E-2518/2015

Mál þetta, sem dómtekið var 6. apríl 2016, var höfðað 15. júní 2015 af hálfu A, [..., ...] á hendur Fjarskiptum hf., Skútuvogi 2, Reykjavík.

Endanlegar dómkröfur stefnanda eru þær að stefndi verði dæmdur til greiðslu skaðabóta að fjárhæð 600.000 krónur auk vaxta samkvæmt 1. mgr. 8. gr. laga nr. 38/2001, um vexti og verðtryggingu, frá 1. desember 2013 til 26. mars 2014 og með dráttarvöxtum samkvæmt 9. gr., sbr. 1. mgr. 6. gr. sömu laga frá 26. mars 2014 til greiðsludags.

Þá krefst stefnandi málskostnaðar úr hendi stefnda að skaðlausu.

Stefndi krefst sýknu af öllum kröfum stefnanda og málskostnaðar úr hendi stefnanda að skaðlausu.

Þinghöld eru lokuð og nafnleynd haldin við meðferð málsins, sbr. a-lið 1. mgr. 8. gr. laga nr. 91/1991.

Yfirlit málsatvika og ágreiningsefna

Stefndi er fjarskiptafyrirtæki sem veitir þjónustu undir nafninu Vodafone, þar á meðal símaþjónustu. Stefndi heldur einnig úti vefsíðunni vodafone.is og bauð viðskiptavinum sínum aðgang að þjónustu á vefsíðunni sem nefndist ,,Mínar síður“. Á ,,Mínum síðum“ gátu viðskiptavinir stefnda meðal annars sent SMS-skeyti í farsíma, varðveitt send skeyti og meðhöndlað þau.

Við sendingu á SMS-skeytum á ,,Mínum síðum“ var texti skeytisins ritaður í þar til gerðan reit og þar undir birtist meðal annars reiturinn ,,Vista í skeyta sögu“, sem var fyrir fram hakað við. Við hliðina á þeim reit birtist ,,senda“ hnappur um leið og fyrsti stafur nýs skeytis var skrifaður. Neðar á síðunni birtist svonefnd ,,skeytasaga“, ásamt fjölda skeyta, sem var listi yfir vistuð skeyti, dagsetningu þeirra, tímasetningu, fyrsta 21 staf skeytanna, fjölda viðtakenda og kostnað við sendingu þeirra. Óumdeilt er að SMS-skeyti, sem send voru í gegnum ,,Mínar síður“, voru vistuð ótímabundið nema sendandi tæki út hakið við reitinn ,,Vista í skeyta sögu“ þegar hann sendi skeyti.

Aðfaranótt 30. nóvember 2013 braust óþekktur ,,tölvuþrjótur“ inn á vefsíðu stefnda með því að notfæra sér, að sögn stefnda, ,,áður óþekktan veikleika í öryggi vefsíðunnar“. Tölvuþrjóturinn afritaði vistuð SMS-skeyti sem notendur ,,Minna síðna“, þar á meðal stefnandi, höfðu sent sem og vistuð skeyti sem höfðu verið send af öðrum notendum ,,Minna síðna“, og gerði skeytin aðgengileg öllum almenningi á internetinu ásamt upplýsingum um símanúmer sendanda og móttakanda. Stefndi kveðst hafa þegar ræst út viðbragðsteymi sem hafi tekið niður vefsíðu stefnda og lokað öllum aðgangi. Þá hafi ,,færustu öryggissérfræðingar landsins“ verið kvaddir til, sem og sérfræðingar frá Vodafone Global. Netöryggissveit samkvæmt reglugerð nr. 475/2013 hafi verið tilkynnt um málið strax árla morguns. Um leið og stefnda hafi orðið ljóst að tölvuþrjóturinn hefði tekið gögn ófrjálsri hendi hafi hann sett af stað átak til að láta alla viðskiptavini sína vita sem hafi átt gögn sem tölvuþrjóturinn hafi stolið og birt.

Fyrstu daga desembermánaðar 2013 sendi stefndi tölvubréf til viðskiptavina sinna sem voru með skráð netfang á ,,Mínum síðum“ og sendi frá sér fréttatilkynningu og tilkynningu til Kauphallar. Þar kemur m.a. fram að meðal stolinna gagna hafi verið 79 þúsund SMS-skeyti, notendanöfn og lykilorð að ,,Mínum síðum“. SMS-skilaboðin hafi verið send með SMS-þjónustu á heimasíðu stefnda á tímabilinu 1. desember 2010 til 30. nóvember 2013. SMS-skeytin hafi verið send af 5.100 aðilum, þar af hafi 2.500 viðskiptavinir aðeins sent ein skilaboð. Af þessum fjölda hafi um 60 þúsund skilaboð verið almennar þjónustutilkynningar sem hafi verið sendar af félagasamtökum eða litlum þjónustuaðilum, svo sem tannlæknum og hárgreiðslustofum. Fjarskiptalög kveði ,,skýrt á um að varðveisla gagna lengur en 6 mánuði er óheimil. Ljóst er að stór hluti hinna stolnu gagna var eldri en það og ber [stefndi] fulla ábyrgð á því“. Ástæðum þessa var lýst þannig að á heimasíðunni væri viðskiptavinum boðið að vista send SMS-skilaboð en hægt væri að afþakka vistunina með því að taka út hak í reitnum ,,Vista í samskiptasögu“. Þetta fyrirkomulag á heimasíðunni væri ,,gallað og í því felast mistök“ stefnda.

Stefndi kveðst áður hafa sætt tilraunum ,,tölvuþrjóta“ til að brjótast inn á vefsíðu stefnda. Stefndi lýsir því að 7. mars 2012 hafi tölvuþrjóti tekist að skipta um útlit á vefsíðu stefnda. Í kjölfarið kveðst stefndi hafa gert sérstaka öryggisúttekt á vefsíðunni og aukið við varnir hennar. Hinn 13. mars 2012 hafi tölvuþrjótur reynt að gera slíkt hið sama en þá hafi uppfærðar varnir stefnda haldið og hafi tölvuþrjótinum því ekki tekist ætlunarverk sitt. Stefndi segist hafa tekið þátt í evrópskri netöryggisæfingu á vegum opinberra aðila. Þar hafi verið sviðsett öryggisatvik, þau meðhöndluð, viðbrögð samræmd og miðlun upplýsinga æfð. Starfsmenn stefnda hafi með því meðal annars fengið sérstaka þjálfun í að bregðast við öryggisógn. Að sögn stefnda gerðu ,,færustu sérfræðingar“ öryggisúttekt á vefsíðu stefnda í janúar 2013. Hinn 3. maí 2013 hafi tölvuþrjóti aftur tekist að valda skemmdum á vefsíðu stefnda. Tilvikið hafi varðað afmarkaðan hluta hennar og stefndi hafi álitið það síður alvarlegt en tilvikið 7. mars 2012. Stefndi kveður öryggi vefsíðunnar þá hafa verið yfirfarið og varnir hennar auknar. Reglugerð nr. 475/2013 um málefni CERT-ÍS netöryggissveitar tók gildi 1. júní 2013. Stefndi kveðst hafa átt ágætt samstarf við sveitina vegna fjarskiptastarfsemi sinnar. Stefndi hafi til dæmis tilnefnt sérstakan tengilið við netöryggissveitina til að tryggja að sveitin gæti haft samband við stefnda. Haustið 2013 segist stefndi hafa tekið þátt í fyrstu innanlandsæfingunni í netöryggi á vegum netöryggissveitar. Starfsmenn stefnda hafi þar aftur fengið sérstaka þjálfun í að bregðast við ógn við öryggi.

