E-1774/2012

Mál þetta, sem var dómtekið 19. febrúar sl., er höfðað 11. maí 2012.

Stefnandi er Síminn hf., Ármúla 25, Reykjavík.

Stefndu eru Póst- og fjarskiptastofnun, Suðurlandsbraut 4, Reykjavík, og A, […].

Stefnandi krefst þess að ógilt verði með dómi ákvörðun Póst- og fjarskiptastofnunar nr. 5/2012, dags. 15. febrúar 2012, vegna meðferðar öryggisatviks hjá stefnanda. Þá krefst stefnandi málskostnaðar úr hendi stefnda, Póst- og fjarskiptastofnunar.

Dómkröfur beggja stefndu eru þær að þeir verði sýknaðir af öllum kröfum stefnanda. Þá krefjast þau málskostnaðar úr hendi stefnanda.

I

Með bréfi, dagsettu 22. september 2008, barst stefnanda erindi frá Þ-kvk-þgf I. J-kvk-þgf hæstaréttarlögmanni þar sem þess var farið á leit við stefnanda að rannsakað yrði hvort B, starfsmaður stefnanda, hefði fylgst með símtölum stefndu A og jafnvel hlustað á símtöl í gsm-símum hennar. Kom fram að stefnda A hefði ítrekað orðið vör við truflanir þegar hún hafi átt símtöl í farsíma og að illa heyrðist í gagnaðila. Taldi stefnda sig hafa rökstuddan grun um að starfsmaðurinn, sem er fyrrverandi sambýlismaður hennar, hafi fylgst með gsm-símnotkun hennar og jafnvel hlustað á símtöl hennar.

Erindi stefndu A var ekki svarað af stefnanda. Stefnda ítrekaði erindi sitt með bréfi 24. september 2009. Kom þar fram að hún væri sannfærð um að margoft hefði verið fylgst með símtölum hennar af starfsmanni stefnanda og að hún hefði tekið eftir truflunum sem hún tengdi hlerunum. Var óskað eftir upplýsingum um það hvort hjá stefnanda lægju upplýsingar um að fylgst hefði verið með símtölum hennar eða símnotkun að öðru leyti, umfram heimildir IX. kafla laga nr. 81/2003 um fjarskipti.

Stefnandi svaraði stefndu, A, með bréfi, dagsettu 14. október 2009. Kom þar fram að starfsmönnum stefnanda væri óheimill aðgangur að upplýsingum um fjarskiptanotkun viðskiptavina, nema lög eða stjórnvaldsfyrirmæli heimiluðu það, eða ef fyrir lægi beiðni um það frá lögreglu á grundvelli laga eða að undangengnum dómsúrskurði. Þá kom fram það mat stefnanda að til þess að rannsókn á því hvort tilgreindur starfsmaður hefði brotið gegn ákvæðum laga um fjarskipti færi fram og upplýst yrði um það gagnvart stefndu A þyrfti að koma beiðni um það frá lögreglu „með tilheyrandi lagastoð“.

Með bréfi lögmanns stefndu, A, dags. 21. júní 2010, kvartaði hún við stefnda, Póst- og fjarskiptastofnun, vegna aðgerðarleysis stefnanda í kjölfar erindis hennar frá 22. september 2008. Krafðist hún þess að stefndi, Póst- og fjarskiptastofnun, legði fyrir stefnanda að svara erindi hennar um það hvort aðgangsskrár bentu til þess að sími hennar hefði verið hleraður eða önnur atvik bentu til þess að einhver starfsmanna stefnanda hefði með óeðlilegum hætti fylgst með símnotkun hennar, á þann hátt að persónuvernd hennar hafi verið stefnt í hættu. Þá sagði að til vara væri þess krafist að stofnunin aflaði sjálf upplýsinga um möguleg brot starfsmanns stefnanda gegn persónufrelsi og einkalífsvernd hennar, í samræmi við 47. gr. laga nr. 81/2003.

Í framhaldi af kvörtun stefndu, A, sendi stefndi, Póst- og fjarskiptastofnun, stefnanda bréf, dags. 7. júlí 2010, þar sem vísað var til 1. og 4. mgr. 47. gr. fjarskiptalaga nr. 81/2003, ásamt 12. og 15. gr. reglna um vernd upplýsinga í almennum fjarskiptanetum nr. 1221/2007. Var þess óskað að stefnandi veitti upplýsingar um hvort búnaður sá sem hann notaðist við til að tryggja skráningu upplýsinga um fjarskipti uppfyllti skilyrði framangreindra reglna. Einnig var farið fram á afrit af atburðaskrá vegna uppflettinga eða hlerana á síma stefndu, A. Þá var óskað svara við því hvort viðkomandi starfsmaður hafi verið í aðstöðu til og/eða haft heimild til uppflettinga og hlerunar í störfum sínum fyrir stefnanda.

Í svarbréfi stefnanda, dags. 20. ágúst 2010, kom fram að stefnandi teldi sig ekki geta verið aðili að máli sem varði rannsókn á því hvort tiltekinn einstaklingur hafi brotið fjarskiptalög. Þá teldi hann slíka rannsókn ekki heyra undir stefnda, Póst- og fjarskiptastofnun, þar sem honum væri falið eftirlit með fjarskiptafyrirtækjum, en skorti lagaheimildir til að rannsaka hvort einstaklingar brjóti gegn fjarskiptalögum. Búnaður sá sem notaður væri til að tryggja skráningu upplýsinga um fjarskipti uppfyllti skilyrði reglna nr. 1221/2007. Jafnframt kom fram að aðgerðaskrár vegna hlerana frá umræddu tímabili væru ekki lengur til. Varðandi málefni starfsmanns stefnanda var tekið fram að stefnandi teldi sig einungis hafa heimildir til að afhenda gögn vegna uppflettinga eða hlerana á síma stefndu A til lögreglu. Þá var það tekið fram að starfsmaðurinn hefði ekki heimild til að hlera símtöl í fjarskiptanetum Símans. Hlerun sé ekki gerð án þess að eftir því sé tekið og hún sé skráð í samræmi við reglur. Starfsmaðurinn hafi hins vegar, starfs síns vegna, heimild til að skoða, eftir á, símnotkun í fjarskiptanetum félagsins. Þá kom fram það mat stefnanda að stefndi, Póst- og fjarskiptastofnun, bæri að fella niður stjórnsýslumál stofnunarinnar gagnvart sér.

