E-2520/2015

Mál þetta, sem dómtekið var 6. apríl 2016, var höfðað 15. júní 2015 af hálfu A, [..., ...], á hendur Fjarskiptum hf., Skútuvogi 2, Reykjavík.

Endanlegar dómkröfur stefnanda eru þær að stefndi verði dæmdur til greiðslu skaðabóta að fjárhæð 12.000.000 króna auk vaxta samkvæmt 1. mgr. 8. gr. laga nr. 38/2001 um vexti og verðtryggingu frá 1. desember 2013 til 26. mars 2014 og með dráttarvöxtum samkvæmt 9. gr., sbr. 1. mgr. 6. gr. sömu laga frá 26. mars 2014 til greiðsludags.

Þá krefst stefnandi málskostnaðar úr hendi stefnda að skaðlausu.

Stefndi krefst sýknu af öllum kröfum stefnanda og málskostnaðar úr hendi stefnanda að skaðlausu.

Þinghöld eru lokuð og nafnleynd haldin við meðferð málsins, sbr. a-lið 1. mgr. 8. gr. laga nr. 91/1991.

Yfirlit málsatvika og ágreiningsefna

Stefndi er fjarskiptafyrirtæki sem veitir þjónustu undir nafninu Vodafone, þar á meðal símaþjónustu. Stefndi heldur einnig úti vefsíðunni vodafone.is og bauð viðskiptavinum sínum aðgang að þjónustu á vefsíðunni sem nefndist ,,Mínar síður“. Á ,,Mínum síðum“ gátu viðskiptavinir stefnda meðal annars sent SMS-skeyti í farsíma, varðveitt send skeyti og meðhöndlað þau.

Við sendingu á SMS-skeytum á ,,Mínum síðum“ var texti skeytisins ritaður í þar til gerðan reit og þar undir birtist meðal annars reiturinn ,,Vista í skeyta sögu“, sem var fyrir fram hakað við. Við hliðina á þeim reit birtist ,,senda“ hnappur um leið og fyrsti stafur nýs skeytis var skrifaður. Neðar á síðunni birtist svonefnd ,,skeytasaga“, ásamt fjölda skeyta, sem var listi yfir vistuð skeyti, dagsetningu þeirra, tímasetningu, fyrsta 21 staf skeytanna, fjölda viðtakenda og kostnað við sendingu þeirra. Óumdeilt er að SMS-skeyti, sem send voru í gegnum ,,Mínar síður“, voru vistuð ótímabundið nema sendandi tæki út hakið við reitinn ,,Vista í skeyta sögu“ þegar hann sendi skeyti.

Aðfaranótt 30. nóvember 2013 braust óþekktur ,,tölvuþrjótur“ inn á vefsíðu stefnda með því að notfæra sér, að sögn stefnda, ,,áður óþekktan veikleika í öryggi vefsíðunnar“. Tölvuþrjóturinn afritaði vistuð SMS-skeyti sem notendur ,,Minna síðna“, þar á meðal stefnandi, höfðu sent, sem og vistuð skeyti sem aðrir notendur ,,Minna síðna“ höfðu sent stefnanda, og gerði skeytin aðgengileg öllum almenningi á internetinu ásamt upplýsingum um símanúmer sendanda og móttakanda. Stefndi kveðst þegar hafa ræst út viðbragðsteymi sem hafi tekið niður vefsíðu stefnda og lokað öllum aðgangi. Þá hafi ,,færustu öryggissérfræðingar landsins“ verið kvaddir til, sem og sérfræðingar frá Vodafone Global. Netöryggissveit samkvæmt reglugerð nr. 475/2013 hafi verið tilkynnt um málið strax árla morguns. Um leið og stefnda hafi orðið ljóst að tölvuþrjóturinn hefði tekið gögn ófrjálsri hendi hafi hann sett af stað átak til að láta alla viðskiptavini sína vita sem hafi átt gögn sem tölvuþrjóturinn hafi stolið og birt.

Fyrstu daga desembermánaðar 2013 sendi stefndi tölvubréf til viðskiptavina sinna sem voru með skráð netfang á ,,Mínum síðum“ og sendi fréttatilkynningu til Kauphallar. Þar kemur m.a. fram að meðal stolinna gagna hafi verið 79 þúsund SMS-skeyti, notendanöfn og lykilorð að ,,Mínum síðum“. SMS-skilaboðin hafi verið send með SMS-þjónustu á heimasíðu stefnda á tímabilinu 1. desember 2010 til 30. nóvember 2013. SMS-skeytin hafi verið send af 5.100 aðilum, þar af hafi 2.500 viðskiptavinir aðeins sent ein skilaboð. Af þessum fjölda hafi um 60 þúsund skilaboð verið almennar þjónustutilkynningar sem hafi verið sendar af félagasamtökum eða litlum þjónustuaðilum, svo sem tannlæknum og hárgreiðslustofum. Fjarskiptalög kveði ,,skýrt á um að varðveisla gagna lengur en 6 mánuði er óheimil. Ljóst er að stór hluti hinna stolnu gagna var eldri en það og ber [stefndi] fulla ábyrgð á því.“ Ástæðum þessa var lýst þannig að á heimasíðunni væri viðskiptavinum boðið að vista send SMS-skilaboð en hægt væri að afþakka vistunina með því að taka út hak í reitnum ,,Vista í samskiptasögu“. Þetta fyrirkomulag á heimasíðunni væri ,,gallað og í því felast mistök“ stefnda.

Stefndi kveðst áður hafa sætt tilraunum ,,tölvuþrjóta“ til að brjótast inn á vefsíðu stefnda. Stefndi lýsir því að 7. mars 2012 hafi tölvuþrjóti tekist að skipta um útlit á vefsíðu stefnda. Í kjölfarið kveðst stefndi hafa gert sérstaka öryggisúttekt á vefsíðunni og aukið við varnir hennar. Hinn 13. mars 2012 hafi tölvuþrjótur reynt að gera slíkt hið sama en þá hafi uppfærðar varnir stefnda haldið og hafi tölvuþrjótinum því ekki tekist ætlunarverk sitt. Stefndi segist hafa tekið þátt í evrópskri netöryggisæfingu á vegum opinberra aðila. Þar hafi verið sviðsett öryggisatvik, þau meðhöndluð, viðbrögð samræmd og miðlun upplýsinga æfð. Starfsmenn stefnda hafi með því meðal annars fengið sérstaka þjálfun í að bregðast við öryggisógn. Að sögn stefnda gerðu ,,færustu sérfræðingar“ öryggisúttekt á vefsíðu stefnda í janúar 2013. Hinn 3. maí 2013 hafi tölvuþrjóti aftur tekist að valda skemmdum á vefsíðu stefnda. Tilvikið hafi varðað afmarkaðan hluta hennar og stefndi hafi álitið það síður alvarlegt en tilvikið 7. mars 2012. Stefndi kveður að öryggi vefsíðunnar hafi þá verið yfirfarið og varnir hennar auknar. Hinn 1. júní 2013 tók gildi reglugerð nr. 475/2013 um málefni CERT-ÍS netöryggissveitar. Stefndi kveðst hafa átt ágætt samstarf við sveitina vegna fjarskiptastarfsemi sinnar. Stefndi hafi til dæmis tilnefnt sérstakan tengilið við netöryggissveitina til að tryggja að sveitin gæti haft samband við stefnda. Haustið 2013 segist stefndi hafa tekið þátt í fyrstu innanlandsæfingunni í netöryggi á vegum netöryggissveitar. Starfsmenn stefnda hafi þar aftur fengið sérstaka þjálfun í að bregðast við ógn við öryggi.

Stefnandi notaði símanúmerið x hjá stefnda. Að sögn stefnda var rétthafi númersins [...], númerið hafi verið stofnað í hópáskrift 3. mars 2006, en [...] hafi gert rammasamning um fjarskiptaþjónustu við stefnda 30. desember 2011. Stefnandi hafi orðið rétthafi símanúmersins 2. mars 2015. Stefnandi var meðal þeirra viðskiptavina stefnda sem urðu fyrir því að skeytum, sem þá vörðuðu, var stolið og þau gerð aðgengileg á internetinu af hinum óþekkta tölvuþrjóti og krefst hann í máli þessu bóta vegna þess. Samkvæmt gögnum málsins voru birt 404 skeyti sem stefnandi sendi sjálfur. Þá kveðst stefnandi hafa móttekið 102 skeyti sem aðrir notendur ,,Minna síðna“ hafi sent stefnanda og vistað á ,,Mínum síðum“. Stefnandi rekur að öll skilaboðin sem hann sendi utan 10 þeirra varði einkalíf hans. Þar af innihaldi 87 skilaboð afar viðkvæmar persónuupplýsingar, meðal annars um börn stefnanda (19), ástarjátningar (30), kynlífslýsingar (13) og upplýsingar um fjármál hans (1), meðal annars kreditkortaupplýsingar.

Stefnandi sendi stefnda tölvubréf 9. desember 2013 og lýsti þeim verulegu óþægindum sem hann hefði þegar orðið fyrir vegna gagnalekans og innti stefnda eftir því hvernig stefndi ætli að bregðast við gagnvart aðila eins og honum, sem segja megi að hafi verið afklæddur opinberlega. Í bréfi stefnanda segir m.a. að þrátt fyrir að einhver valmöguleiki sé á síðunni „Mínar síður“ til að afþakka vistun skeyta þá hafi gögnin sem í dreifingu hafi verið frá honum verið allt að tæplega þriggja ára gömul. Og stefnandi þurfi væntanlega ekki að taka fram að þrátt fyrir allt treysti hann nú einfaldlega á það að sín persónulegu gögn væru þó vistuð á þann hátt að ógerningur væri fyrir utanaðkomandi aðila að komast í þau og dreifa þannig að hver sem væri gæti legið yfir þeim.

