E-1171/2015

Mál þetta, sem dómtekið var 6. apríl 2016, var höfðað 23. mars 2015 af hálfu A,[..., ..., ....] á hendur Fjarskiptum hf., Skútuvogi 2, Reykjavík.

Endanlegar dómkröfur stefnanda eru þær að stefndi verði dæmdur til greiðslu skaðabóta að fjárhæð 90.000.000 króna auk vaxta samkvæmt 1. mgr. 8. gr. laga nr. 38/2001 um vexti og verðtryggingu frá 1. desember 2013 til 26. mars 2014 og með dráttarvöxtum samkvæmt 9. gr., sbr. 1. mgr. 6. gr. sömu laga frá 26. mars 2014 til greiðsludags.

Þá krefst stefnandi málskostnaðar úr hendi stefnda að skaðlausu.

Stefndi krefst sýknu af öllum kröfum stefnanda og málskostnaðar úr hendi stefnanda að skaðlausu.

Þinghöld eru lokuð og nafnleynd haldin við meðferð málsins, sbr. a-lið 1. mgr. 8. gr. laga nr. 91/1991.

Yfirlit málsatvika og ágreiningsefna

Stefndi er fjarskiptafyrirtæki sem veitir þjónustu undir nafninu Vodafone, þar á meðal símaþjónustu. Stefndi heldur einnig úti vefsíðunni vodafone.is og bauð viðskiptavinum sínum aðgang að þjónustu á vefsíðunni sem nefndist ,,Mínar síður“. Á ,,Mínum síðum“ gátu viðskiptavinir stefnda meðal annars sent SMS-skeyti í farsíma, varðveitt send skeyti og meðhöndlað þau.

Við sendingu á SMS-skeytum á ,,Mínum síðum“ var texti skeytisins ritaður í þar til gerðan reit og þar undir birtist meðal annars reiturinn ,,Vista í skeyta sögu“, sem var fyrir fram hakað við. Við hliðina á þeim reit birtist ,,senda“ hnappur um leið og fyrsti stafur nýs skeytis var skrifaður. Neðar á síðunni birtist svonefnd ,,skeytasaga“, ásamt fjölda skeyta, sem var listi yfir vistuð skeyti, dagsetningu þeirra, tímasetningu, fyrsta 21 staf skeytanna, fjölda viðtakenda og kostnað við sendingu þeirra. Óumdeilt er að SMS-skeyti, sem send voru í gegnum ,,Mínar síður“, voru vistuð ótímabundið nema sendandi tæki út hakið við reitinn ,,Vista í skeyta sögu“ þegar hann sendi skeyti.

Aðfaranótt 30. nóvember 2013 braust óþekktur ,,tölvuþrjótur“ inn á vefsíðu stefnda með því að notfæra sér, að sögn stefnda, ,,áður óþekktan veikleika í öryggi vefsíðunnar“. Tölvuþrjóturinn afritaði vistuð SMS-skeyti sem notendur ,,Minna síðna“, þar á meðal stefnandi, höfðu sent sem og vistuð skeyti sem höfðu verið send af öðrum notendum ,,Minna síðna“, og gerði skeytin aðgengileg öllum almenningi á internetinu ásamt upplýsingum um símanúmer sendanda og móttakanda. Stefndi kveðst þegar hafa ræst út viðbragðsteymi sem hafi tekið niður vefsíðu stefnda og lokað öllum aðgangi. Þá hafi ,,færustu öryggissérfræðingar landsins“ verið kvaddir til, sem og sérfræðingar frá Vodafone Global. Netöryggissveit samkvæmt reglugerð nr. 475/2013 hafi verið tilkynnt um málið strax árla morguns. Um leið og stefnda hafi orðið ljóst að tölvuþrjóturinn hefði tekið gögn ófrjálsri hendi hafi hann sett af stað átak til að láta alla viðskiptavini sína vita sem hafi átt gögn sem tölvuþrjóturinn hafi stolið og birt.

Fyrstu daga desembermánaðar 2013 sendi stefndi tölvubréf til viðskiptavina sinna sem voru með skráð netfang á ,,Mínum síðum“ og sendi frá sér fréttatilkynningu og tilkynningu til Kauphallar. Þar kemur m.a. fram að meðal stolinna gagna hafi verið 79 þúsund SMS-skeyti, notendanöfn og lykilorð að ,,Mínum síðum“. SMS-skilaboðin hafi verið send með SMS-þjónustu á heimasíðu stefnda á tímabilinu 1. desember 2010 til 30. nóvember 2013. SMS-skeytin hafi verið send af 5.100 aðilum, þar af hafi 2.500 viðskiptavinir aðeins sent ein skilaboð. Af þessum fjölda hafi um 60 þúsund skilaboð verið almennar þjónustutilkynningar sem hafi verið sendar af félagasamtökum eða litlum þjónustuaðilum, svo sem tannlæknum og hárgreiðslustofum. Fjarskiptalög kveði ,,skýrt á um að varðveisla gagna lengur en 6 mánuði er óheimil. Ljóst er að stór hluti hinna stolnu gagna var eldri en það og ber [stefndi] fulla ábyrgð á því“. Ástæðum þessa var lýst þannig að á heimasíðunni væri viðskiptavinum boðið að vista send SMS-skilaboð en hægt væri að afþakka vistunina með því að taka út hak í reitnum ,,Vista í samskiptasögu“. Þetta fyrirkomulag á heimasíðunni væri ,,gallað og í því felast mistök“ stefnda.

Stefndi kveðst áður hafa sætt tilraunum ,,tölvuþrjóta“ til að brjótast inn á vefsíðu stefnda. Stefndi lýsir því að 7. mars 2012 hafi tölvuþrjóti tekist að skipta um útlit á vefsíðu stefnda. Í kjölfarið kveðst stefndi hafa gert sérstaka öryggisúttekt á vefsíðunni og aukið við varnir hennar. Hinn 13. mars 2012 hafi tölvuþrjótur reynt að gera slíkt hið sama en þá hafi uppfærðar varnir stefnda haldið og hafi tölvuþrjótinum því ekki tekist ætlunarverk sitt. Stefndi segist hafa tekið þátt í evrópskri netöryggisæfingu á vegum opinberra aðila. Þar hafi verið sviðsett öryggisatvik, þau meðhöndluð, viðbrögð samræmd og miðlun upplýsinga æfð. Starfsmenn stefnda hafi með því meðal annars fengið sérstaka þjálfun í að bregðast við öryggisógn. Að sögn stefnda gerðu ,,færustu sérfræðingar“ öryggisúttekt á vefsíðu stefnda í janúar 2013. Hinn 3. maí 2013 hafi tölvuþrjóti aftur tekist að valda skemmdum á vefsíðu stefnda. Tilvikið hafi varðað afmarkaðan hluta hennar og stefndi hafi álitið það síður alvarlegt en tilvikið 7. mars 2012. Stefndi kveður öryggi vefsíðunnar þá hafa verið yfirfarið og varnir hennar auknar. Reglugerð nr. 475/2013 um málefni CERT-ÍS netöryggissveitar tók gildi 1. júní 2013. Stefndi kveðst hafa átt ágætt samstarf við sveitina vegna fjarskiptastarfsemi sinnar. Stefndi hafi til dæmis tilnefnt sérstakan tengilið við netöryggissveitina til að tryggja að sveitin gæti haft samband við stefnda. Haustið 2013 segist stefndi hafa tekið þátt í fyrstu innanlandsæfingunni í netöryggi á vegum netöryggissveitar. Starfsmenn stefnda hafi þar aftur fengið sérstaka þjálfun í að bregðast við ógn við öryggi.

Stefnandi var með tvö símanúmer hjá stefnda. Símanúmerið x var að sögn stefnda flutt til hans 15. október 2010 og var rétthafi númersins ... ehf. en stefndi sagði því númeri upp 4. mars 2012. Númerið y var flutt til stefnda 11. nóvember 2011 og var að sögn stefnda fellt undir samning stefnda við félagið ... ehf., síðar ... ehf., þar til 10. júní 2012 að númerið hafi verið fært yfir á kennitölu stefnanda. Stefnandi krefst í máli þessu bóta frá stefnda vegna þess að hún var meðal þeirra viðskiptavina stefnda sem urðu fyrir því að skeytum, sem þá vörðuðu, var stolið og gerð aðgengileg á internetinu af hinum óþekkta tölvuþrjóti. Samkvæmt gögnum málsins voru birt 279 skeyti sem stefnandi sendi sjálf, auk 2.287 skeyta sem aðrir notendur ,,Minna síðna“ sendu stefnanda og höfðu vistað á ,,Mínum síðum“. Stefnandi kveður 1.907 skilaboð innihalda viðkvæmar persónuupplýsingar, meðal annars um börn stefnanda (165), kynfæri hennar og kynlíf (115), meinta áfengis- og lyfjamisnotkun hennar (89) og um fjármál hennar (9). Að auki hafi verið fjallað um fyrirtækjarekstur hennar, skattamál og forsjármál.

Stefnandi beindi kvörtun til Póst- og fjarskiptastofnunar vegna umrædds leka eftir innbrotið 30. nóvember 2013. Póst- og fjarskiptastofnun framsendi kvörtunina til Persónuverndar, þannig að fyrrnefnda stofnunin tók til umfjöllunar öryggi umræddra gagna, en síðarnefnda stofnunin kannaði lögmæti varðveislu þeirra persónuupplýsinga sem gögnin hefðu að geyma. Með ákvörðun Póst- og fjarskiptastofnunar nr. 1/2014, 24. mars 2014, komst stofnunin að þeirri niðurstöðu að sendikerfið sem flytur merki af vefsvæði stefnda, vodafone.is, yfir í SMS-miðlara í farsímakerfi stefnda teldist vera fjarskiptanet í skilningi 13. tl. 3. gr. laga nr. 81/2003. Einnig að sú þjónusta sem veitt væri á vefsvæði stefnda, vodafone.is, sem fæli í sér sendingu smáskilaboða af „Mínum síðum“ yfir í farsíma, teldist vera fjarskiptaþjónusta í skilningi 15. tl. 3. gr. sömu laga og að sá hluti fjarskiptanets sem miðli merkjum af vefsvæði stefnda, vodafone.is, yfir í SMS-miðlara í farsímakerfi félagsins og veiti viðskiptavinum þess sem tengist „Mínum síðum“ með símanúmeri sínu slíkan aðgang, teldist hluti af almennu fjarskiptakerfi stefnda í skilningi 5. tl. 3. gr. laga nr. 81/2003. Stefndi kærði ákvörðunina til úrskurðarnefndar fjarskipta- og póstmála, sem staðfesti hana með úrskurði í máli nr. 3/2014, 11. október 2014. Stefndi hefur höfðað mál á hendur Póst- og fjarskiptastofnun þar sem hann krefst þess að úrskurður úrskurðarnefndarinnar verði ógiltur með dómi. Niðurstaða í því máli liggur enn ekki fyrir. Persónuvernd kvað upp úrskurð í máli nr. 377/2014, 15. maí 2014, og komst að þeirri niðurstöðu að varðveisla stefnda á SMS-skilaboðum með viðkvæmum persónuupplýsingum um stefnanda, sem hafi verið send af vefsíðu stefnda, hefði verið óheimil og samræmdist ekki lögum nr. 77/2000.

