaður. Neðar á síðunni birtist svonefnd ,,skeytasaga“, ásamt fjölda skeyta, sem var listi yfir vistuð skeyti, dagsetningu þeirra, tímasetningu, fyrsta 21 staf skeytanna, fjölda viðtakenda og kostnað við sendingu þeirra. Óumdeilt er að SMS-skeyti, sem send voru í gegnum ,,Mínar síður“, voru vistuð ótímabundið nema sendandi tæki út hakið við reitinn ,,Vista í skeyta sögu“ þegar hann sendi skeyti.

Aðfaranótt 30. nóvember 2013 braust óþekktur ,,tölvuþrjótur“ inn á vefsíðu stefnda með því að notfæra sér, að sögn stefnda, ,,áður óþekktan veikleika í öryggi vefsíðunnar“. Tölvuþrjóturinn afritaði vistuð SMS-skeyti sem notendur ,,Minna síðna“, þar á meðal stefnandi, höfðu sent sem og vistuð skeyti sem höfðu verið send af öðrum notendum ,,Minna síðna“, og gerði skeytin aðgengileg öllum almenningi á internetinu ásamt upplýsingum um símanúmer sendanda og móttakanda. Stefndi kveðst þegar hafa ræst út viðbragðsteymi sem hafi tekið niður vefsíðu stefnda og lokað öllum aðgangi. Þá hafi ,,færustu öryggissérfræðingar landsins“ verið kvaddir til, sem og sérfræðingar frá Vodafone Global. Netöryggissveit samkvæmt reglugerð nr. 475/2013 hafi verið tilkynnt um málið strax árla morguns. Um leið og stefnda hafi orðið ljóst að tölvuþrjóturinn hefði tekið gögn ófrjálsri hendi hafi hann sett af stað átak til að láta alla viðskiptavini sína vita sem hafi átt gögn sem tölvuþrjóturinn hafi stolið og birt.

Fyrstu daga desembermánaðar 2013 sendi stefndi tölvubréf til viðskiptavina sinna sem voru með skráð netfang á ,,Mínum síðum“ og sendi fréttatilkynningu til Kauphallar. Þar kemur m.a. fram að meðal stolinna gagna hafi verið 79 þúsund SMS-skeyti, notendanöfn og lykilorð að ,,Mínum síðum“. SMS-skilaboðin hafi verið send með SMS-þjónustu á heimasíðu stefnda á tímabilinu 1. desember 2010 til 30. nóvember 2013. SMS-skeytin hafi verið send af 5.100 aðilum, þar af hafi 2.500 viðskiptavinir aðeins sent ein skilaboð. Af þessum fjölda hafi um 60 þúsund skilaboð verið almennar þjónustutilkynningar sem hafi verið sendar af félagasamtökum eða litlum þjónustuaðilum, svo sem tannlæknum og hárgreiðslustofum. Fjarskiptalög kveði ,,skýrt á um að varðveisla gagna lengur en 6 mánuði er óheimil. Ljóst er að stór hluti hinna stolnu gagna var eldri en það og ber [stefndi] fulla ábyrgð á því.“ Ástæðum þessa var lýst þannig að á heimasíðunni væri viðskiptavinum boðið að vista send SMS-skilaboð en hægt væri að afþakka vistunina með því að taka út hak í reitnum ,,Vista í samskiptasögu“. Þetta fyrirkomulag á heimasíðunni væri ,,gallað og í því felast mistök“ stefnda. Í orðsendingum stefnda til viðskiptavina í kjölfar innbrotsins kom fram að mikil áhersla væri lögð á það að ef lykilorðið sem þeir hefðu notað á „Mínum síðum“ væri enn í notkun einhvers staðar á netinu væri mikilvægt að breyta því alls staðar.

Stefndi kveðst áður hafa sætt tilraunum ,,tölvuþrjóta“ til að brjótast inn á vefsíðu stefnda. Stefndi lýsir því að 7. mars 2012 hafi tölvuþrjóti tekist að skipta um útlit á vefsíðu stefnda. Í kjölfarið kveðst stefndi hafa gert sérstaka öryggisúttekt á vefsíðunni og aukið við varnir hennar. Hinn 13. mars 2012 hafi tölvuþrjótur reynt að gera slíkt hið sama en þá hafi uppfærðar varnir stefnda haldið og hafi tölvuþrjótinum því ekki tekist ætlunarverk sitt. Stefndi segist hafa tekið þátt í evrópskri netöryggisæfingu á vegum opinberra aðila. Þar hafi verið sviðsett öryggisatvik, þau meðhöndluð, viðbrögð samræmd og miðlun upplýsinga æfð. Starfsmenn stefnda hafi með því meðal annars fengið sérstaka þjálfun í að bregðast við öryggisógn. Að sögn stefnda gerðu ,,færustu sérfræðingar“ öryggisúttekt á vefsíðu stefnda í janúar 2013. Hinn 3. maí 2013 hafi tölvuþrjóti aftur tekist að valda skemmdum á vefsíðu stefnda. Tilvikið hafi varðað afmarkaðan hluta hennar og stefndi hafi álitið það síður alvarlegt en tilvikið 7. mars 2012. Stefndi kveður að öryggi vefsíðunnar hafi þá verið yfirfarið og varnir hennar auknar. Hinn 1. júní 2013 tók gildi reglugerð nr. 475/2013 um málefni CERT-ÍS netöryggissveitar. Stefndi kveðst hafa átt ágætt samstarf við sveitina vegna fjarskiptastarfsemi sinnar. Stefndi hafi til dæmis tilnefnt sérstakan tengilið við netöryggissveitina til að tryggja að sveitin gæti haft samband við stefnda. Haustið 2013 segist stefndi hafa tekið þátt í fyrstu innanlandsæfingunni í netöryggi á vegum netöryggissveitar. Starfsmenn stefnda hafi þar aftur fengið sérstaka þjálfun í að bregðast við ógn við öryggi.

Stefnandi var skráð greiðandi símanúmers x hjá stefnda, en númerið var flutt til stefnda 25. júní 2012. Símanúmerið y var stofnað í hópáskrift 27. september 2007 og varð stefnandi notandi þess 1. ágúst 2011. Í gögnum málsins kemur fram að skráður greiðandi þess sé [...] og að stefnandi sé skráður notandi. Stefnandi var meðal þeirra viðskiptavina stefnda sem urðu fyrir því að skeytum, sem þá vörðuðu, var stolið og þau gerð aðgengileg á internetinu af hinum óþekkta tölvuþrjóti. Samkvæmt gögnum málsins var birt eitt skeyti sem stefnandi sendi sjálf úr númerinu x og eitt skeyti sem annar notandi ,,Minna síðna“ sendi stefnanda í númerið y og vistað var á ,,Mínum síðum“. Þau skilaboð sem stefnandi sendi vörðuðu fjárhagsstöðu hennar og voru að hennar sögn send fjármálaráðgjafa sem hún hafi ráðfært sig við, en stefnandi hafði sótt um [...]. Skilaboðin sem stefnandi tók við voru boðun til [...] og vörðuðu því trúarskoðanir stefnanda. Fram kemur í gögnum málsins að í einni af hinum stolnu skrám sé að finna lykilorð stefnanda sem tengt er númerinu x. Stefnandi upplýsti fyrir dóminum að lykilorðið sem lekið var með gögnunum hefði hún alltaf notað og væri enn að nota það í banka. Hún hefði ekki tekið eftir því fyrr að það væri í gögnunum og kvaðst myndu hætta að nota það þegar í stað.

Viðskiptavinur stefnda beindi kvörtun til Póst- og fjarskiptastofnunar vegna umrædds leka. Póst- og fjarskiptastofnun framsendi kvörtun hans til Persónuverndar, þannig að fyrrnefnda stofnunin tók til umfjöllunar öryggi umræddra gagna, en síðarnefnda stofnunin kannaði lögmæti varðveislu þeirra persónuupplýsinga sem gögnin hefðu að geyma. Með ákvörðun Póst- og fjarskiptastofnunar nr. 1/2014, 24. mars 2014, komst stofnunin að þeirri niðurstöðu að sendikerfið sem flytur merki af vefsvæði stefnda, vodafone.is, yfir í SMS-miðlara í farsímakerfi stefnda, teldist vera fjarskiptanet í skilningi 13. tl. 3. gr. laga nr. 81/2003. Einnig að sú þjónusta sem veitt væri á vefsvæði stefnda, vodafone.is, sem fæli í sér sendingu smáskilaboða af „Mínum síðum“ yfir í farsíma, teldist vera fjarskiptaþjónusta í skilningi 15. tl. 3. gr. sömu laga og að sá hluti fjarskiptanets sem miðli merkjum af vefsvæði stefnda, vodafone.is, yfir í SMS-miðlara í farsímakerfi félagsins og veiti viðskiptavinum þess sem tengist „Mínum síðum“ með símanúmeri sínu slíkan aðgang, teldist hluti af almennu fjarskiptakerfi stefnda í skilningi 5. tl. 3. gr. laga nr. 81/2003. Stefndi kærði ákvörðunina til úrskurðarnefndar fjarskipta- og póstmála, sem staðfesti hana með úrskurði í máli nr. 3/2014, 11. október 2014. Stefndi hefur höfðað mál á hendur Póst- og fjarskiptastofnun og krefst þess að umræddur úrskurður úrskurðarnefndarinnar verði ógiltur með dómi. Niðurstaða í því máli liggur enn ekki fyrir. Persónuvernd kvað upp úrskurð í máli nr. 377/2014, 15. maí 2014, og komst að þeirri niðurstöðu að varðveisla stefnda á SMS-skilaboðum með viðkvæmum persónuupplýsingum um umræddan viðskiptavin, sem hafi verið send af vefsíðu stefnda, samræmdist ekki lögum nr. 77/2000.