Stefnandi ítrekaði erindi sitt 13. desember 2013 og barst honum sama dag svarbréf frá forstjóra stefnda. Þar kemur fram að stefndi líti málið mjög alvarlegum augum og sé vel meðvitaður um að dreifing gagnanna í kjölfar innbrotsins hafi valdið viðskiptavinum miklum óþægindum og verið áfall fyrir marga. Forstjórinn harmi það og vilji fyrir hönd stefnda biðja stefnanda afsökunar á því, sérstaklega í ljósi lýsinga hans á sínum aðstæðum. Nær útilokað sé að meta lagagrundvöll hvers máls sem upp hafi komið eða hve mikil óþægindin hafi verið fyrir hvern og einn. Því hafi tiltekinni lögmannsstofu verið falið að hafa umsjón með þessum málum og var stefnanda bent á að hafa samband við hana.

Stefnandi beindi kvörtun til Póst- og fjarskiptastofnunar vegna umrædds leka eftir innbrotið 30. nóvember 2013. Póst- og fjarskiptastofnun framsendi kvörtunina til Persónuverndar, þannig að fyrrnefnda stofnunin tók til umfjöllunar öryggi umræddra gagna, en síðarnefnda stofnunin kannaði lögmæti varðveislu þeirra persónuupplýsinga sem gögnin hefðu að geyma. Með ákvörðun Póst- og fjarskiptastofnunar nr. 1/2014, 24. mars 2014, komst stofnunin að þeirri niðurstöðu að sendikerfið sem flytur merki af vefsvæði stefnda, vodafone.is, yfir í SMS-miðlara í farsímakerfi stefnda teldist vera fjarskiptanet í skilningi 13. tl. 3. gr. laga nr. 81/2003. Einnig að sú þjónusta sem veitt væri á vefsvæði stefnda, vodafone.is, sem fæli í sér sendingu smáskilaboða af „Mínum síðum“ yfir í farsíma, teldist vera fjarskiptaþjónusta í skilningi 15. tl. 3. gr. sömu laga og að sá hluti fjarskiptanets sem miðli merkjum af vefsvæði stefnda, vodafone.is, yfir í SMS-miðlara í farsímakerfi félagsins og veiti viðskiptavinum þess sem tengist „Mínum síðum“ með símanúmeri sínu slíkan aðgang, teldist hluti af almennu fjarskiptakerfi stefnda í skilningi 5. tl. 3. gr. laga nr. 81/2003. Stefndi kærði ákvörðunina til úrskurðarnefndar fjarskipta- og póstmála, sem staðfesti hana með úrskurði í máli nr. 3/2014, 11. október 2014. Stefndi hefur höfðað mál á hendur Póst- og fjarskiptastofnun og krefst þess að umræddur úrskurður úrskurðarnefndarinnar verði ógiltur með dómi. Niðurstaða í því máli liggur enn ekki fyrir. Persónuvernd kvað upp úrskurð í máli nr. 378/2014, 23. maí 2014, og komst að þeirri niðurstöðu að varðveisla stefnda á SMS-skilaboðum með viðkvæmum persónuupplýsingum um stefnanda, sem hafi verið send af vefsíðu stefnda, hefði verið óheimil og samræmdist ekki lögum nr. 77/2000.

Stefnandi kom fyrir dóm og gaf aðilaskýrslu við aðalmeðferð málsins. Þá gáfu einnig skýrslur synir stefnanda, þeir D og E, sem og B, framkvæmdastjóri tæknisviðs stefnda, og C, fyrrverandi forstjóri stefnda. Verður vitnað til framburðar þeirra eftir því sem þurfa þykir.

Málsástæður og lagarök stefnanda

Niðurstöður eftirlitsaðila

Stefnandi byggir á því að Póst- og fjarskiptastofnun og Persónuvernd hafi tekið til meðferðar erindi stefnanda vegna atvika þeirra sem séu tilefni þessa máls og hafi stefndi átt þess kost að koma andmælum sínum að fyrir báðum eftirlitsaðilunum. Samkvæmt niðurstöðum Póst- og fjarskiptastofnunar hafi SMS-skilaboð með persónugreinanlegum og viðkvæmum persónuupplýsingum um stefnanda, sem hafi borist á internetið frá stefnda, verið hluti af fjarskiptaþjónustu stefnda og farið fram á almennu fjarskiptaneti hans. Þessa niðurstöðu hafi úrskurðarnefnd fjarskipta- og póstmála staðfest. Þá sé niðurstaða Persónuverndar sú að stefnandi hafi ekki samþykkt vinnslu stefnda á persónuupplýsingunum.

Starfsmenn Póst- og fjarskiptastofnunar, úrskurðarnefnd fjarskipta- og póstmála og Persónuvernd búi yfir sérþekkingu á þeim viðfangsefnum, sem heyri undir stofnanir þeirra. Um verkefni Póst- og fjarskiptastofnunar sé fjallað í 3. gr. laga nr. 69/2003, um Póst- og fjarskiptastofnun. Í 1. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, sé markmið þeirra laga skilgreint. Vægi umsagna og úrskurða þessara eftirlitsaðila sé með þeim hætti að dómstólar geti ekki sniðgengið þau, nema því aðeins að stefndi sýni fram á að þeir séu haldnir þess háttar annmörkum að varði ógildingu. Þar sem slíkir annmarkar séu ekki fyrir hendi verði að leggja til grundvallar niðurstöður stofnananna, að því leyti sem þær snúi að álitaefninu um bótaskyldu stefnda. Stefnandi byggir á því að sú þjónusta sem stefnandi samdi um kaup á við stefnda hafi falið í sér fjarskiptaþjónustu á fjarskiptanetum stefnda.

Bótaskylda stefnda

Stefnandi vísar til 1., 2. og 3. mgr. 42. gr. laga nr. 81/2003, um fjarskipti. Þau persónulegu gögn um stefnanda sem hafi flust frá stefnda á internetið hafi ekki verið gögn um fjarskiptaumferð farsíma stefnanda, þ.e. hver hafi haft samband í hvaða númer og úr hvaða númeri, lengd samskiptanna o.s.frv., heldur hafi verið um texta samskiptanna að ræða og sé þá bæði átt við smáskilaboð, sem séu yngri en sex mánaða og þau sem séu eldri en sex mánaða. Stefnda hafi verið óheimilt að varðveita texta smáskilaboðanna án tillits til þess hvort þau væru eldri eða yngri en sex mánaða. Undantekningarákvæði laganna hafi ekki átt við í tilviki stefnanda.

Stefndi hafi af ásetningi eða stórfelldu gáleysi brotið á réttindum stefnanda með því að geyma viðkvæm persónuleg gögn um hann þrátt fyrir bann fjarskiptalaga við slíkri varðveislu. Stefnda hafi verið óheimilt að geyma gögn um annað en fjarskiptaumferð, sem hafi tengst smáskilaboðum, sem hafi borist og verið send frá farsíma stefnanda. Fjarskiptalög heimili einungis geymslu gagna um umferð í allt að sex mánuði. Sú aðgerð stefnda að varðveita texta smáskilaboðanna hafi leitt til þess að við innbrot í fjarskiptakerfi stefnda hafi sá, sem hafi borið ábyrgð á innbrotinu, komist yfir hin viðkvæmu persónugögn um stefnanda og hafi getað gert þau öllum aðgengileg á internetinu. Hefði stefndi farið að fjarskiptalögum um eyðingu gagnanna, sem tengdust stefnanda, hefði innbrotið engu skipt fyrir stefnanda, þar sem engin viðkvæm gögn um stefnanda hefði þá verið að finna í fjarskiptakerfum stefnda. Háttsemi stefnda sé því tvímælalaust ólögmæt.

Stefnda hafi verið ljóst, á þeim tíma sem innbrotið var framið í fjarskiptakerfi hans, að hann varðveitti af ásetningi mikið magn viðkvæmra persónuupplýsinga, þar á meðal viðkvæm gögn tengd stefnanda. Honum hafi verið í lófa lagið að gera ráðstafanir til að eyða gögnunum eins og lög mæli fyrir um, að undanskildum gögnum um umferð síðustu sex mánuðina. Þetta hafi stefndi vanrækt og því sé saknæmisskilyrði sakarreglunnar uppfyllt. Skipti þá ekki máli hvort talið verði að háttsemin teljist ásetningsbrot eða brot framið af stórkostlegu gáleysi.

Orsakasambandið milli háttsemi stefnda og tjóns stefnanda sé beint og fyrirsjáanlegt. Stefnda hafi verið ljóst, eða hlotið að vera ljóst, að reglurnar, sem bönnuðu varðveislu umræddra gagna, hefðu þann tilgang að tryggja vernd persónuupplýsinga og þar með að vernda friðhelgi einkalífs notenda þjónustunnar. Stefnandi hafi mátt treysta því að stefndi færi með viðkvæm persónuleg gögn um hann af hinni mestu varúð.

Stefnandi byggir bótaskyldu stefnda meðal annars á sakarreglunni og séu öll skilyrði hennar uppfyllt. Við beitingu hennar í máli þessu beri m.a. að hafa í huga, að stefndi hafi vanrækt skyldu sína til athafna, þ.e. að eyða hinum viðkvæmu gögnum, og skyldu sína til nákvæmra vinnubragða, sem rakin verði til hins opinbera starfsleyfis stefnda. Jafnframt sé byggt á húsbóndaábyrgð stefnda, en hann beri ábyrgð á hverri þeirri bótaskyldu háttsemi, sem starfsmenn hans, ráðgjafar og verktakar séu ábyrgir fyrir, hvort sem er með aðgerðum eða athafnaleysi. Stefnandi telur að beita skuli hinni almennu sakarreglu með strangari hætti en almennt sé þar sem stefnda hafi verið úthlutað starfsleyfum með aðgangi að takmarkaðri auðlind og beri jafnframt ríka sérfræðiábyrgð gagnvart viðskiptamönnum sínum. Enn fremur byggir stefnandi á reglunni um reglufest saknæmi, þ.e. að brot stefnda á framangreindum lagareglum um vörslur viðkvæmra persónuupplýsinga leiði eitt sér til þess að skilyrði bótaskyldu stefnda séu uppfyllt.