Stefnandi var með símanúmerið x hjá stefnda. Að sögn stefnda var greiðandi númersins [...] en númerið var flutt til stefnda 9. október 2012 og flutt frá stefnda 4. desember 2013. Stefnandi var meðal þeirra viðskiptavina stefnda sem urðu fyrir því að skeytum, sem þá vörðuðu, var stolið og gerð aðgengileg á internetinu af hinum óþekkta tölvuþrjóti. Samkvæmt gögnum málsins voru birt fimm skeyti sem stefnandi sendi sjálfur, auk sex skeyta sem aðrir notendur ,,Minna síðna“ sendu stefnanda og höfðu vistað á ,,Mínum síðum“. Þau fimm skilaboð sem stefnandi sendi voru samhljóða og eru sýnilega auglýsing fyrir [...] Þau sex skilaboð sem stefnandi tók við voru send úr þremur númerum. Ein skilaboðin eru áminning um flugeldasölu íþróttafélags, tvenn skilaboð, bæði send úr sama númeri, varða [...] en síðustu þrenn skilaboðin, sem öll voru send úr sama númeri, eru ein tilkynning og tvær áminningar um fundi, en ekki kemur fram í skilaboðunum um hvaða fundi sé að ræða.

Stefnandi beindi kvörtun til Póst- og fjarskiptastofnunar vegna umrædds leka eftir innbrotið 30. nóvember 2013. Póst- og fjarskiptastofnun framsendi kvörtunina til Persónuverndar, þannig að fyrrnefnda stofnunin tók til umfjöllunar öryggi umræddra gagna, en síðarnefnda stofnunin kannaði lögmæti varðveislu þeirra persónuupplýsinga sem gögnin hefðu að geyma. Með ákvörðun Póst- og fjarskiptastofnunar nr. 1/2014, 24. mars 2014, komst stofnunin að þeirri niðurstöðu að sendikerfið sem flytur merki af vefsvæði stefnda, vodafone.is, yfir í SMS-miðlara í farsímakerfi stefnda teldist vera fjarskiptanet í skilningi 13. tl. 3. gr. laga nr. 81/2003. Einnig að sú þjónusta sem veitt væri á vefsvæði stefnda, vodafone.is, sem fæli í sér sendingu smáskilaboða af „Mínum síðum“ yfir í farsíma, teldist vera fjarskiptaþjónusta í skilningi 15. tl. 3. gr. sömu laga og að sá hluti fjarskiptanets sem miðli merkjum af vefsvæði stefnda, vodafone.is, yfir í SMS-miðlara í farsímakerfi félagsins og veiti viðskiptavinum þess sem tengist „Mínum síðum“ með símanúmeri sínu slíkan aðgang, teldist hluti af almennu fjarskiptakerfi stefnda í skilningi 5. tl. 3. gr. laga nr. 81/2003. Stefndi kærði ákvörðunina til úrskurðarnefndar fjarskipta- og póstmála, sem staðfesti hana með úrskurði í máli nr. 3/2014, 11. október 2014. Stefndi hefur höfðað mál á hendur Póst- og fjarskiptastofnun og krefst þess að umræddur úrskurður úrskurðarnefndarinnar verði ógiltur með dómi. Niðurstaða í því máli liggur enn ekki fyrir. Persónuvernd kvað upp úrskurð í máli nr. 376/2014, 13. maí 2014, og komst að þeirri niðurstöðu að varðveisla stefnda á SMS-skilaboðum með viðkvæmum persónuupplýsingum um stefnanda, sem hafi verið send af vefsíðu stefnda, hefði verið óheimil og samræmdist ekki lögum nr. 77/2000.

Stefnandi kom fyrir dóm og gaf aðilaskýrslu við aðalmeðferð málsins. Þá gáfu einnig skýrslur B, framkvæmdastjóri tæknisviðs stefnda og C, fyrrverandi forstjóri stefnda. Verður vitnað til framburðar þeirra eftir því sem þurfa þykir.

Málsástæður og lagarök stefnanda

Niðurstöður eftirlitsaðila

Stefnandi byggir á því að Póst- og fjarskiptastofnun og Persónuvernd hafi tekið til meðferðar erindi stefnanda vegna atvika þeirra sem séu tilefni þessa máls og hafi stefndi átt þess kost að koma andmælum sínum að fyrir báðum eftirlitsaðilunum. Samkvæmt niðurstöðum Póst- og fjarskiptastofnunar hafi SMS-skilaboð með persónugreinanlegum og viðkvæmum persónuupplýsingum um stefnanda, sem hafi borist á internetið frá stefnda, verið hluti af fjarskiptaþjónustu stefnda og farið fram á almennu fjarskiptaneti hans. Þessa niðurstöðu hafi úrskurðarnefnd fjarskipta- og póstmála staðfest. Þá sé niðurstaða Persónuverndar sú að stefnandi hafi ekki samþykkt vinnslu stefnda á persónuupplýsingunum.

Starfsmenn Póst- og fjarskiptastofnunar, úrskurðarnefnd fjarskipta- og póstmála og Persónuvernd búi yfir sérþekkingu á þeim viðfangsefnum sem heyri undir stofnanir þeirra. Um verkefni Póst- og fjarskiptastofnunar sé fjallað í 3. gr. laga nr. 69/2003, um Póst- og fjarskiptastofnun. Í 1. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, sé markmið þeirra laga skilgreint. Vægi umsagna og úrskurða þessara eftirlitsaðila sé með þeim hætti að dómstólar geti ekki sniðgengið þau, nema því aðeins að stefndi sýni fram á að þeir séu haldnir þess háttar annmörkum að varði ógildingu. Þar sem slíkir annmarkar séu ekki fyrir hendi verði að leggja til grundvallar niðurstöður stofnananna, að því leyti sem þær snúi að álitaefninu um bótaskyldu stefnda. Stefnandi byggir á því að sú þjónusta sem stefnandi samdi um kaup á við stefnda hafi falið í sér fjarskiptaþjónustu á fjarskiptanetum stefnda.

Bótaskylda stefnda

Stefnandi vísar til 1., 2. og 3. mgr. 42. gr. laga nr. 81/2003 um fjarskipti. Þau persónulegu gögn um stefnanda sem hafi flust frá stefnda á internetið hafi ekki verið gögn um fjarskiptaumferð farsíma stefnanda, þ.e. hver hafi haft samband í hvaða númer og úr hvaða númeri, lengd samskiptanna o.s.frv., heldur hafi verið um texta samskiptanna að ræða og sé þá bæði átt við smáskilaboð, sem séu yngri en sex mánaða og þau sem séu eldri en sex mánaða. Stefnda hafi verið óheimilt að varðveita texta smáskilaboðanna án tillits til þess hvort þau væru eldri eða yngri en sex mánaða. Undantekningarákvæði laganna hafi ekki átt við í tilviki stefnanda.