Stefnandi kom fyrir dóm og gaf aðilaskýrslu við aðalmeðferð málsins. Þá gáfu einnig skýrslur B, framkvæmdastjóri tæknisviðs stefnda, og C, fyrrverandi forstjóri stefnda. Verður vitnað til framburðar þeirra eftir því sem þurfa þykir.

Málsástæður og lagarök stefnanda

Niðurstöður eftirlitsaðila

Stefnandi byggir á því að Póst- og fjarskiptastofnun og Persónuvernd hafi tekið til meðferðar erindi samkynja þeim atvikum sem þetta mál snúist um og hafi stefndi átt þess kost að koma andmælum sínum að fyrir báðum eftirlitsaðilunum. Stefnandi telur að leggja megi til grundvallar niðurstöður í greindum málum eftirlitsaðilanna og að málsmeðferðin hjá eftirlitsaðilunum hafi verið án annmarka. Samkvæmt niðurstöðum Póst- og fjarskiptastofnunar hafi SMS-skilaboð með persónugreinanlegum og viðkvæmum persónuupplýsingum um kvartanda, sem hafi borist á internetið frá stefnda, verið hluti af fjarskiptaþjónustu stefnda og farið fram á almennu fjarskiptaneti hans. Þessa niðurstöðu hafi úrskurðarnefnd fjarskipta- og póstmála staðfest. Þá sé niðurstaða Persónuverndar sú að kvartandi hafi ekki samþykkt vinnslu stefnda á persónuupplýsingunum.

Starfsmenn Póst- og fjarskiptastofnunar, úrskurðarnefnd fjarskipta- og póstmála og Persónuvernd búi yfir sérþekkingu á þeim viðfangsefnum, sem heyri undir stofnanir þeirra. Um verkefni Póst- og fjarskiptastofnunar sé fjallað í 3. gr. laga nr. 69/2003 um Póst- og fjarskiptastofnun. Í 1. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga sé markmið þeirra laga skilgreint. Vægi umsagna og úrskurða þessara eftirlitsaðila sé með þeim hætti að dómstólar geti ekki sniðgengið þau, nema því aðeins að stefndi sýni fram á að þeir séu haldnir þess háttar annmörkum að varði ógildingu. Þar sem slíkir annmarkar séu ekki fyrir hendi verði að leggja til grundvallar niðurstöður stofnananna, að því leyti sem þær snúi að álitaefninu um bótaskyldu stefnda. Stefnandi byggir á því að sú þjónusta sem stefnandi samdi um kaup á við stefnda hafi falið í sér fjarskiptaþjónustu á fjarskiptanetum stefnda.

Bótaskylda stefnda

Stefnandi vísar til 1., 2. og 3. mgr. 42. gr. laga nr. 81/2003, um fjarskipti. Þau persónulegu gögn um stefnanda sem hafi flust frá stefnda á internetið hafi ekki verið gögn um fjarskiptaumferð farsíma stefnanda, þ.e. hver hafi haft samband í hvaða númer og úr hvaða númeri, lengd samskiptanna o.s.frv., heldur hafi verið um texta samskiptanna að ræða og hafi bæði skilaboðin verið eldri en sex mánaða. Stefnda hafi verið óheimilt að varðveita texta smáskilaboðanna án tillits til þess hvort þau væru eldri eða yngri en sex mánaða. Undantekningarákvæði laganna hafi ekki átt við í tilviki stefnanda.

Stefndi hafi af ásetningi eða stórfelldu gáleysi brotið á réttindum stefnanda með því að geyma viðkvæm persónuleg gögn um hann þrátt fyrir bann fjarskiptalaga við slíkri varðveislu. Stefnda hafi verið óheimilt að geyma gögn um annað en fjarskiptaumferð, sem hafi tengst smáskilaboðum, og hafi borist og verið send frá farsíma stefnanda. Fjarskiptalög heimili einungis geymslu gagna um umferð í allt að sex mánuði. Sú aðgerð stefnda að varðveita texta smáskilaboðanna hafi leitt til þess að við innbrot í fjarskiptakerfi stefnda hafi sá, sem hafi borið ábyrgð á innbrotinu, komist yfir hin viðkvæmu persónugögn um stefnanda og hafi getað gert þau öllum aðgengileg á internetinu. Hefði stefndi farið að fjarskiptalögum um eyðingu gagnanna, sem tengdust stefnanda, hefði innbrotið engu skipt fyrir stefnanda, þar sem engin viðkvæm gögn um stefnanda hefði þá verið að finna í fjarskiptakerfum stefnda. Háttsemi stefnda sé því tvímælalaust ólögmæt.

Stefnda hafi verið ljóst, á þeim tíma sem innbrotið var framið í fjarskiptakerfi hans, að hann varðveitti af ásetningi mikið magn viðkvæmra persónuupplýsinga, þar á meðal viðkvæm gögn tengd stefnanda. Honum hafi verið í lófa lagið að gera ráðstafanir til að eyða gögnunum eins og lög mæli fyrr um, að undanskildum gögnum um umferð síðustu sex mánuðina. Þetta hafi stefndi vanrækt og því sé saknæmisskilyrði sakarreglunnar uppfyllt. Skipti þá ekki máli hvort talið verði að háttsemin teljist ásetningsbrot eða brot framið af stórkostlegu gáleysi.

Orsakasambandið milli háttsemi stefnda og tjóns stefnanda sé beint og fyrirsjáanlegt. Stefnda hafi verið ljóst eða hlotið að vera ljóst að reglurnar, sem bönnuðu varðveislu umræddra gagna, hefðu þann tilgang að tryggja vernd persónuupplýsinga og þar með að vernda friðhelgi einkalífs notenda þjónustunnar. Stefnandi hafi mátt treysta því að stefndi færi með viðkvæm persónuleg gögn um hann af hinni mestu varúð.

Stefnandi byggir bótaskyldu stefnda meðal annars á sakarreglunni og séu öll skilyrði hennar uppfyllt. Við beitingu hennar í máli þessu beri m.a. að hafa í huga, að stefndi hafi vanrækt skyldu sína til athafna, þ.e. að eyða hinum viðkvæmu gögnum, og skyldu sína til nákvæmra vinnubragða, sem rakin verði til hins opinbera starfsleyfis stefnda. Jafnframt sé byggt á húsbóndaábyrgð stefnda, en hann beri ábyrgð á hverri þeirri bótaskyldu háttsemi, sem starfsmenn hans, ráðgjafar og verktakar séu ábyrgir fyrir, hvort sem er með aðgerðum eða athafnaleysi. Stefnandi telur að beita skuli hinni almennu sakarreglu með strangari hætti en almennt sé þar sem stefnda hafi verið úthlutað starfsleyfum með aðgangi að takmarkaðri auðlind og beri jafnframt ríka sérfræðiábyrgð gagnvart viðskiptamönnum sínum. Enn fremur byggir stefnandi á reglunni um reglufest saknæmi, þ.e. að brot stefnda á framangreindum lagareglum um vörslur viðkvæmra persónuupplýsinga leiði eitt sér til þess að skilyrði bótaskyldu stefnda séu uppfyllt.

Stefndi hafi vanrækt að uppfylla þá lögbundnu varúðarskyldu sína að gera viðeigandi tæknilegar og skipulagslegar öryggisráðstafanir til að vernda persónuupplýsingar gegn óleyfilegum aðgangi, sbr. 11. gr. laga nr. 77/2000. Stefnda hafi verið skylt að gera ráðstafanir, sem tryggi nægilegt öryggi miðað við áhættu af vinnslunni og eðli þeirra gagna sem verja á, með hliðsjón af nýjustu tækni og kostnaði við framkvæmd þeirra. Stefndi beri ábyrgð á því að áhættumat og öryggisráðstafanir við vinnslu hinna umræddu persónuupplýsinga séu í samræmi við lög og reglur um hvernig tryggja skuli öryggi upplýsinga. Þessi vanræksla leiði til bótaskyldu stefnda gagnvart stefnanda vegna hins óleyfilega aðgangs og eftirfarandi dreifingar á internetinu.