Með bréfi 27. október 2012 tilkynnti stefndi, Póst- og fjarskiptastofnun, stefndu, A, að samkvæmt svörum stefnanda hefði athugun hans ekki leitt í ljós að umræddur starfsmaður hefði fylgst með símnotkun hennar. Stefndi teldi ekki ástæðu til að vefengja það mat. Hins vegar teldi hann ástæðu til að skoða viðbrögð stefnanda þegar upp kæmu ábendingar sem þessi. Stefnanda var einnig tilkynnt um þessa niðurstöðu með bréfi 4. febrúar 2011. Í bréfinu kom einnig fram að stefndi teldi afstöðu stefnanda óásættanlega og í andstöðu við lög um fjarskipti. Stefnandi bæri sjálfstæðar skyldur til að rannsaka og leiða til lykta öryggisatvik í tengslum við fjarskiptaleynd. Þá sagði að það væri mat stefnda að rökstudd ábending frá viðskiptavini um hugsanlega hlerun yrði að teljast til öryggisatviks í skilningi 15. gr., sbr. 3. gr., reglna nr. 1221/2007 og að viðbrögð og aðgerðir fyrirtækisins í framhaldinu hefðu þurft að taka mið af því, svo sem með því að gera öryggisstjóra fyrirtækisins viðvart um ábendinguna, fara yfir atburðaskrár sem tryggja eiga rekjanleika aðgerða í upplýsingakerfunum og að tilkynna viðkomandi viðskiptavini um niðurstöðurnar, sbr. 1. mgr. 47. gr. fjarskiptalaga og 1. mgr. 15. gr. reglna nr. 1221/2007. Þá var í bréfinu kallað eftir staðfestingu stefnanda á því að verklagi vegna ábendinga um möguleg öryggisatvik í tengslum við rof á fjarskiptaleynd yrði í framtíðinni hagað til samræmis við framangreint, en óskað eftir rökstuðningi stefnanda gæti hann ekki fallist á að fara eftir leiðbeiningum stofnunarinnar. Fram kom að hefði stefnandi fram að færa sjónarmið sem stefndi gæti ekki fallist á mætti vænta þess að úr slíkum ágreiningi yrði skorið með formlegri ákvörðun. Stefnanda var veittur frestur til að svara erindi stefnda til 22. febrúar 2011. Stefndi ítrekaði erindið með bréfi, dags. 10. mars 2011.

Svar stefnanda barst með bréfi, dags. 22. mars 2011. Kom þar fram að innri rannsókn hefði verið framkvæmd af starfsmannastjóra og öryggisstjóra stefnanda. Hún hafi bent til þess að viðkomandi starfsmaður væri saklaus af ásökunum stefndu, A. Því hafi stefnandi ekki séð sér fært að halda málinu áfram, án aðkomu lögreglu. Þá sagði að „hefðu einhverjar sannanir fundist fyrir því að starfsmaðurinn hefði brotið gegn starfsskyldum og lögum þá hefði málið verið rannsakað áfram og tilkynnt til viðeigandi yfirvalda og kært til lögreglu ef lagaskilyrði hefðu staðið til þess“. Því næst er greint frá því að stefnandi hafi komið sér upp skipulagi fyrir stjórnun öryggismála sem hann telji uppfylla eigin kröfur og kröfur stefnda. Rannsókn á hugsanlegum brotum starfsmanna séu alltaf rannsökuð af starfsmannastjóra og öryggisstjóra þegar það eigi við. Verklag félagsins samræmist fjarskiptalöggjöf og stjórnvaldsfyrirmælum, settum með stoð í þeim.

Þann 6. apríl 2011 óskaði stefndi, Póst- og fjarskiptastofnun, eftir upplýsingum um hvað hafi falist í rannsókn stefnanda og hvort farið hafi verið yfir atburðaskrá, loggfærslur og/eða aðrar kerfisupplýsingar við rannsóknina. Einnig var óskað upplýsinga um hvenær rannsóknin hafi farið fram. Þá var óskað eftir afriti af þeim ferlum og lýsingu á því skipulagi sem vísað var til í bréfi stefnanda frá 22. mars 2011. Fyrirspurning var ítrekuð með tölvupósti 19. apríl 2011.

Erindinu var svarað með tölvupósti stefnanda 28. apríl. Kom þar fram að allar mögulegar upplýsingar hefðu þegar verið veittar. Þegar málið hafi komið upp hjá stefnanda hafi verið það langt liðið frá atvikum þess að atburðaskrá hafi ekki lengur verið til. Þá var tekið fram að eiginleg rannsókn á því hvort viðkomandi starfsmaður hafi hlerað símtöl hafi ekki farið fram þar sem atburðaskrárnar hafi ekki lengur verið til. Þá var viðbrögðum við grunsemdum um brot starfsmanna í starfi lýst og gerð grein fyrir því að í gangi væri vinna við að endurbæta og skrásetja nauðsynlega ferla. Þá kom fram að athugun á málinu hafi ekki farið fram fyrr en eftir að ítrekunarbréf hafi borist frá lögmanni stefndu, A.