Stefndi hafi af ásetningi eða stórfelldu gáleysi brotið á réttindum stefnanda með því að geyma viðkvæm persónuleg gögn um hann þrátt fyrir bann fjarskiptalaga við slíkri varðveislu. Stefnda hafi verið óheimilt að geyma gögn um annað en fjarskiptaumferð, sem hafi tengst smáskilaboðum, sem hafi borist og verið send frá farsíma stefnanda. Fjarskiptalög heimili einungis geymslu gagna um umferð í allt að sex mánuði. Sú aðgerð stefnda að varðveita texta smáskilaboðanna hafi leitt til þess að við innbrot í fjarskiptakerfi stefnda hafi sá, sem hafi borið ábyrgð á innbrotinu, komist yfir hin viðkvæmu persónugögn um stefnanda og hafi getað gert þau öllum aðgengileg á internetinu. Hefði stefndi farið að fjarskiptalögum um eyðingu gagnanna, sem tengdust stefnanda, hefði innbrotið engu skipt fyrir stefnanda, þar sem engin viðkvæm gögn um stefnanda hefði þá verið að finna í fjarskiptakerfum stefnda. Háttsemi stefnda sé því tvímælalaust ólögmæt.

Stefnda hafi verið ljóst á þeim tíma, sem innbrotið var framið í fjarskiptakerfi hans, að hann varðveitti af ásetningi mikið magn viðkvæmra persónuupplýsinga, þar á meðal viðkvæm gögn tengd stefnanda. Honum hafi verið í lófa lagið að gera ráðstafanir til að eyða gögnunum eins og lög mæli fyrr um, að undanskildum gögnum um umferð síðustu sex mánuðina. Þetta hafi stefndi vanrækt og því sé saknæmisskilyrði sakarreglunnar uppfyllt. Skipti þá ekki máli hvort talið verði að háttsemin teljist ásetningsbrot eða brot framið af stórkostlegu gáleysi.

Orsakasambandið milli háttsemi stefnda og tjóns stefnanda sé beint og fyrirsjáanlegt. Stefnda hafi verið ljóst eða hlotið að vera ljóst að reglurnar, sem bönnuðu varðveislu umræddra gagna, hefðu þann tilgang að tryggja vernd persónuupplýsinga og þar með að vernda friðhelgi einkalífs notenda þjónustunnar. Stefnandi hafi mátt treysta því að stefndi færi með viðkvæm persónuleg gögn um hann af hinni mestu varúð.

Stefnandi byggir bótaskyldu stefnda meðal annars á sakarreglunni og séu öll skilyrði hennar uppfyllt. Við beitingu hennar í máli þessu beri m.a. að hafa í huga, að stefndi hafi vanrækt skyldu sína til athafna, þ.e. að eyða hinum viðkvæmu gögnum, og skyldu sína til nákvæmra vinnubragða, sem rakin verði til hins opinbera starfsleyfis stefnda. Jafnframt sé byggt á húsbóndaábyrgð stefnda, en hann beri ábyrgð á hverri þeirri bótaskyldu háttsemi sem starfsmenn hans, ráðgjafar og verktakar séu ábyrgir fyrir, hvort sem er með aðgerðum eða athafnaleysi. Stefnandi telur að beita skuli hinni almennu sakarreglu með strangari hætti en almennt sé þar sem stefnda hafi verið úthlutað starfsleyfum með aðgangi að takmarkaðri auðlind og beri jafnframt ríka sérfræðiábyrgð gagnvart viðskiptamönnum sínum. Enn fremur byggir stefnandi á reglunni um reglufest saknæmi, þ.e. að brot stefnda á framangreindum lagareglum um vörslur viðkvæmra persónuupplýsinga leiði eitt og sér til þess að skilyrði bótaskyldu stefnda séu uppfyllt.

Stefndi hafi vanrækt að uppfylla þá lögbundnu varúðarskyldu sína að gera viðeigandi tæknilegar og skipulagslegar öryggisráðstafanir til að vernda persónuupplýsingar gegn óleyfilegum aðgangi, sbr. 11. gr. laga nr. 77/2000, en stefnda hafi verið skylt að gera ráðstafanir, sem tryggi nægilegt öryggi miðað við áhættu af vinnslunni og eðli þeirra gagna sem verja á, með hliðsjón af nýjustu tækni og kostnaði við framkvæmd þeirra. Stefndi beri ábyrgð á því að áhættumat og öryggisráðstafanir við vinnslu hinna umræddu persónuupplýsinga séu í samræmi við lög og reglur um hvernig tryggja skuli öryggi upplýsinga. Þessi vanræksla leiði til bótaskyldu stefnda gagnvart stefnanda vegna hins óleyfilega aðgangs og eftirfarandi dreifingar á internetinu.

Stefnandi vísar til þess að hvort tveggja einkalíf og æra stefnanda njóti verndar stjórnarskrárinnar. Stefndi hafi brotið gegn einkalífi stefnanda með þeirri háttsemi sinni að gera utanaðkomandi kleift að komast yfir einkagögn hans sem bárust stefnanda, eða stefnandi sendi, með smáskilaboðum þeim sem ekki hafi mátt vera aðgengileg og birta þau á netinu. Með þessari háttsemi hafi stefndi skert stjórnarskrárvarin réttindi stefnanda og af því leiði skaðabótaskyldu stefnda á tjóni stefnanda á hlutlægum grunni.

Bótaskylda stefnda varðandi miska sé byggð á 26. gr. skaðabótalaga nr. 50/1993, enda beri stefndi ábyrgð á ólögmætri meingerð gegn frelsi, friði, æru og persónu stefnanda og beri því að greiða honum miskabætur.

Með 43. gr. laga nr. 77/2000 og ákvæði 23. gr. tilskipunar 95/46/EB sé innleidd saknæmisregla (culpa) með öfugri sönnunarbyrði. Í 23. gr. enska texta tilskipunarinnar sé talað um að „any person who has suffered damage [...] is entitled to receive compensation from the controller for the damage suffered“. Í íslenskri þýðingu tilskipunarinnar segi „að hver sá sem hefur orðið fyrir tjóni [ ... ] eigi rétt á skaðabótum frá ábyrgðaraðila fyrir það tjón sem hann hefur orðið fyrir“. Þrátt fyrir skýrt orðalag tilskipunarinnar segi í 43. gr. laga nr. 77/2000, að ábyrgðaraðili skuli „... bæta hinum skráða það fjárhagslega tjón sem hann hefur orðið fyrir ...“. Ekki er ljóst af undirbúningsgögnum laganna hvers vegna tilskipunin sé innleidd í andstöðu við fyrirmæli tilskipunarinnar, sem mæli fyrir um skaðabætur, sem nái bæði til bóta fyrir fjárhagslegt og ófjárhagslegt tjón. Takmörkunin við fjárhagslegt tjón eingöngu sé byggð á misskilningi á texta tilskipunarinnar. Því sé mótmælt að hin ranga innleiðing verði lögð til grundvallar reyni yfirhöfuð á ákvæði þetta við ákvörðun um bótaskyldu stefnda vegna hins ófjárhagslega tjóns stefnanda. Ákvæði þetta skipti einkum máli að því er varðar öfuga sönnunarbyrði sem lögð sé á stefnda. Skaðabótaskylda stefnda sé byggð á réttarreglum um skaðabótaskyldu þar sem bótaskyldan nái jafnt til fjárhagslegs sem ófjárhagslegs tjóns og því skipti ákvæði þetta ekki máli, verði niðurstaðan sú að skýra það í andstöðu við ákvæði tilskipunarinnar.