Stefnandi vísar til þess að hvort tveggja, einkalíf og æra stefnanda, njóti verndar stjórnarskrárinnar. Stefndi hafi brotið gegn einkalífi stefnanda með þeirri háttsemi sinni að gera utanaðkomandi kleift að komast yfir einkagögn hans sem bárust stefnanda, eða stefnandi sendi, með smáskilaboðum þeim sem ekki hafi mátt vera aðgengileg, og birta þau á netinu. Með þessari háttsemi hafi stefndi skert stjórnarskrárvarin réttindi stefnanda og af því leiði skaðabótaskyldu stefnda á tjóni stefnanda á hlutlægum grunni.

Bótaskylda stefnda varðandi miska sé byggð á 26. gr. skaðabótalaga nr. 50/1993, enda beri stefndi ábyrgð á ólögmætri meingerð gegn frelsi, friði, æru og persónu stefnanda og beri því að greiða henni miskabætur.

Með 43. gr. laga nr. 77/2000 og ákvæði 23. gr. tilskipunar 95/46/EB sé innleidd saknæmisregla (culpa) með öfugri sönnunarbyrði. Í 23. gr. enska texta tilskipunarinnar sé talað um að „any person who has suffered damage [...] is entitled to receive compensation from the controller for the damage suffered“. Í íslenskri þýðingu tilskipunarinnar segi „að hver sá sem hefur orðið fyrir tjóni [ ... ] eigi rétt á skaðabótum frá ábyrgðaraðila fyrir það tjón sem hann hefur orðið fyrir“. Þrátt fyrir skýrt orðalag tilskipunarinnar segi í 43. gr. laga nr. 77/2000, að ábyrgðaraðili skuli „ ... bæta hinum skráða það fjárhagslega tjón sem hann hefur orðið fyrir ...“. Ekki er ljóst af undirbúningsgögnum laganna hvers vegna tilskipunin sé innleidd í andstöðu við fyrirmæli tilskipunarinnar, sem mæli fyrir um skaðabætur, sem nái bæði til bóta fyrir fjárhagslegt og ófjárhagslegt tjón. Takmörkunin við fjárhagslegt tjón eingöngu sé byggð á misskilningi á texta tilskipunarinnar. Því sé mótmælt að hin ranga innleiðing verði lögð til grundvallar reyni yfirhöfuð á ákvæði þetta við ákvörðun um bótaskyldu stefnda vegna hins ófjárhagslega tjóns stefnanda. Ákvæði þetta skipti einkum máli að því er varðar öfuga sönnunarbyrði sem lögð sé á stefnda. Skaðabótaskylda stefnda sé byggð á réttarreglum um skaðabótaskyldu þar sem bótaskyldan nái jafnt til fjárhagslegs sem ófjárhagslegs tjóns og því skipti ákvæði þetta ekki máli, verði niðurstaðan sú að skýra það í andstöðu við ákvæði tilskipunarinnar.

Bótafjárhæðir

Dómkrafa stefnanda sé um bætur fyrir ófjárhagslegt tjón. Stefndi hafi geymt viðkvæm gögn sem óheimilt hafi verið að geyma, þ.e. ekki aðeins gögn um umferð. Án þessarar óheimilu gagnavörslu hefði skaðinn ekki orðið. Hið ólögmæta ástand, þ.e. geymsla gagnanna, hafi ekki aðeins varað um skamma hríð heldur árum saman. Þetta langvarandi ólögmæta ástand auki mjög á saknæmi háttsemi stefnda. Vegna þess að stefndi viðhélt hinu ólögmæta ástandi hafi tjón stefnanda orðið enn stórfelldara en ella. Afleiðingarnar af háttsemi stefnda hafi verið honum fyrirsjáanlegar og röklegt samhengi sé milli háttsemi stefnda og tjóns stefnanda.

Stefndi hafi vakið sérstakt traust hjá stefnanda og öðrum viðskiptavinum sínum með yfirlýsingum á heimasíðu sinni um að öryggi á „Mínum síðum“ væri tryggt. Segi þar m.a. að fylgt sé „ítrustu öryggiskröfum“ til að tryggja að óviðkomandi „geti ekki fengið aðgang að Mínum síðum“. Varnir fyrir ,,Mínar síður“ hafi ekki verið í samræmi við þessa yfirlýsingu og veikari en varnir stefnda fyrir aðrar þjónustur. Það geri yfirlýsinguna enn ámælisverðari en ella og auki á saknæmisstigið.

Skilaboð varðandi annars vegar fjárhagsstöðu stefnanda og hins vegar trúarskoðanir hennar hafi lekið á internetið af vefsíðu stefnda. Fjölmargir hafi hlaðið gögnunum niður á eigin tölvur. Gögnin séu jafnframt enn þá aðgengileg á skráardeilingarsíðunni deildu.net, þar sem þeim hafi verið hlaðið niður a.m.k. 13 þúsund sinnum. Auðvelt hafi verið og sé að tengja einstök smáskilaboð við sendanda og móttakanda þar sem með boðunum hafi birst símanúmer sendanda og móttakanda þeirra.

Sá sem njóti verndar 26. gr. skaðabótalaga sé sá sem misgert sé við. Misgert hafi verið við stefnanda með fyrrgreindri háttsemi stefnda. Stefndi hafi sýnt af sér stórfellt gáleysi og séu huglæg skilyrði því uppfyllt. Stefndi beri ábyrgð á því að hin viðkvæmu gögn um stefnanda hafi verið gerð aðgengileg á internetinu. Öll skilyrði 26. gr. skaðabótalaga séu því uppfyllt.

Í 8. tl. 2. gr. laga nr. 77/2000 sé hugtakið viðkvæmar persónuupplýsingar skilgreint m.a. þannig að undir það falli upplýsingar um stjórnmálaskoðanir, svo og trúar- og aðrar lífsskoðanir. Persónuupplýsingar séu skilgreindar sem persónugreinanlegar upplýsingar, sbr. 1. tl. 2. gr. laganna. Þær upplýsingar sem hafi birst á internetinu í smáskilaboðum til og frá stefnanda heyri undir viðkvæmar persónuupplýsingar og falli þær undir einkamálefni, sbr. t.d. 229. gr. almennra hegningalaga nr. 19/1940.

Stefnandi hafi skilið við eiginmann sinn árið 2010 en það hafi verið stefnanda afar þungbært, bæði tilfinningalega og fjárhagslega. Stefnandi hafi meðal annars [...]. Stefnandi hafi sent fjármálaráðgjafanum SMS-skilaboð og tjáð honum [...].

Stuttu eftir 30. nóvember 2013 hafi sonur stefnanda haft samband við hana og tjáð henni að á meðal þeirra gagna sem lekið höfðu af vefsíðu stefnda væru greind SMS-skilaboð um fjárhagsstöðu stefnanda sem og skilaboð frá trúfélagi stefnanda til hennar. Sonur stefnanda hafi fram að þessu engar upplýsingar haft um fjárhagsstöðu hennar. Stefnanda sé ljóst að að í það minnsta þrír aðilar hafi orðið varir við upplýsingar um fjárhagsstöðu stefnanda og trúfélagsaðild hennar. Það séu þó eingöngu þeir sem tjáðu stefnanda að þeir hefðu þessar upplýsingar. Leki gagnanna hafi valdið stefnanda miklum miska og óbærilegri vanlíðan. Stefnandi hafi meðal annars orðið að útskýra fyrir vinnufélögum sínum, yfirmanni, fjölskyldu sinni og vinum hvers vegna hún væri komin í fjárhagsvandræði, til þess að koma í veg fyrir að frekari sögusagnir breiddust út. Trúfélagsaðild stefnanda hafi ekki verið opinber öðrum en þeim sem voru nákomnir henni. Stefnandi hafi í kjölfar lekans verið uppnefnd vegna trúarskoðana sinna. Bæði fjárhagsstaða stefnanda og trúfélagsaðild hennar njóti verndar samkvæmt friðhelgisákvæði stjórnarskrárinnar og refsilögum. Það varði fangelsi allt að einu ári að skýra opinberlega frá einkamálefnum annars manns.

Í lögum sé ekki að finna leiðbeiningar eða viðmið um hvernig ákvarða skuli fjárhæð miskabóta. Ekki verði heldur lesin gagnleg viðmið úr dómum. Samkvæmt undirbúningsgögnum 26. gr. skaðabótalaga skuli leggja áherslu á „að fjárhæðir bóta samkvæmt greininni eiga að ákvarðast samkvæmt því sem sanngjarnt þykir hverju sinni“. Síðan séu nefnd dæmi um „umfang tjóns, sök tjónvalds og fjárhagsstöðu hans“. Í dómum hafi verið nefnd ýmis atvik sem orki á fjárhæð miskabóta svo sem að brot skaði sjálfsmynd þess sem fyrir verður, brot valdi honum andlegum erfiðleikum, sá sem ábyrgð beri gangi fram af stórfelldu gáleysi, framkoma sé niðrandi, særandi og lítillækkandi og fallin til að varpa rýrð á þann sem fyrir verður, álitshnekkir, hagsmunir af vernd einkalífs og æru, tjónvaldur hafi jafnframt brotið gegn öðrum réttarreglum en 26. gr., eftirfarandi háttsemi tjónvalds, ásakanir yrðu almennt kunnar, útbreiðsla ummæla, ummæli ítrekað birt í dagblaði.