Stefndi, Póst- og fjarskiptastofnun, sendi stefnanda bréf 30. júní 2011 þar sem boðuð var ákvörðun um ætlað brot stefnanda á 47. gr. laga nr. 81/2003 um fjarskipti varðandi meðferð öryggisatviks. Í bréfinu voru færð rök fyrir þeirri afstöðu stefnda að umrætt atvik yrði að teljast öryggisatvik og því að stefnandi hefði þegar í stað átt að bregðast við kvörtuninni með nánar tilgreindum hætti. Þar sem það hafi ekki verið gert var í bréfinu boðað að stefndi myndi taka ákvörðun um að þau viðbrögð stefnanda „að taka ekki til rannsóknar ábendingu um hugsanlegt öryggisatvik fyrr en einu ári eftir að hún barst, hafi falið í sér ámælisvert athafnaleysi sem gangi gegn þeirri skyldu félagsins að grípa til ráðstafana til að tryggja að óviðkomandi aðili fái ekki aðgang að upplýsingum sem fara um fjarskiptanet þess og upplýsa viðskiptavin sinn um hvort rof fjarskiptaleyndar hafi átt sér stað, sbr. 1. mgr. 47. gr. laga um fjarskipti nr. 81/2003, sbr. og 4. gr. reglna nr. 1221/2007 um vernd upplýsinga í almennum fjarskiptanetum“. Þá var stefnanda gefinn kostur á að tjá sig um hina fyrirhuguðu ákvörðun.

Stefnandi andmælti boðaðri ákvörðun stefnda, Póst- og fjarskiptastofnunar, með bréfi, dags. 21. júlí 2011, á þeim grundvelli að ekki hefði verið brotið gegn lögum um fjarskipti eða reglum á þeim byggðum. Vísað var til þess að viðkomandi starfmaður hafi ekki getað framkvæmt hlerun, auk þess sem búnaður til þess væri ekki fyrir hendi hjá stefnanda. Þá kom fram að rannsókn málsins hefði leitt í ljós að öryggisatvik hafi ekki átt sér stað, engin gögn hafi legið fyrir um að óviðkomandi hafi komist yfir upplýsingar sem hafi verið sendar um fjarskiptanetið eða átt við slíkar upplýsingar.

Þann 23. nóvember 2011 var haldinn fundur stefnanda og stefnda, Póst- og fjarskiptastofnunar. Á fundinum kom fram að starfsmaður stefnanda hefði notað aðgang sinn til að skoða fjarskiptaupplýsingar eða tengiupplýsingar um stefndu, A. Þá kom fram að starfsmaðurinn hefði fengið áminningu vegna þessa.

Í kjölfar fundarins sendi stefndi, Póst- og fjarskiptastofnun, fyrirspurn í tölvupósti, dags. 24. nóvember 2011, og óskaði nánari upplýsinga um hvaða öryggisráðstöfun hefði leitt brotið í ljós og í hverju áminning starfsmannsins hefði verið fólgin. Í svari stefnanda, með tölvupósti dags. 30. nóvember 2011, kom meðal annars fram að brotið hefði verið staðreynt með því að yfirfara notkun starfsmannsins á aðgangsheimildum hans, enda væru upplýsingar um uppflettingar skráðar og aðgengilegar í tiltekinn tíma. Þá kom fram að tekið hefði verið fram við starfsmanninn að endurtekning á háttseminni væri brottrekstrarsök. Þá var í tölvubréfinu ítrekað að ekkert hefði komið fram sem gæfi tilefni til að ætla að ásökun um ólögmæta hlerun ætti við rök að styðjast. Þá kom fram að stefnandi teldi erindi stefnda frá 7. júlí 2010 eingöngu hafa lotið að „meintri hlerun“ og að stefnda hefði verið „bent á hver aðstaða starfsmannsins var á umræddum tíma og gat því spurst fyrir um hvort sú aðstaða hefði verið misnotuð“. Loks sagði að bankahrunið árið 2008 væri væntanlega skýring á því hvers vegna erindi stefndu A hefði upphaflega ekki verið svarað.

Með bréfi stefnda, Póst- og fjarskiptastofnunar, 5. desember 2011 til stefnanda, óskaði stefndi eftir upplýsingum um það hvaða dag rannsókn stefnanda hefði leitt í ljós að viðkomandi starfsmaður hefði skoðað upplýsingar um stefndu, A, og hvenær áminning hafi verið veitt. Þá var óskað afrits af áminningunni hafi hún verið skrifleg. Í bréfinu kom fram sú afstaða stefnda að svör stefnanda í málinu hafi reynst misvísandi og mótsagnakennd. Sagði í bréfinu að af svörum stefnanda hafi mátt skilja að umrædd kvörtun fæli í sér tilhæfulausar ávirðingar á hendur umræddum starfsmanni. Þá sagði að stofnunin gæti ekki dregið aðra ályktun af bréfaskiptum við stefnanda en að um væri að ræða tilraun til yfirhylmingar af hálfu stefnanda. Þá var ítrekuð sú afstaða stefnda, Póst- og fjarskiptastofnunar, að stefnandi hefði átt að upplýsa stefndu, A, um að fjarskiptaleynd hefði verið rofin gagnvart henni. Auk þess kom fram að stefndi teldi að stefnandi hefði átt að tilkynna málið til lögreglu. Með því að gera hvorugt hefði stefnandi svipt stefndu A tækifæri til að gæta réttar síns. Þá var stefnanda gefinn kostur á að tjá sig um fyrirhugaða ákvörðun stofnunarinnar.