Við aðalmeðferð málsins gáfu skýrslur B, framkvæmdastjóri tæknisviðs stefnda, C, fyrrverandi forstjóri stefnda og D sálfræðingur. Verður vitnað til framburðar þeirra eftir því sem þurfa þykir.

Málsástæður og lagarök stefnanda

Niðurstöður eftirlitsaðila

Stefnandi byggir á því að Póst- og fjarskiptastofnun og Persónuvernd hafi tekið til meðferðar erindi stefnanda vegna atvika þeirra sem séu tilefni þessa máls og hafi stefndi átt þess kost að koma andmælum sínum að fyrir báðum eftirlitsaðilunum. Samkvæmt niðurstöðum Póst- og fjarskiptastofnunar hafi SMS-skilaboð með persónugreinanlegum og viðkvæmum persónuupplýsingum um stefnanda, sem hafi borist á internetið frá stefnda, verið hluti af fjarskiptaþjónustu stefnda og farið fram á almennu fjarskiptaneti hans. Þessa niðurstöðu hafi úrskurðarnefnd fjarskipta- og póstmála staðfest. Þá sé niðurstaða Persónuverndar sú að stefnandi hafi ekki samþykkt vinnslu stefnda á persónuupplýsingunum.

Starfsmenn Póst- og fjarskiptastofnunar, úrskurðarnefnd fjarskipta- og póstmála og Persónuvernd búi yfir sérþekkingu á þeim viðfangsefnum, sem heyri undir stofnanir þeirra. Um verkefni Póst- og fjarskiptastofnunar sé fjallað í 3. gr. laga nr. 69/2003 um Póst- og fjarskiptastofnun. Í 1. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga sé markmið þeirra laga skilgreint. Vægi umsagna og úrskurða þessara eftirlitsaðila sé með þeim hætti að dómstólar geti ekki sniðgengið þau, nema því aðeins að stefndi sýni fram á að þeir séu haldnir þess háttar annmörkum að varði ógildingu. Þar sem slíkir annmarkar séu ekki fyrir hendi verði að leggja til grundvallar niðurstöður stofnananna, að því leyti sem þær snúi að álitaefninu um bótaskyldu stefnda. Stefnandi byggir á því að sú þjónusta sem stefnandi samdi um kaup á við stefnda hafi falið í sér fjarskiptaþjónustu á fjarskiptanetum stefnda.

Bótaskylda stefnda

Stefnandi vísar til 1., 2. og 3. mgr. 42. gr. laga nr. 81/2003, um fjarskipti. Þau persónulegu gögn um stefnanda sem hafi flust frá stefnda á internetið hafi ekki verið gögn um fjarskiptaumferð farsíma stefnanda, þ.e. hver hafi haft samband í hvaða númer og úr hvaða númeri, lengd samskiptanna o.s.frv., heldur hafi verið um texta samskiptanna að ræða og sé þá bæði átt við smáskilaboð, sem séu yngri en sex mánaða og þau sem séu eldri en sex mánaða. Stefnda hafi verið óheimilt að varðveita texta smáskilaboðanna án tillits til þess hvort þau væru eldri eða yngri en sex mánaða. Undantekningarákvæði laganna hafi ekki átt við í tilviki stefnanda. Varðveislan ein og sér brjóti gegn 71. gr. stjórnarskrárinnar.

Stefndi hafi af ásetningi eða stórfelldu gáleysi brotið á réttindum stefnanda með því að geyma viðkvæm persónuleg gögn um hann þrátt fyrir bann fjarskiptalaga við slíkri varðveislu. Stefnda hafi verið óheimilt að geyma gögn um annað en fjarskiptaumferð, sem hafi tengst smáskilaboðum, sem hafi borist og verið send frá farsíma stefnanda. Fjarskiptalög heimili einungis geymslu gagna um umferð í allt að sex mánuði. Sú aðgerð stefnda að varðveita texta smáskilaboðanna hafi leitt til þess að við innbrot í fjarskiptakerfi stefnda hafi sá, sem hafi borið ábyrgð á innbrotinu, komist yfir hin viðkvæmu persónugögn um stefnanda og hafi getað gert þau öllum aðgengileg á internetinu. Hefði stefndi farið að fjarskiptalögum um eyðingu gagnanna, sem tengdust stefnanda, hefði innbrotið engu skipt fyrir stefnanda, þar sem engin viðkvæm gögn um stefnanda hefði þá verið að finna í fjarskiptakerfum stefnda. Háttsemi stefnda sé því tvímælalaust ólögmæt. Við mat á því beri m.a. að hafa í huga að svonefndir tölvuþrjótar hafi að minnsta kosti tvívegis fyrr, 7. mars 2012 og 3. maí 2013, ráðist á vefsíðu stefnda og hefði það átt að auka árvekni og aðgæslu stefnda.

Stefnda hafi verið ljóst á þeim tíma, sem innbrotið var framið í fjarskiptakerfi hans, að hann varðveitti af ásetningi mikið magn viðkvæmra persónuupplýsinga, þar á meðal viðkvæm gögn tengd stefnanda. Honum hafi verið í lófa lagið að gera ráðstafanir til að eyða gögnunum eins og lög mæli fyrr um, að undanskildum gögnum um umferð síðustu sex mánuðina. Þetta hafi stefndi vanrækt og því sé saknæmisskilyrði sakarreglunnar uppfyllt. Skipti þá ekki máli hvort talið verði að háttsemin teljist ásetningsbrot eða brot framið af stórkostlegu gáleysi.

Orsakasambandið milli háttsemi stefnda og tjóns stefnanda sé beint og fyrirsjáanlegt. Stefnda hafi verið ljóst eða hlotið að vera ljóst að reglurnar, sem bönnuðu varðveislu umræddra gagna, hefðu þann tilgang að tryggja vernd persónuupplýsinga og þar með að vernda friðhelgi einkalífs notenda þjónustunnar. Stefnandi hafi mátt treysta því að stefndi færi með viðkvæm persónuleg gögn um hann af hinni mestu varúð.

Stefnandi byggir bótaskyldu stefnda meðal annars á sakarreglunni og séu öll skilyrði hennar uppfyllt. Við beitingu hennar í máli þessu beri m.a. að hafa í huga, að stefndi hafi vanrækt skyldu sína til athafna, þ.e. að eyða hinum viðkvæmu gögnum, og skyldu sína til nákvæmra vinnubragða, sem rakin verði til hins opinbera starfsleyfis stefnda. Jafnframt sé byggt á húsbóndaábyrgð stefnda, en hann beri ábyrgð á hverri þeirri bótaskyldu háttsemi, sem starfsmenn hans, ráðgjafar og verktakar séu ábyrgir fyrir, hvort sem er með aðgerðum eða athafnaleysi. Stefnandi telur að beita skuli hinni almennu sakarreglu með strangari hætti en almennt sé þar sem stefnda hafi verið úthlutað starfsleyfum með aðgangi að takmarkaðri auðlind og beri jafnframt ríka sérfræðiábyrgð gagnvart viðskiptamönnum sínum. Enn fremur byggir stefnandi á reglunni um reglufest saknæmi, þ.e. að brot stefnda á framangreindum lagareglum um vörslur viðkvæmra persónuupplýsinga leiði eitt sér til þess að skilyrði bótaskyldu stefnda séu uppfyllt.

Stefndi hafi vanrækt að uppfylla þá lögbundnu varúðarskyldu sína að gera viðeigandi tæknilegar og skipulagslegar öryggisráðstafanir til að vernda persónuupplýsingar gegn óleyfilegum aðgangi, sbr. 11. gr. laga nr. 77/2000, en stefnda hafi verið skylt að gera ráðstafanir, sem tryggi nægilegt öryggi miðað við áhættu af vinnslunni og eðli þeirra gagna sem verja á, með hliðsjón af nýjustu tækni og kostnaði við framkvæmd þeirra. Stefndi beri ábyrgð á því að áhættumat og öryggisráðstafanir við vinnslu hinna umræddu persónuupplýsinga séu í samræmi við lög og reglur um hvernig tryggja skuli öryggi upplýsinga. Þessi vanræksla leiði til bótaskyldu stefnda gagnvart stefnanda vegna hins óleyfilega aðgangs og eftirfarandi dreifingar á internetinu.

Stefnandi vísar til þess að hvort tveggja einkalíf og æra stefnanda njóti verndar stjórnarskrárinnar. Stefndi hafi brotið gegn einkalífi stefnanda með þeirri háttsemi sinni að gera utanaðkomandi kleift að komast yfir einkagögn hennar og birta þau á internetinu. Stefndi hafi jafnframt brotið gegn æru stefnanda þar sem í gögnunum hafi verið að finna ærumeiðandi ummæli sem hafi borist stefnanda með smáskilaboðum. Með þessari háttsemi hafi stefndi skert stjórnarskrárvarin réttindi stefnanda og af því leiði skaðabótaskyldu stefnda á tjóni stefnanda á hlutlægum grunni. Engu breyti þótt hin ærumeiðandi ummæli eigi sér ekki stoð í veruleikanum. Stefnandi telur að stefndi hafi gerst sekur um stórfellt gálaust athæfi, sem hafi leitt til þess að ummælin hafi verið borin út. Samkvæmt 234.–236. gr. almennra hegningarlaga nr. 19/1940 sé refsivert að bera út ærumeiðingar, aðdróttanir og ærumeiðandi aðdróttanir.

Stefndi hafi lýst því yfir á bindandi hátt, meðal annars í tilkynningu sem hafi verið beint til stefnanda, að stefndi bæri „fulla byrgð“ á þeim mistökum að hafa varðveitt gögnin lengur en sex mánuði. Sú ábyrgð sem stefndi vísi til sé óhjákvæmilega fébótaábyrgð á því tjóni, sem stefnandi hafi orðið fyrir af völdum mistaka stefnda. Mistökin sem stefndi vísi til séu þau lögbrot sem stefnandi hafi lýst.