Framangreind sjónarmið eigi við í máli þessu. Einkalíf stefnanda, m.a. fjárhagsstaða og trúarskoðanir, hafi verið andlag stórfelldra brota af hálfu stefnda. Virðing stefnanda hafi borið hnekki sem muni viðhaldast vegna eðlis internetsins þar sem allt varðveitist. Brotið hafi valdið stefnanda andlegum erfiðleikum. Sök stefnda sé stórfelld og hegðun hans eftir að lekinn komst í hámæli stórlega ámælisverð. Stefndi hafi í byrjun tekið á sig ábyrgð á mistökum sínum opinberlega og beðið viðskiptavini sína afsökunar en hafi síðan dregið í land. Í samningaviðræðum við stefnanda hafi stefnandi sagst vera reiðubúinn að ræða bótafjárhæðir jafnskjótt og afstaða eftirlitsstofnana lægi fyrir, þ.e. Persónuverndar og Póst- og fjarskiptastofnunar. Afstaða beggja þessara stofnana hafi verið sú að stefndi hafi verið talinn brotlegur við þau lagaákvæði sem stefnandi kærði stefnda út af. Stefndi hafi skotið ákvörðun Póst- og fjarskiptastofnunar til æðra stjórnvalds, sem hafi staðfest ákvörðunina. Þá hafi stefndi tilkynnt lögmanni stefnanda að ekki yrði rætt um bótaskyldu og bótafjárhæðir. Með því hafi stefndi átt við að stefnandi yrði að sækja bætur fyrir dómstólum. Framkoma þessi sé til þess fallin að auka enn við niðrandi, særandi og lítillækkandi áhrif brots stefnda í garð stefnanda. Sök stefnda sé stórfelld eins og úrskurðir eftirlitsaðila segi til um.

Við mat á miskabótum byggir stefnandi á því að taka skuli tillit til þess að gögnunum hafi verið hlaðið niður vítt og breitt. Þar með varðveitist þau um alla framtíð. Auðvelt sé því að birta þau og senda hvert sem vera skal og hvenær sem er. Þá sé fjárhagsstaða stefnda afar góð. Allt þetta og annað sem rakið hafi verið auki tjón stefnanda, sem rakið verði til háttsemi stefnda. Engin fordæmi séu fyrir slíku tjóni í íslenskri dómiðkun. Þess vegna sé ekki unnt að styðjast við kunn dómafordæmi við mat á hæfilegum miskabótum. Meta verði málið í heild sinni, allar aðstæður stefnanda og áhrif brotsins á líf hennar, vávæni háttseminnar, fyrirsjáanleika og sök stefnda og afleiðingarnar fyrir stefnanda.

Með hliðsjón af öllu framgreindu sé gerð krafa um 600.000 krónur í miskabætur úr hendi stefnda auk vaxta. Miskabætur að þeirri fjárhæð séu hæfilegar og sanngjarnar að virtum atvikum og aðstæðum öllum. Upphafstími dráttarvaxta miðist við 26. mars 2014, en þá hafi verið liðnir 30 dagar frá því að stefnandi sannanlega lagði fram þær upplýsingar sem þörf var á til að meta tjónsatvik og fjárhæð bóta, en það hafi gerst á fundi á skrifstofu þáverandi lögmanna stefnda.

Lagarök

Stefnandi vísar til 68. og 71. gr. stjórnarskrárinnar nr. 33/1944, almennra hegningarlaga nr. 19/1940, einkum XXV. kafla, skaðabótalaga nr. 50/1993, einkum 26. gr., laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, laga nr. 69/2003, um Póst- og fjarskiptastofnun, laga nr. 81/2003, um fjarskipti, mannréttindasáttmála Evrópu, einkum 8. gr., sbr. lög nr. 62/1994. Einnig vísar stefnandi til reglna Persónuverndar nr. 299/2001, um öryggi persónuupplýsinga, reglna Póst- og fjarskiptastofnunar nr. 345/2005, um almenna heimild til að reka fjarskiptanet eða fjarskiptaþjónustu, almennu sakarreglunnar, reglunnar um reglufest saknæmi, ákvæðis 23. gr. tilskipunar 95/46 EB, alþjóðasamnings um borgaraleg og stjórnmálaleg réttindi og til laga nr. 38/2001 um vexti og verðtryggingu. Um málskostnað er vísað til 130. gr. laga um meðferð einkamála nr. 91/1991.

Málsástæður og lagarök stefnda

Engin viðurkenning

Stefndi mótmælir því að hann hafi viðurkennt að vistun gagna hafi verið andstæð 42. gr. laga nr. 81/2003 um fjarskipti en síðar breytt um afstöðu. Stefndi hafi aðeins bent á að gögnin hafi verið vistuð lengur en þann tíma sem 42. gr. mæli fyrir um en um leið útskýrt að ákvörðun um vistunina hafi verið tekin af viðskiptavinum stefnda. Yfirlýsingar stefnda hafi ekki falið í sér vísun til annars en að við ákveðnar aðstæður – aðrar en hér – gæti fyrirkomulag vistunar skeytanna verið ófullnægjandi. Slíkt sé óheppilegt og stefndi hafi lýst þessu sem „mistökum“. Með því hafi stefndi hvorki viðurkennt brot á lögum né saknæma háttsemi; hvorki almennt né í tilviki stefnanda. Með „ábyrgð“ hafi stefndi ekki vísað til annars en að stefndi standi og falli með sínum ákvörðunum. Úrlausn um hver sé niðurstaðan ráðist af reglum skaðabótaréttar utan samninga en ekki reglum um skuldbindingargildi loforða.

Vistun gagna heimil

Stefndi hafnar því að honum hafi verið óheimilt að varðveita vefskilaboð stefnanda og að hann hafi vanrækt að eyða skilaboðunum. Stefndi vísar til þess að það sé óaðskiljanlegur hluti persónuréttar hvers manns að varðveita eigin gögn. Hvorki lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga né lög nr. 81/2003 svipti menn þessum rétti. Þá sé vistun og varðveisla skilaboðanna ekki andstæð 71. gr. stjórnarskrárinnar. Aðgangur stefnanda að „Mínum síðum“ hjá stefnda hafi ekki stofnast sjálfkrafa og þjónustan hafi verið valfrjáls. Stefnda hafi verið frjálst að veita stefnanda og öðrum notendum „Minna síðna“ þá þjónustu að vista afrit sendra skeyta og reyndar hefði stefnda verið heimilt að ljá stefnanda atbeina til varðveislu hvers kyns persónuupplýsinga, viðkvæmra eður ei. Ýmis fyrirtæki, t.d. gagnaver og hýsingaraðilar, veiti slíka þjónustu án þess að það teljist andstætt 8. og 9. gr. laga nr. 77/2000. Stefndi hafi því ekki getað ákveðið fyrir hönd viðskiptavina sinna hvaða gögnum þeirra skyldi eyða. Ákvörðun um slíkt sé í höndum viðskiptavinarins sjálfs.

Stefndi andmælir því að 42. gr. laga nr. 81/2003 eigi við í málinu. Ákvæðið eigi aðeins við um „almenna fjarskiptaþjónustu,“ „fjarskiptanet“ og „almenn fjarskiptanet“, en SMS-þjónustan á „Mínum síðum“ falli ekki þar undir. Úrskurðarnefnd fjarskipta- og póstmála sé ósammála þessari afstöðu stefnda. Stefndi hafi ekki unað úrskurði nefndarinnar og höfðað mál 7. apríl 2015 til ógildingar á úrskurðinum. Stefndi mótmælir því að samkvæmt gagnályktun frá 42. gr. hafi stefnda einungis verið heimilt að vista gögn um „fjarskiptaumferð“. Samkvæmt 5. mgr. 1. gr. laga nr. 81/2003 gildi lögin ekki um efni sem sent sé á fjarskiptanetum. Þá hafi viðskiptavinir stefnda sjálfir kosið að senda, vista og geyma umrædd skeyti. Geymsla skilaboðanna hafi því ekki brotið gegn ákvæðinu. Yrði fallist á slíkt yrði raskað raunhæfum möguleikum fólks til að varðveita upplýsingar um einkalíf sitt með aðstoð nútímatækni.

Stefnandi hafi kosið að nýta „Mínar síður“ til að senda og vista eitt skeyti 17. ágúst 2012 úr númerinu x. Stefnanda hljóti að hafa verið vistun skeytisins ljós. Á vefsíðunni hafi birst svonefnd „skeytasaga“ sem hafi innihaldið upplýsingar um hið vistaða skeyti, dagsetningu þess, tímasetningu, fyrsta 21 staf skeytisins, fjölda viðtakenda og kostnað við sendingu þess. Við reit þar sem nýtt skeyti var skrifað hafi einnig sérstaklega verið hakað við að skeytið yrði vistað í sögunni. Þegar fyrsti stafur nýs skeytis hafi verið skrifaður hafi kviknað „senda“ hnappur við hliðina á því haki sem hafi gert hakið sérstaklega áberandi. Gögn af innri vef stefnda sýni að stefnandi hafi skráð sig inn á ,,Mínar síður“ alls sjö sinnum eftir að hún sendi skilaboðin. Þótt ekki verði um það fullyrt kunni stefnandi að hafa orðið þess vör að skilaboðin væru vistuð á síðunni. Þrátt fyrir það hafi stefnandi aldrei eytt umræddum skilaboðum og hafi með því tekið meðvitaða ákvörðun um að vista skilaboðin áfram og þar með veitt samþykki sitt fyrir vistuninni.