Stefnandi svaraði stefnda, Póst- og fjarskiptastofnun, með bréfi, dags. 19. desember 2011. Var þar ítrekuð sú afstaða stefnanda að umrætt mál snérist einungis um brot viðkomandi starfsmanns á fjarskiptalögum, sem heyrði undir lögreglu en ekki stefnda. Fram kom að rannsókn stefnanda hefði farið fram í kjölfar ítrekunarbréfs stefndu, A, en nánari tímasetning var ekki tilgreind. Þá kom fram að áminning starfsmannsins hefði verið veitt munnlega. Jafnframt kom fram að stefnandi teldi sér ekki heimilt að veita stefnda frekari upplýsingar um málið en þegar hefði verið gert.

Þann 15. febrúar 2012 tók stefndi, Póst- og fjarskiptastofnun, ákvörðun í máli nr. 5/2012, vegna meðferðar öryggisatviks hjá stefnanda. Ákvörðunarorðið var svohljóðandi:

Það að Síminn hf. skyldi ekki taka til rannsóknar ábendingu A, um að starfsmaður fyrirtækisins hefði hugsanlega hlerað fjarskipti hennar, fyrr en um einu ári eftir að hún barst félaginu fól í sér ámælisvert athafnaleysi, sem brýtur gegn 1. mgr. 47. gr. laga um fjarskipti nr. 81/2003.

Símanum hf. bar, eftir að rannsókn innan fyrirtækisins leiddi í ljós að starfsmaður fyrirtækisins hafði með ólögmætum hætti kynnt sér upplýsingar um fjarskiptanotkun kvartanda, að upplýsa kvartanda um að fjarskiptaleynd hefði verið rofin gagnvart honum, sbr. 1. mgr. 47. gr. fjarskiptalaga, sbr. og 15. gr. reglna nr. 1221/2007 um vernd upplýsinga á almennum fjarskiptanetum.

Póst- og fjarskiptastofnun mun tilkynna um málið til lögreglu og afhenda öll viðeigandi málsgögn.

Ákvörðun þessi er kæranleg til úrskurðarnefndar fjarskipta- og póstmála sbr. 13. gr. laga nr. 69/2003, um Póst- og fjarskiptastofnun. Kæran skal berast úrskurðarnefnd innan fjögurra vikna frá því viðkomandi varð kunnugt um ákvörðun Póst- og fjarskiptastofnunar. Um kostnað vegna málskots fer samkvæmt 5. mgr. 13. gr. sömu laga, auk þess sem greiða ber sérstakt málskostsgjald að fjárhæð 150.000 kr., skv. 6. gr. reglugerðar nr. 39/2009 um úrskurðarnefnd fjarskipta- og póstmála.

Í forsendum ákvörðunarinnar segir meðal annars að stefnanda hafi í kjölfar þess sem lýst sé í 2. mgr. ákvörðunarorðsins borið að tilkynna málið til lögreglu. Með því að stefnandi hafi hvorki gert það né tilkynnt stefndu, A, um að fjarskiptaleynd hefði verið rofin gagnvart henni, hafi stefnandi svipt hana tækifæri til að gæta réttar síns og verði það að teljast ámælisvert.

Með bréfi lögmanns stefndu, A, dags. 17. mars 2012, var stefnandi krafinn um miskabætur að fjárhæð 3.000.000 króna „vegna álags og óþæginda sem málið hefur haft í för með sér fyrir hana, bæði vegna þess að starfsmaður Símans hafi óáreittur hlerað og fylgst með símanotkun hennar í starfi sínu hjá Símanum og vegna þess að málsmeðferð á kvörtun hennar vegna þess hafi verið ófullnægjandi af hálfu Símans“. Einnig var krafist greiðslu lögmannskostnaðar vegna „meðferðar kærumálsins að óskiptu“ að fjárhæð 401.600 krónur. Í bréfinu er vísað til ákvörðunar stefnda, Póst- og fjarskiptastofnunar, frá 15. febrúar 2012 og rakið nánar í hverju ætlað álag og óþægindi stefndu, A, hafi verið fólgin. Krafa stefndu, A, var ítrekuð með bréfi, dags. 4. maí 2012.

Með bréfi, dags. 8. maí 2012, hafnaði stefnandi kröfu stefndu, A. Kom þar fram að viðkomandi starfsmaður hefði ekki verið í aðstöðu til að hlusta á símtöl og væri krafan að því leyti á misskilningi byggð. Þá væri óljóst á hvaða lagagrundvelli krafan væri byggð. Án tillits til þess yrði ekki séð að þau atriði sem væru tilfærð í bréfi stefndu væru þess eðlis að leiddi til skaðabótaskyldu stefnanda, auk þess sem dregið var í efa að þau ættu að öllu leyti við rök að styðjast. Þá væri óljóst á hvaða grundvelli stefnanda væri skylt að standa straum af kostnaði vegna málsins fyrir stefnda, Póst- og fjarskiptastofnun. Var kröfum stefndu hafnað á þessum grundvelli.

Mál B hefur nú verið kært til lögreglu, en rannsókn þess er ekki lokið.

II

Stefnandi kveðst byggja kröfu sína í fyrsta lagi á því að ákvörðun stefnda, Póst- og fjarskiptastofnunar, styðjist ekki við viðhlítandi lagagrundvöll. Þau efnisatriði sem tilfærð séu í ákvörðunarorðum hafi ekki stoð í lögum nr. 81/2003 um fjarskipti eða öðrum lögum og gangi auk þess í berhögg við lög. Sé það verulegur efnisannmarki á ákvörðuninni og beri því að fella hana úr gildi. Samkvæmt lögmætisreglu íslensks réttar verði ákvarðanir stjórnvalda að styðjast við heimild í settum lögum eða eftir atvikum stjórnvaldsfyrirmælum sem sett séu með stoð í þeim. Gildi það sérstaklega um íþyngjandi ákvörðun. Af þessu leiði að ekki komi til greina að leggja íþyngjandi skyldur á herðar einstaklingum eða fyrirtækjum nema slíkt styðjist við skýra lagaheimild.