Bótaskylda stefnda varðandi miska sé byggð á 26. gr. skaðabótalaga nr. 50/1993, enda beri stefndi ábyrgð á ólögmætri meingerð gegn frelsi, friði, æru og persónu stefnanda og beri því að greiða honum miskabætur.

Með 43. gr. laga nr. 77/2000 og ákvæði 23. gr. tilskipunar 95/46/EB sé innleidd saknæmisregla (culpa) með öfugri sönnunarbyrði. Í 23. gr. enska texta tilskipunarinnar sé talað um að „any person who has suffered damage [...] is entitled to receive compensation from the controller for the damage suffered“. Í íslenskri þýðingu tilskipunarinnar segi „að hver sá sem hefur orðið fyrir tjóni [ ... ] eigi rétt á skaðabótum frá ábyrgðaraðila fyrir það tjón sem hann hefur orðið fyrir“. Þrátt fyrir skýrt orðalag tilskipunarinnar segi í 43. gr. laga nr. 77/2000, að ábyrgðaraðili skuli „... bæta hinum skráða það fjárhagslega tjón sem hann hefur orðið fyrir ...“. Ekki er ljóst af undirbúningsgögnum laganna hvers vegna tilskipunin sé innleidd í andstöðu við fyrirmæli tilskipunarinnar, sem mæli fyrir um skaðabætur, sem nái bæði til bóta fyrir fjárhagslegt og ófjárhagslegt tjón. Takmörkunin við fjárhagslegt tjón eingöngu sé byggð á misskilningi á texta tilskipunarinnar. Því sé mótmælt að hin ranga innleiðing verði lögð til grundvallar reyni yfirhöfuð á ákvæði þetta við ákvörðun um bótaskyldu stefnda vegna hins ófjárhagslega tjóns stefnanda. Ákvæði þetta skipti einkum máli að því er varðar öfuga sönnunarbyrði sem lögð sé á stefnda. Skaðabótaskylda stefnda sé byggð á réttarreglum um skaðabótaskyldu þar sem bótaskyldan nái jafnt til fjárhagslegs sem ófjárhagslegs tjóns og því skipti ákvæði þetta ekki máli, verði niðurstaðan sú að skýra það í andstöðu við ákvæði tilskipunarinnar.

Bætur fyrir fjárhagslegt tjón

Dómkrafa stefnanda sé annars vegar um bætur að álitum að fjárhæð 10 milljónir króna fyrir fjárhagslegt tjón. Stefnandi byggir á því að birting hinna persónulegu gagna hafi leitt til þess að hún treysti sér ekki til að búa áfram hér á landi vegna þess álags sem hafi fylgt hinum birtu upplýsingum. Stefnandi hafi því flutt úr landi 1. apríl 2014 ásamt tveimur börnum sínum, [...] og [...] ára gömlum. Stefnandi hafi skyndilega orðið opinber persóna án þess að hafa nokkuð til þess gert sjálf. Stefnandi hafi talið að hún myndi ekki hafa framgang í atvinnulífinu né á öðrum sviðum hér á landi vegna áhrifa lekans. Stefnandi hafi orðið fyrir áreiti á almannafæri, sem hafi leitt til þess að hún hafi átt erfitt með að vera meðal fólks og einangrað sig því. Þegar hinar viðkvæmu persónuupplýsingar urðu opinberar hafi stefnandi ekki verið í fastri vinnu. Stefnandi hafi nýlega lokið [...] prófi [...] og verið að svipast um eftir atvinnu. Birting upplýsinganna hafi haft lamandi áhrif á stefnanda, hún hafi ekki getað sótt um vinnu með virkum hætti og talið vinnumarkaðinn lokaðan sér.

Stefnandi hafi starfað á ýmsum sviðum viðskipta [...] ætíð verið í stjórnunarstöðum [...]. Ferill stefnanda skipti máli við mat á bæði fjárhagslegu tjóni hennar og miska. Öll störf stefnanda hafi falið í sér mikil samskipti við fólk. Fátt hafi verið mikilvægara í störfum hennar en að afla sér trausts meðal þeirra sem hún átti samskipti við í umræddum störfum. Árangur af störfum stefnanda hafi verið því háður að hún hefði sem mesta færni í umræddum samskiptum. Samkvæmt framlögðum læknisvottorðum sýni geðskoðun mikil einkenni meðal annars kvíða, svefnleysis og depurðar auk hækkandi blóðþrýstings og í lok febrúar 2014 búi stefnandi við áframhaldandi kvíðaeinkenni, einbeitingarskort og pirring. Depurð og kvíði hafi verið óbreytt og hækkandi blóðþrýstingur. Hækkandi blóðþrýsting megi rekja beint til lekans, en fyrir hafi legið eldri mælingar til samanburðar. Þá komi fram að lekinn hafi haft í för með sér að stefnandi hafi orðið fyrir áreiti á mannamótum, sem hafi enn ýtt undir ótta hennar við að vera meðal fólks. Stefnandi þurfi að vera undir eftirliti og í viðeigandi meðferð. Þessar afleiðingar fyrir andlega og líkamlega heilsu stefnanda verði einungis raktar til gagnalekans. Afleiðingarnar af lekanum hafi verið þær að stefnandi hafi ekki getað haft, eða átt í stórfelldum erfiðleikum með, samskipti við annað fólk, sem hafi verið forsenda fyrir getu hennar og árangri í starfi. Lekinn valdi stefnanda því ekki aðeins andlegum þjáningum heldur skerði hann einnig starfsgetu hennar. Stefnanda hafi verið ljóst að hver sá sem hún átti samskipti við eða hugðist eiga samskipti við hafi hlotið að vita um efni smáskilaboðanna sem lekið var. Það hafi útilokað að hún gæti átt eðlileg samskipti við aðra og aðrir við hana. Hún hafi því útilokast frá samskiptum við fólk og þar með frá áframhaldandi þátttöku í íslensku viðskiptalífi. Andleg og líkamleg heilsa stefnanda hafi að nokkru farið batnandi, en hún stríði enn við víðtækar og verulegar andlegar og líkamlegar afleiðingar þessa áfalls sem ekki sjái fyrir endann á.

Útilokað sé fyrir stefnanda að sanna með nokkurri návæmni fjárhæð tjóns hennar. Hafa verði hliðsjón af því að stefnandi hafi verið útilokuð frá því að afla sér tekna með vinnuframlagi frá því upplýsingarnar birtust. Stefnandi hafi verið óvinnufær af bæði andlegum og líkamlegum ástæðum. Þá beri að taka tillit til þess að stefnandi hafi haft verulegan kostnað af því að flytja milli landa með fjölskyldu sina. Með því að flytja frá landinu hafi stefnandi gert ráðstafanir til að lágmarka tjón sitt, sem hefði ella orðið annað og meira.

Bætur fyrir ófjárhagslegt tjón

Dómkrafa stefnanda sé hins vegar um bætur að fjárhæð 80 milljónir króna fyrir ófjárhagslegt tjón. Stefndi hafi geymt viðkvæm gögn sem óheimilt hafi verið að geyma, þ.e. ekki aðeins gögn um umferð. Án þessarar óheimilu gagnavörslu hefði skaðinn ekki orðið. Hið ólögmæta ástand, þ.e. geymsla gagnanna, hafi ekki aðeins varað um skamma hríð heldur árum saman. Þetta langvarandi ólögmæta ástand auki mjög á saknæmi háttsemi stefnda. Vegna þess að stefndi viðhélt hinu ólögmæta ástandi hafi safnast upp á þriðja þúsund skilaboð til og frá farsímanúmerum stefnanda. Tjón stefnanda hafi því orðið enn stórfelldara en ella. Afleiðingarnar af háttsemi stefnda hafi verið honum fyrirsjáanlegar og röklegt samhengi sé milli háttsemi stefnda og tjóns stefnanda.

Stefndi hafi vakið sérstakt traust hjá stefnanda og öðrum viðskiptavinum sínum með yfirlýsingum á heimasíðu sinni um að öryggi á „Mínum síðum“ væri tryggt. Segi þar m.a. að fylgt sé „ítrustu öryggiskröfum“ til að tryggja að óviðkomandi „geti ekki fengið aðgang að Mínum síðum“. Varnir fyrir ,,Mínar síður“ hafi ekki verið í samræmi við þessa yfirlýsingu og veikari en varnir stefnda fyrir aðrar þjónustur. Það geri yfirlýsinguna enn ámælisverðari en ella og auki á saknæmisstigið.

2.566 skilaboð um stefnanda hafi lekið á internetið af vefsíðu stefnda. Af þeim hafi 2.459 skilaboð verið send á tímabilinu 1. desember 2010 til 1. maí 2013. Aðeins sjö skilaboð hafi verið send stefnanda eftir 1. maí 2013, þ.e. á síðustu sex mánuðum fyrir lekann. Flest þessara skilaboða hafi verið send til stefnanda eða 2.267 talsins. Öll þessi skilaboð varði einkalíf stefnanda. Þar af innihaldi 1.907 skilaboð afar viðkvæmar persónuupplýsingar, meðal annars um börn stefnanda (165), kynfæri hennar og kynlíf (115), meinta áfengis- og lyfjamisnotkun hennar (89) og um fjármál hennar (9). Að auki var fjallað um fyrirtækjarekstur hennar, skattamál og forsjármál.

Allar ofangreindar upplýsingar hafi verið almenningi aðgengilegar á internetinu. Á vefsíðunni „Gullkornvodafone.net“ og Facebook síðunni „Gullkorn Vodafone“ hafi meðal annars birst kaflar úr fyrrnefndum skilaboðum sem varði stefnanda. Enda þótt gögnin hafi verið tekin af internetinu þá hafi fjölmargir hlaðið gögnunum niður á eigin tölvur. Útdrættir úr gögnunum hafi birst á einstökum vefsíðum. Auðvelt hafi verið og sé að tengja einstök smáskilaboð við sendanda og móttakanda þar sem með boðunum hafi birst símanúmer sendanda og móttakanda þeirra. Að auki hafi full nöfn stefnanda og barna hennar og heimilisfang verið birt.

Í 8. tl. 2. gr. laga nr. 77/2000 sé hugtakið viðkvæmar persónuupplýsingar skilgreint m.a. þannig að undir það falli upplýsingar um heilsuhagi, lyfja-, áfengis- og vímuefnanotkun, svo og upplýsingar um kynlíf manna og kynhegðun. Persónuupplýsingar séu skilgreindar sem persónugreinanlegar upplýsingar, sbr. 1. tl. 2. gr. laganna. Þær upplýsingar sem hafi birst á internetinu í smáskilaboðum til og frá stefnanda heyri flestar undir viðkvæmar persónuupplýsingar og falli allar undir einkamálefni, sbr. t.d. 229. gr. almennra hegningalaga nr. 19/1940.