Stefnandi hafi fengið send ein skilaboð í símanúmerið y frá öðrum aðila sem hafi notfært sér SMS-þjónustuna á „Mínum síðum.“ Í því tilviki hafi sendandi skeytisins vistað það í sinni „skeytasögu“. Stefnandi geti ekki andmælt þeirri ákvörðun sendanda og eigi hvorki lögvarða hagsmuni um kröfugerð vegna vistunar þess né aðild í skilningi 16. gr. laga nr. 91/1991 um meðferð einkamála. Að auki virðist sem um hafi verið að ræða fjölpóst. Ekki sé hægt að draga ályktanir um að skeytið innihaldi málefni sem gætu flokkast sem viðkvæm persónuleg málefni.

Stefnandi hafi ekki beint kvörtun til Persónuverndar og geti því ekki byggt á neinum úrskurði stofnunarinnar. Stefndi hafni því að málsaðilar séu sammála þeirri niðurstöðu Persónuverndar að varðveisla skilaboðanna hafi ekki samrýmst kröfum laga nr. 77/2000 og að stefnandi hafi ekki veitt samþykki sitt fyrir henni. Stefndi byggir á því að hann hafi í engu brotið gegn ákvæðum þeirra laga. Stefndi mótmælir því einnig að úrskurður Persónuverndar bindi hendur dómstóla nema hann verði talinn haldinn ógildingarannmörkum.

Telji dómurinn að umræddur úrskurður Persónuverndar eigi við byggi stefndi á því til vara að úrskurður Persónuverndar sé haldinn slíkum annmarka að hann geti ekki haft gildi. Stefndi mótmæli þeirri niðurstöðu Persónuverndar að vistun á „Mínum síðum“ hafi ekki farið fram með samþykki notenda síðnanna í skilningi laganna. Þá hafi gögnin sem Persónuvernd byggði sína ályktun á verið ófullnægjandi. Stofnunina hafi vantað viðhlítandi skjámyndir „Minna síðna“ og hafi ekki framkvæmt skoðun á vettvangi. Loks hafi úrskurðurinn verið reistur á röngum forsendum um efni SMS-skilaboða kvartanda málsins.

Niðurstaða Persónuverndar virðist ráðast af því að fyrir fram hafi verið hakað í reitinn „vista í skeytasögu“. Vel kunni að vera að heppilegra verklag hefði verið að haka hefði þurft sérstaklega í reitinn. Sú leið sem hafi verið valin kunni því, í einhverjum tilvikum, að hafa leitt til þess að sendandi hafi ekki áttað sig á að send skeyti hafi vistast. Hins vegar verði að skoða þetta fyrirkomulag í samhengi við atvik málsins. Ekki hafi getað farið fram hjá neinum sem skrifaði skeyti að það kviknaði á „senda“ hnappnum og að sá hnappur hafi verið staðsettur við hliðina á hakinu í því skyni að vekja sérstaka athygli á því. Enn fremur hafi skeytin birst, að hluta, á skjámyndinni eftir að þau voru send. Með því að fjarlægja ekki hakið úr reitnum „vista í skeytasögu“, og með því að eyða skeytunum ekki eftir að þau voru send, verði að líta svo á að stefnandi hafi veitt samþykki sitt fyrir vistun. Skilyrðum 8. gr. laga nr. 77/2000, sbr. 7. tl. 2. gr., hafi því verið fullnægt.

Stefndi kveður ákvæði IX. kafla laga nr. 81/2003 og reglur nr. 1221/2007 vera sérákvæði um persónuvernd sem gangi framar ákvæðum laga nr. 77/2000. Telji dómurinn að ákvæði laga um fjarskipti nr. 81/2003 eigi við um „Mínar síður“ falli málið utan valdssviðs Persónuverndar en innan valdsviðs Póst- og fjarskiptastofnunar, sbr. 2. mgr. 2. gr. laga nr. 81/2003. Niðurstaða Persónuverndar hafi þá enga þýðingu í málinu.

Hæfilegar og viðeigandi öryggisráðstafanir

Stefndi hafnar því að hann hafi ekki gert hæfilegar ráðstafanir til að tryggja öryggi vistaðra SMS-skeyta gagnvart innbroti tölvuþrjóta. Stefndi hafi ekki sýnt af sér sök og starfsmenn hans hafi gætt þeirra varúðarráðstafana sem krafa verði gerð um. Ábyrgðartakmörkun í 6. tl. þágildandi almennra viðskiptaskilmála stefnda leiði einnig til þess að stefndi beri ekki ábyrgð á meintu tjóni stefnanda, sbr. 40. gr. laga nr. 81/2003. Þá mótmæli stefndi því að hlutlæg ábyrgð, rýmkuð sakarregla, regla um reglufest saknæmi eða öfug sönnunarbyrði eigi við í málinu.

Stefndi mótmælir því að hann hafi vanrækt að uppfylla þær kröfur sem gerðar séu í 11. gr. laga nr. 77/2000. Stefndi hafi ítrekað leitað veikleika í öryggi vefsíðunnar, m.a. með aðstoð færustu sérfræðinga, en veikleikinn sem tölvuþrjóturinn nýtti hafi aldrei fundist. Ekkert í málinu bendi til þess að öryggi vefsíðu stefnanda hafi verið óhæfilegt miðað við áhættu af vinnslunni og eðli skilaboðanna eða verið lakara en öryggi aðgangs að öðrum samsvarandi vefsíðum. Málatilbúnaður stefnanda sé vanreifaður að þessu leyti, þar sem hann geri hvorki grein fyrir þeim „tæknilegu og skipulagslegu öryggisráðstöfunum“ sem hann vilji miða við né „kostnaði“ við þær.

Enginn réttur til bóta

Stefndi byggir á því að umkrafið tjón stefnanda geti ekki talist sennileg afleiðing af veikleika í vörnum vefsíðu stefnda. Innbrot tölvuþrjótsins og birting hans á umræddum gögnum hafi verið refsiverð, sbr. t.d. 228., 229. og 257. gr. almennra hegningarlaga nr. 19/1940. Útburður hinna umdeildu gagna af öðrum hafi einnig verið refsiverður, sbr. t.d. 229. gr. almennra hegningarlaga. Afleiðingar slíkra refsiverðra brota geti ekki talist sennileg afleiðing í skilningi almennu sakarreglunnar. Yrði fallist á slíkt græfi það undan réttarskipaninni, enda geti allir vænst þess, og eigi beinlínis kröfu til þess, að aðrir virði refsilöggjöfina.

Krafa stefnanda um miskabætur byggi sýnilega á b-lið 1. mgr. 26. gr. skaðabótalaga nr. 50/1993. Stefndi mótmæli því að háttsemi hans verði álitin ólögmæt meingerð gegn persónu stefnanda. Verði það niðurstaða dómsins að brotið hafi verið gegn ákvæðum laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, leiði af 43. gr. þeirra að stefndi sé einvörðungu ábyrgur fyrir fjárhagslegu tjóni sem af því kunni að hafa hlotist.

Stefndi mótmælir fjárhæð miskabótakröfu stefnanda sem ekki sé í neinu samhengi við dómaframkvæmd um ákvörðun miskabóta í til muna alvarlegri tilvikum. Stefndi beri ekki ábyrgð á því að tölvuþrjótur hafi brotist inn í vefkerfi stefnda, stolið þaðan gögnum og birt þau. Þá hafi gögn, sem voru birt á internetinu í kjölfar innbrotsins, verið tekin niður fljótt í kjölfarið. Stefnandi kunni að eiga sjálfstæðan bótarétt gagnvart þeim sem hafi borið út gögnin til almennings með því að birta þau á vefsíðum. Hafi stefnandi orðið fyrir miska vegna slíks geti stefndi ekki verið ábyrgur fyrir því. Leiði sjónarmið um orsakatengsl og sennilega afleiðingu ekki til brottfalls bótaréttar leiði þau að minnsta kosti til lækkunar bótafjárhæðar. Frásögn stefnanda af afleiðingum innbrotsins, og þeim miska sem innbrotið og dreifing gagnanna hafi valdið henni, sé ósönnuð.

Lagarök

Stefndi vísar einkum til laga nr. 81/2003, laga nr. 77/2000 og stjórnarskrár lýðveldisins Íslands nr. 33/1944. Einnig sé vísað til laga nr. 91/1991 um meðferð einkamála. Varðandi kröfu um málskostnað sé vísað til 129. og 130. gr. sömu laga.