Stefndi hafi vanrækt að uppfylla þá lögbundnu varúðarskyldu sína að gera viðeigandi tæknilegar og skipulagslegar öryggisráðstafanir til að vernda persónuupplýsingar gegn óleyfilegum aðgangi, sbr. 11. gr. laga nr. 77/2000, en stefnda hafi verið skylt að gera ráðstafanir, sem tryggi nægilegt öryggi miðað við áhættu af vinnslunni og eðli þeirra gagna sem verja á, með hliðsjón af nýjustu tækni og kostnaði við framkvæmd þeirra. Stefndi beri ábyrgð á því að áhættumat og öryggisráðstafanir við vinnslu hinna umræddu persónuupplýsinga séu í samræmi við lög og reglur um hvernig tryggja skuli öryggi upplýsinga. Þessi vanræksla leiði til bótaskyldu stefnda gagnvart stefnanda vegna hins óleyfilega aðgangs og eftirfarandi dreifingar á internetinu.

Stefnandi vísar til þess að hvort tveggja, einkalíf og æra stefnanda, njóti verndar stjórnarskrárinnar. Stefndi hafi brotið gegn einkalífi stefnanda með þeirri háttsemi sinni að gera utanaðkomandi kleift að komast yfir einkagögn hans sem bárust stefnanda, eða stefnandi sendi, með smáskilaboðum þeim sem ekki hafi mátt vera aðgengileg og birta þau á netinu. Stefndi hafi jafnframt brotið gegn æru stefnanda þar sem í gögnunum hafi verið að finna ærumeiðandi ummæli sem hafi borist stefnanda með smáskilaboðum. Með þessari háttsemi hafi stefndi skert stjórnarskrárvarin réttindi stefnanda og af því leiði skaðabótaskyldu stefnda á tjóni stefnanda á hlutlægum grunni.

Bótaskylda stefnda varðandi miska sé byggð á 26. gr. skaðabótalaga nr. 50/1993, enda beri stefndi ábyrgð á ólögmætri meingerð gegn frelsi, friði, æru og persónu stefnanda og beri því að greiða honum miskabætur.

Með 43. gr. laga nr. 77/2000 og ákvæði 23. gr. tilskipunar 95/46/EB sé innleidd saknæmisregla (culpa) með öfugri sönnunarbyrði. Í 23. gr. enska texta tilskipunarinnar sé talað um að „any person who has suffered damage [...] is entitled to receive compensation from the controller for the damage suffered“. Í íslenskri þýðingu tilskipunarinnar segi „að hver sá sem hefur orðið fyrir tjóni [ ... ] eigi rétt á skaðabótum frá ábyrgðaraðila fyrir það tjón sem hann hefur orðið fyrir“. Þrátt fyrir skýrt orðalag tilskipunarinnar segi í 43. gr. laga nr. 77/2000, að ábyrgðaraðili skuli „ ... bæta hinum skráða það fjárhagslega tjón sem hann hefur orðið fyrir ...“. Ekki er ljóst af undirbúningsgögnum laganna hvers vegna tilskipunin sé innleidd í andstöðu við fyrirmæli tilskipunarinnar, sem mæli fyrir um skaðabætur, sem nái bæði til bóta fyrir fjárhagslegt og ófjárhagslegt tjón. Takmörkunin við fjárhagslegt tjón eingöngu sé byggð á misskilningi á texta tilskipunarinnar. Því sé mótmælt að hin ranga innleiðing verði lögð til grundvallar reyni yfirhöfuð á ákvæði þetta við ákvörðun um bótaskyldu stefnda vegna hins ófjárhagslega tjóns stefnanda. Ákvæði þetta skipti einkum máli að því er varðar öfuga sönnunarbyrði sem lögð sé á stefnda. Skaðabótaskylda stefnda sé byggð á réttarreglum um skaðabótaskyldu þar sem bótaskyldan nái jafnt til fjárhagslegs sem ófjárhagslegs tjóns og því skipti ákvæði þetta ekki máli, verði niðurstaðan sú að skýra það í andstöðu við ákvæði tilskipunarinnar.

Bótafjárhæðir

Dómkrafa stefnanda sé um bætur fyrir ófjárhagslegt tjón. Stefndi hafi geymt viðkvæm gögn sem óheimilt hafi verið að geyma, þ.e. ekki aðeins gögn um umferð. Án þessarar óheimilu gagnavörslu hefði skaðinn ekki orðið. Hið ólögmæta ástand, þ.e. geymsla gagnanna, hafi ekki aðeins varað um skamma hríð heldur árum saman. Þetta langvarandi ólögmæta ástand auki mjög á saknæmi háttsemi stefnda. Vegna þess að stefndi viðhélt hinu ólögmæta ástandi hafi safnast upp á sjötta hundrað skilaboð til og frá farsímanúmeri stefnanda. Tjón stefnanda hafi því orðið enn stórfelldara en ella. Afleiðingarnar af háttsemi stefnda hafi verið honum fyrirsjáanlegar og röklegt samhengi sé milli háttsemi stefnda og tjóns stefnanda.

Stefndi hafi vakið sérstakt traust hjá stefnanda og öðrum viðskiptavinum sínum með yfirlýsingum á heimasíðu sinni um að öryggi á „Mínum síðum“ væri tryggt. Segi þar m.a. að fylgt sé „ítrustu öryggiskröfum“ til að tryggja að óviðkomandi „geti ekki fengið aðgang að Mínum síðum“. Varnir fyrir ,,Mínar síður“ hafi ekki verið í samræmi við þessa yfirlýsingu og veikari en varnir stefnda fyrir aðrar þjónustur. Það geri yfirlýsinguna enn ámælisverðari en ella og auki á saknæmisstigið.

Af vefsíðu stefnda hafi 506 skilaboð frá og til stefnanda lekið á internetið. Mikill meirihluti skilaboðanna hafi verið sendur á tímabilinu 1. desember 2010 til 1. maí 2013. Stefndi hafi því réttilega átt að hafa eytt upplýsingum um þau skilaboð þar sem þau hafi verið eldri en sex mánaða 30. nóvember 2013. Stefnandi hafi sent flest skilaboðanna, 404 talsins. Að frátöldum 10 skilaboðum varði þau öll einkalíf stefnanda. Þar af innihaldi 87 skilaboð afar viðkvæmar persónuupplýsingar, meðal annars um börn stefnanda (19), ástarjátningar (30), kynlífslýsingar (13) og upplýsingar um fjármál hans (1), m.a. kreditkortaupplýsingar. Stefnandi hafi frétt að kreditkortaupplýsingum hans hefði verið lekið fyrir tilstilli þriðja manns, en ekki stefnda, er stefnandi hafi verið staddur í Þýskalandi.

Fjölmargir hafi hlaðið gögnunum niður á eigin tölvur. Úrdrættir úr gögnunum hafi birst á einstökum vefsíðum. Gögnin séu jafnframt enn þá aðgengileg á skráardeilingarsíðunni deildu.net, þar sem þeim hafi verið hlaðið niður a.m.k. 20 þúsund sinnum. Auðvelt hafi verið og sé að tengja einstök smáskilaboð við sendanda og móttakanda þar sem með boðunum hafi birst símanúmer sendanda og móttakanda þeirra.

Sá sem njóti verndar 26. gr. skaðabótalaga sé sá sem misgert sé við. Misgert hafi verið við stefnanda með fyrrgreindri háttsemi stefnda. Stefndi hafi sýnt af sér stórfellt gáleysi og séu huglæg skilyrði því uppfyllt. Stefndi beri ábyrgð á því að hin viðkvæmu gögn um stefnanda hafi verið gerð aðgengileg á internetinu. Öll skilyrði 26. gr. skaðabótalaga séu því uppfyllt.

Í 8. tl. 2. gr. laga nr. 77/2000 sé hugtakið viðkvæmar persónuupplýsingar skilgreint m.a. þannig að undir það falli upplýsingar um heilsuhagi, lyfja-, áfengis- og vímuefnanotkun, svo og upplýsingar um kynlíf manna og kynhegðun. Persónuupplýsingar séu skilgreindar sem persónugreinanlegar upplýsingar, sbr. 1. tl. 2. gr. laganna. Þær upplýsingar sem hafi birst á internetinu í smáskilaboðum til og frá stefnanda heyri undir viðkvæmar persónuupplýsingar og falli þær undir einkamálefni, sbr. t.d. 229. gr. almennra hegningalaga nr. 19/1940.

Allur almenningur hafi haft aðgang að persónulegum samskiptum stefnanda, m.a. við fyrrum eiginkonu hans og núverandi unnustu. Á því tímabili er skilaboðin voru skrifuð hafi stefnandi staðið í erfiðum hjónaskilnaði við fyrrum eiginkonu sína og barnsmóður og hafi talsvert verið um ýmis uppgjörsmál þeirra á milli, fjárhagsleg og tilfinningaleg. Margt sem fram komi í skilaboðunum hafi augljóslega ekki verið ætlað öðrum að sjá. Synir stefnanda og fyrrum eiginkonu hans hafi orðið fyrir aðkasti í skólum sínum vegna þeirra upplýsinga sem fram komi í skilaboðunum – bæði þeim sjálfum tengdum, skilnaði foreldra þeirra og samskiptum stefnanda við unnustu sína. Eldri synir stefnanda, þá 17 og 18 ára, hafi lesið skilaboðin. Ýmsar upplýsingar hafi komið þar fram sem þeim hafi ekki verið hollt að lesa. Stefnandi hafi áhyggjur af því að skilaboðin hafi haft áhrif á álit sona hans á honum sjálfum og móður þeirra. Nokkru eftir skilnað stefnanda og fyrrum eiginkonu hans hafi stefnandi stofnað til sambands við núverandi unnustu sína. Þau hafi átt mikil samskipti í smáskilaboðum. Skilaboðin hafi ekki verið ætluð neinum öðrum. Það hafi valdið stefnanda mikilli vanlíðan að vita til þess að þúsundir manna, þar á meðal synir stefnanda, hafi komist yfir skilaboðin.

Þá óttist stefnandi að lekinn hafi valdið því að yfirmenn hans hafi aðra skoðun á honum í dag en áður og að möguleikar hans til stöðuhækkunar hafi minnkað. Stefnandi starfi hjá [...] þar sem gríðarleg áhersla sé lögð á trúnað. Starfsmenn [...] séu í miklum samskiptum símleiðis og hefðu afleiðingarnar getað orðið mjög alvarlegar, hefðu persónurekjanlegar upplýsingar varðandi viðskiptavini, eða annað viðkvæmt viðkomandi bankanum, lekið.