Bótafjárhæðir

Dómkrafa stefnanda sé um bætur fyrir ófjárhagslegt tjón. Stefndi hafi geymt viðkvæm gögn sem óheimilt hafi verið að geyma, þ.e. ekki aðeins gögn um umferð. Án þessarar óheimilu gagnavörslu hefði skaðinn ekki orðið. Hið ólögmæta ástand, þ.e. geymsla gagnanna, hafi ekki aðeins varað um skamma hríð heldur árum saman. Þetta langvarandi ólögmæta ástand auki mjög á saknæmi háttsemi stefnda. Vegna þess að stefndi viðhélt hinu ólögmæta ástandi hafi tjón stefnanda orðið enn stórfelldara en ella. Afleiðingarnar af háttsemi stefnda hafi verið honum fyrirsjáanlegar og röklegt samhengi sé milli háttsemi stefnda og tjóns stefnanda.

Stefndi hafi vakið sérstakt traust hjá stefnanda og öðrum viðskiptavinum sínum með yfirlýsingum á heimasíðu sinni um að öryggi á „Mínum síðum“ væri tryggt. Segi þar m.a. að fylgt sé „ítrustu öryggiskröfum“ til að tryggja að óviðkomandi „geti ekki fengið aðgang að Mínum síðum“. Varnir fyrir ,,Mínar síður“ hafi ekki verið í samræmi við þessa yfirlýsingu og veikari en varnir stefnda fyrir aðrar þjónustur. Það geri yfirlýsinguna enn ámælisverðari en ella og auki á saknæmisstigið.

Ellefu skilaboð frá og til stefnanda hafi lekið á internetið af vefsíðu stefnda. Sjö skilaboðanna hafi verið send fyrir 1. maí 2013 og af þeim sökum hafi upplýsingar um umferð þeirra ekki átt að vera til, hvað þá efni skilaboðanna, þar sem þau voru eldri en sex mánaða 30. nóvember 2013. Skilaboðin hafi annars vegar lotið að fyrirtækjarekstri tengdum stefnanda og hins vegar að aðkomu hans, m.a. sem stjórnarmanns, að [...].

Fjölmargir hafi hlaðið gögnunum niður á eigin tölvur. Gögnin séu jafnframt ennþá aðgengileg á skráardeilingarsíðunni deildu.net, þar sem þeim hafi verið hlaðið niður a.m.k. 20 þúsund sinnum. Auðvelt hafi verið og sé að tengja einstök smáskilaboð við sendanda og móttakanda þar sem með boðunum hafi birst símanúmer sendanda og móttakanda þeirra.

Sá sem njóti verndar 26. gr. skaðabótalaga sé sá sem misgert sé við. Misgert hafi verið við stefnanda með fyrrgreindri háttsemi stefnda. Stefndi hafi sýnt af sér stórfellt gáleysi og séu huglæg skilyrði því uppfyllt. Stefndi beri ábyrgð á því að hin viðkvæmu gögn um stefnanda hafi verið gerð aðgengileg á internetinu. Öll skilyrði 26. gr. skaðabótalaga séu því uppfyllt.

Í 8. tl. 2. gr. laga nr. 77/2000 sé hugtakið viðkvæmar persónuupplýsingar skilgreint m.a. þannig að undir það falli upplýsingar um lífsskoðanir, lyfja-, áfengis- og vímuefnanotkun. Persónuupplýsingar séu skilgreindar sem persónugreinanlegar upplýsingar, sbr. 1. tl. 2. gr. laganna. Þær upplýsingar sem hafi birst á internetinu í smáskilaboðum til og frá stefnanda heyri undir viðkvæmar persónuupplýsingar og falli þær undir einkamálefni, sbr. t.d. 229. gr. almennra hegningalaga nr. 19/1940. Þar að auki hafi verið um að ræða upplýsingar sem stefnandi fór með sem stjórnarmaður í samtökum þar sem ein af forsendum þeirra sé nafnleysi aðila. Að auki hafi lekið frá stefnda upplýsingar um viðskiptamenn stefnanda sem hann hafi haft yfir að ráða vegna fyrirtækjareksturs síns. Málefni þau sem hafi verið lekið af vefsíðu stefnda og hefðu réttilega ekki átt að vera til, njóti verndar samkvæmt friðhelgisákvæði stjórnarskrárinnar og refsilögum og varði það fangelsi allt að einu ári að skýra opinberlega frá einkamálefnum annars manns.

Í lögum sé ekki að finna leiðbeiningar eða viðmið um hvernig ákvarða skuli fjárhæð miskabóta. Ekki verði heldur lesin gagnleg viðmið úr dómum. Samkvæmt undirbúningsgögnum 26. gr. skaðabótalaga skuli leggja áherslu á „að fjárhæðir bóta samkvæmt greininni eiga að ákvarðast samkvæmt því sem sanngjarnt þykir hverju sinni“. Síðan séu nefnd dæmi um „umfang tjóns, sök tjónvalds og fjárhagsstöðu hans“. Í dómum hafi verið nefnd ýmis atvik sem orki á fjárhæð miskabóta svo sem að brot skaði sjálfsmynd þess sem fyrir verður, brot valdi honum andlegum erfiðleikum, sá sem ábyrgð beri gangi fram af stórfelldu gáleysi, framkoma sé niðrandi, særandi og lítillækkandi og fallin til að varpa rýrð á þann sem fyrir verður, álitshnekkir, hagsmunir af vernd einkalífs og æru, tjónvaldur hafi jafnframt brotið gegn öðrum réttarreglum en 26. gr., eftirfarandi háttsemi tjónvalds, ásakanir yrðu almennt kunnar, útbreiðsla ummæla, ummæli ítrekað birt í dagblaði.