Allur almenningur hafi haft aðgang að persónulegum samskiptum stefnanda og fyrrum sambýlismanns hennar, sem einkum hafi falist í ofsóknarkenndum og áreitnum ummælum hans um hin viðkvæmustu málefni stefnanda. Ekki skipti máli þó að í smáskilaboðunum hafi verið hvers kyns rangar ásakanir í garð stefnanda. Í skilaboðum hafi einnig verið fjallað um aðra persónulega þætti í lífi stefnanda, svo sem um börn hennar, samskipi við annað fólk, fjármál hennar o.s.frv. Allt séu þetta atriði sem njóti verndar samkvæmt friðhelgisákvæði stjórnarskrárinnar og refsilögum og varði það fangelsi allt að einu ári að skýra opinberlega frá einkamálefnum annars manns. Einnig hafi falist í smáskilaboðunum ærumeiðingar í garð stefnanda, svo sem um ósannindi, geðveiki, fjöllyndi og fleira.

Í lögum sé ekki að finna leiðbeiningar eða viðmið um hvernig ákvarða skuli fjárhæð miskabóta. Ekki verði heldur lesin gagnleg viðmið úr dómum. Samkvæmt undirbúningsgögnum 26. gr. skaðabótalaga skuli leggja áherslu á „að fjárhæðir bóta samkvæmt greininni eiga að ákvarðast samkvæmt því sem sanngjarnt þykir hverju sinni“. Síðan séu nefnd dæmi um „umfang tjóns, sök tjónvalds og fjárhagsstöðu hans“. Í dómum hafi verið nefnd ýmis atvik sem orki á fjárhæð miskabóta svo sem að brot skaði sjálfsmynd þess sem fyrir verður, brot valdi honum andlegum erfiðleikum, sá sem ábyrgð beri gangi fram af stórfelldu gáleysi, framkoma sé niðrandi, særandi og lítillækkandi og fallin til að varpa rýrð á þann sem fyrir verður, álitshnekkir, hagsmunir af vernd einkalífs og æru, tjónvaldur hafi jafnframt brotið gegn öðrum réttarreglum en 26. gr., eftirfarandi háttsemi tjónvalds, ásakanir yrðu almennt kunnar, útbreiðsla ummæla, ummæli ítrekað birt í dagblaði.

Samkvæmt fréttatilkynningu stefnda 2. desember 2013 hafi 79.000 SMS-skeyti lekið út aðfaranótt 30. nóvember 2013. Boðin hafi komið frá 5.100 aðilum og þar af hafi 2.500 viðskiptamenn aðeins sent ein skilaboð. Um 75% eða 60.000 hafi verið almennar þjónustutilkynningar. Samkvæmt þessum tölum hafi skilaboðin sem eftir séu verið 19.000 talsins og stafað frá 2.500 aðilum. Þar sem smáskilaboðin sem bárust stefnanda hafi verið 2.566 af þessum 19.000 hafi 16.434 boð borist til 2.499 móttakenda og hver þeirra því fengið að meðaltali 6,5 skilaboð. Þannig hafi smáskilaboð tengd stefnanda verið næstum fjögur hundruð sinnum fleiri en að meðaltali hjá öðrum viðskiptamönnum stefnda. Dómurinn verði að taka fullt tillit til þess við ákvörðun bótafjárhæðar hversu illa lekinn hafi bitnaði á stefnanda í samanburði við aðra. Það sem stefnandi hafi orðið að þola sé fordæmalaust og eigi sér enga hliðstæðu, hvorki hér á landi né annars staðar. Því njóti ekki við neinna fordæma í dómaiðkun sem höfð verði til samanburðar. Dómurinn verði því að taka afstöðu til bótafjárhæðar á sjálfstæðan hátt og eingöngu með hliðsjón af atvikum og afleiðingum án þess að geta stuðst við dómafordæmi að því er fjárhæð varðar.

Einkalíf stefnanda, fjölskyldulíf og æra hennar hafi verið andlag stórfelldra brota af hálfu stefnda. Stefnandi hafi verið niðurlægð og virðing hennar beðið hnekki, sem muni viðhaldast vegna eðlis internetsins þar sem allt varðveitist. Brotið hafi valdið stefnanda andlegum erfiðleikum. Sök stefnda sé stórfelld og hegðun hans eftir að lekinn komst í hámæli stórlega ámælisverð. Stefndi hafi í byrjun tekið á sig ábyrgð á mistökum sínum opinberlega og beðið viðskiptavini sína afsökunar en hafi síðan dregið í land. Í samningaviðræðum við stefnanda hafi stefndi sagst vera reiðubúinn að ræða bótafjárhæðir jafnskjótt og afstaða eftirlitsstofnana lægi fyrir, þ.e. Persónuverndar og Póst- og fjarskiptastofnunar. Afstaða beggja þessara stofnana hafi verið sú að stefndi hafi verið talinn brotlegur við þau lagaákvæði sem stefnandi kærði stefnda út af. Stefndi hafi skotið ákvörðun Póst- og fjarskiptastofnunar til æðra stjórnvalds, sem hafi staðfest ákvörðunina. Þá hafi stefndi tilkynnt lögmanni stefnanda að ekki yrði rætt um bótaskyldu og bótafjárhæðir. Með því hafi stefndi átt við að stefnandi yrði að sækja bætur fyrir dómstólum. Framkoma þessi sé til þess fallin að auka enn við niðrandi, særandi og lítillækkandi áhrif brots stefnda í garð stefnanda. Sök stefnda sé stórfelld eins og úrskurðir eftirlitsaðila segi til um.

Það einkenni þetta mál umfram önnur hversu stórfellt brotið sé. Í fyrsta lagi sé fjöldi tilvikanna, þ.e. fjöldi smáskilaboðanna, sem hvert um sig fjalli um einkamál og æru stefnanda, meiri en þekkist í öðrum dómsmálum um miskabætur. Þessu til viðbótar hafi öll hin viðkvæmu gögn farið á internetið, verið aðgengileg öllum almenningi og fyrir liggi gögn um þann fjölda manna, sem hafi séð gögnin á fyrstu klukkustundunum eftir að þau komu á netið. Gögnunum hafi verið hlaðið niður vítt og breitt. Þar með varðveitist þau um alla framtíð. Auðvelt sé því að birta þau og senda hvert sem vera skal og hvenær sem er. Þá sé fjárhagsstaða stefnda afar góð. Allt þetta og annað sem rakið hafi verið auki tjón stefnanda, sem rakið verði til háttsemi stefnda. Engin fordæmi séu fyrir slíku tjóni í íslenskri dómiðkun. Þess vegna sé ekki unnt að styðjast við kunn dómafordæmi við mat á hæfilegum miskabótum. Meta verði málið í heild sinni, allar aðstæður stefnanda og áhrif brotsins á líf hans, vávæni háttseminnar, fyrirsjáanleika og sök stefnda og afleiðingarnar fyrir stefnanda.

Með hliðsjón af öllu framgreindu sé gerð krafa um 80.000.000 króna í miskabætur úr hendi stefnda auk vaxta. Miskabætur að þeirri fjárhæð séu hæfilegar og sanngjarnar að virtum atvikum og aðstæðum öllum. Upphafstími dráttarvaxta miðist við 26. mars 2014, en þá hafi verið liðnir 30 dagar frá því að stefnandi sannanlega lagði fram þær upplýsingar sem þörf var á til að meta tjónsatvik og fjárhæð bóta, en það hafi gerst á fundi á skrifstofu þáverandi lögmanna stefnda.

Lagarök

Stefnandi vísar til 68. og 71. gr. stjórnarskrárinnar nr. 33/1944, almennra hegningarlaga nr. 19/1940, einkum XXV. kafla, skaðabótalaga nr. 50/1993, einkum 26. gr., laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, laga nr. 69/2003, um Póst- og fjarskiptastofnun, laga nr. 81/2003, um fjarskipti, mannréttindasáttmála Evrópu, einkum 8. gr., sbr. lög nr. 62/1994. Einnig vísar stefnandi til reglna Persónuverndar nr. 299/2001, um öryggi persónuupplýsinga, reglna Póst- og fjarskiptastofnunar nr. 345/2005, um almenna heimild til að reka fjarskiptanet eða fjarskiptaþjónustu, almennu sakarreglunnar, reglunnar um reglufest saknæmi, ákvæðis 23. gr. tilskipunar 95/46 EB, alþjóðasamnings um borgaraleg og stjórnmálaleg réttindi og til laga nr. 38/2001 um vexti og verðtryggingu. Um málskostnað er vísað til 130. gr. laga um meðferð einkamála nr. 91/1991.

Málsástæður og lagarök stefnda

Engin yfirlýsing um fébótaábyrgð

Stefndi mótmælir því að hann hafi með bindandi hætti lýst yfir „fébótaábyrgð“ á því tjóni sem stefnandi kveðst hafa orðið fyrir. Stefndi hafnar því einnig að hann hafi viðurkennt að vistun gagna hafi verið andstæð 42. gr. laga nr. 81/2003 um fjarskipti en síðar breytt um afstöðu. Stefndi hafi aðeins bent á að gögnin hafi verið vistuð lengur en þann tíma sem 42. gr. mæli fyrir um en um leið útskýrt að ákvörðun um vistunina hafi verið tekin af viðskiptavinum stefnda. Yfirlýsingar stefnda hafi ekki falið í sér vísun til annars en að við ákveðnar aðstæður – aðrar en hér – gæti fyrirkomulag vistunar skeytanna verið ófullnægjandi. Slíkt sé óheppilegt og stefndi hafi lýst þessu sem „mistökum“. Með því hafi stefndi hvorki viðurkennt brot á lögum né saknæma háttsemi; hvorki almennt né í tilviki stefnanda. Með „ábyrgð“ hafi stefndi ekki vísað til annars en að stefndi standi og falli með sínum ákvörðunum. Úrlausn um hver sé niðurstaðan ráðist af reglum skaðabótaréttar utan samninga en ekki reglum um skuldbindingargildi loforða.