Í kjölfar lekans hafi samskipti stefnanda við góðan vin hans og samstarfsfélaga verið rangtúlkuð á þá leið að umræddur vinur stefnandi stundaði ólöglegan atvinnurekstur. Vinur stefnanda hafi orðið fyrir miklu ónæði og áreiti vegna þessa. Þeir hafi báðir fengið hringingar frá fjölmiðlafólki sem falast hafi eftir því að fá þá í viðtöl eða fjalla um málið í fjölmiðlum. Stefnandi haldi sínum einkamálefnum út af fyrir sig og sé til að mynda ekki virkur á Facebook eða öðrum samfélagsmiðlum. Stefnanda þyki það því gríðarlega erfið tilhugsun að stór hluti þjóðarinnar hafi lesið sér til gamans um viðkvæm einkamálefni hans. Stefnandi upplifi að margir hafi misst álit á honum og að hann njóti minni virðingar en áður. Lekinn hafi haft gríðarleg áhrif á sálarlíf stefnanda og þurfi hann að lifa með því að hugsa, í hvert sinn sem einhver glotti til hans eða gefi honum auga, hvort sá hinn sami hafi lesið smáskilaboð um einkalíf hans.

Allt séu þetta atriði sem njóti verndar samkvæmt friðhelgisákvæði stjórnarskrárinnar og refsilögum og varði það fangelsi allt að einu ári að skýra opinberlega frá einkamálefnum annars manns.

Í lögum sé ekki að finna leiðbeiningar eða viðmið um hvernig ákvarða skuli fjárhæð miskabóta. Ekki verði heldur lesin gagnleg viðmið úr dómum. Samkvæmt undirbúningsgögnum 26. gr. skaðabótalaga skuli leggja áherslu á „að fjárhæðir bóta samkvæmt greininni eiga að ákvarðast samkvæmt því sem sanngjarnt þykir hverju sinni“. Síðan séu nefnd dæmi um „umfang tjóns, sök tjónvalds og fjárhagsstöðu hans“. Í dómum hafi verið nefnd ýmis atvik sem orki á fjárhæð miskabóta svo sem að brot skaði sjálfsmynd þess sem fyrir verður, brot valdi honum andlegum erfiðleikum, sá sem ábyrgð beri gangi fram af stórfelldu gáleysi, framkoma sé niðrandi, særandi og lítillækkandi og fallin til að varpa rýrð á þann sem fyrir verður, álitshnekkir, hagsmunir af vernd einkalífs og æru, tjónvaldur hafi jafnframt brotið gegn öðrum réttarreglum en 26. gr., eftirfarandi háttsemi tjónvalds, ásakanir yrðu almennt kunnar, útbreiðsla ummæla, ummæli ítrekað birt í dagblaði.

Framangreind sjónarmið eigi við í máli þessu. Einkalíf stefnanda, fjölskyldulíf og æra hans hafi verið andlag stórfelldra brota af hálfu stefnda. Stefnandi hafi verið niðurlægður og virðing hans beðið hnekki, sem muni viðhaldast vegna eðlis internetsins þar sem allt varðveitist. Brotið hafi valdið stefnanda andlegum erfiðleikum. Sök stefnda sé stórfelld og hegðun hans eftir að lekinn komst í hámæli stórlega ámælisverð. Stefndi hafi í byrjun tekið á sig ábyrgð á mistökum sínum opinberlega og beðið viðskiptavini sína afsökunar en hafi síðan dregið í land. Í samningaviðræðum við stefnanda hafi stefnandi sagst vera reiðubúinn að ræða bótafjárhæðir jafnskjótt og afstaða eftirlitsstofnana lægi fyrir, þ.e. Persónuverndar og Póst- og fjarskiptastofnunar. Afstaða beggja þessara stofnana hafi verið sú að stefndi hafi verið talinn brotlegur við þau lagaákvæði sem stefnandi kærði stefnda út af. Stefndi hafi skotið ákvörðun Póst- og fjarskiptastofnunar til æðra stjórnvalds, sem hafi staðfest ákvörðunina. Þá hafi stefndi tilkynnt lögmanni stefnanda að ekki yrði rætt um bótaskyldu og bótafjárhæðir. Með því hafi stefndi átt við að stefnandi yrði að sækja bætur fyrir dómstólum. Framkoma þessi sé til þess fallin að auka enn við niðrandi, særandi og lítillækkandi áhrif brots stefnda í garð stefnanda. Sök stefnda sé stórfelld eins og úrskurðir eftirlitsaðila segi til um.

Það einkenni þetta mál umfram önnur hversu stórfellt brotið sé. Í fyrsta lagi sé fjöldi tilvikanna, þ.e. fjöldi smáskilaboðanna, sem hvert um sig fjalli um einkamál og æru stefnanda, meiri en þekkist í öðrum dómsmálum um miskabætur. Þessu til viðbótar hafi öll hin viðkvæmu gögn farið á internetið, verið aðgengileg öllum almenningi og fyrir liggi gögn um þann fjölda manna, sem hafi séð gögnin á fyrstu klukkustundunum eftir að þau komu á netið. Gögnunum hafi verið hlaðið niður vítt og breitt. Þar með varðveitist þau um alla framtíð. Auðvelt sé því að birta þau og senda hvert sem vera skal og hvenær sem er. Þá sé fjárhagsstaða stefnda afar góð. Allt þetta og annað sem rakið hafi verið auki tjón stefnanda, sem rakið verði til háttsemi stefnda. Engin fordæmi séu fyrir slíku tjóni í íslenskri dómiðkun. Þess vegna sé ekki unnt að styðjast við kunn dómafordæmi við mat á hæfilegum miskabótum. Meta verði málið í heild sinni, allar aðstæður stefnanda og áhrif brotsins á líf hans, vávæni háttseminnar, fyrirsjáanleika og sök stefnda og afleiðingarnar fyrir stefnanda.

Með hliðsjón af öllu framgreindu sé gerð krafa um 12.000.000 króna í miskabætur úr hendi stefnda auk vaxta. Miskabætur að þeirri fjárhæð séu hæfilegar og sanngjarnar að virtum atvikum og aðstæðum öllum. Upphafstími dráttarvaxta miðist við 26. mars 2014, en þá hafi verið liðnir 30 dagar frá því að stefnandi sannanlega lagði fram þær upplýsingar sem þörf var á til að meta tjónsatvik og fjárhæð bóta, en það hafi gerst á fundi á skrifstofu þáverandi lögmanna stefnda.

Lagarök

Stefnandi vísar til 68. og 71. gr. stjórnarskrárinnar nr. 33/1944, almennra hegningarlaga nr. 19/1940, einkum XXV. kafla, skaðabótalaga nr. 50/1993, einkum 26. gr., laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, laga nr. 69/2003, um Póst- og fjarskiptastofnun, laga nr. 81/2003, um fjarskipti, mannréttindasáttmála Evrópu, einkum 8. gr., sbr. lög nr. 62/1994. Einnig vísar stefnandi til reglna Persónuverndar nr. 299/2001, um öryggi persónuupplýsinga, reglna Póst- og fjarskiptastofnunar nr. 345/2005, um almenna heimild til að reka fjarskiptanet eða fjarskiptaþjónustu, almennu sakarreglunnar, reglunnar um reglufest saknæmi, ákvæðis 23. gr. tilskipunar 95/46 EB, alþjóðasamnings um borgaraleg og stjórnmálaleg réttindi og til laga nr. 38/2001, um vexti og verðtryggingu. Um málskostnað er vísað til 130. gr. laga um meðferð einkamála nr. 91/1991.

Málsástæður og lagarök stefnda

Engin viðurkenning

Stefndi mótmælir því að hann hafi viðurkennt að vistun gagna hafi verið andstæð 42. gr. laga nr. 81/2003, um fjarskipti, en síðar breytt um afstöðu. Stefndi hafi aðeins bent á að gögnin hafi verið vistuð lengur en þann tíma sem 42. gr. mæli fyrir um en um leið útskýrt að ákvörðun um vistunina hafi verið tekin af viðskiptavinum stefnda. Yfirlýsingar stefnda hafi ekki falið í sér vísun til annars en að við ákveðnar aðstæður – aðrar en hér – gæti fyrirkomulag vistunar skeytanna verið ófullnægjandi. Slíkt sé óheppilegt og stefndi hafi lýst þessu sem „mistökum“. Með því hafi stefndi hvorki viðurkennt brot á lögum né saknæma háttsemi; hvorki almennt né í tilviki stefnanda. Með „ábyrgð“ hafi stefndi ekki vísað til annars en að hann standi og falli með sínum ákvörðunum. Úrlausn um hver sé niðurstaðan ráðist af reglum skaðabótaréttar utan samninga en ekki reglum um skuldbindingargildi loforða.

Vistun gagna heimil

Stefndi hafnar því að honum hafi verið óheimilt að varðveita vefskilaboð stefnanda og að hann hafi vanrækt að eyða skilaboðunum. Stefndi vísar til þess að það sé óaðskiljanlegur hluti persónuréttar hvers manns að varðveita eigin gögn. Hvorki lög nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, né lög nr. 81/2003 svipti menn þessum rétti. Þá sé vistun og varðveisla skilaboðanna ekki andstæð 71. gr. stjórnarskrárinnar. Aðgangur stefnanda að „Mínum síðum“ hjá stefnda hafi ekki stofnast sjálfkrafa og þjónustan hafi verið valfrjáls. Stefnda hafi verið frjálst að veita stefnanda og öðrum notendum „Minna síðna“ þá þjónustu að vista afrit sendra skeyta og reyndar hefði stefnda verið heimilt að ljá stefnanda atbeina til varðveislu hvers kyns persónuupplýsinga, viðkvæmra eður ei. Ýmis fyrirtæki, t.d. gagnaver og hýsingaraðilar, veiti slíka þjónustu án þess að það teljist andstætt 8. og 9. gr. laga nr. 77/2000. Stefndi hafi því ekki getað ákveðið fyrir hönd viðskiptavina sinna hvaða gögnum þeirra skyldi eyða. Ákvörðun um slíkt sé í höndum viðskiptavinarins sjálfs.