Framangreind sjónarmið eigi við í máli þessu. Einkalíf stefnanda, m.a. störf hans fyrir samtök sem ganga út á nafnleysi, hafi verið andlag stórfelldra brota af hálfu stefnda. Einkalíf stefnanda hafi verið opinberað og sú opinberun muni viðhaldast vegna eðlis internetsins þar sem allt varðveitist. Brotið hafi valdið stefnanda andlegum erfiðleikum. Sök stefnda sé stórfelld og hegðun hans eftir að lekinn komst í hámæli stórlega ámælisverð. Stefndi hafi í byrjun tekið á sig ábyrgð á mistökum sínum opinberlega og beðið viðskiptavini sína afsökunar en hafi síðan dregið í land. Í samningaviðræðum við stefnanda hafi stefnandi sagst vera reiðubúinn að ræða bótafjárhæðir jafnskjótt og afstaða eftirlitsstofnana lægi fyrir, þ.e. Persónuverndar og Póst- og fjarskiptastofnunar. Afstaða beggja þessara stofnana hafi verið sú að stefndi hafi verið talinn brotlegur við þau lagaákvæði sem stefnandi kærði stefnda út af. Stefndi hafi skotið ákvörðun Póst- og fjarskiptastofnunar til æðra stjórnvalds, sem hafi staðfest ákvörðunina. Þá hafi stefndi tilkynnt lögmanni stefnanda að ekki yrði rætt um bótaskyldu og bótafjárhæðir. Með því hafi stefndi átt við að stefnandi yrði að sækja bætur fyrir dómstólum. Framkoma þessi sé til þess fallin að auka enn við niðrandi, særandi og lítillækkandi áhrif brots stefnda í garð stefnanda. Sök stefnda sé stórfelld eins og úrskurðir eftirlitsaðila segi til um.

Við mat á miskabótum byggir stefnandi á því að taka skuli tillit til þess að gögnunum hafi verið hlaðið niður vítt og breitt. Þar með varðveitist þau um alla framtíð. Auðvelt sé því að birta þau og senda hvert sem vera skal og hvenær sem er. Þá sé fjárhagsstaða stefnda afar góð. Allt þetta og annað sem rakið hafi verið auki tjón stefnanda, sem rakið verði til háttsemi stefnda. Engin fordæmi séu fyrir slíku tjóni í íslenskri dómiðkun. Þess vegna sé ekki unnt að styðjast við kunn dómafordæmi við mat á hæfilegum miskabótum. Meta verði málið í heild sinni, allar aðstæður stefnanda og áhrif brotsins á líf hans, vávæni háttseminnar, fyrirsjáanleika og sök stefnda og afleiðingarnar fyrir stefnanda.

Með hliðsjón af öllu framgreindu sé gerð krafa um 600.000 krónur í miskabætur úr hendi stefnda auk vaxta. Miskabætur að þeirri fjárhæð séu hæfilegar og sanngjarnar að virtum atvikum og aðstæðum öllum.

Upphafstími dráttarvaxta miðist við 26. mars 2014, en þá hafi verið liðnir 30 dagar frá því að stefnandi sannanlega lagði fram þær upplýsingar sem þörf var á til að meta tjónsatvik og fjárhæð bóta, en það hafi gerst á fundi á skrifstofu þáverandi lögmanna stefnda.

Lagarök

Stefnandi vísar til 68. og 71. gr. stjórnarskrárinnar nr. 33/1944, almennra hegningarlaga nr. 19/1940, einkum XXV. kafla, skaðabótalaga nr. 50/1993, einkum 26. gr., laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, laga nr. 69/2003, um Póst- og fjarskiptastofnun, laga nr. 81/2003, um fjarskipti, mannréttindasáttmála Evrópu, einkum 8. gr., sbr. lög nr. 62/1994. Einnig vísar stefnandi til reglna Persónuverndar nr. 299/2001, um öryggi persónuupplýsinga, reglna Póst- og fjarskiptastofnunar nr. 345/2005, um almenna heimild til að reka fjarskiptanet eða fjarskiptaþjónustu, almennu sakarreglunnar, reglunnar um reglufest saknæmi, ákvæði 23. gr. tilskipunar 95/46 EB, alþjóðasamnings um borgaraleg og stjórnmálaleg réttindi og til laga nr. 38/2001 um vexti og verðtryggingu. Um málskostnað er vísað til 130. gr. laga um meðferð einkamála nr. 91/1991.

Málsástæður og lagarök stefnda

Engin viðurkenning

Stefndi mótmælir því að hann hafi viðurkennt að vistun gagna hafi verið andstæð 42. gr. laga nr. 81/2003 um fjarskipti en síðar breytt um afstöðu. Stefndi hafi aðeins bent á að gögnin hafi verið vistuð lengur en þann tíma sem 42. gr. mæli fyrir um en um leið útskýrt að ákvörðun um vistunina hafi verið tekin af viðskiptavinum stefnda. Yfirlýsingar stefnda hafi ekki falið í sér vísun til annars en að við ákveðnar aðstæður – aðrar en hér – gæti fyrirkomulag vistunar skeytanna verið ófullnægjandi. Slíkt sé óheppilegt og stefndi hafi lýst þessu sem „mistökum“. Með því hafi stefndi hvorki viðurkennt brot á lögum né saknæma háttsemi; hvorki almennt né í tilviki stefnanda. Með „ábyrgð“ hafi stefndi ekki vísað til annars en að stefndi standi og falli með sínum ákvörðunum. Úrlausn um hver sé niðurstaðan ráðist af reglum skaðabótaréttar utan samninga en ekki reglum um skuldbindingargildi loforða.

Vistun gagna heimil

Stefndi hafnar því að honum hafi verið óheimilt að varðveita vefskilaboð stefnanda og að hann hafi vanrækt að eyða skilaboðunum. Stefndi vísar til þess að það sé óaðskiljanlegur hluti persónuréttar hvers manns að varðveita eigin gögn. Hvorki lög nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, né lög nr. 81/2003 svipti menn þessum rétti. Þá sé vistun og varðveisla skilaboðanna ekki andstæð 71. gr. stjórnarskrárinnar. Aðgangur stefnanda að „Mínum síðum“ hjá stefnda hafi ekki stofnast sjálfkrafa og þjónustan hafi verið valfrjáls. Stefnda hafi verið frjálst að veita stefnanda og öðrum notendum „Minna síðna“ þá þjónustu að vista afrit sendra skeyta og reyndar hefði stefnda verið heimilt að ljá stefnanda atbeina til varðveislu hvers kyns persónuupplýsinga, viðkvæmra eður ei. Ýmis fyrirtæki, t.d. gagnaver og hýsingaraðilar, veiti slíka þjónustu án þess að það teljist andstætt 8. og 9. gr. laga nr. 77/2000. Stefndi hafi því ekki getað ákveðið fyrir hönd viðskiptavina sinna hvaða gögnum þeirra skyldi eyða. Ákvörðun um slíkt sé í höndum viðskiptavinarins sjálfs.