Vistun gagna heimil

Stefndi hafnar því að honum hafi verið óheimilt að varðveita vefskilaboð stefnanda og að hann hafi vanrækt að eyða skilaboðunum. Stefndi vísar til þess að það sé óaðskiljanlegur hluti persónuréttar hvers manns að varðveita eigin gögn. Hvorki lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga né lög nr. 81/2003 svipti menn þessum rétti. Þá sé vistun og varðveisla skilaboðanna ekki andstæð 71. gr. stjórnarskrárinnar. Aðgangur stefnanda að „Mínum síðum“ hjá stefnda hafi ekki stofnast sjálfkrafa og þjónustan hafi verið valfrjáls. Stefnda hafi verið frjálst að veita stefnanda og öðrum notendum „Minna síðna“ þá þjónustu að vista afrit sendra skeyta og reyndar hefði stefnda verið heimilt að ljá stefnanda atbeina til varðveislu hvers kyns persónuupplýsinga, viðkvæmra eður ei. Ýmis fyrirtæki, t.d. gagnaver og hýsingaraðilar, veiti slíka þjónustu án þess að það teljist andstætt 8. og 9. gr. laga nr. 77/2000. Stefndi hafi því ekki getað ákveðið fyrir hönd viðskiptavina sinna hvaða gögnum þeirra skyldi eyða. Ákvörðun um slíkt sé í höndum viðskiptavinarins sjálfs.

Stefndi andmælir því að 42. gr. laga nr. 81/2003 eigi við í málinu. Ákvæðið eigi aðeins við um „almenna fjarskiptaþjónustu,“ „fjarskiptanet“ og „almenn fjarskiptanet“, en SMS-þjónustan á „Mínum síðum“ falli ekki þar undir. Úrskurðarnefnd fjarskipta- og póstmála sé ósammála þessari afstöðu stefnda. Stefndi hafi ekki unað úrskurði nefndarinnar og hafi höfðað mál 7. apríl 2015 til ógildingar á úrskurðinum. Stefndi mótmælir því að samkvæmt gagnályktun frá 42. gr. hafi stefnda einungis verið heimilt að vista gögn um „fjarskiptaumferð“. Samkvæmt 5. mgr. 1. gr. laga nr. 81/2003 gildi lögin ekki um efni sem sent sé á fjarskiptanetum. Þá hafi viðskiptavinir stefnda sjálfir kosið að senda, vista og geyma umrædd skeyti. Geymsla skilaboðanna hafi því ekki brotið gegn ákvæðinu. Yrði fallist á slíkt yrði raskað raunhæfum möguleikum fólks til að varðveita upplýsingar um einkalíf sitt með aðstoð nútímatækni.

Stefnandi hafi kosið að nýta „Mínar síður“ til að senda og vista að minnsta kosti 273 SMS-skeyti sem hafi verið send á tímabilinu 8. maí 2012 til 5. mars 2013. Stefnanda hljóti að hafa verið vistun skeytanna ljós. Á vefsíðunni hafi birst, í hvert skipti þegar SMS-skeyti hafi verið send, svonefnd „skeytasaga“ ásamt fjölda vistaðra skeyta og lista sem hafi sýnt öll vistuð skeyti, dagsetningu þeirra, tímasetningu, fyrsta 21 staf skeytanna, fjölda viðtakenda og kostnað við sendingu þeirra. Við reit þar sem nýtt skeyti var skrifað hafi einnig verið reitur sem hakað hafi verið í, við upplýsingar um að skeytið yrði vistað í sögunni. Þegar fyrsti stafur nýs skeytis hafi verið skrifaður hafi kviknað „senda“ hnappur við hliðina á því haki sem hafi gert hakið sérstaklega áberandi.

Stefnandi hafi fengið send SMS-skeyti frá öðrum aðilum sem hafi notfært sér SMS-þjónustuna á „Mínum síðum.“ Í öllum tilvikum hafi sendendur þeirra skeyta vistað þau í sinni ,,skeytasögu“. Þau skilaboð sem hafi varðað persónu stefnanda með viðkvæmum hætti hafi að því er virðist öll komið frá fyrrum sambýlismanni hennar, sem hafi kosið að vista skeytin á vefsvæði stefnda. Stefnandi geti ekki andmælt þeirri ákvörðun sendenda og eigi hvorki lögvarða hagsmuni um kröfugerð vegna vistunar þeirra né aðild í skilningi 16. gr. laga nr. 91/1991 um meðferð einkamála.

Stefndi hafnar því að málsaðilar séu sammála þeirri niðurstöðu Persónuverndar að varðveisla skilaboðanna hafi ekki samrýmst kröfum laga nr. 77/2000 og að stefnandi hafi ekki veitt samþykki sitt fyrir henni. Stefndi byggir á því að hann hafi í engu brotið gegn ákvæðum þeirra laga. Stefndi mótmælir því einnig að úrskurður Persónuverndar bindi hendur dómstóla nema hann verði talinn haldinn ógildingarannmörkum.

Til vara byggir stefndi á því að úrskurður Persónuverndar sé haldinn slíkum annmarka að hann geti ekki haft gildi. Stefndi hafnar því að vistun á „Mínum síðum“ hafi ekki farið fram með samþykki notenda síðnanna í skilningi laga nr. 77/2000. Persónuvernd hafi byggt ályktun sína á ófullnægjandi gögnum. Stofnunina hafi vantað viðhlítandi skjámyndir „Minna síðna“ og ekki framkvæmt skoðun á vettvangi. Niðurstaða Persónuverndar virðist ráðast af því að fyrir fram hafi verið hakað í reitinn „vista í skeytasögu“. Vel kunni að vera að heppilegra verklag hefði verið að haka hefði þurft sérstaklega í reitinn. Sú leið sem hafi verið valin kunni því, í einhverjum tilvikum, að hafa leitt til þess að sendandi hafi ekki áttað sig á að send skeyti hafi vistast. Hins vegar verði að skoða þetta fyrirkomulag í samhengi við atvik málsins. Stefnandi hafi sent yfir hið minnsta 273 skilaboð í gegnum ,,Mínar síður“ og skráð sig að minnsta kosti jafn oft þangað inn. Skeytasagan hafi blasað við stefnanda í hvert sinn. Ekki hafi getað farið fram hjá neinum sem skrifaði skeyti að það kviknaði á „senda“ hnappnum og að sá hnappur hafi verið staðsettur við hliðina á hakinu í því skyni að vekja sérstaka athygli á því. Stefnandi hafi sent sjálfri sér skeyti úr númerinu y í númerið z 31. október 2012. Vitni það um að stefnandi hafi þekkt virkni síðunnar og áttað sig á að skilaboðin væru vistuð. Með því að fjarlægja ekki hakið úr reitnum „vista í skeytasögu“ og með því að eyða skeytunum ekki eftir að þau voru send, verði að líta svo á að stefnandi hafi veitt samþykki sitt fyrir vistun. Skilyrðum 8. og 9. gr. laga nr. 77/2000, sbr. 7. tl. 2. gr., hafi því verið fullnægt.

Stefndi kveður að ákvæði IX. kafla laga nr. 81/2003 og reglur nr. 1221/2007 séu sérákvæði um persónuvernd sem gangi framar ákvæðum laga nr. 77/2000. Telji dómurinn að ákvæði laga um fjarskipti nr. 81/2003 eigi við um „Mínar síður“ falli málið utan valdsviðs Persónuverndar en innan valdsviðs Póst- og fjarskiptastofnunar, sbr. 2. mgr. 2. gr. laga nr. 81/2003. Niðurstaða Persónuverndar hafi þá enga þýðingu í málinu.

Hæfilegar og viðeigandi öryggisráðstafanir

Stefndi hafnar því að hann hafi ekki gert hæfilegar ráðstafanir til að tryggja öryggi vistaðra SMS-skeyta gagnvart innbroti tölvuþrjóta. Stefndi hafi ekki sýnt af sér sök og starfsmenn hans hafi gætt þeirra varúðarráðstafana sem krafa verði gerð um. Þegar stefnandi stofnaði til aðgangs að „Mínum síðum“ hafi hann leitt rétt sinn til símanúmersins y af samningi milli [...] og stefnda frá 2. júlí 2010. Af því leiði að bótaskylda stefnda takmarkist við þau tilvik þegar hann hafi sýnt af sér „ásetning“ eða „stórkostlega vanrækslu,“ sbr. 5. gr. samningsins. Breyti þá engu hvort SMS-þjónustan á „Mínum síðum“ teljist „fjarskiptaþjónusta“ eða ekki. Ábyrgðartakmörkun í 6. tl. þágildandi almennra viðskiptaskilmála stefnda leiði einnig til þess að stefndi beri ekki ábyrgð á meintu tjóni stefnanda, sbr. 40. gr. laga nr. 81/2003. Þá mótmælir stefndi því að hlutlæg ábyrgð, rýmkuð sakarregla, regla um reglufest saknæmi eða öfug sönnunarbyrði eigi við í málinu.

Stefndi mótmælir því að hann hafi vanrækt að uppfylla þær kröfur sem gerðar séu í 11. gr. laga nr. 77/2000. Stefndi hafi ítrekað leitað veikleika í öryggi vefsíðunnar, m.a. með aðstoð færustu sérfræðinga, en veikleikinn sem tölvuþrjóturinn nýtti hafi aldrei fundist. Ekkert í málinu bendi til þess að öryggi vefsíðu stefnda hafi verið óhæfilegt miðað við áhættu af vinnslunni og eðli skilaboðanna eða verið lakara en öryggi aðgangs að öðrum samsvarandi vefsíðum. Málatilbúnaður stefnanda sé vanreifaður að þessu leyti, þar sem hann geri hvorki grein fyrir þeim „tæknilegu og skipulagslegu öryggisráðstöfunum“ sem hann vilji miða við né „kostnaði“ við þær.

Enginn réttur til bóta

Stefndi byggir á því að bótaréttur stefnanda takmarkist við „beint tjón“, sbr. 5. gr. samningsins frá 2. júlí 2010. Stefnandi geri engar kröfur sem geti talist varða „beint tjón“. Stefndi telur að umkrafið tjón stefnanda geti ekki talist sennileg afleiðing af veikleika í vörnum vefsíðu stefnda. Innbrot tölvuþrjótsins og birting hans á umræddum gögnum hafi verið refsiverð, sbr. t.d. 228., 229. og 257. gr. almennra hegningarlaga nr. 19/1940. Útburður hinna umdeildu gagna af öðrum hafi einnig verið refsiverður, sbr. t.d. 229. gr. almennra hegningarlaga. Afleiðingar slíkra refsiverðra brota geti ekki talist sennileg afleiðing í skilningi almennu sakarreglunnar. Yrði fallist á slíkt græfi það undan réttarskipaninni, enda geti allir vænst þess og eigi beinlínis kröfu til þess að aðrir virði refsilöggjöfina.