Stefndi andmælir því að 42. gr. laga nr. 81/2003 eigi við í málinu. Ákvæðið eigi aðeins við um „almenna fjarskiptaþjónustu,“ „fjarskiptanet“ og „almenn fjarskiptanet“, en SMS-þjónustan á „Mínum síðum“ falli ekki þar undir. Úrskurðarnefnd fjarskipta- og póstmála sé ósammála þessari afstöðu stefnda. Stefndi hafi ekki unað úrskurði nefndarinnar og hafi höfðað mál 7. apríl 2015 til ógildingar á úrskurðinum. Stefndi mótmælir því að samkvæmt gagnályktun frá 42. gr. hafi stefnda einungis verið heimilt að vista gögn um „fjarskiptaumferð“. Samkvæmt 5. mgr. 1. gr. laga nr. 81/2003 gildi lögin ekki um efni sem sent sé á fjarskiptanetum. Þá hafi viðskiptavinir stefnda sjálfir kosið að senda, vista og geyma umrædd skeyti. Geymsla skilaboðanna hafi því ekki brotið gegn ákvæðinu. Yrði fallist á slíkt yrði raskað raunhæfum möguleikum fólks til að varðveita upplýsingar um einkalíf sitt með aðstoð nútímatækni.

Stefnandi hafi kosið að nýta „Mínar síður“ til að senda og vista yfir 400 skeyti sem hafi verið send á tímabilinu 1. desember 2010 til 22. nóvember 2013. Stefnanda hljóti að hafa verið vistun skeytanna ljós og hafi í raun lýst því yfir í bréfi til stefnda, dags. 9. des. 2013, að hann hefði verið meðvitaður um að hans persónulegu gögn væru vistuð á „Mínum síðum“. Á vefsíðunni hafi birst svonefnd „skeytasaga“ ásamt fjölda vistaðra skeyta og lista sem hafi sýnt öll vistuð skeyti, dagsetningu þeirra, tímasetningu, fyrsta 21 staf skeytanna, fjölda viðtakenda og kostnað við sendingu þeirra. Í reit þar sem nýtt skeyti var skrifað hafi einnig verið hakað við sérstaklega að skeytið yrði vistað í sögunni. Þegar fyrsti stafur nýs skeytis hafi verið skrifaður hafi kviknað „senda“ hnappur við hliðina á því haki sem hafi gert hakið sérstaklega áberandi.

Stefnandi segist einnig hafa fengið send SMS-skeyti frá öðrum aðilum sem hafi notfært sér SMS-þjónustuna á „Mínum síðum.“ Stefnandi hafi þó engin gögn lagt fram því til staðfestingar og sé málið vanreifað að þessu leyti. Hafi slík skeyti verið send og móttekin af stefnanda hafi sendendur þeirra skeyta vistað þau í sinni „skeytasögu“. Stefnandi geti ekki andmælt þeirri ákvörðun sendenda og eigi hvorki lögvarða hagsmuni um kröfugerð vegna vistunar þeirra né aðild í skilningi 16. gr. laga nr. 91/1991, um meðferð einkamála.

Stefndi hafnar því að málsaðilar séu sammála þeirri niðurstöðu Persónuverndar að varðveisla skilaboðanna hafi ekki samrýmst kröfum laga nr. 77/2000 og að stefnandi hafi ekki veitt samþykki sitt fyrir henni. Stefndi byggir á því að hann hafi í engu brotið gegn ákvæðum þeirra laga. Stefndi mótmælir því einnig að úrskurður Persónuverndar bindi hendur dómstóla nema hann verði talinn haldinn ógildingarannmörkum.

Til vara byggir stefndi á því að úrskurður Persónuverndar sé haldinn slíkum annmarka að hann geti ekki haft gildi. Stefndi hafnar því að vistun á „Mínum síðum“ hafi ekki farið fram með samþykki notenda síðnanna í skilningi laga nr. 77/2000. Persónuvernd hafi byggt ályktun sína á ófullnægjandi gögnum. Stofnunina hafi vantað viðhlítandi skjámyndir „Minna síðna“ og ekki framkvæmt skoðun á vettvangi. Niðurstaða Persónuverndar virðist ráðast af því að fyrir fram hafi verið hakað í reitinn „vista í skeytasögu“. Vel kunni að vera að heppilegra verklag hefði verið að haka hefði þurft sérstaklega í reitinn. Sú leið sem hafi verið valin kunni því, í einhverjum tilvikum, að hafa leitt til þess að sendandi hafi ekki áttað sig á að send skeyti hafi vistast. Hins vegar verði að skoða þetta fyrirkomulag í samhengi við atvik málsins. Stefnandi hafi sent yfir 400 skilaboð í gegnum ,,Mínar síður“ og skráð sig að minnsta kosti jafn oft þangað inn. Skeytasagan hafi blasað við stefnanda í hvert sinn. Ekki hafi getað farið fram hjá neinum sem skrifaði skeyti að það kviknaði á „senda“ hnappnum og að sá hnappur hafi verið staðsettur við hliðina á hakinu í því skyni að vekja sérstaka athygli á því. Enn fremur hafi skeytin birst, að hluta, á skjámyndinni eftir að þau voru send. Með því að fjarlægja ekki hakið úr reitnum „vista í skeytasögu“ og með því að eyða skeytunum ekki eftir að þau voru send, verði að líta svo á að stefnandi hafi veitt samþykki sitt fyrir vistun. Skilyrðum 8. og 9. gr. laga nr. 77/2000, sbr. 7. tl. 2. gr., hafi því verið fullnægt og stefnandi hafi lýst því yfir að hann væri meðvitaður um að persónuleg gögn hans væru vistuð á ,,Mínum síðum“.

Stefndi kveður að ákvæði IX. kafla laga nr. 81/2003 og reglur nr. 1221/2007 séu sérákvæði um persónuvernd sem gangi framar ákvæðum laga nr. 77/2000. Telji dómurinn að ákvæði laga um fjarskipti nr. 81/2003 eigi við um „Mínar síður“ falli málið utan valdssviðs Persónuverndar en innan valdsviðs Póst- og fjarskiptastofnunar, sbr. 2. mgr. 2. gr. laga nr. 81/2003. Niðurstaða Persónuverndar hafi þá enga þýðingu í málinu.

Hæfilegar og viðeigandi öryggisráðstafanir

Stefndi hafnar því að hann hafi ekki gert hæfilegar ráðstafanir til að tryggja öryggi vistaðra SMS-skeyta gagnvart innbroti tölvuþrjóta. Stefndi hafi ekki sýnt af sér sök og starfsmenn hans hafi gætt þeirra varúðarráðstafana sem krafa verði gerð um. Þegar stefnandi stofnaði til aðgangs að „Mínum síðum“ hafi hann leitt rétt sinn til símanúmersins x af samningi milli [...] og stefnda frá 30. desember 2011. Af því leiði að bótaskylda stefnda takmarkist við þau tilvik þegar hann hafi sýnt af sér „ásetning“ eða „stórkostlega vanrækslu,“ sbr. 5. gr. samningsins. Breyti þá engu hvort SMS-þjónustan á „Mínum síðum“ teljist „fjarskiptaþjónusta“ eða ekki. Ábyrgðartakmörkun í 6. tl. þágildandi almennra viðskiptaskilmála stefnda leiði einnig til þess að stefndi beri ekki ábyrgð á meintu tjóni stefnanda, sbr. 40. gr. laga nr. 81/2003. Þá mótmælir stefndi því að hlutlæg ábyrgð, rýmkuð sakarregla, regla um reglufest saknæmi eða öfug sönnunarbyrði eigi við í málinu.

Stefndi mótmælir því að hann hafi vanrækt að uppfylla þær kröfur sem gerðar séu í 11. gr. laga nr. 77/2000. Stefndi hafi ítrekað leitað veikleika í öryggi vefsíðunnar, m.a. með aðstoð færustu sérfræðinga, en veikleikinn sem tölvuþrjóturinn nýtti hafi aldrei fundist. Ekkert í málinu bendi til þess að öryggi vefsíðu stefnanda hafi verið óhæfilegt miðað við áhættu af vinnslunni og eðli skilaboðanna eða verið lakara en öryggi aðgangs að öðrum samsvarandi vefsíðum. Málatilbúnaður stefnanda sé vanreifaður að þessu leyti, þar sem hann geri hvorki grein fyrir þeim „tæknilegu og skipulagslegu öryggisráðstöfunum“ sem hann vilji miða við né „kostnaði“ við þær.

Enginn réttur til bóta

Stefndi byggir á því að umkrafið tjón stefnanda geti ekki talist sennileg afleiðing af veikleika í vörnum vefsíðu stefnda. Innbrot tölvuþrjótsins og birting hans á umræddum gögnum hafi verið refsiverð, sbr. t.d. 228., 229. og 257. gr. almennra hegningarlaga nr. 19/1940. Útburður hinna umdeildu gagna af öðrum hafi einnig verið refsiverður, sbr. t.d. 229. gr. almennra hegningarlaga. Afleiðingar slíkra refsiverðra brota geti ekki talist sennileg afleiðing í skilningi almennu sakarreglunnar. Yrði fallist á slíkt græfi það undan réttarskipaninni, enda geti allir vænst þess og eigi beinlínis kröfu til þess að aðrir virði refsilöggjöfina.

Krafa stefnanda um miskabætur byggi sýnilega á b-lið 1. mgr. 26. gr. skaðabótalaga nr. 50/1993. Stefndi mótmælir því að háttsemi hans verði álitin ólögmæt meingerð gegn persónu stefnanda. Verði það niðurstaða dómsins að brotið hafi verið gegn ákvæðum laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga leiði af 43. gr. þeirra að stefndi sé einvörðungu ábyrgur fyrir fjárhagslegu tjóni sem af því kunni að hafa hlotist.