Niðurstaða

Stefnandi krefst í máli þessu bóta vegna miska sökum þess að upplýsingar sem hana varða urðu aðgengilegar á internetinu í kjölfar innbrots á vefsíðu stefnda þar sem upplýsingarnar var að finna og telur hún stefnda bera bótaábyrgð vegna þess.

Svo sem rakið er í sérstökum kafla um málsatvik hér að framan var ráðist inn á vefsvæði Vodafone, sem stefndi rekur, 30. nóvember 2013 og stolið þaðan miklu magni viðkvæmra upplýsinga. Stefnandi styður bótakröfu sína m.a. því að stefndi hafi með saknæmum og ólögmætum hætti varðveitt gögn með viðkvæmum persónuupplýsingum án þess að gera viðeigandi öryggisráðstafanir til að vernda þau gögn.

Samkvæmt skjölum málsins og framburði framkvæmdastjóra tæknisviðs stefnda fyrir dóminum hafði vefsvæðið verið virkt í mörg ár, síðustu árin undir nafni Vodafone en áður undir nafni fyrirrennara Vodafone, OG fjarskipta, Íslandssíma og jafnvel fleiri fyrirtækja. Boðið hafði verið upp á sendingu SMS-skilaboða frá vefsvæðinu í fjölmörg ár, en með tilkomu vefsvæðisins „Mínar síður“ árið 2010 gátu viðskiptavinir fengið eigin aðgang þar sem þeir gátu vistað send SMS-skilaboð á vefsvæðinu. Vefsvæðið var smíðað með PHP-forritunarmálinu og gögn geymd í MySQL-gagnagrunni sem staðsettur var á vefsvæðinu (DMZ). Vefsvæðið varð fyrir nokkrum árásum á árunum 2012 og 2013 þar sem árásaraðilinn breytti m.a. útliti vefsíðna en árásirnar ollu ekki miklum skaða að öðru leyti. Í framhaldi af þeim árásum kveðst stefndi hafa brugðist við, bætt öryggi og leitað til þess aðstoðar nafngreindra ráðgjafarfyrirtækja á sviði tölvuöryggismála, en ekki hefur komið fram í málinu til hvaða öryggisráðstafana var gripið.

Stefndi ber ábyrgð á hugbúnaði sínum og á því að hugbúnaðurinn standist þær árásir sem á hann eru gerðar. Reynslan sýnir hins vegar að illmögulegt er að gera hugbúnað þannig úr garði að bíræfnir hakkarar finni ekki einhverjar öryggisholur til að brjótast í gegnum. Ekki er að fullu útskýrt hvernig tölvuþrjóturinn náði umræddum gögnum 30. nóvember 2013 en þó liggur fyrir að hann nýtti sér galla í PHP-forriti stefnda sem gerði honum kleift að yfirtaka MySQL-gagnagrunninn og ná út þeim gögnum sem þar voru geymd. Í innbrotinu komst tölvuþrjóturinn yfir þriggja ára sögu SMS-skilaboða allra viðskiptavina stefnda sem vistað höfðu smáskilaboð sín á „Mínum síðum“ stefnda, auk ódulkóðaðra lykilorða umræddra viðskiptavina. Þessi gögn voru meðal þeirra gagna sem geymd voru í MySQL-gagnagrunni vefsvæðisins. Það að í gagnagrunninum voru geymd ódulkóðuð lykilorð viðskiptavina sem höfðu stofnað aðgang að „Mínum síðum“ er eitt og sér staðfesting á því að öryggismálum á vefsvæði stefnda hafi verið ábótavant. Sú staðreynd að þessi augljósi galli var ekki lagfærður í framhaldi af fyrri árásum rýrir því trúverðugleika þeirra öryggisaðgerða sem stefndi segist hafa ráðist í í framhaldi af þeim.

Stefnda mátti vera ljóst hvílíkur fjöldi SMS-skilaboða var vistaður í gagnagrunninum og að þar gætu verið viðkvæm gögn sem skaðlegt væri ef kæmust í rangar hendur. Eðlilegt hefði verið að stefndi hefði gripið til einhverra ráðstafana til að verja umrædd gögn betur, svo sem að dulkóða SMS-skilaboðin í gagnagrunninum, færa gagnagrunninn af vefsvæðinu (DMZ) á traustari stað og nota vefþjónustur til að eiga við hann samskipti frá PHP-forritinu eða gera einhverjar þær tæknilegu ráðstafanir sem betur tryggðu gögnin gagnvart árásum. Í ljósi eðlis þeirrar árásar sem um ræðir er þó óvíst að þær öryggisráðstafanir sem hér eru nefndar hefðu dugað til.

Samhliða slíkri tæknirýni hefði stefndi átt að kanna hvort hann hefði lagaheimild til að geyma umrædd SMS-skilaboð viðskiptavina sinna. Formlegar öryggisráðstafanir og áhættumat var ekki fyrir hendi og ekki verður séð að greining eða umræða um áhættuna af geymslu SMS-skilaboðana hafi farið fram áður en hin afdrifaríka árás átti sér stað. Ósamstíg viðbrögð stjórnenda stefnda í framhaldi af árásinni benda einnig til þess. Fyrst eftir gagnalekann voru fjölmörg atriði óljós og stefndi gerði sér illa grein fyrir umfanginu, sem telst ekki óeðlilegt í ljósi aðstæðna. Hins vegar benda misvísandi ummæli forsvarsmanna stefnda opinberlega um það hvaða lög og reglur giltu varðandi vistun SMS-skilaboða til þess að stefndi hefði lítið hugað að þeim þætti eða því hversu mikil áhætta væri fólgin í að vista allt að þriggja ára SMS-skilaboðasögu viðskiptavina sinna á vefsvæðinu.

Innbrotum í tölvukerfi og gagnalekum hefur fjölgað stórkostlega síðustu ár um heim allan. Óumdeilt er að þetta er veruleg ógn og fæstir teljast óhultir í þeim efnum. Sú staðreynd hefði einmitt mátt ýta við stefnda að taka markvissari skref til að tryggja öryggi vefsvæðisins og þeirra gagna sem þar voru vistuð.

Fram kom fyrir dóminum að vefsvæði Vodafone hjá stefnda og þar með „Mínar síður“ voru í umsjón og rekstri sölu- og markaðssviðs stefnda og aðkoma tæknisviðsins var takmörkuð. Helst mátti af framburði framkvæmdastjóra tæknisviðs stefnda ráða að þetta fyrirkomulag væri til komið af sögulegum ástæðum á sama hátt og notkun PHP og MySQL við gerð vefsvæðisins. Eftir árásina hefur stefndi tekið öryggismál föstum tökum og hefur á margan hátt verið leiðandi í þeim efnum hérlendis. Fyrir utan nýjar öryggisráðstafanir byggir vefsvæðið nú á annarri tækni, tæknisvið stefnda sér um rekstur vefsvæðisins og tekin var ákvörðun um að bjóða ekki upp á SMS-sendingar frá vefsvæðinu. Óumdeilt er að stefndi hefur frá upphafi unnið ötullega að því að upplýsa um alla þætti málsins.

Stefndi ber það fyrir sig að honum verði ekki um það kennt þótt gögnin hafi komist í umferð þar sem það hafi gerst í innbroti. Stefndi kveðst hafa gert allt sem í hans valdi hafi staðið til að tryggja öryggi vefsvæðisins og heldur því fram að ekkert bendi til þess að öryggi vefsíðu hans hafi verið ófullnægjandi miðað við áhættu af vinnslunni og eðli skilaboðanna eða verið lakara en öryggi aðgangs að öðrum samsvarandi vefsíðum. Margt bendir að mati dómsins til þess að öryggismálum stefnda í tengslum við „Mínar síður“ hafi verið ábótavant. Fyrir liggur, og er það óumdeilt, að stefndi hafði ekki sett sér skriflega öryggisstefnu og framkvæmt áhættumat samkvæmt reglum nr. 299/2001, um öryggi persónuupplýsinga, sem settar eru á grundvelli 11. og 12. gr. laga nr. 77/2000, þrátt fyrir að stefnda hafi mátt vera ljóst að verulegt magn viðkvæmra gagna væri vistað á vefsvæðinu. Stefndi kveðst hafa fylgt eigin skjalastefnu í raun og hefur lagt fram skjal sem notað hafi verið innan fyrirtækisins, en ekki verður séð að stefndi hafi brugðist við og gert verulegar úrbætur í framhaldi af árásum sem áður voru gerðar á vefsvæðið en ollu takmörkuðum skaða. Telur dómurinn að stefndi hafi sýnt af sér verulegt gáleysi í þessum efnum. Þegar af þeirri ástæðu á fyrirvari um bótaábyrgð í almennum viðskiptaskilmálum, sem stefndi vísar til, ekki við.