Ákvörðun stefnda, Póst- og fjarskiptastofnunar, byggist á 1. mgr. 47. gr. laga nr. 81/2003 um fjarskipti og 15. gr. reglna nr. 1221/2007 um vernd upplýsinga í almennum fjarskiptanetum. Samkvæmt ákvörðunarorði sé stefnandi talinn hafa brotið gegn þessum ákvæðum, annars vegar með því að hafa ekki tekið til rannsóknar ábendingu um að starfsmaður stefnanda hefði hugsanlega hlerað fjarskipti stefndu, A, fyrr en um einu ári eftir að ábendingin hafi borist félaginu og hins vegar að hafa ekki upplýst stefndu, A, um að fjarskiptaleynd hefði verið rofin gagnvart henni, eftir að rannsókn innan fyrirtækisins hafi leitt í ljós að starfsmaður fyrirtækisins hafi með ólögmætum hætti kynnt sér upplýsingar um fjarskiptanotkun hennar. Enn fremur sé talið að stefnanda hafi verið skylt að tilkynna ætluð brot til lögreglu. Stefnandi telji framangreindar ályktanir í ákvörðun stefnda, Póst- og fjarskiptastofnunar, ekki í samræmi við lög.

Stefnandi byggi á því að hann hafi ótvíræða lögvarða hagsmuni af því að fá ákvörðun stefnda, Póst- og fjarskiptastofnunar, hnekkt með dómi. Í ákvörðuninni sé kveðið á um skyldu sem stefnandi telji ekki hvíla á sér lögum samkvæmt. Ákvörðunin sé því ólögmæt. Þótt ekki sé þar mælt fyrir um sérstök viðurlög gagnvart stefnanda hafi hún engu að síður fordæmisgefandi áhrif sem úrlausn lögbærs stjórnvalds og muni því hafa veruleg áhrif á starfsemi stefnanda, standi hún óhögguð. Að auki sé þar að finna alvarlegar aðfinnslur og ávirðingar í garð stefnanda sem hann telji ekki eiga sér viðhlítandi lagastoð. Þá geti vanræksla á að fylgja ákvörðunum stefnda varðað dagsektum, réttindasviptingu o.fl., sbr. 12. gr. laga nr. 69/2003 um Póst- og fjarskiptastofnun og 74. gr. laga nr. 81/2003. Þá hafi stefnda, A, krafið stefnanda um skaðabætur með vísan til ákvörðunarinnar.

Stefnanda sé heimilt að bera ákvörðun stefnda, Póst- og fjarskiptastofnunar, undir dómstóla án undangenginnar kæru til úrskurðarnefndar fjarskipta- og póstmála, sbr. 4. mgr. 13. gr. laga nr. 69/2003. Stefnda, Póst- og fjarskiptastofnun, sé stefnt sem því stjórnvaldi sem hafi tekið hina umþrættu ákvörðun og stefndu, A, sem málshefjanda og aðila stjórnsýslumálsins fyrir stefnda, Póst- og fjarskiptastofnun.

Samkvæmt 1. mgr. ákvörðunarorðsins hafi það falið í sér „ámælisvert athafnaleysi“ að stefnandi skyldi ekki taka til rannsóknar ábendingu stefndu, A, um að starfsmaður fyrirtækisins hefði hugsanlega hlerað fjarskipti hennar, fyrr en um einu ári eftir að hún hafi borist félaginu. Sé það sagt brjóta gegn 1. mgr. 47. gr. laga nr. 81/2003 um fjarskipti.

Svo virðist sem ákvörðun stefnda, Póst- og fjarskiptastofnunar, byggist á lokamálslið ákvæðisins sem segi að sé sérstök hætta á að leynd fjarskipta á tilteknu neti verði rofin skuli þjónustuveitandi upplýsa áskrifendur um hættuna. Til að hann geti átt við þurfi þrjú skilyrði að vera uppfyllt samkvæmt orðanna hljóðan. Í fyrsta lagi þurfi að vera yfirvofandi hætta á að leynd fjarskipta verði rofin í nánustu framtíð. Í öðru lagi þurfi hættan á slíku rofi á fjarskiptaleynd að ná til tiltekins fjarskiptanets en ekki einstakra símanúmera, en í 3. gr. fjarskiptalaga sé hugtakið „fjarskiptanet“ skilgreint sem sendikerfi og þar sem það eigi við skiptistöðvar, beinar og önnur úrræði sem geri mögulegt að miðla merkjum eftir þræði, þráðlaust, með ljósbylgjum, rafdreifikerfi, háspennulínum eða með öðrum rafsegulaðferðum, þ.m.t. net fyrir hljóð- og sjónvarp og kapalsjónvarp. Í þriðja lagi skuli tilkynna áskrifendum, þ.e. tilteknum hópi áskrifenda sem noti hið tiltekna fjarskiptanet um hina yfirvofandi hættu. Ákvæði þetta taki til dæmis til tilvika þar sem stórfelld bilun greinist í tilteknu fjarskiptaneti, sem stefni öryggi upplýsinga sem fari um viðkomandi kerfi í hættu og sé fjarskiptafyrirtæki þá skylt að gera viðkomandi áskrifendum viðvart um þessa hættu. Af framansögðu sé hins vegar ljóst að umrædd lagagrein geti með engu móti náð til tilvika þar sem starfsmaður fjarskiptafyrirtækis hafi með ólögmætum hætti aflað og hagnýtt sér gögn eða upplýsingar um fjarskipti við tiltekið símanúmer, svokölluð TT gögn, eins og hér hátti til. Þaðan af síður verði það talið leiða af ákvæðinu að stefnanda beri að hefja sérstaka rannsókn á ásökunum um slík brot í garð starfsmanna sinna, eftir atvikum að fenginni ábendingu þess efnis. Skylda til að viðhafa slíka rannsókn verði ekki lögð á stefnanda nema með skýrri lagaheimild, sem ekki sé til að dreifa.