Stefndi mótmælir fjárhæð miskabótakröfu stefnanda sem ekki sé í neinu samhengi við dómaframkvæmd um ákvörðun miskabóta í til muna alvarlegri tilvikum. Stefndi beri ekki ábyrgð á því að tölvuþrjótur hafi brotist inn í vefkerfi stefnda, stolið þaðan gögnum og birt þau. Þá hafi gögn, sem voru birt á internetinu í kjölfar innbrotsins, verið tekin niður fljótt í kjölfarið. Stefnandi kunni að eiga sjálfstæðan bótarétt gagnvart þeim sem hafi borið út gögnin til almennings með því að birta þau á vefsíðum. Hafi stefnandi orðið fyrir miska vegna slíks geti stefndi ekki verið ábyrgur fyrir því. Leiði sjónarmið um orsakatengsl og sennilega afleiðingu ekki til brottfalls bótaréttar leiði þau að minnsta kosti til lækkunar bótafjárhæðar. Frásögn stefnanda af afleiðingum innbrotsins og þeim miska sem innbrotið og dreifing gagnanna hafi valdið honum sé ósönnuð.

Lagarök

Stefndi vísar einkum til laga nr. 81/2003, laga nr. 77/2000 og stjórnarskrár lýðveldisins Íslands nr. 33/1944. Einnig er vísað til laga nr. 91/1991, um meðferð einkamála. Varðandi kröfu um málskostnað er vísað til 129. og 130. gr. sömu laga.

Niðurstaða

Stefnandi krefst í máli þessu bóta vegna miska sem hann hafi orðið fyrir þegar upplýsingar sem hann varða urðu aðgengilegar á internetinu í kjölfar innbrots á vefsíðu stefnda þar sem upplýsingarnar var að finna og telur stefnandi stefnda bera bótaábyrgð vegna þess.

Svo sem rakið er í sérstökum kafla um málsatvik hér að framan var ráðist inn á vefsvæði Vodafone, sem stefndi rekur, 30. nóvember 2013, og stolið þaðan miklu magni viðkvæmra upplýsinga. Stefnandi styður bótakröfu sína m.a. því að stefndi hafi með ólögmætum og saknæmum hætti varðveitt gögn með viðkvæmum persónuupplýsingum og án þess að gera viðeigandi öryggisráðstafanir til að vernda þau gögn.

Samkvæmt skjölum málsins og framburði framkvæmdastjóra tæknisviðs stefnda fyrir dóminum hafði vefsvæðið verið virkt í mörg ár, síðustu árin undir nafni Vodafone en áður undir nafni fyrirrennara Vodafone, OG fjarskipta, Íslandssíma og jafnvel fleiri fyrirtækja. Boðið hafði verið upp á sendingu SMS-skilaboða frá vefsvæðinu í fjölmörg ár, en með tilkomu vefsvæðisins „Mínar síður“ árið 2010 gátu viðskiptavinir fengið eigin aðgang þar sem þeir gátu vistað send SMS-skilaboð á vefsvæðinu. Vefsvæðið var smíðað með PHP-forritunarmálinu og gögn geymd í MySQL-gagnagrunni sem staðsettur var á vefsvæðinu (DMZ). Vefsvæðið varð fyrir nokkrum árásum á árunum 2012 og 2013 þar sem árásaraðilinn breytti m.a. útliti vefsíðna en árásirnar ollu ekki miklum skaða að öðru leyti. Í framhaldi af þeim árásum kveðst stefndi hafa brugðist við, bætt öryggi og leitað til þess aðstoðar nafngreindra ráðgjafafyrirtækja á sviði tölvuöryggismála, en ekki hefur komið fram í málinu til hvaða öryggisráðstafana var gripið.

Stefndi ber ábyrgð á hugbúnaði sínum og á því að hugbúnaðurinn standist þær árásir sem á hann eru gerðar. Reynslan sýnir hins vegar að illmögulegt er að gera hugbúnað þannig úr garði að bíræfnir hakkarar finni ekki einhverjar öryggisholur til að brjótast í gegnum. Ekki er að fullu útskýrt hvernig tölvuþrjóturinn náði umræddum gögnum 30. nóvember 2013 en þó liggur fyrir að hann nýtti sér galla í PHP-forriti stefnda sem gerði honum kleift að yfirtaka MySQL-gagnagrunninn og ná út þeim gögnum sem þar voru geymd. Í innbrotinu komst tölvuþrjóturinn yfir þriggja ára sögu SMS-skilaboða allra viðskiptavina stefnda sem vistað höfðu smáskilaboð sín á „Mínum síðum“ stefnda, auk ódulkóðaðra lykilorða umræddra viðskiptavina. Þessi gögn voru meðal þeirra gagna sem geymd voru í MySQL-gagnagrunni vefsvæðisins. Það að í gagnagrunninum voru geymd ódulkóðuð lykilorð viðskiptavina sem höfðu stofnað aðgang að „Mínum síðum“ er eitt og sér staðfesting á því að öryggismálum á vefsvæði stefnda hafi verið ábótavant. Sú staðreynd að þessi augljósi galli var ekki lagfærður í framhaldi af fyrri árásum rýrir því trúverðugleika þeirra öryggisaðgerða sem stefndi segist hafa ráðist í í framhaldi af þeim.

Stefnda mátti vera ljóst hvílíkur fjöldi SMS-skilaboða var vistaður í gagnagrunninum og að þar gætu verið viðkvæm gögn sem skaðlegt yrði ef kæmust í rangar hendur. Eðlilegt hefði verið að stefndi hefði gripið til einhverra ráðstafana til að verja umrædd gögn betur, svo sem að dulkóða SMS-skilaboðin í gagnagrunninum, færa gagnagrunninn af vefsvæðinu (DMZ) á traustari stað og nota vefþjónustur til að eiga við hann samskipti frá PHP-forritinu eða gera einhverjar þær tæknilegu ráðstafanir sem betur tryggðu gögnin gagnvart árásum. Í ljósi eðlis þeirrar árásar sem um ræðir er þó óvíst að þær öryggisráðstafanir sem hér eru nefndar hefðu dugað til.

Samhliða slíkri tæknirýni hefði stefndi átt að kanna hvort hann hefði lagaheimild til að geyma umrædd SMS-skilaboð viðskiptavina sinna. Formlegar öryggisráðstafanir og áhættumat var ekki fyrir hendi og ekki verður séð að greining eða umræða um áhættuna af geymslu SMS-skilaboðana hafi farið fram áður en hin afdrifaríka árás átti sér stað. Ósamstíg viðbrögð stjórnenda stefnda í framhaldi af árásinni benda einnig til þess. Fyrst eftir gagnalekann voru fjölmörg atriði óljós og stefndi gerði sér illa grein fyrir umfanginu, sem telst ekki óeðlilegt í ljósi aðstæðna. Hins vegar benda misvísandi ummæli forsvarsmanna stefnda opinberlega um það hvaða lög og reglur giltu varðandi vistun SMS-skilaboða til þess að stefndi hefði lítið hugað að þeim þætti eða því hversu mikil áhætta væri fólgin í að vista allt að þriggja ára SMS-skilaboðasögu viðskiptavina sinna á vefsvæðinu.

Innbrotum í tölvukerfi og gagnalekum hefur fjölgað stórkostlega síðustu ár um heim allan. Óumdeilt er að þetta er veruleg ógn og fæstir teljast óhultir í þeim efnum. Sú staðreynd hefði einmitt mátt ýta við stefnda að taka markvissari skref til að tryggja öryggi vefsvæðisins og þeirra gagna sem þar voru vistuð.

Fram kom fyrir dóminum að vefsvæði Vodafone hjá stefnda, og þar með „Mínar síður“, voru í umsjón og rekstri sölu- og markaðssviðs stefnda og aðkoma tæknisviðsins var takmörkuð. Helst mátti af framburði framkvæmdastjóra tæknisviðs stefnda ráða að þetta fyrirkomulag væri til komið af sögulegum ástæðum á sama hátt og notkun PHP og MySQL við gerð vefsvæðisins. Eftir árásina hefur stefndi tekið öryggismál föstum tökum og hefur á margan hátt verið leiðandi í þeim efnum hérlendis. Fyrir utan nýjar öryggisráðstafanir byggir vefsvæðið nú á annarri tækni, tæknisvið stefnda sér um rekstur vefsvæðisins og tekin var ákvörðun um að bjóða ekki upp á SMS-sendingar frá vefsvæðinu. Óumdeilt er að stefndi hefur frá upphafi unnið ötullega að því að upplýsa um alla þætti málsins.

Stefndi ber það fyrir sig að honum verði ekki um það kennt þótt gögnin hafi komist í umferð þar sem það hafi gerst í innbroti. Stefndi kveðst hafa gert allt sem í hans valdi hafi staðið til að tryggja öryggi vefsvæðisins og heldur því fram að ekkert bendi til þess að öryggi vefsíðu hans hafi verið ófullnægjandi miðað við áhættu af vinnslunni og eðli skilaboðanna eða verið lakara en öryggi aðgangs að öðrum samsvarandi vefsíðum. Margt bendir að mati dómsins til þess að öryggismálum stefnda í tengslum við „Mínar síður“ hafi verið ábótavant. Fyrir liggur, og er það óumdeilt, að stefndi hafði ekki sett sér skriflega öryggisstefnu og framkvæmt áhættumat samkvæmt reglum nr. 299/2001, um öryggi persónuupplýsinga, sem settar eru á grundvelli 11. og 12. gr. laga nr. 77/2000, þrátt fyrir að stefnda hafi mátt vera ljóst að verulegt magn viðkvæmra gagna væri vistað á vefsvæðinu. Stefndi kveðst hafa fylgt eigin skjalastefnu í raun og hefur lagt fram skjal sem notað hafi verið innan fyrirtækisins, en ekki verður séð að stefndi hafi brugðist við og gert verulegar úrbætur í framhaldi af árásum sem áður voru gerðar á vefsvæðið en ollu takmörkuðum skaða. Telur dómurinn að stefndi hafi sýnt af sér verulegt gáleysi í þessum efnum. Þegar af þeirri ástæðu á fyrirvari um bótaábyrgð í samningi um fjarskiptaþjónustu og almennum viðskiptaskilmálum, sem stefndi vísar til, ekki við.