Stefndi heldur því fram að vefsvæðið „Mínar síður“ teljist ekki hluti fjarskiptakerfis og að lög um fjarskipti nr. 81/2003 gildi ekki um vefsvæðið. Póst- og fjarskiptastofnun hefur úrskurðað um að vefsvæðið teljist hluti af fjarskiptakerfi stefnda og fjarskiptalög gildi um vefsvæðið „Mínar síður“ og hefur úrskurðarnefnd fjarskipta- og póstmála staðfest þá niðurstöðu. Stefndi hefur höfðað dómsmál til að fá þeirri niðurstöðu hnekkt, en ekki liggur fyrir niðurstaða í því máli. Taka sérfróðir meðdómarar í þessu máli undir röksemdir og ákvörðun Póst- og fjarskiptastofnunar og telur dómurinn að á vefsvæðinu hafi m.a. verið varðveittar upplýsingar sem lög um fjarskipti gilda ótvírætt um. Samkvæmt lögunum er fjarskiptafyrirtækjum óheimilt að geyma fjarskiptagögn lengur en nauðsynlegt er til reikningsgerðar og uppgjörs. Umferðarupplýsingar skal þó geyma í sex mánuði í þágu rannsókna sakamála og almannaöryggis. Á vefsíðu stefnda voru, ásamt efni skilaboða viðskiptavina, jafnframt varðveitt ótímabundið gögn um þá fjarskiptaumferð, sem tengist þeim skilaboðum sem komust í dreifingu, svo sem um það hvenær skilaboð voru send og símanúmer viðtakanda, þrátt fyrir þau tímamörk sem fjarskiptafyrirtækjum eru í lögunum sett til varðveislu gagna um fjarskiptaumferð.

Á því leikur enginn vafi að það, að viðskiptavinir stefnda rita SMS-skilaboð sín frá símanúmerum sínum hjá stefnda inn á vefsíðu stefnda, stendur í órofa tengslum við viðskiptasamband þeirra við stefnda sem fjarskiptafyrirtæki sem rekið er samkvæmt opinberu leyfi. Breytir sú skilgreining stefnda sjálfs á umræddu vefsvæði, að það standi utan fjarskiptanets, engu um þá staðreynd. Ekkert er komið fram í málinu sem bendi til þess að stefndi hafi kynnt viðskiptavinum sínum að hann teldi vefsvæðið standa utan fjarskiptaþjónustu sinnar þegar hann bauð upp á umrædda þjónustu, en til þess að komast inn á „Mínar síður“ og notfæra sér þessa þjónustu stefnda þurftu viðskiptavinir notandanafn og lykilorð sem þeim var sent í netbanka. Viðskiptavinir stefnda höfðu sérstaka ástæðu til þess að ætla að lykilorð væru örugglega geymd og að ekki væri hætta á að óviðkomandi aðilar kæmust í SMS-skilaboð þeirra, enda kom fram á „Mínum síðum“ að öryggi upplýsinga þar væri tryggt og ítrustu öryggiskröfum væri fylgt. Greitt var fyrir sendingu á SMS-skilaboðum sem send voru með þessum hætti úr símanúmerum viðskiptamanna hjá stefnda og máttu þeir ætla að öryggi þeirra upplýsinga sem færu um vefsvæðið væri þar tryggt svo sem væru þær á fjarskiptaneti. Ríkar öryggiskröfur eru gerðar til fjarskiptafyrirtækja og almennt er traust viðskiptavina til fjarskiptafyrirtækja mikið.

Ein helsta röksemd stefnda fyrir sýknukröfu sinni er að viðskiptavinum hafi verið í sjálfsvald sett hvort þeir vistuðu SMS-skilaboð sín á vefsvæði stefnda, en það sé virkni sem komið hafi til vegna óska viðskiptavina. Stefndi kveðst ekki hafa getað ákveðið fyrir hönd viðskiptavina sinna hvaða gögnum þeirra skyldi eyða og sé ákvörðun um slíkt í höndum viðskiptavinarins sjálfs. Efni SMS-skilaboða er almennt aðeins vistað í endabúnaði sendanda og móttakanda og er þar með á ábyrgð þeirra hvort þeim er eytt eða þau vistuð. Ekki verður fallist á málsástæðu stefnda um að raskað væri raunhæfum möguleikum fólks til að varðveita upplýsingar um einkalíf sitt með aðstoð nútímatækni ef vistun þeirra hjá stefnda væri ekki heimil.

Lög um fjarskipti, nr. 81/2003, gilda ekki um efni sem sent er á fjarskiptanetum, sbr. 5. mgr. 1. gr. laganna, svo sem texta SMS-skilaboða, en dómurinn fellst ekki á að það hafi verið stefnda óviðkomandi hvort SMS-skilaboð viðskiptavina væru vistuð á „Mínum síðum“ stefnda eða ekki. Með umræddu fyrirkomulagi tók stefndi ábyrgð á vinnslu þeirra persónuupplýsinga sem á vef hans safnast með þeim hætti, í skilningi laga um persónuvernd og meðferð persónuupplýsinga nr. 77/2000, og bar að fara með upplýsingarnar í samræmi við þá löggjöf. Í því felst m.a. að heimild til vinnslunnar þarf að eiga sér stoð í einhverju þeirra atriða sem greinir í 8. og 9. gr. laganna og vísar stefndi um vinnsluheimild sína eingöngu til 1. töluliðs beggja ákvæða, þ.e. að samþykki hins skráða hafi verið fyrir hendi.

Fyrir liggur að stefndi upplýsti ekki móttakendur SMS-skilaboða sem send voru frá „Mínum síðum“ um vistun þeirra á „Mínum síðum“ og áttu þeir þess ekki kost að eyða þeim, eða upplýsingum um símanúmer sitt sem móttakanda, úr gagnagrunninum á vefsvæði stefnda. Samþykkis stefnanda til vistunar á vefsíðu stefnda á skilaboðum sem hún tók við var samkvæmt því ekki aflað, en hér var um að ræða ein móttekin skilaboð. Af þeim skilaboðum má ráða tengsl hennar við tiltekið trúfélag, en trúarskoðanir eru viðkvæmar persónuupplýsingar, sbr. a-lið 8. tl. 2. gr. laga nr. 77/2000.

Stefnandi byggir á því að hún hafi ekki veitt samþykki sitt til vistunar þess SMS-skeytis sem hún sendi. Stefndi heldur því fram að samþykkis sendanda skilaboða til vistunar hafi verið aflað með því fyrirkomulagi á viðmóti vefsíðunnar, að notanda var veittur kostur á því að skilaboð sem hann ritaði vistuðust ekki sjálfkrafa, ef hak í þar til gerðan reit var tekið af. Þá gat sendandi eytt eldri sendum skilaboðum sínum. Heldur stefndi því fram að hakið hafi verið áberandi þegar ritun skilaboða hófst þar sem þá hafi birst hnappur til að senda, við hlið textans „vista í skeyta sögu“. Dómurinn gekk á vettvang við aðalmeðferð málsins sérstaklega í því skyni að kynna sér á skjá í húsakynnum stefnda, að kröfu hans, viðmót og notkun vefsíðunnar. Útprentun af skjámynd vefsíðunnar er einnig að finna meðal gagna málsins og reyndist skoðun á vettvangi ekki leiða annað í ljós sem máli skiptir en þar kemur fram.

Viðskiptavinum, sem notuðu síðuna reglulega til SMS-sendinga, t.d. til þjónustutilkynninga til viðskiptavina og skjólstæðinga eða til fjöldasendinga, mátti vera ljóst að SMS-skilaboð sem þeir sendu væru vistuð á „Mínum síðum“, enda fólst hagræðið m.a. í því að endurnýta texta og upplýsingar um skilgreinda hópa viðtakenda slíkra sendinga. Álitamál er að hvaða marki aðrir viðskiptavinir, sem notuðu „Mínar síður“ til þess að senda SMS-skilaboð, hafi almennt gert sér grein fyrir því að þau skilaboð sem þeir sendu væru vistuð þar ótímabundið. Fyrir liggja ein send skilaboð frá stefnanda, sem send voru og vistuð á mínum síðum 31. ágúst 2012 og kostuðu 8 krónur. Stefndi kveður stefnanda hafa opnað síðuna sjö sinnum eftir þann dag og eru upplýsingar um sex slíkar innskráningar að finna í gögnum málsins. Fyrir dóminum kvaðst stefnandi hafa notað þjónustuna nokkuð. Hún hafi keypti pakka hjá Vodafone og verið þar með sjónvarpið líka og hafi þá notað lykilorðið, sem lekið var, til að komast inn á Mínar síður til þess að senda ókeypis skilaboð, eins og þá hafi verið hægt að gera. Stefnandi kvaðst ekki muna til þess að þjónustan hafi verið kynnt sérstaklega í upphafi eða hvort boðið hefði verið upp á að skilaboð vistuðust. Kvaðst hún halda að hún hefði þá aldrei valið að vista skilaboðin og mundi ekki til þess að hafa gert það og hafði ekki hugsað sér að geyma þessi skilaboð. Aðeins eru fyrir hendi upplýsingar um ein skilaboð sem stefnandi sendi af vefsíðunni. „Senda“ hnappur næst vistunarhaki, sem stefndi telur vekja sérstaka athygli á þeim möguleika að vista ekki skeyti, kviknar aðeins þegar skilaboð eru rituð. Með hliðsjón af því dregur það ekki úr trúverðugleika framburðar stefnanda, um vitneskju sína um vistun skeytis eða möguleika á að afþakka vistun, þó að hún hafi síðar opnað síðuna sex sinnum án þess að rita þar skilaboð og þykja ekki efni til að draga framburð stefnanda að þessu leyti í efa.