Krafa stefnanda um miskabætur byggi sýnilega á b-lið 1. mgr. 26. gr. skaðabótalaga nr. 50/1993. Stefndi mótmælir því að háttsemi hans verði álitin ólögmæt meingerð gegn persónu stefnanda. Verði það niðurstaða dómsins að brotið hafi verið gegn ákvæðum laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga leiði af 43. gr. þeirra að stefndi sé einvörðungu ábyrgur fyrir fjárhagslegu tjóni sem af því kunni að hafa hlotist.

Stefndi mótmælir því að tjón stefnanda, sem felist í því að birting hinna viðkvæmu persónuupplýsinga hafi haft lamandi áhrif á stefnanda og hún hafi því ekki getað sótt um vinnu með virkum hætti og hafi flutt til [...], geti ekki talist fjártjón. Hafi innbrot tölvuþrjótsins valdið stefnanda sálarangist með tilheyrandi vandkvæðum við atvinnuleit eða þörf fyrir búferlaflutninga hlyti slíkt að teljast miski. Sérstök krafa um fjártjón vegna sálarangistar eigi því ekki rétt á sér. Stefnandi hafi auk þess engin gögn lagt fram til sönnunar um fjártjón sitt. Stefndi mótmælir því að skilyrði séu fyrir því að dæma bætur fyrir fjártjón að álitum og kröfugerð um slíkt sé vart dómtæk.

Stefndi mótmælir fjárhæð miskabótakröfu stefnanda sem ekki sé í neinu samhengi við dómaframkvæmd um ákvörðun miskabóta í til muna alvarlegri tilvikum. Stefndi hafnar því að hann hafi brotið gegn æru stefnanda. Stefndi vísar til þess að hin meintu ærumeiðandi skilaboð hafi verið samin og send af fyrrum sambýlismanni stefnanda. Hann, sem höfundur skilaboðanna, beri ábyrgð á þeim en ekki stefndi. Þá beri stefndi ekki ábyrgð á því að tölvuþrjótur hafi brotist inn í vefkerfi stefnda, stolið þaðan gögnum og birt þau. Bæði tölvuþrjóturinn og höfundur skilaboðanna kunni að vera ábyrgir á grundvelli 234. til 236. gr. almennra hegningalaga nr. 19/1940, en stefndi sé hins vegar ekki ábyrgur á þeim grundvelli. Þá hafi gögn, sem voru birt á internetinu í kjölfar innbrotsins, verið tekin niður fljótt í kjölfarið. Stefnandi kunni að eiga sjálfstæðan bótarétt gagnvart þeim sem hafi brotið á honum rétt og borið út gögnin til almennings með því að birta þau á vefsíðum. Hafi stefnandi orðið fyrir miska vegna slíks geti stefndi ekki verið ábyrgur fyrir því. Stefndi mótmælir sem ósannaðri frásögn stefnanda af afleiðingum innbrotsins á sálarheill hennar, almenna líðan og hagi, en viðhlítandi upplýsingar skorti um þessi atriði frá því fyrir innbrotið. Leiði sjónarmið um orsakatengsl og sennilega afleiðingu ekki til brottfalls bótaréttar leiði þau að minnsta kosti til lækkunar bótafjárhæðar.

Lagarök

Stefndi vísar einkum til laga nr. 81/2003, laga nr. 77/2000 og stjórnarskrár lýðveldisins Íslands nr. 33/1944. Einnig er vísað til laga nr. 91/1991, um meðferð einkamála. Varðandi kröfu um málskostnað er vísað til 129. og 130. gr. sömu laga.

Niðurstaða

Stefnandi krefst í máli þessu bóta vegna fjártjóns og miska sökum þess að upplýsingar sem hana varða urðu aðgengilegar á internetinu í kjölfar innbrots á vefsíðu stefnda þar sem upplýsingarnar var að finna og telur hún stefnda bera bótaábyrgð vegna þess.

Svo sem rakið er í sérstökum kafla um málsatvik hér að framan var ráðist inn á vefsvæði Vodafone, sem stefndi rekur, 30. nóvember 2013 og stolið þaðan miklu magni viðkvæmra upplýsinga. Stefnandi styður kröfu sína um bætur úr hendi stefnda m.a. því að stefndi hafi með saknæmum og ólögmætum hætti varðveitt gögn með viðkvæmum persónuupplýsingum og án þess að gera viðeigandi öryggisráðstafanir til að vernda þau gögn.

Samkvæmt skjölum málsins og framburði framkvæmdastjóra tæknisviðs stefnda fyrir dóminum hafði vefsvæðið verið virkt í mörg ár, síðustu árin undir nafni Vodafone en áður undir nafni fyrirrennara Vodafone, OG fjarskipta, Íslandssíma og jafnvel fleiri fyrirtækja. Boðið hafði verið upp á sendingu SMS-skilaboða frá vefsvæðinu í fjölmörg ár, en með tilkomu vefsvæðisins „Mínar síður“ árið 2010 gátu viðskiptavinir fengið eigin aðgang þar sem þeir gátu vistað send SMS-skilaboð á vefsvæðinu. Vefsvæðið var smíðað með PHP-forritunarmálinu og gögn geymd í MySQL-gagnagrunni sem staðsettur var á vefsvæðinu (DMZ). Vefsvæðið varð fyrir nokkrum árásum á árunum 2012 og 2013 þar sem árásaraðilinn breytti m.a. útliti vefsíðna en árásirnar ollu ekki miklum skaða að öðru leyti. Í framhaldi af þeim árásum kveðst stefndi hafa brugðist við, bætt öryggi og leitað til þess aðstoðar nafngreindra ráðgjafafyrirtækja á sviði tölvuöryggismála, en ekki hefur komið fram í málinu til hvaða öryggisráðstafana var gripið.

Stefndi ber ábyrgð á hugbúnaði sínum og á því að hugbúnaðurinn standist þær árásir sem á hann eru gerðar. Reynslan sýnir hins vegar að illmögulegt er að gera hugbúnað þannig úr garði að bíræfnir hakkarar finni ekki einhverjar öryggisholur til að brjótast í gegnum. Ekki er að fullu útskýrt hvernig tölvuþrjóturinn náði umræddum gögnum 30. nóvember 2013 en þó liggur fyrir að hann nýtti sér galla í PHP-forriti stefnda sem gerði honum kleift að yfirtaka MySQL-gagnagrunninn og ná út þeim gögnum sem þar voru geymd. Í innbrotinu komst tölvuþrjóturinn yfir þriggja ára sögu SMS-skilaboða allra viðskiptavina stefnda sem vistað höfðu smáskilaboð sín á „Mínum síðum“ stefnda, auk ódulkóðaðra lykilorða umræddra viðskiptavina. Þessi gögn voru meðal þeirra gagna sem geymd voru í MySQL-gagnagrunni vefsvæðisins. Það að í gagnagrunninum voru geymd ódulkóðuð lykilorð viðskiptavina sem höfðu stofnað aðgang að „Mínum síðum“ er eitt og sér staðfesting á því að öryggismálum á vefsvæði stefnda hafi verið ábótavant. Sú staðreynd að þessi augljósi galli var ekki lagfærður í framhaldi af fyrri árásum rýrir því trúverðugleika þeirra öryggisaðgerða sem stefndi segist hafa ráðist í í framhaldi af þeim.

Stefnda mátti vera ljóst hvílíkur fjöldi SMS-skilaboða var vistaður í gagnagrunninum og að þar gætu verið viðkvæm gögn sem skaðlegt væri ef kæmust í rangar hendur. Eðlilegt hefði verið að stefndi hefði gripið til einhverra ráðstafana til að verja umrædd gögn betur, svo sem að dulkóða SMS-skilaboðin í gagnagrunninum, færa gagnagrunninn af vefsvæðinu (DMZ) á traustari stað og nota vefþjónustur til að eiga við hann samskipti frá PHP-forritinu eða gera einhverjar þær tæknilegu ráðstafanir sem betur tryggðu gögnin gagnvart árásum. Í ljósi eðlis þeirrar árásar sem um ræðir er þó óvíst að þær öryggisráðstafanir sem hér eru nefndar hefðu dugað til.

Samhliða slíkri tæknirýni hefði stefndi átt að kanna hvort hann hefði lagaheimild til að geyma umrædd SMS-skilaboð viðskiptavina sinna. Formlegar öryggisráðstafanir og áhættumat var ekki fyrir hendi og ekki verður séð að greining eða umræða um áhættuna af geymslu SMS-skilaboðana hafi farið fram áður en hin afdrifaríka árás átti sér stað. Ósamstíg viðbrögð stjórnenda stefnda í framhaldi af árásinni benda einnig til þess. Fyrst eftir gagnalekann voru fjölmörg atriði óljós og stefndi gerði sér illa grein fyrir umfanginu, sem telst ekki óeðlilegt í ljósi aðstæðna. Hins vegar benda misvísandi ummæli forsvarsmanna stefnda opinberlega um það hvaða lög og reglur giltu varðandi vistun SMS-skilaboða til þess að stefndi hefði lítið hugað að þeim þætti eða því hversu mikil áhætta væri fólgin í að vista allt að þriggja ára SMS-skilaboðasögu viðskiptavina sinna á vefsvæðinu.

Innbrotum í tölvukerfi og gagnalekum hefur fjölgað stórkostlega síðustu ár um heim allan. Óumdeilt er að þetta er veruleg ógn og fæstir teljast óhultir í þeim efnum. Sú staðreynd hefði einmitt mátt ýta við stefnda að taka markvissari skref til að tryggja öryggi vefsvæðisins og þeirra gagna sem þar voru vistuð.

Fram kom fyrir dóminum að vefsvæði Vodafone hjá stefnda og þar með „Mínar síður“ voru í umsjón og rekstri sölu- og markaðssviðs stefnda og aðkoma tæknisviðsins var takmörkuð. Helst mátti af framburði framkvæmdastjóra tæknisviðs stefnda ráða að þetta fyrirkomulag væri til komið af sögulegum ástæðum á sama hátt og notkun PHP og MySQL við gerð vefsvæðisins. Eftir árásina hefur stefndi tekið öryggismál föstum tökum og hefur á margan hátt verið leiðandi í þeim efnum hérlendis. Fyrir utan nýjar öryggisráðstafanir byggir vefsvæðið nú á annarri tækni, tæknisvið stefnda sér um rekstur vefsvæðisins og tekin var ákvörðun um að bjóða ekki upp á SMS-sendingar frá vefsvæðinu. Óumdeilt er að stefndi hefur frá upphafi unnið ötullega að því að upplýsa um alla þætti málsins.