Hefði vilji löggjafans staðið til þess að leggja þá skyldu á fjarskiptafyrirtæki að rannsaka upp á eigin spýtur ætlaða refsiverða háttsemi starfsmanna sinna hefði þurft að kveða samhliða á um hvernig standa ætti að slíkri rannsókn, réttarstöðu viðkomandi starfsmanns, meðferð upplýsinga sem aflað væri við slíka rannsókn, samskipti við lögreglu o.s.frv., ekki síst vegna fyrirmæla 70. gr. stjórnarskrárinnar um réttláta málsmeðferð. Engin slík ákvæði sé að finna í lögum nr. 81/2003 um fjarskipti eða í reglum settum með stoð í þeim, og heldur ekki í lögum nr. 69/2003 um Póst- og fjarskiptastofnun. Þannig sé sýnilega ekki ráðgert að sú stofnun rannsaki refsiverð brot einstaklinga og þaðan af síður einstök fjarskiptafyrirtæki.

Bent sé á að rík þagnarskylda hvíli á stefnanda um upplýsingar á borð við þær sem erindi stefndu, A, hafi lotið að. Í 42. gr. laga nr. 81/2003 séu settar þröngar skorður við meðferð fjarskiptafyrirtækis á gögnum og upplýsingum um fjarskiptaumferð notenda sinna. Samkvæmt 3. mgr. þeirrar lagagreinar sé fjarskiptafyrirtæki skylt, í þágu rannsókna sakamála og almannaöryggis að varðveita lágmarksskráningu gagna um fjarskiptaumferð notenda í sex mánuði. Fjarskiptafyrirtæki skuli tryggja vörslu framangreindra gagna og sé því óheimilt að nota eða afhenda umræddar upplýsingar öðrum en lögreglu eða ákæruvaldi í samræmi við 3. mgr. 47. gr. laganna. Tilvísunin í niðurlagi ákvæðisins eigi væntanlega að vera til 7. mgr. (áður 3. mgr.) 47. gr. en þar sé svo mælt fyrir að ekki megi án undangengins dómsúrskurðar heimila óviðkomandi aðilum að sjá skeyti, önnur skjöl eða annála um sendingar sem um fjarskiptavirkin fari eða hlusta á fjarskiptasamtöl eða hljóðrita þau. Fjarskiptafyrirtæki sé þó rétt og skylt að veita lögreglu, í þágu rannsóknar sakamáls, upplýsingar um hver sé skráður eigandi ákveðins símanúmers og/eða eigandi eða notandi vistfangs (IP-tölu). Af framangreindu verði ráðið að stefnanda sé eingöngu heimilt að afhenda lögreglu eða ákæruvaldi upplýsingar um fjarskiptaumferð og annað sem erindi stefndu A hafi lotið að, að því tilskildu að dómsúrskurði eða annarri lagaheimild sé til að dreifa. Sama ályktun verði dregin af XI. kafla laga nr. 88/2008 um meðferð sakamála, þar sem sett séu ströng skilyrði fyrir afhendingu slíkra upplýsinga til lögreglu í þágu rannsóknar sakamáls. Í ákvörðun stefnda, Póst- og fjarskiptastofnunar, virðist með öllu horft fram hjá framangreindum lagareglum.

Þá sé á það bent að í lögum nr. 81/2003 og reglum nr. 1221/2007 sé að finna ítarleg ákvæði um verkferla og öryggisráðstafanir sem fjarskiptafyrirtækjum sé skylt að viðhafa og miði að því að tryggja fyllsta öryggi fjarskiptaupplýsinga, sbr. til dæmis 7., 8. og 10. gr. reglnanna. Þrátt fyrir ítarleg fyrirmæli laga og reglna um öryggisráðstafanir á sviði fjarskipta sé hvergi vikið að rannsókn fjarskiptafyrirtækis á brotum starfsmanna sinna eða málsmeðferðarreglum í því samhengi, eftir atvikum í tilefni af kvörtunum eða ábendingum þess efnis. Stefnandi hafi í einu og öllu farið að fyrirmælum ofangreindra laga og reglna í starfsemi sinni.