Ekki verður séð að viðskiptavinum hafi verið kynnt hvernig vistun skilaboða á „Mínum síðum“ færi fram og hvernig persónuvernd væri tryggð. Unnt er að veita gilt samþykki sitt til vinnslu persónuupplýsinga í verki, svo sem með því að haka við reiti á eyðublaði, en það verður ekki veitt með þögninni einni og telst vinnsla persónuupplýsinga ekki samþykkt í verki eða ótvírætt, sbr. 1. tl. 1. mgr. 8. gr. laga nr. 77/2000, með því að láta það ógert að breyta fyrir fram gefinni stillingu, eins og hér var staðið að málum. Að mati dómsins uppfyllir umrætt fyrirkomulag til þess að afla samþykkis til vinnslu persónuupplýsinga ekki þær kröfur sem gera verður til þess að samþykki sendanda hafi verið veitt í skilningi framangreindra laga.

Fyrir liggur að gögnum, sem voru í vörslu stefnda, var stolið. Þar á meðal voru viðkvæmar persónuupplýsingar sem varða trúarskoðanir stefnanda í einum mótteknum skilaboðum sem komust í dreifingu vegna framangreindra atvika. Þá voru upplýsingar um fjárhagsörðugleika stefnanda að finna í skilaboðum sem stefnandi sendi. Stefnandi telur að ólögmæt og saknæm háttsemi stefnda hafi valdið henni miska sem sé sennileg afleiðing af háttseminni og beri stefnda því að greiða henni bætur vegna miska. Stefnandi vísar til þess að bæði fjárhagsstaða hennar og trúfélagsaðild njóti verndar samkvæmt friðhelgisákvæði stjórnarskrárinnar og refsilögum. Þótt stefndi hafi ekki sjálfur staðið að dreifingu efnis skilaboðanna á internetinu, og hafi beinlínis hvatt aðra til að eyða skilaboðunum og dreifa þeim ekki, þá verður ekki fram hjá því litið að skilaboðin hefðu ekki farið í dreifingu ef ekki hefði verið fyrir ólögmæta vistun þeirra á vefsíðu stefnda og þá saknæmu háttsemi, sem stefndi ber ábyrgð á, að tryggja ekki öryggi upplýsinga á vefsíðunni. Hin ólögmæta og saknæma háttsemi stefnda var nauðsynleg forsenda þess að upplýsingarnar urðu aðgengilegar á internetinu fyrir tilstuðlan tölvuþrjóts, en almennt aðgengi að þessum upplýsingum felur í sér brot gegn friðhelgi einkalífs stefnanda.

Samkvæmt framansögðu er það niðurstaða dómsins að varðveisla SMS-skilaboðanna á vefsíðu stefnda án viðhlítandi samþykkis hafi frá upphafi falið í sér brot gegn lögum um persónuvernd og meðferð persónuupplýsinga. Lög um fjarskipti veita stefnda ekki heimild til að vista slíkar upplýsingar, en þau eru rituð á vefsíðu stefnda beinlínis vegna þess að stefndi rekur fjarskiptaþjónustu. Dreifing upplýsinganna á internetið verður sem fyrr segir rakin til verulegs gáleysis stefnda, eða starfsmanna sem stefndi ber ábyrgð á, við að tryggja öryggi upplýsinganna á vefsvæði sínu.

Stefndi verður að þessu virtu að bæta stefnanda þann miska, sem telja má sennilega afleiðingu af dreifingu upplýsinganna. Þar sem stefndi hefur með verulegu gáleysi skapað sér bótaábyrgð á grundvelli sakarreglu skaðabótaréttar er ábyrgð hans ekki takmörkuð við fjártjón. Skiptir þá ekki máli þó að í 43. gr. laga nr. 77/2000 sé aðeins kveðið á um bótaskyldu ábyrgðaraðila vegna fjárhagslegs tjóns, sem hlýst af því að hann eða vinnsluaðili hafi unnið með persónuupplýsingar í andstöðu við lögin.

Kröfu sína um miskabætur byggir stefnandi á b-lið 1. mgr. 26. gr. skaðabótalaga nr. 50/1993, enda beri stefndi ábyrgð á ólögmætri meingerð gegn frelsi, friði, æru og persónu stefnanda. Í athugasemdum með frumvarpi til skaðabótalaga kemur fram að eftir ákvæðinu falli skylda til greiðslu miskabóta á þann sem ábyrgð beri á ólögmætri meingerð, eftir atvikum eftir reglum um vinnuveitandaábyrgð. Í skilyrði ákvæðisins um ólögmæta meingerð felist að um saknæma hegðun sé að ræða, en gáleysi myndi þó þurfa að vera verulegt til þess að tjónsatvik yrði talið ólögmæt meingerð. Svo sem að framan greinir er það skilyrði fyrir hendi í máli þessu.

Stefndi heldur því fram að frásögn stefnanda af afleiðingum innbrotsins, og þeim miska sem innbrotið og dreifing gagnanna hafi valdið henni, sé ósönnuð. Stefnandi kom fyrir dóm við aðalmeðferð málsins og lýsti því að hún hefði ekki gert ráð fyrir að aðrir kæmust í send eða móttekin skilaboð hennar. Gagnalekinn hefði haft mikil áhrif á sig. Stefnandi skýrði svo frá aðstæðum sínum að [...]. Fram kom fyrir dóminum að [...] hafi að formi til verið opinberar upplýsingar og einnig um síðar til komið [...], en stefnandi kvaðst ekki hafa orðið fyrir neinum óþægindum vegna þess, eins og hún hefði orðið fyrir vegna gagnalekans, og svaraði því til að það hefði ekki verið hringt í hana eða neinn talað við hana út af neinu í Lögbirtingablaðinu. Um áhrif þess að mótteknu skilaboðin urðu opinber kvaðst stefnandi líta svo á að það væri einkamál sitt að hún leitaði sér sáluhjálpar vegna þeirra áfalla sem hún hafði orðið fyrir og fannst það ekki koma neinum við að hún væri að sækja stuðning í þessa kirkju. Það hafi þó aðallega verið hin skilaboðin sem henni hafi fundist hafa miklu meiri áhrif á sig.

Fær það stoð í gögnum málsins, og trúverðugum framburði stefnanda fyrir dómi, að umrædd atvik hafi valdið henni óþægindum og vanlíðan. Opinberun upplýsinga um fjárhag og viðkvæmra persónuupplýsinga, sbr. a-lið 8. tl. 2. gr. laga nr. 77/2000, um trúarskoðanir, fól í sér rof á friðhelgi einkalífs stefnanda, sem er að mati dómsins til þess fallið að valda henni miska. Hér var um að ræða ólögmæta meingerð af hendi stefnda gegn persónu stefnanda í skilningi b-liðar 1. mgr. 26. gr. skaðabótalaga og ber stefnda af þeim sökum að greiða stefnanda miskabætur.

Við ákvörðun á fjárhæð miskabóta er m.a. að líta til dómaframkvæmdar og afleiðinga bótaskylds atviks. Með hliðsjón af þeim óþægindum sem upplýst þykir að gagnalekinn hafi valdið stefnanda þykja þær miskabætur sem stefnda verður gert að greiða henni hæfilega ákveðnar 200.000 krónur. Bótafjárhæðin ber vexti og dráttarvexti í samræmi við ákvæði laga nr. 38/2001 um vexti og verðtryggingu svo sem stefnandi krefst og nánar greinir í dómsorði.

Með vísun til 1. mgr. 130. gr. laga um meðferð einkamála nr. 91/1991 verður stefnda gert að greiða stefnanda málskostnað sem, með hliðsjón af því að samhliða máli þessu eru rekin fjögur samkynja mál, er ákveðinn 400.000 krónur að meðtöldum virðisaukaskatti.

Dóminn kveður upp K-kvk-nf K-kvk-nf héraðsdómari, sem dómsformaður, ásamt sérfróðu meðdómsmönnunum B-kk-þgf J-kk-þgf og H-kk-þgf Ó-kk-þgf, rafmagnsverkfræðingum og tölvunarfræðingum.

D ó m s o r ð

Stefndi, Fjarskipti hf., greiði stefnanda, A, 200.000 krónur í miskabætur, ásamt vöxtum samkvæmt 1. mgr. 8. gr. laga nr. 38/2001, um vexti og verðtryggingu, frá 1. desember 2013 til 26. mars 2014, en með dráttarvöxtum samkvæmt 9. gr., sbr. 1. mgr. 6. gr. sömu laga, frá þeim degi til greiðsludags.

Stefndi greiði stefnanda 400.000 krónur í málskostnað.

K-kvk-nf K-kvk-nf

B-kk-nf J-kk-nf

H-kk-nf Ó-kk-nf