Stefndi ber það fyrir sig að honum verði ekki um það kennt þótt gögnin hafi komist í umferð þar sem það hafi gerst í innbroti. Stefndi kveðst hafa gert allt sem í hans valdi hafi staðið til að tryggja öryggi vefsvæðisins og heldur því fram að ekkert bendi til þess að öryggi vefsíðu hans hafi verið ófullnægjandi miðað við áhættu af vinnslunni og eðli skilaboðanna eða verið lakara en öryggi aðgangs að öðrum samsvarandi vefsíðum. Margt bendir að mati dómsins til þess að öryggismálum stefnda í tengslum við „Mínar síður“ hafi verið ábótavant. Fyrir liggur og er það óumdeilt að stefndi hafði ekki sett sér skriflega öryggisstefnu og framkvæmt áhættumat samkvæmt reglum nr. 299/2001, um öryggi persónuupplýsinga, sem settar eru á grundvelli 11. og 12. gr. laga nr. 77/2000, þrátt fyrir að stefnda hafi mátt vera ljóst að verulegt magn viðkvæmra gagna væri vistað á vefsvæðinu. Stefndi kveðst hafa fylgt eigin skjalastefnu í raun og hefur lagt fram skjal sem notað hafi verið innan fyrirtækisins, en ekki verður séð að stefndi hafi brugðist við og gert verulegar úrbætur í framhaldi af árásum sem áður voru gerðar á vefsvæðið en ollu takmörkuðum skaða. Telur dómurinn að stefndi hafi sýnt af sér verulegt gáleysi í þessum efnum. Þegar af þeirri ástæðu á fyrirvari um bótaábyrgð í samningi um fjarskiptaþjónustu og almennum viðskiptaskilmálum, sem stefndi vísar til, ekki við.

Stefndi heldur því fram að vefsvæðið „Mínar síður“ teljist ekki hluti fjarskiptakerfis og að lög um fjarskipti nr. 81/2003 gildi ekki um vefsvæðið. Póst- og fjarskiptastofnun hefur úrskurðað um að vefsvæðið teljist hluti af fjarskiptakerfi stefnda og fjarskiptalög gildi um vefsvæðið „Mínar síður“ og hefur úrskurðarnefnd fjarskipta- og póstmála staðfest þá niðurstöðu. Stefndi hefur höfðað dómsmál til að fá þeirri niðurstöðu hnekkt, en ekki liggur fyrir niðurstaða í því máli. Taka sérfróðir meðdómarar í þessu máli undir röksemdir og ákvörðun Póst- og fjarskiptastofnunar og telur dómurinn að á vefsvæðinu hafi m.a. verið varðveittar upplýsingar sem lög um fjarskipti gilda ótvírætt um. Samkvæmt lögunum er fjarskiptafyrirtækjum óheimilt að geyma fjarskiptagögn lengur en nauðsynlegt er til reikningsgerðar og uppgjörs. Umferðarupplýsingar skal þó geyma í sex mánuði í þágu rannsókna sakamála og almannaöryggis. Á vefsíðu stefnda voru, ásamt efni skilaboða viðskiptavina, jafnframt varðveitt ótímabundið gögn um þá fjarskiptaumferð, sem tengist þeim skilaboðum sem komust í dreifingu, svo sem um það hvenær skilaboð voru send og símanúmer viðtakanda, þrátt fyrir þau tímamörk sem fjarskiptafyrirtækjum eru í lögunum sett til varðveislu gagna um fjarskiptaumferð.

Á því leikur enginn vafi að það, að viðskiptavinir stefnda rita SMS-skilaboð sín frá símanúmerum sínum hjá stefnda inn á vefsíðu stefnda, stendur í órofa tengslum við viðskiptasamband þeirra við stefnda sem fjarskiptafyrirtæki sem rekið er samkvæmt opinberu leyfi. Breytir sú skilgreining stefnda sjálfs á umræddu vefsvæði, að það standi utan fjarskiptanets, engu um þá staðreynd. Ekkert er komið fram í málinu sem bendi til þess að stefndi hafi kynnt viðskiptavinum sínum að hann teldi vefsvæðið standa utan fjarskiptaþjónustu sinnar þegar hann bauð upp á umrædda þjónustu, en til þess að komast inn á „Mínar síður“ og notfæra sér þessa þjónustu stefnda þurftu viðskiptavinir notandanafn og lykilorð sem þeim var sent í netbanka. Viðskiptavinir stefnda höfðu sérstaka ástæðu til þess að ætla að lykilorð væru örugglega geymd og að ekki væri hætta á að óviðkomandi aðilar kæmust í SMS-skilaboð þeirra, enda kom fram á „Mínum síðum“ að öryggi upplýsinga þar væri tryggt og ítrustu öryggiskröfum væri fylgt. Greitt var fyrir sendingu á SMS-skilaboðum sem send voru með þessum hætti úr símanúmerum viðskiptamanna hjá stefnda og máttu þeir ætla að öryggi þeirra upplýsinga sem færu um vefsvæðið væri þar tryggt svo sem væru þær á fjarskiptaneti. Ríkar öryggiskröfur eru gerðar til fjarskiptafyrirtækja og almennt er traust viðskiptavina til fjarskiptafyrirtækja mikið.

Ein helsta röksemd stefnda fyrir sýknukröfu sinni er að viðskiptavinum hafi verið í sjálfsvald sett hvort þeir vistuðu SMS-skilaboð sín á vefsvæði stefnda, en það sé virkni sem komið hafi til vegna óska viðskiptavina. Stefndi kveðst ekki hafa getað ákveðið fyrir hönd viðskiptavina sinna hvaða gögnum þeirra skyldi eyða og sé ákvörðun um slíkt í höndum viðskiptavinarins sjálfs. Efni SMS-skilaboða er almennt aðeins vistað í endabúnaði sendanda og móttakanda og er þar með á ábyrgð þeirra hvort þeim er eytt eða þau vistuð. Ekki verður fallist á málsástæðu stefnda um að raskað væri raunhæfum möguleikum fólks til að varðveita upplýsingar um einkalíf sitt með aðstoð nútímatækni ef vistun þeirra hjá stefnda væri ekki heimil.

Lög um fjarskipti, nr. 81/2003, gilda ekki um efni sem sent er á fjarskiptanetum, sbr. 5. mgr. 1. gr. laganna, svo sem texta SMS-skilaboða, en dómurinn fellst ekki á að það hafi verið stefnda óviðkomandi hvort SMS-skilaboð viðskiptavina væru vistuð á „Mínum síðum“ stefnda eða ekki. Með þessu fyrirkomulagi og með því að bjóða upp á slíka þjónustu á vefsvæði sínu tók stefndi á sig ábyrgð á vinnslu þeirra persónuupplýsinga sem á vef hans safnast með þeim hætti, í skilningi laga um persónuvernd og meðferð persónuupplýsinga nr. 77/2000, og bar að fara með upplýsingarnar í samræmi við þá löggjöf. Í því felst m.a. að heimild til vinnslunnar þarf að eiga sér stoð í einhverju þeirra atriða sem greinir í 8. og 9. gr. laganna og vísar stefndi um vinnsluheimild sína eingöngu til 1. töluliðs beggja ákvæða, um að samþykki hins skráða hafi verið fyrir hendi.

Fyrir liggur að stefndi upplýsti ekki móttakendur SMS-skilaboða sem send voru frá „Mínum síðum“ um vörslu þeirra á „Mínum síðum“ og áttu þeir þess ekki kost að eyða þeim eða upplýsingum um símanúmer sitt sem móttakanda úr gagnagrunninum á vefsvæði stefnda. Samþykkis stefnanda var samkvæmt því ekki aflað til vistunar á vefsíðu stefnda á þeim skilaboðum sem hún fékk send, en þau voru 2287 talsins samkvæmt gögnum málsins.

Stefnandi byggir á því að hún hafi ekki heldur veitt samþykki sitt til vistunar þeirra SMS-skilaboða sem hún sendi sjálf. Hún sendi 279 skilaboð frá vefsíðunni og stefndi heldur því fram að samþykkis sendanda skilaboða til vistunar þeirra hafi verið aflað með því fyrirkomulagi á viðmóti vefsíðunnar, að notanda var veittur kostur á því að skilaboð sem hann ritaði vistuðust ekki sjálfkrafa, ef hak í þar til gerðan reit var tekið af. Þá gat sendandi einnig eytt eldri sendum skilaboðum sínum. Stefndi heldur því fram að hakið hafi verið áberandi þegar ritun skilaboða hófst þar sem þá hafi birst hnappur til að senda við hlið textans „vista í skeyta sögu“. Dómurinn gekk á vettvang við aðalmeðferð málsins sérstaklega í því skyni að kynna sér á skjá í húsakynnum stefnda, að kröfu hans, viðmót og notkun vefsíðunnar. Útprentun af skjámynd vefsíðunnar er einnig að finna meðal gagna málsins og reyndist skoðun á vettvangi ekki leiða annað í ljós sem máli skiptir en þar kemur fram.

Viðskiptavinum, sem notuðu síðuna reglulega til SMS-sendinga, t.d. til þjónustutilkynninga til viðskiptavina og skjólstæðinga eða til fjöldasendinga, mátti vera ljóst að SMS-skilaboð sem þeir sendu væru vistuð á „Mínum síðum“, enda fólst hagræðið m.a. í því að endurnýta texta og upplýsingar um skilgreinda hópa viðtakenda slíkra sendinga. Álitamál er að hvaða marki aðrir viðskiptavinir sem notuðu „Mínar síður“ til að senda SMS-skilaboð, hafi almennt gert sér grein fyrir því að þau skilaboð sem þeir sendu væru vistuð þar. Ekki verður séð að viðskiptavinum hafi verið kynnt hvernig vistun skilaboðanna færi fram og hvernig persónuvernd væri tryggð.

Unnt er að veita gilt samþykki sitt til vinnslu persónuupplýsinga í verki, svo sem með því að haka við reiti á eyðublaði, en það verður ekki veitt með þögninni einni og telst vinnsla persónuupplýsinga ekki samþykkt í verki eða ótvírætt, sbr. 1. tl. 1. mgr. 8. gr. laga nr. 77/2000 með því að láta það ógert að breyta fyrir fram gefinni stillingu eins og hér var að verki staðið. Enn ríkari kröfur eru gerðar til samþykkis þegar um er að ræða vinnslu viðkvæmra persónuupplýsinga, sbr. 1. tl. 1. mgr. 9. gr. laganna, en slíkt samþykki þarf að fullnægja skilyrðum 7. tl. 2. gr. laganna. Í því felst að gefin sé af fúsum og frjálsum vilja sérstök, ótvíræð yfirlýsing um að einstaklingur sé samþykkur vinnslu tiltekinna upplýsinga um sig og að honum sé kunnugt um tilgang hennar, hvernig hún fari fram, hvernig persónuvernd verði tryggð, um að honum sé heimilt að afturkalla samþykki sitt o.s.frv. Að mati dómsins uppfyllir umrætt fyrirkomulag til að afla samþykkis ekki þær kröfur sem gera verður til þess að samþykki sendanda hafi verið veitt í skilningi framangreindra lagaákvæða. Forsendur úrskurðar Persónuverndar í máli stefnanda, nr. 377/2014, sem dómurinn tekur undir, eru skýrar um að varðveisla umræddra skilaboða með viðkvæmum persónuupplýsingum um stefnanda, sem send voru af vefsíðu stefnda, fól í sér vinnslu þeirra án þess að viðhlítandi samþykkis væri aflað, og samrýmdist því ekki lögum nr. 77/2000.