Stefnandi telji hins vegar að þær grunsemdir, sem lýst sé í bréfi stefndu, A, hafi gefið tilefni til að farið væri fram á við lögreglu að hún hæfi rannsókn á ætluðum brotum gegn lögum nr. 81/2003, til dæmis 4. mgr. 47. gr. Samkvæmt 74. gr. laganna varði brot gegn þeim refsingu og geti brot gegn IX. kafla laganna, um vernd persónuupplýsinga og friðhelgi einkalífs, varðað fangelsi allt að tveimur árum og þremur árum sé brot framið í ávinningsskyni. Rannsókn ætlaðra brota gegn refsilögum sé í höndum lögreglu nema lög mæli á annan veg, sbr. 52. gr. laga nr. 88/2008 um meðferð sakamála. Lögreglurannsókn sé lögbundinn og réttur farvegur fyrir erindi stefndu, A, og hafi ekki getað komið til álita að stefnandi framkvæmdi sjálfur slíka rannsókn, enda engin lagastoð fyrir því. Ekkert hafi verið því til fyrirstöðu að stefnda, A, sem hafi notið aðstoðar lögmanns, óskaði þegar í stað eftir rannsókn lögreglu á ætluðum brotum. Hefði lögregla talið efni til að hefja rannsókn hefði stefnandi að sjálfsögðu liðsinnt lögreglu í einu og öllu við þá rannsókn innan heimilda laga nr. 88/2008 um meðferð sakamála sem og viðeigandi ákvæða laga nr. 81/2003, en í því skyni hefði stefnandi geymt öll gögn vegna málsins eftir atvikum til að afhenda þau lögreglu. Sakamálarannsókn hafi hins vegar ekki verið á færi stefnanda. Gangi sú forsenda ákvörðunar stefnda, Póst- og fjarskiptastofnunar, í berhögg við meginreglu 52. gr. laga nr. 88/2008. Raunar verði ekki annað ráðið en að stefndi Póst- og fjarskiptastofnun taki að einhverju leyti undir þennan skilning stefnanda með því að kveða á um í ákvörðunarorðinu að málið yrði tilkynnt til lögreglu.

Það að stefnandi hafi ekki brugðist við erindi stefndu, A, fyrr en raun hafi borið vitni eða átt frumkvæði að því að umræddu erindi yrði beint til lögreglu hafi á engan hátt snert 1. mgr. 47. gr. laga nr. 81/2003. Tilvísun til þeirrar lagagreinar í ákvörðun stefnda, Póst- og fjarskiptastofnunar, sé haldlaus. Stefnandi hafi beðið stefndu, A, afsökunar á að erindi hennar hafi ekki verið svarað fyrr en raun hafi borið vitni en þvertaki fyrir að dráttur á því hafi falið í sér brot gegn lögum nr. 81/2003.

Við mat á viðbrögðum stefnanda við upphaflegu erindi stefndu, A, verði ekki litið fram hjá því að erindið sé að hluta byggt á misskilningi. Þar sé til dæmis gengið út frá því að umræddur starfsmaður hafi verið í aðstöðu til að hlera fjarskipti sem fari í gegnum fjarskiptakerfi stefnanda. Það sé ekki rétt, heldur hafi umræddur starfsmaður eingöngu haft heimild til að skoða símnotkun eftir á, eins og skýrt kom fram í bréfaskiptum stefnanda og stefnda, Póst- og fjarskiptastofnunar. Símahlustun sé ávallt framkvæmd af lögreglu og hafi starfsmenn stefnanda ekki aðgang að hlustunarbúnaði. Stefnanda sé þó skylt að gera nauðsynlegar ráðstafanir til að lögregla geti framkvæmt lögmæta símahlustun og hafi ákveðnir starfsmenn heimild til þess, en starfsmaðurinn sem kvörtun stefndu, A, hafi beinst að sé ekki þeirra á meðal. Þá sé því ranglega haldið fram í bréfinu að starfsmönnum stefnanda sé kleift að fylgjast með farsímanotkun viðskiptavina annarra fjarskiptafyrirtækja.

Stefnandi árétti að hann hagi starfsemi sinni að fullu í samræmi við 47. gr. laga nr. 81/2003 og önnur ákvæði þeirra laga og reglur settar með stoð í þeim. Þannig hafi hann gert allar viðeigandi ráðstafanir til að tryggja öryggi þeirrar fjarskiptaþjónustu sem hann inni af hendi. Liður í þeirri viðleitni sé að einungis þeir sem starfs síns vegna þurfi á því að halda hafi aðgang að svokölluðum TT skrám, en með vinnslu slíkra skráa sé meðal annars unnt að sannreyna eftir á hvaða símtöl hafi átt sér stað úr og í tilgreind símanúmer.

Í 2. mgr. ákvörðunarorðs ákvörðunar stefnda, Póst- og fjarskiptastofnunar, segi að stefnanda hafi borið, eftir að rannsókn innan fyrirtækisins hafi leitt í ljós að starfsmaður fyrirtækisins hafi með ólögmætum hætti kynnt sér upplýsingar um fjarskiptanotkun stefndu, A, að upplýsa hana um að fjarskiptaleynd hefði verið rofin gagnvart henni. Sé því til stuðnings vísað til 1. mgr. 47. gr. laga nr. 81/2003, sbr. og 15. gr. reglna nr. 1221/2007.

Sem fyrr segi þurfi þrjú skilyrði að vera uppfyllt til að 1. mgr. 47. gr. fjarskiptalaga eigi við. Í fyrsta lagi þurfi að vera yfirvofandi hætta á að leynd fjarskipta verði rofin í nánustu framtíð. Í öðru lagi þurfi hættan á slíku rofi á fjarskiptaleynd að ná til tiltekins fjarskiptanets en ekki einstakra símanúmera og í þriðja lagi skuli af þeirri ástæðu tilkynna áskrifendum, þ.e. tilteknum hópi áskrifenda sem noti hið tiltekna fjarskiptanet, um hina yfirvofandi hættu. Ekkert þessara skilyrða sé uppfyllt í málinu og sé tilvísun til þessa lagaákvæðis í ákvörðun stefnda með öllu haldlaus. Að öðru leyti vísist til framangreindra röksemda um þetta atriði.

Vegna tilvísunar í ákvörðuninni til aðfararorða tilskipunar nr. 2009/136/EB sé rétt að taka fram að nefnd tilskipun hafi ekki verið innleidd í íslenskan rétt. Á henni verði því ekki byggt, en sem fyrr segi verði íþyngjandi skyldur ekki lagðar á stefnanda nema með stoð í settum lögum. Ákvæði 47. gr. fjarskiptalaga feli í sér innleiðingu á eldri tilskipun nr. 2002/58/EB um friðhelgi einkalífsins og rafræn fjarskipti sem verði ekki talin renna stoðum undir ákvörðun stefnda, Póst- og fjarskiptastofnunar.