Stefndi andmælir því að 42. gr. laga nr. 81/2003 eigi við í málinu. Ákvæðið eigi aðeins við um „almenna fjarskiptaþjónustu,“ „fjarskiptanet“ og „almenn fjarskiptanet“, en SMS-þjónustan á „Mínum síðum“ falli ekki þar undir. Úrskurðarnefnd fjarskipta- og póstmála sé ósammála þessari afstöðu stefnda. Stefndi hafi ekki unað úrskurði nefndarinnar og hafi höfðað mál 7. apríl 2015 til ógildingar á úrskurðinum. Stefndi mótmælir því að samkvæmt gagnályktun frá 42. gr. hafi stefnda einungis verið heimilt að vista gögn um „fjarskiptaumferð“. Samkvæmt 5. mgr. 1. gr. laga nr. 81/2003 gildi lögin ekki um efni sem sent sé á fjarskiptanetum. Þá hafi viðskiptavinir stefnda sjálfir kosið að senda, vista og geyma umrædd skeyti. Geymsla skilaboðanna hafi því ekki brotið gegn ákvæðinu. Yrði fallist á slíkt yrði raskað raunhæfum möguleikum fólks til að varðveita upplýsingar um einkalíf sitt með aðstoð nútímatækni.

Stefnandi hafi kosið að nýta „Mínar síður“ til að senda og vista alls fimm skeyti sem öll hafi verið send 1. nóvember 2012. Skeytin, sem öll séu samhljóða, hafi verið send viðskiptamönnum [...] og tilgangur þeirra að vekja athygli á að nýjar vörur væru komnar í sölu hjá versluninni. Stefnanda hljóti að hafa verið vistun skeytanna ljós. Á vefsíðunni hafi birst svonefnd „skeytasaga“ ásamt fjölda vistaðra skeyta og lista sem hafi sýnt öll vistuð skeyti, dagsetningu þeirra, tímasetningu, fyrsta 21 staf skeytanna, fjölda viðtakenda og kostnað við sendingu þeirra. Næst reit þar sem nýtt skeyti var skrifað hafi einnig sérstaklega verið hakað við að skeytið yrði vistað í sögunni. Þegar fyrsti stafur nýs skeytis hafi verið skrifaður hafi kviknað „senda“ hnappur við hliðina á því haki sem hafi gert hakið sérstaklega áberandi.

Stefnandi hafi fengið send sex skilaboð frá öðrum aðilum sem hafi notfært sér SMS-þjónustuna á „Mínum síðum.“ Í þeim tilvikum hafi sendendur þeirra skeyta vistað þau í sinni „skeytasögu“. Stefnandi geti ekki andmælt þeirri ákvörðun sendenda og eigi hvorki lögvarða hagsmuni um kröfugerð vegna vistunar þeirra né aðild í skilningi 16. gr. laga nr. 91/1991, um meðferð einkamála. Að auki virðist sem í öllum tilvikum hafi verið um að ræða fjölpóst. Ekki sé hægt að draga ályktanir um að skeytin innihaldi málefni sem gætu flokkast sem viðkvæm persónuleg málefni.

Stefndi hafnar því að málsaðilar séu sammála þeirri niðurstöðu Persónuverndar að varðveisla skilaboðanna hafi ekki samrýmst kröfum laga nr. 77/2000 og að stefnandi hafi ekki veitt samþykki sitt fyrir henni. Stefndi byggir á því að hann hafi í engu brotið gegn ákvæðum þeirra laga. Stefndi mótmælir því einnig að úrskurður Persónuverndar bindi hendur dómstóla nema hann verði talinn haldinn ógildingarannmörkum.

Til vara byggir stefndi á því að úrskurður Persónuverndar sé haldinn slíkum annmarka að hann geti ekki haft gildi. Úrskurðurinn sé í fyrsta lagi reistur á röngum forsendum. Í II. kafla úrskurðarins segi að viðkvæmar persónuupplýsingar í skilningi b-liðar [sic] 8. tl. 2. gr. laga nr. 77/2000 hafi verið að finna „í þeim SMS-skilaboðum sem kvartandi hafði sent af vefsíðu [stefnda] og sem birtar voru í kjölfar innbrotsins í tölvukerfi fyrirtækisins“. Stefndi byggir á því að ekki sé rétt að viðkvæmar persónuupplýsingar hafi verið að finna í skilaboðum sem stefnandi sendi af „Mínum síðum“. Eingöngu hafi verið um að ræða upplýsingar til viðskiptavina [...] um móttöku á nýjum vörum. Slíkar upplýsingar verði seint taldar viðkvæmar. Í máli stefnanda hefði því eingöngu átt að koma til skoðunar hvort skilyrðum 8. gr. laga nr. 77/2000 hafi verið fullnægt. Í því sambandi sé óumdeilt að samþykki sé veitt í verki. Í öðru lagi byggir stefndi á því að gögnin sem Persónuvernd byggði sína ályktun á hafi verið ófullnægjandi. Stofnunina hafi vantað viðhlítandi skjámyndir „Minna síðna“ og hafi ekki framkvæmt skoðun á vettvangi.

Niðurstaða Persónuverndar virðist ráðast af því að fyrir fram hafi verið hakað í reitinn „vista í skeytasögu“. Vel kunni að vera að heppilegra verklag hefði verið að haka hefði þurft sérstaklega í reitinn. Sú leið sem hafi verið valin kunni því, í einhverjum tilvikum, að hafa leitt til þess að sendandi hafi ekki áttað sig á að send skeyti hafi vistast. Hins vegar verði að skoða þetta fyrirkomulag í samhengi við atvik málsins. Ekki hafi getað farið fram hjá neinum sem skrifaði skeyti að það kviknaði á „senda“ hnappnum og að sá hnappur hafi verið staðsettur við hliðina á hakinu í því skyni að vekja sérstaka athygli á því. Enn fremur hafi skeytin birst, að hluta, á skjámyndinni eftir að þau voru send. Með því að fjarlægja ekki hakið úr reitnum „vista í skeytasögu“ og með því að eyða skeytunum ekki eftir að þau voru send, verði að líta svo á að stefnandi hafi veitt samþykki sitt fyrir vistun. Skilyrðum 8. gr. laga nr. 77/2000, sbr. 7. tl. 2. gr., hafi því verið fullnægt. Skilyrði 9. gr. laganna eigi ekki við þar sem stefnandi hafi ekki sent viðkvæmar persónuupplýsingar í gegnum „Mínar síður“. Verði álitið að 9. gr. eigi við byggir stefndi á því að fullnægt hafi verið viðeigandi kröfum um samþykki.

Stefndi kveður að ákvæði IX. kafla laga nr. 81/2003 og reglur nr. 1221/2007 séu sérákvæði um persónuvernd sem gangi framar ákvæðum laga nr. 77/2000. Telji dómurinn að ákvæði laga um fjarskipti nr. 81/2003 eigi við um „Mínar síður“ falli málið utan valdsviðs Persónuverndar en innan valdsviðs Póst- og fjarskiptastofnunar, sbr. 2. mgr. 2. gr. laga nr. 81/2003. Niðurstaða Persónuverndar hafi þá enga þýðingu í málinu.