Stefndi heldur því fram að vefsvæðið „Mínar síður“ teljist ekki hluti fjarskiptakerfis og að lög um fjarskipti, nr. 81/2003, gildi ekki um vefsvæðið. Póst- og fjarskiptastofnun hefur úrskurðað um að vefsvæðið teljist hluti af fjarskiptakerfi stefnda og fjarskiptalög gildi um vefsvæðið „Mínar síður“ og hefur úrskurðarnefnd fjarskipta- og póstmála staðfest þá niðurstöðu. Stefndi hefur höfðað dómsmál til að fá þeirri niðurstöðu hnekkt, en ekki liggur fyrir niðurstaða í því máli. Taka sérfróðir meðdómarar í þessu máli undir röksemdir og ákvörðun Póst- og fjarskiptastofnunar og telur dómurinn að á vefsvæðinu hafi m.a. verið varðveittar upplýsingar sem lög um fjarskipti gilda ótvírætt um. Samkvæmt lögunum er fjarskiptafyrirtækjum óheimilt að geyma fjarskiptagögn lengur en nauðsynlegt er til reikningsgerðar og uppgjörs. Umferðarupplýsingar skal þó geyma í sex mánuði í þágu rannsókna sakamála og almannaöryggis. Á vefsíðu stefnda voru, ásamt efni skilaboða viðskiptavina, jafnframt varðveitt ótímabundið gögn um þá fjarskiptaumferð, sem tengist þeim skilaboðum sem komust í dreifingu, svo sem um það hvenær skilaboð voru send og símanúmer viðtakanda, þrátt fyrir þau tímamörk sem fjarskiptafyrirtækjum eru í lögunum sett til varðveislu gagna um fjarskiptaumferð.

Á því leikur enginn vafi að það, að viðskiptavinir stefnda rita SMS-skilaboð sín frá símanúmerum sínum hjá stefnda inn á vefsíðu stefnda, stendur í órofa tengslum við viðskiptasamband þeirra við stefnda sem fjarskiptafyrirtæki sem rekið er samkvæmt opinberu leyfi. Breytir sú skilgreining stefnda sjálfs á umræddu vefsvæði, að það standi utan fjarskiptanets, engu um þá staðreynd. Ekkert er komið fram í málinu sem bendi til þess að stefndi hafi kynnt viðskiptavinum sínum að hann teldi vefsvæðið standa utan fjarskiptaþjónustu sinnar þegar hann bauð upp á umrædda þjónustu, en til þess að komast inn á „Mínar síður“ og notfæra sér þessa þjónustu stefnda þurftu viðskiptavinir notandanafn og lykilorð sem þeim var sent í netbanka. Viðskiptavinir stefnda höfðu sérstaka ástæðu til þess að ætla að lykilorð væru örugglega geymd og að ekki væri hætta á að óviðkomandi aðilar kæmust í SMS-skilaboð þeirra, enda kom fram á „Mínum síðum“ að öryggi upplýsinga þar væri tryggt og ýtrustu öryggiskröfum væri fylgt. Greitt var fyrir sendingu á SMS-skilaboðum sem send voru með þessum hætti úr símanúmerum viðskiptamanna hjá stefnda og máttu þeir ætla að öryggi þeirra upplýsinga sem færu um vefsvæðið væri þar tryggt svo sem væru þær á fjarskiptaneti. Ríkar öryggiskröfur eru gerðar til fjarskiptafyrirtækja og almennt er traust viðskiptavina til fjarskiptafyrirtækja mikið. Svo sem fram kemur í tölvubréfi stefnanda til stefnda 9. desember 2013 stóð hann í þeirri trú að ógerningur væri fyrir utanaðkomandi aðila að komast í persónuleg gögn hans hjá stefnda.

Ein helsta röksemd stefnda fyrir sýknukröfu sinni er að viðskiptavinum hafi verið í sjálfsvald sett hvort þeir vistuðu SMS-skilaboð sín á vefsvæði stefnda, en það sé virkni sem komið hafi til vegna óska viðskiptavina. Stefndi kveðst ekki hafa getað ákveðið fyrir hönd viðskiptavina sinna hvaða gögnum þeirra skyldi eyða og sé ákvörðun um slíkt í höndum viðskiptavinarins sjálfs. Efni SMS-skilaboða er almennt aðeins vistað í endabúnaði sendanda og móttakanda og er þar með á ábyrgð þeirra hvort þeim er eytt eða þau vistuð. Ekki verður fallist á málsástæðu stefnda um að raskað væri raunhæfum möguleikum fólks til að varðveita upplýsingar um einkalíf sitt með aðstoð nútímatækni ef vistun þeirra hjá stefnda væri ekki heimil.

Lög um fjarskipti, nr. 81/2003, gilda ekki um efni sem sent er á fjarskiptanetum, sbr. 5. mgr. 1. gr. laganna, svo sem texta SMS-skilaboða, en dómurinn fellst ekki á að það hafi verið stefnda óviðkomandi hvort SMS-skilaboð viðskiptavina væru vistuð á „Mínum síðum“ stefnda eða ekki. Með umræddu fyrirkomulagi tók stefndi ábyrgð á vinnslu þeirra persónuupplýsinga sem á vef hans safnast með þeim hætti, í skilningi laga um persónuvernd og meðferð persónuupplýsinga, nr. 77/2000, og bar að fara með upplýsingarnar í samræmi við þá löggjöf. Í því felst m.a. að heimild til vinnslunnar þarf að eiga sér stoð í einhverju þeirra atriða sem greinir í 8. og 9. gr. laganna og vísar stefndi um vinnsluheimild sína eingöngu til 1. töluliðs beggja ákvæða, þ.e. að samþykki hins skráða hafi verið fyrir hendi.

Stefnandi byggir á því að hann hafi ekki veitt samþykki sitt til vistunar þeirra 404 SMS-skilaboða sem hann sendi. Stefndi heldur því fram að samþykkis sendanda skilaboða til vistunar hafi verið aflað með því fyrirkomulagi á viðmóti vefsíðunnar, að notanda var veittur kostur á því að skilaboð sem hann ritaði vistuðust ekki sjálfkrafa, ef hak í þar til gerðan reit var tekið af. Þá gat sendandi eytt eldri sendum skilaboðum sínum. Heldur stefndi því fram að hakið hafi verið áberandi þegar ritun skilaboða hófst þar sem þá hafi birst hnappur til að senda við hlið textans „vista í skeyta sögu“. Dómurinn gekk á vettvang við aðalmeðferð málsins, sérstaklega í því skyni að kynna sér á skjá í húsakynnum stefnda, að kröfu hans, viðmót og notkun vefsíðunnar. Útprentun af skjámynd vefsíðunnar er einnig að finna meðal gagna málsins og reyndist skoðun á vettvangi ekki leiða annað í ljós sem máli skiptir en þar kemur fram.

Viðskiptavinum, sem notuðu síðuna reglulega til SMS-sendinga, t.d. til þjónustutilkynninga til viðskiptavina og skjólstæðinga eða til fjöldasendinga, mátti vera ljóst að SMS-skilaboð sem þeir sendu væru vistuð á „Mínum síðum“, enda fólst hagræðið m.a. í því að endurnýta texta og upplýsingar um skilgreinda hópa viðtakenda slíkra sendinga. Álitamál er að hvaða marki aðrir viðskiptavinir sem notuðu „Mínar síður“ til þess að senda SMS-skilaboð, jafnvel oft eins og stefnandi gerði, hafi almennt gert sér grein fyrir því að þau skilaboð sem þeir sendu væru vistuð þar ótímabundið. Þó að stefnanda hafi verið kunnugt um þann valmöguleika að afþakka vistun skilaboða þegar hann ritaði stefnda tölvubréf 9. desember 2013, verður ekki fallist á það með stefnda að í því felist ótvírætt að stefnandi hafi gert sér grein fyrir því þegar hann ritaði skilboð sín á vefsíðu stefnda að sá möguleiki væri fyrir hendi. En þegar stefnandi sendi tölvubréfið hafði stefndi þegar útskýrt þetta fyrirkomulag um valmöguleika í bréfum til viðskiptavina og fréttatilkynningu í byrjun desember s.á. Fyrir dóminum kvaðst stefnandi ekki hafa tekið eftir því að unnt væri að taka hakið af, hann hafi talið skeytin vistast sjálfkrafa og hann hafi treyst síðunni. Ekki verður séð að viðskiptavinum hafi verið kynnt hvernig vistun skilaboða á „Mínum síðum“ færi fram og hvernig persónuvernd væri tryggð.

Unnt er að veita gilt samþykki sitt til vinnslu persónuupplýsinga í verki, svo sem með því að haka við reiti á eyðublaði, en það verður ekki veitt með þögninni einni og telst vinnsla persónuupplýsinga ekki samþykkt með því að láta það ógert að breyta fyrir fram gefinni stillingu þegar um er að ræða vinnslu viðkvæmra persónuupplýsinga, eins og þeirra sem hér um ræðir, sbr. 1. tl. 1. mgr. 9. gr. laga nr. 77/2000 laganna. Slíkt samþykki þarf að fullnægja skilyrðum 7. tl. 1. mgr. 2. gr. laganna. Í því felst að gefin sé af fúsum og frjálsum vilja sérstök, ótvíræð yfirlýsing um að einstaklingur sé samþykkur vinnslu tiltekinna upplýsinga um sig og að honum sé kunnugt um tilgang hennar, hvernig hún fari fram, hvernig persónuvernd verði tryggð, um að honum sé heimilt að afturkalla samþykki sitt o.s.frv. Að mati dómsins uppfyllir umrætt fyrirkomulag til að afla samþykkis ekki þær kröfur sem gera verður til þess að samþykki sendanda hafi verið veitt í skilningi framangreindra lagaákvæða. Forsendur úrskurðar Persónuverndar í máli stefnanda, nr. 378/2014, sem dómurinn tekur undir, eru skýrar um að varðveisla skilaboða með viðkvæmum persónuupplýsingum um stefnanda, sem send voru af vefsíðu stefnda, fól í sér vinnslu þeirra án þess að viðhlítandi samþykkis væri aflað, og samrýmdist því ekki lögum nr. 77/2000.