Fyrir liggur að umtalsverðu magni gagna, sem voru í vörslu stefnda, var stolið. Þar á meðal voru viðkvæmar persónuupplýsingar sem varða stefnanda í fjöldamörgum SMS-skilaboðum sem komust í dreifingu vegna framangreindra atvika. Flest þeirra eru skilaboð sem send voru henni og hún hafði því aldrei kost á því að verjast því að þau yrðu vistuð á vefsíðu stefnda, en einnig er þar að finna skilaboð sem stefnandi sendi sjálf. Stefnandi telur að framangreind ólögmæt og saknæm háttsemi stefnda hafi valdið henni fjártjóni og miska sem sé sennileg afleiðing af háttseminni. Stefnda beri því að greiða henni bætur vegna fjártjóns og miska. Stefnandi vísar til þess að hvort tveggja einkalíf og æra stefnanda njóti verndar stjórnarskrárinnar, stefndi hafi brotið gegn einkalífi og æru hennar með háttsemi sinni, vegna þess sem fram komi í gögnunum.

Efni skilaboðanna varða að miklu leyti einkalíf stefnanda og eru þau þess eðlis að dreifing slíkra upplýsinga getur verið refsiverð að lögum, sbr. 229. gr. almennra hegningarlaga nr. 19/1940. Þótt stefndi hafi ekki sjálfur staðið að dreifingu efnis skilaboðanna á internetinu og hafi beinlínis hvatt aðra til að eyða skilaboðunum og dreifa þeim ekki, þá verður ekki fram hjá því litið að skilaboðin hefðu ekki farið í dreifingu ef ekki hefði verið fyrir ólögmæta vistun þeirra á vefsíðu stefnda og þá saknæmu háttsemi, sem hann ber ábyrgð á, að tryggja ekki öryggi upplýsinga á vefsíðunni. Hin ólögmæta og saknæma háttsemi stefnda var nauðsynleg forsenda þess að upplýsingarnar urðu aðgengilegar á internetinu fyrir tilstuðlan tölvuþrjóts, en almennt aðgengi að þessum upplýsingum felur í sér stórfellt brot gegn friðhelgi einkalífs stefnanda.

Samkvæmt framansögðu er það niðurstaða dómsins að varðveisla SMS-skilaboðanna á vefsíðu stefnda án viðhlítandi samþykkis hafi frá upphafi falið í sér brot gegn lögum um persónuvernd og meðferð persónuupplýsinga. Lög um fjarskipti veita stefnda ekki heimild til að vista slíkar upplýsingar, en þau eru rituð á vefsíðu stefnda beinlínis vegna þess að stefndi rekur fjarskiptaþjónustu. Dreifing upplýsinganna á internetið verður sem fyrr segir rakin til verulegs gáleysis stefnda, eða starfsmanna sem stefndi ber ábyrgð á, við að tryggja öryggi upplýsinganna á vefsvæði sínu.

Stefndi verður að þessu virtu að bæta stefnanda það tjón sem telja má sennilega afleiðingu af dreifingu upplýsinganna. Þar sem stefndi hefur skapað sér bótaábyrgð með verulegu gáleysi á grundvelli sakarreglu skaðabótaréttar er ábyrgð hans ekki takmörkuð við fjártjón, þó að í 43. gr. laga nr. 77/2000 sé aðeins kveðið á um bótaskyldu ábyrgðaraðila vegna fjárhagslegs tjóns, sem hlýst af því að hann eða vinnsluaðili hafi unnið með persónuupplýsingar í andstöðu við lögin.

Stefnandi krefst skaðabóta að fjárhæð tíu milljónir króna vegna fjártjóns, að álitum, en útilokað sé fyrir stefnanda að sanna með nokkurri návæmni fjárhæð tjóns hennar. Kveðst stefnandi hafa verið útilokuð frá því að afla sér tekna með vinnuframlagi frá því að upplýsingarnar birtust, hún hafi verið óvinnufær af bæði andlegum og líkamlegum ástæðum. Hún hafi haft verulegan kostnað af því að flytja milli landa með fjölskyldu sína, en með því að flytja frá landinu hafi hún gert ráðstafanir til að lágmarka tjón sitt, sem hefði ella orðið annað og meira.

Stefnandi hefur ekki leitast við að sýna með gögnum fram á að hún hafi í raun orðið fyrir fjártjóni sem beinlínis megi rekja til þess að upplýsingarnar urðu aðgengilegar. Stefnandi hefur lagt fram reikning, að fjárhæð [...], vegna öflunar sálfræðilegrar álitsgerðar til sönnunarfærslu í máli þessu, en þau útgjöld teljast hluti málskostnaðar, sbr. g-lið 1. mgr. 129. gr. laga um meðferð einkamála nr. 91/1991. Engum gögnum er í málinu til að dreifa um fjárhag stefnanda fyrir eða eftir hið bótaskylda atvik eða um það hvort fjártjón hafi í raun leitt af þeim búferlaflutningum sem stefnandi réðst í og sem hún telur afleiðingu hinnar bótaskyldu háttsemi stefnda. Gögn varðandi heilsufar stefnanda eftir atvikið leiða ekki með óyggjandi hætti í ljós að aflahæfi hennar hafi skerst vegna atviksins, enda er þar takmarkaðar upplýsingar að hafa um heilsufar stefnanda fyrir atvikið. Stefnandi kom ekki fyrir dóminn til að skýra frá aðstæðum sínum að þessu leyti eða öðru. Fjártjón hennar telst ósannað og verða bætur fyrir fjártjón ekki dæmdar að álitum.

Kröfu sína um greiðslu bóta vegna miska byggir stefnandi á b-lið 1. mgr. 26. gr. skaðabótalaga nr. 50/1993, enda beri stefndi ábyrgð á ólögmætri meingerð gegn frelsi, friði, æru og persónu stefnanda. Í athugasemdum með frumvarpi til skaðabótalaga kemur fram að eftir ákvæðinu falli skylda til greiðslu miskabóta á þann sem ábyrgð beri á ólögmætri meingerð, eftir atvikum eftir reglum um vinnuveitandaábyrgð. Í skilyrði 26. gr. um ólögmæta meingerð felist að um saknæma hegðun sé að ræða, en gáleysi myndi þó þurfa að vera verulegt til þess að tjónsatvik yrði talið ólögmæt meingerð. Svo sem að framan greinir er það skilyrði fyrir hendi í máli þessu.

Fær það sannfærandi stoð í gögnum málsins að umrædd atvik hafi valdið stefnanda verulegum óþægindum, vanlíðan og andlegum þjáningum. Opinberun upplýsinganna, þar með talið viðkvæmra persónuupplýsinga samkvæmt m.a. stafliðum c- og d- í 8. tl. 2. gr. laga nr. 77/2000, fól í sér rof á friðhelgi einkalífs stefnanda, er til þess fallin að rýra orðspor hennar og hefur að mati dómsins valdið henni verulegum miska. Hér var um að ræða ólögmæta meingerð af hendi stefnda gegn persónu stefnanda í skilningi b- liðar 1. mgr. 26. gr. skaðabótalaga og ber stefnda af þeim sökum að greiða stefnanda miskabætur.

Stefnandi krefst bóta að fjárhæð 80 milljónir króna fyrir miska. Við ákvörðun á fjárhæð miskabóta er m.a. að líta til dómaframkvæmdar, en ekki verður fallist á það með stefnanda að miskatjón hennar verði ekki borið saman við þann miska sem áður hafa verið dæmdar bætur fyrir, þar sem tjónið sé að rekja til einstakra atvika. Bætur hafa áður verið dæmdar fyrir miska, svo sem vegna ærumeiðandi ummæla eða annars konar ólögmætrar meingerðar, sem valdið hefur þeim sem misgert er við m.a. verulegum óþægindum, vanlíðan, álitshnekki og sálrænu og tilfinningalegu tjóni og haft djúpstæð áhrif á líf tjónþola. Stefnandi vísar m.a. til þess að efni skilaboðanna verði ætíð aðgengilegt, en það sama getur t.d. átt við um ummæli sem birst hafa, þótt ómerkt séu með dómi. Þykir krafa stefnanda um 80 milljóna króna miskabætur með hliðsjón af þessu og dómaframkvæmd úr hófi. Miskabætur sem stefnda verður gert að greiða stefnanda þykja að öllu framangreindu virtu hæfilega ákveðnar ein og hálf milljón króna. Bótafjárhæðin ber vexti og dráttarvexti í samræmi við ákvæði laga nr. 38/2001 um vexti og verðtryggingu svo sem stefnandi krefst og nánar greinir í dómsorði.

Með vísun til 1. mgr. 130. gr. laga um meðferð einkamála nr. 91/1991 verður stefnda gert að greiða stefnanda málskostnað sem, að teknu tilliti til umfangs málsins, en einnig með hliðsjón af því að samhliða máli þessu eru rekin fjögur samkynja mál, er ákveðinn 800.000 krónur að meðtöldum virðisaukaskatti.

Dóminn kveður upp K-kvk-nf K-kvk-nf héraðsdómari sem dómsformaður ásamt sérfróðu meðdómsmönnunum B-kk-þgf J-kk-þgf og H-kk-þgf Ó-kk-þgf, rafmagnsverkfræðingum og tölvunarfræðingum.

D ó m s o r ð

Stefndi, Fjarskipti hf., greiði stefnanda, A, 1.500.000 krónur í miskabætur, ásamt vöxtum samkvæmt 1. mgr. 8. gr. laga nr. 38/2001 um vexti og verðtryggingu frá 1. desember 2013 til 26. mars 2014, en með dráttarvöxtum samkvæmt 9. gr., sbr. 1. mgr. 6. gr. sömu laga, frá þeim degi til greiðsludags.

Stefndi greiði stefnanda 800.000 krónur í málskostnað.

K-kvk-nf K-kvk-nf

B-kk-nf J-kk-nf

H-kk-nf Ó-kk-nf