Hæfilegar og viðeigandi öryggisráðstafanir

Stefndi hafnar því að hann hafi ekki gert hæfilegar ráðstafanir til að tryggja öryggi vistaðra SMS-skeyta gagnvart innbroti tölvuþrjóta. Stefndi hafi ekki sýnt af sér sök og starfsmenn hans hafi gætt þeirra varúðarráðstafana sem krafa verði gerð um. Ábyrgðartakmörkun í 6. tl. þágildandi almennra viðskiptaskilmála stefnda leiði einnig til þess að stefndi beri ekki ábyrgð á meintu tjóni stefnanda, sbr. 40. gr. laga nr. 81/2003. Þá mótmælir stefndi því að hlutlæg ábyrgð, rýmkuð sakarregla, regla um reglufest saknæmi eða öfug sönnunarbyrði eigi við í málinu. Stefndi mótmælir því að hann hafi vanrækt að uppfylla þær kröfur sem gerðar séu í 11. gr. laga nr. 77/2000. Stefndi hafi ítrekað leitað veikleika í öryggi vefsíðunnar, m.a. með aðstoð færustu sérfræðinga, en veikleikinn sem tölvuþrjóturinn nýtti hafi aldrei fundist. Ekkert í málinu bendi til þess að öryggi vefsíðu stefnanda hafi verið óhæfilegt miðað við áhættu af vinnslunni og eðli skilaboðanna eða verið lakara en öryggi aðgangs að öðrum samsvarandi vefsíðum. Málatilbúnaður stefnanda sé vanreifaður að þessu leyti, þar sem hann geri hvorki grein fyrir þeim „tæknilegu og skipulagslegu öryggisráðstöfunum“ sem hann vilji miða við né „kostnaði“ við þær.

Enginn réttur til bóta

Stefndi byggir á því að umkrafið tjón stefnanda geti ekki talist sennileg afleiðing af veikleika í vörnum vefsíðu stefnda. Innbrot tölvuþrjótsins og birting hans á umræddum gögnum hafi verið refsiverð, sbr. t.d. 228., 229. og 257. gr. almennra hegningarlaga nr. 19/1940. Útburður hinna umdeildu gagna af öðrum hafi einnig verið refsiverður, sbr. t.d. 229. gr. almennra hegningarlaga. Afleiðingar slíkra refsiverðra brota geti ekki talist sennileg afleiðing í skilningi almennu sakarreglunnar. Yrði fallist á slíkt græfi það undan réttarskipaninni, enda geti allir vænst þess og eigi beinlínis kröfu til þess að aðrir virði refsilöggjöfina.

Krafa stefnanda um miskabætur byggi sýnilega á b-lið 1. mgr. 26. gr. skaðabótalaga nr. 50/1993. Stefndi mótmælir því að háttsemi hans verði álitin ólögmæt meingerð gegn persónu stefnanda. Verði það niðurstaða dómsins að brotið hafi verið gegn ákvæðum laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga leiði af 43. gr. þeirra að stefndi sé einvörðungu ábyrgur fyrir fjárhagslegu tjóni sem af því kunni að hafa hlotist.

Stefndi mótmælir fjárhæð miskabótakröfu stefnanda sem ekki sé í neinu samhengi við dómaframkvæmd um ákvörðun miskabóta í til muna alvarlegri tilvikum. Stefndi byggir á því að vart sé að hægt að líta svo á að efni fimm skilaboða, sem stefnandi samdi og sendi viðskiptamönnum [...], sé verndað af ákvæðum stjórnarskrárinnar. Sömuleiðis sé ekki um að ræða viðkvæmar persónuupplýsingar í skilningi laga nr. 77/2000. Sex skilaboð hafi verið samin og send af öðrum en stefnanda. Skilaboð er vörðuðu [...] hafi verið send úr símanúmeri sem skráð sé á [...]. Sendandi skilaboðanna beri ábyrgð á þeim en ekki stefndi. Stefndi geti ekki átt rétt til bóta vegna skeyta sem aðrir hafi sent honum og verið vistuð á svæði sendenda á „Mínum síðum“. Hvað sem öðru líði hafi hin mótteknu skilaboð ekki falið í sér efni sem verndað sé af stjórnarskrá.

Stefndi beri ekki ábyrgð á því að tölvuþrjótur hafi brotist inn í vefkerfi stefnda, stolið þaðan gögnum og birt þau. Þá hafi gögn, sem voru birt á internetinu í kjölfar innbrotsins, verið tekin niður fljótt í kjölfarið. Stefnandi kunni að eiga sjálfstæðan bótarétt gagnvart þeim sem hafi borið út gögnin til almennings með því að birta þau á vefsíðum. Hafi stefnandi orðið fyrir miska vegna slíks geti stefndi ekki verið ábyrgur fyrir því. Leiði sjónarmið um orsakatengsl og sennilega afleiðingu ekki til brottfalls bótaréttar leiði þau að minnsta kosti til lækkunar bótafjárhæðar. Frásögn stefnanda af afleiðingum innbrotsins og þeim miska sem innbrotið og dreifing gagnanna hafi valdið honum sé ósönnuð.

Lagarök

Stefndi vísar einkum til laga nr. 81/2003, laga nr. 77/2000 og stjórnarskrár lýðveldisins Íslands nr. 33/1944. Einnig er vísað til laga nr. 91/1991, um meðferð einkamála. Varðandi kröfu um málskostnað er vísað til 129. og 130. gr. sömu laga.

Niðurstaða

Stefnandi krefst í máli þessu bóta vegna miska sem hann kveðst hafa orðið fyrir af völdum stefnda vegna þess að upplýsingar sem hann varði urðu aðgengilegar á internetinu í kjölfar innbrots á vefsíðu stefnda þar sem upplýsingarnar var að finna.

Svo sem rakið er í sérstökum kafla um málsatvik hér að framan var gerð árás á vefsvæði Vodafone, sem stefndi rekur, 30. nóvember 2013, þar sem tölvuþrjótur komst yfir og gerði aðgengileg á internetinu mikinn fjölda SMS-skilaboða, sem þar voru vistuð og viðskiptavinir stefnda höfðu sent á þriggja ára tímabili á „Mínum síðum“ stefnda. Meðal þeirra voru fimm SMS-skilaboð sem stefnandi sendi sjálfur, auk sex SMS-skilaboða sem stefnandi tók við og aðrir viðskiptavinir stefnda höfðu vistað á ,,Mínum síðum“. Þau fimm skilaboð sem stefnandi sendi voru öll send sama daginn, þau eru öll samhljóða þess efnis að haustvaran sé komin í hús, og eru send fyrir [...]. Þau sex skilaboð sem stefnandi tók við voru send úr þremur símanúmerum. Ein skilaboð eru áminning um flugeldasölu íþróttafélags, tvenn skilaboð, bæði send úr sama númeri, varða [...], annars vegar um að vetrarstarf sé að hefjast og hins vegar er hvatning til að sýna samstöðu og mæta á afmælis- og baráttufund í Háskólabíói. Þrenn skilaboð, sem öll voru send úr sama númeri, eru ein tilkynning og tvær áminningar um fundi, en ekkert kemur fram í skilaboðunum um fundina annað en hvenær þeir verði haldnir.

Vegna innbrotsins og vistunar skilaboðanna á vefsíðu stefnda varð símanúmer sendanda og viðtakanda skilaboðanna aðgengilegt á internetinu ásamt efni þeirra. Stefnandi byggir á því að með vistun skilaboðanna á vefsíðu sinni hafi stefndi með ólögmætum og saknæmum hætti valdið honum miska þar sem upplýsingar, um að hann hafi sent umrædd skilaboð annars vegar og að þau hafi verið ætluð honum hins vegar, séu aðgengilegar öllum á internetinu.