Fyrir liggur að umtalsverðu magni gagna, sem voru í vörslu stefnda, var stolið. Þar á meðal voru viðkvæmar persónuupplýsingar sem varða stefnanda í fjölda skilaboða sem komust í dreifingu vegna framangreindra atvika. Þau skilaboð sem er að finna í gögnum málsins voru öll send af stefnanda. Stefnandi telur að ólögmæt og saknæm háttsemi stefnda hafi valdið honum miska sem sé sennileg afleiðing af háttseminni og beri stefnda því að greiða honum bætur vegna miska. Stefnandi vísar til þess að hvort tveggja, einkalíf og æra stefnanda, njóti verndar stjórnarskrárinnar, stefndi hafi brotið gegn einkalífi og æru hans með háttsemi sinni vegna þess sem fram komi í gögnunum, m.a. í ummælum sem borist hafi stefnanda. Fallist er á það með stefnda að krafa stefnanda um miskabætur vegna meintra ærumeiðinga sem falist hafi í skilaboðum sem stefnanda hafi verið send er vanreifuð og er fullyrðing stefnanda um efni móttekinna skilaboða engum gögnum studd.

Efni skilaboðanna sem stefnandi sendi varða að miklu leyti einkalíf stefnanda og eru þau þess eðlis að dreifing slíkra upplýsinga getur verið refsiverð að lögum, sbr. 229. gr. almennra hegningarlaga nr. 19/1940. Þótt stefndi hafi ekki sjálfur staðið að dreifingu efnis skilaboðanna á internetinu, og hafi beinlínis hvatt aðra til að eyða skilaboðunum og dreifa þeim ekki, þá verður ekki fram hjá því litið að skilaboðin hefðu ekki farið í dreifingu ef ekki hefði verið fyrir ólögmæta vistun þeirra á vefsíðu stefnda og þá saknæmu háttsemi, sem stefndi ber ábyrgð á, að tryggja ekki öryggi upplýsinga á vefsíðunni. Hin ólögmæta og saknæma háttsemi stefnda var nauðsynleg forsenda þess að upplýsingarnar urðu aðgengilegar á internetinu fyrir tilstuðlan tölvuþrjóts, en almennt aðgengi að þessum upplýsingum felur í sér stórfellt brot gegn friðhelgi einkalífs stefnanda.

Samkvæmt framansögðu er það niðurstaða dómsins að varðveisla SMS-skilaboðanna á vefsíðu stefnda án viðhlítandi samþykkis hafi frá upphafi falið í sér brot gegn lögum um persónuvernd og meðferð persónuupplýsinga. Lög um fjarskipti veita stefnda ekki heimild til að vista slíkar upplýsingar, en þau eru rituð á vefsíðu stefnda beinlínis vegna þess að stefndi rekur fjarskiptaþjónustu. Dreifing upplýsinganna á internetið verður sem fyrr segir rakin til verulegs gáleysis stefnda, eða starfsmanna sem stefndi ber ábyrgð á, við að tryggja öryggi upplýsinganna á vefsvæði sínu.

Stefndi verður að þessu virtu að bæta stefnanda þann miska, sem telja má sennilega afleiðingu af dreifingu upplýsinganna. Þar sem stefndi hefur með verulegu gáleysi skapað sér bótaábyrgð á grundvelli sakarreglu skaðabótaréttar er ábyrgð hans ekki takmörkuð við fjártjón, og skiptir þá ekki máli þó að í 43. gr. laga nr. 77/2000 sé aðeins kveðið á um bótaskyldu ábyrgðaraðila vegna fjárhagslegs tjóns, sem hlýst af því að hann eða vinnsluaðili hafi unnið með persónuupplýsingar í andstöðu við lögin.

Kröfu sína um greiðslu bóta vegna miska byggir stefnandi á b-lið 1. mgr. 26. gr. skaðabótalaga nr. 50/1993, enda beri stefndi ábyrgð á ólögmætri meingerð gegn frelsi, friði, æru og persónu stefnanda. Í athugasemdum með frumvarpi til skaðabótalaga kemur fram að eftir ákvæðinu falli skylda til greiðslu miskabóta á þann sem ábyrgð beri á ólögmætri meingerð, eftir atvikum eftir reglum um vinnuveitandaábyrgð. Í skilyrði 26. gr. um ólögmæta meingerð felist að um saknæma hegðun sé að ræða, en gáleysi myndi þó þurfa að vera verulegt til þess að tjónsatvik yrði talið ólögmæt meingerð. Svo sem að framan greinir er það skilyrði fyrir hendi í máli þessu.

Stefndi heldur því fram að frásögn stefnanda af afleiðingum innbrotsins, og þeim miska sem innbrotið og dreifing gagnanna hafi valdið honum, sé ósönnuð. Stefnandi kom fyrir dóm við aðalmeðferð málsins og lýsti því að hann hefði orðið fyrir áfalli þegar hann gerði sér grein fyrir umfangi upplýsinganna og því að tugþúsundir manna væru að velta sér upp úr samskiptum hans og unnustu hans. Notuð hafi verið SMS-skilaboð milli hans og fyrrum eiginkonu um syni þeirra og önnur atriði tengd skilnaði þeirra sérstaklega til þess að halda þeim utan við ágreiningsefni, en þeir hafi komist í skilaboðin og lent í leiðindum þar sem skólafélagar þeirra gerðu það líka. Þetta hafi verið gríðarlega óþægilegt og virðing hans hafi beðið hnekki. Þá hafi skilaboð til kunningja verið rangtúlkuð á þann veg að þeir tengdust fíkniefnamálum og kvaðst stefnandi hafa orðið fyrir óþægindum og spurningum vegna þess, m.a. frá fjölmiðlum og vinnufélögum. Skilaboð varðandi fjármál í tengslum við uppgjör við eiginkonu hafi verið bagalegt fyrir hann, sem sérfræðing í [...], að kæmu fyrir almenningssjónir. Honum hafi verið sagt upp störfum, án þess að þessi atvik væru tilgreind ástæða, en honum hafi fundist að tækifærið hafi verið nýtt til að losa sig við hann, enda hafi símanúmerið verið tengt [...]. Gagnalekinn hafi valdið honum mikilli vanlíðan og álitshnekki. Synir stefnanda komu fyrir dóminn og skýrðu frá því að faðir þeirra hefði verið mjög þungur eftir að þetta mál hafi komið upp og þetta hefði verið verulega óþægilegt fyrir hann. Fram kom hjá E að mikið stress og óþægindi hefðu verið á heimilinu og faðir hans hafi margt viðkvæmt þurft að útskýra bæði fyrir unnustu sinni og fyrir móður E.

Fær það sannfærandi stoð í gögnum málsins og framburði fyrir dómi að umrædd atvik hafi valdið stefnanda verulegri vanlíðan og óþægindum. Opinberun upplýsinganna, þar með talið viðkvæmra persónuupplýsinga samkvæmt m.a. stafliðum c- og d- í 8. tl. 2. gr. laga nr. 77/2000, fól í sér rof á friðhelgi einkalífs stefnanda, er til þess fallin að rýra orðspor hans og hefur að mati dómsins valdið honum talverðum miska. Hér var um að ræða ólögmæta meingerð af hendi stefnda gegn persónu stefnanda í skilningi b-liðar 1. mgr. 26. gr. skaðabótalaga og ber stefnda af þeim sökum að greiða stefnanda miskabætur.

Stefnandi krefst bóta að fjárhæð 12 milljónir króna fyrir miska. Við ákvörðun á fjárhæð miskabóta er m.a. að líta til dómaframkvæmdar, en ekki verður fallist á það með stefnanda að miskatjón hans verði ekki borið saman við miska sem áður hafa verið dæmdar bætur fyrir, þar sem tjón hans sé að rekja til einstakra atvika. Bætur hafa áður verið dæmdar fyrir miska, svo sem vegna ummæla eða annars konar ólögmætrar meingerðar, sem valdið hefur tjónþola m.a. verulegum óþægindum, vanlíðan, álitshnekki og sálrænu og tilfinningalegu tjóni og haft djúpstæð áhrif á líf tjónþola. Stefnandi vísar m.a. til þess að efni skilaboðanna verði ætíð aðgengilegt, en það sama getur t.d. átt við um ummæli sem birst hafa, þótt ómerkt séu með dómi. Miskabætur sem stefnda verður gert að greiða stefnanda þykja að öllu framangreindu virtu hæfilega ákveðnar ein milljón króna. Bótafjárhæðin ber vexti og dráttarvexti í samræmi við ákvæði laga nr. 38/2001, um vexti og verðtryggingu, svo sem stefnandi krefst og nánar greinir í dómsorði.

Með vísun til 1. mgr. 130. gr. laga, um meðferð einkamála nr. 91/1991, verður stefnda gert að greiða stefnanda málskostnað sem, að teknu tilliti til umfangs málsins, en einnig með hliðsjón af því að samhliða máli þessu eru rekin fjögur samkynja mál, er ákveðinn 600.000 krónur að meðtöldum virðisaukaskatti.

Dóminn kveður upp K-kvk-nf K-kvk-nf, héraðsdómari sem dómsformaður, ásamt sérfróðu meðdómsmönnunum, B-kk-þgf J-kk-þgf og H-kk-þgf Ó-kk-þgf, rafmagnsverkfræðingum og tölvunarfræðingum.

D ó m s o r ð

Stefndi, Fjarskipti hf., greiði stefnanda, A, 1.000.000 króna í miskabætur, ásamt vöxtum samkvæmt 1. mgr. 8. gr. laga nr. 38/2001, um vexti og verðtryggingu, frá 1. desember 2013 til 26. mars 2014, en með dráttarvöxtum samkvæmt 9. gr., sbr. 1. mgr. 6. gr. sömu laga, frá þeim degi til greiðsludags.

Stefndi greiði stefnanda 600.000 krónur í málskostnað.

K-kvk-nf K-kvk-nf

B-kk-nf J-kk-nf

H-kk-nf Ó-kk-nf