Í málatilbúnaði stefnanda kemur fram að hann telur stefnda bera bótaábyrgð gagnvart sér á grundvelli sakarreglu skaðabótaréttar og byggir hann kröfu um miskabætur úr hendi stefnda á b-lið 1. mgr. 26. gr. skaðabótalaga nr. 50/1993, þar sem stefndi beri ábyrgð á ólögmætri meingerð gegn frelsi, friði, æru og persónu sinni.

Stefndi mótmælir því að háttsemi hans verði talin ólögmæt meingerð gegn stefnanda. Reisir hann sýknukröfu sína meðal annars á því að ekki verði í málinu byggt á niðurstöðu Persónuverndar í máli stefnanda nr. 376/2014, sem stefnandi vísar til, til stuðnings kröfum sínum, m.a. vegna þess að hann sé reistur á röngum forsendum. Í forsendum úrskurðarins segi að viðkvæmar persónuupplýsingar í skilningi b-liðar 8. tl. 2. gr. laga nr. 77/2000 hafi verið að finna í þeim SMS-skilaboðum sem kvartandi hafi sent af vefsíðu stefnda og sem birtar voru í kjölfar innbrotsins í tölvukerfi fyrirtækisins. Stefndi byggir á því að ekki sé rétt að viðkvæmar persónuupplýsingar hafi verið að finna í skilaboðum sem stefnandi sendi af „Mínum síðum“.

Dómurinn tekur undir það með stefnda að í þeim SMS-skilaboðum sem stefnandi sendi af „Mínum síðum“ og málsókn stefnanda styðst m.a. við er ekki að finna neinar viðkvæmar persónuupplýsingar samkvæmt framangreindum staflið 8. tl. 2. gr. laga nr. 77/2000 eða öðrum stafliðum þessa töluliðar ákvæðisins, eins og haldið var fram af hálfu stefnanda í kvörtun hans til Persónuverndar.

Stefndi reisir sýknukröfu sína einnig á því að frásögn stefnanda af afleiðingum innbrotsins og þeim miska sem innbrotið og dreifing gagnanna hafi valdið honum sé ósönnuð. Stefnandi kom fyrir dóm við aðalmeðferð málsins og lýsti því þá yfir aðspurður, þegar þau 11 SMS-skilaboð sem lýst er hér að framan og mál þetta er höfðað út af voru lögð fyrir hann, að ekkert væri óþægilegt varðandi þessi skilaboð og að ekkert í þessum gögnum væri viðkvæmt.

Kvað hann þrenn móttekin skilaboð um ótilgreinda fundi vera um fundi í húsnefnd sem hann væri nefndarmaður í og tengdist [...] samtökum, „óbeint [...] samtökin“. Tvenn skilaboð, þar sem minnst er á [...], hefði hann fengið send þar sem hann ætti sæti í framkvæmdastjórn [...]. Kvaðst stefnandi hafa talið að um fleiri gögn hefði verið að ræða og sagði að sér hefði brugðið við að frétta af því að upplýsingar hefðu lekið út, þar sem óþægilegir og viðkvæmir hlutir hefðu verið til umræðu um þetta leyti. Hann vildi ekki að nöfn fólks í [...] og [...]yrðu dregin inn í opinbera umræðu, en þessar upplýsingar væru ekki viðkvæmar fyrir hann sjálfan. Stefnandi kvaðst ekki hafa gert ráð fyrir því að aðrir en sendandi og móttakandi gætu séð SMS-skilaboð, en hann hafi sjálfur notað „Mínar síður“ til þess að senda skilaboð í tengslum við fyrrgreind [...]samtök og það væri óþægilegt ef efni þeirra yrði opinbert. Stefnandi kvaðst hafa treyst sínu fjarskiptafyrirtæki og kvaðst ósáttur við heildarmyndina.

Stefnandi staðfesti jafnframt fyrir dóminum að skilaboðin fimm, sem send voru úr númerinu x fyrir [...] um að haustvaran væri komin í hús, væru einu skilaboðin á dómskjalinu sem lagt var fyrir hann þar sem hann væri sendandi. Stefnandi ítrekaði það fyrir dóminum að þessi SMS-skilaboð sem fyrir liggja í málinu, send og móttekin, hefðu engin áhrif haft á hann.

Áður en til málflutnings kom upplýsti lögmaður stefnanda dóminn um það, að í samvinnu við stefnda hefði verið gengið úr skugga um það eftir skýrslutökur, að ekki væri um fleiri skilaboð að ræða sem komist hefðu í dreifingu og vörðuðu stefnanda, en þau skilaboð sem fram hafa verið lögð í málinu og staðfesti lögmaður stefnda það.

Það er grundvallarregla í skaðabótarétti að til þess að fá dæmdar bætur þurfi sá sem bóta krefst að sýna fram á að hann hafi orðið fyrir tjóni. Í máli þessu krefst stefnandi bóta vegna miska, en ómögulegt er að henda reiður á því í hverju miski hans felist í ljósi framburðar stefnanda sjálfs fyrir dóminum um að þær upplýsingar sem komust í dreifingu væru ekki viðkvæmar fyrir hann sjálfan og að opinberun þessara upplýsinga hefði engin áhrif haft á hann. Verður að leggja staðfastan framburð hans um þetta til grundvallar, enda er ekkert komið fram sem hnekki honum eða veiki hann verulega, sbr. 1. mgr. 50. gr. laga um meðferð einkamála, nr. 91/1991.

Þau óþægindi sem stefnandi kveðst hafa orðið fyrir vegna vitneskju um að gögn hefðu lekið af vefsíðu stefnda verða ekki talin ólögmæt meingerð gagnvart honum. Þegar af þeirri ástæðu að stefnandi hefur ekki orðið fyrir tjóni af framangreindum atvikum eru skilyrði til að ákvarða honum bætur, á grundvelli b-liðar 1. mgr. 26. gr. skaðabótalaga nr. 50/1993 eða öðrum grundvelli, ekki fyrir hendi. Stefndi verður því sýknaður af kröfum stefnanda og þarf ekki að fjalla frekar um aðrar málsástæður aðila í máli þessu.

Eftir atvikum og með vísun til 3. mgr. 130. gr. laga um meðferð einkamála nr. 91/1991 þykir rétt að málskostnaður falli niður.

Dóminn kveður upp K-kvk-nf K-kvk-nf héraðsdómari sem dómsformaður ásamt sérfróðu meðdómsmönnunum B-kk-þgf J-kk-þgf og H-kk-þgf Ó-kk-þgf, rafmagnsverkfræðingum og tölvunarfræðingum.

D ó m s o r ð

Stefndi, Fjarskipti hf., er sýkn af kröfu stefnanda, A, í máli þessu.

Málskostnaður fellur niður.

K-kvk-nf K-kvk-nf

B-kk-nf J-kk-nf

H-kk-nf Ó-kk-nf