Hvað varði 15. gr. reglna nr. 1221/2007 virðist ákvörðun stefnda byggð á 1. mgr. þeirrar greinar þar sem fram komi að tilkynna skuli viðskiptavinum um þau öryggisatvik sem valdi truflunum á samfelldri fjarskiptaþjónustu, ef leynd á tilteknu fjarskiptaneti eða upplýsingar viðskiptavina séu í stórfelldri hættu af völdum öryggishættu í fjarskiptanetum. Samkvæmt 3. gr. reglnanna sé „öryggisatvik“ skilgreint sem atvik sem sé gefið til kynna með einum eða fleiri óæskilegum eða óvæntum öryggisatburðum sem talsverðar líkur séu á að stofni rekstrarþáttum í hættu eða ógni upplýsingaöryggi. Í sömu grein sé hugtakið „öryggisatburður“ skilgreint sem það að upp komi staða kerfis, þjónustu eða nets sem gefi til kynna hugsanlegt brot gegn öryggisstefnu eða bilun í öryggisráðstöfun, eða þá áður óþekkt staða sem geti skipt máli fyrir öryggi. Að mati stefnanda sé þessi lagaröksemd í ákvörðun stefnda, Póst- og fjarskiptastofnunar, sama marki brennd og tilvísun til 1. mgr. 47. gr. laga nr. 81/2003 að því leyti að hún eigi engan veginn við um það tilvik sem hér um ræði. Ofangreint ákvæði reglna nr. 1221/2007 taki til dæmis til alvarlegra og/eða óvæntra bilana sem ógni leynd og upplýsingaöryggi á tilteknu fjarskiptaneti og sé fjarskiptafyrirtæki þá skylt að tilkynna viðkomandi viðskiptavinum um þá hættu. Ákvæðið feli hins vegar ekki í sér skyldu fjarskiptafyrirtækis til að tilkynna tilteknum áskrifanda um að fjarskiptaleynd hafi verið rofin með hugsanlegu ólögmætu atferli starfsmanns fyrirtækis. Verði ekki á það fallist að ákvæðið leggi skyldu á stefnanda að tilkynna viðskiptavini um ætlað brot starfsmanns. Til viðbótar skuli tekið fram að umræddar reglur hafi tekið gildi 1. júlí 2008 og hafi því ekki verið í gildi á þeim tíma er þau atvik sem kvörtun stefndu, A, sé sprottin af hafi átt sér stað. Án tillits til þess sé stefnanda óheimilt að afhenda hvers konar upplýsingar sem snerti umferð um fjarskiptanet hans nema til lögreglu eða ákæruvalds og þá samkvæmt dómsúrskurði eða lagaheimild, sbr. 3. mgr. 42. gr. laga nr. 81/2003. Hafi því verið óheimilt að veita stefndu, A, umræddar upplýsingar. Að þessu leyti gangi ákvörðunin í berhögg við lög.

Loks sé því haldið fram í forsendum ákvörðunar stefnda, Póst- og fjarskiptastofnunar, að stefnanda hafi verið skylt að tilkynna um ætluð brot starfsmanns síns til lögreglu, án þess þó að sú ályktun sé tekin upp í ákvörðunarorð. Á þetta verði ekki fallist. Stefnanda sé ekki að lögum skylt að kæra ætluð lögbrot í starfsemi sinni til lögreglu. Einungis verði mælt fyrir um kæruskyldu með skýru lagaboði. Slík lagaákvæði sé ekki að finna í lögum nr. 81/2003 um fjarskipti eða öðrum lögum að því er stefnanda varði. Stefndu, A, hafi ekkert verið að vanbúnaði að tilkynna málið til lögreglu strax í upphafi eða á síðari stigum og gæta þannig réttar síns, teldi hún tilefni til.

Að öllu framangreindu virtu telji stefnandi ljóst að ákvörðun stefnda, Póst- og fjarskiptastofnunar, skorti lagastoð og brjóti jafnframt í bága við lög. Sé það verulegur annmarki á henni og beri því að fallast á kröfu stefnanda um að hún verði felld úr gildi.

Stefnandi vísi til lögmætisreglu stjórnskipunar- og stjórnsýsluréttar, laga nr. 81/2003 um fjarskipti, laga nr. 69/2003 um Póst- og fjarskiptastofnun og laga nr. 88/2008 um meðferð sakamála, svo og reglna nr. 1221/2007 um vernd upplýsinga í almennum fjarskiptanetum. Kröfu um málskostnað styðji stefnandi við 129. gr. og 1. mgr. 130. gr. laga nr. 91/1991 um meðferð einkamála.

III

Stefndi, Póst- og fjarskiptastofnun, vísar til þess að ákvörðun sú sem málið snúist um sé tvíþætt. Fyrsti hluti ákvörðunarorðsins sé byggður á 2. málslið 1. mgr. 47. gr. laga nr. 81/2003 um fjarskipti, svo sem fram komi í forsendum ákvörðunarinnar. Með ákvæðinu sé lögð sú skylda á fjarskiptafyrirtæki að verja upplýsingar sem fari um fjarskiptanet gegn því að þær glatist, skemmist eða breytist fyrir slysni eða að óviðkomandi fái aðgang að þeim. Byggt sé á því að í þessari skyldu felist meðal annars að fjarskiptafyrirtæki skuli bregðast við tilkynningum um hugsanlegt rof á öryggi þessara upplýsinga með því að kanna hvort þær tilkynningar eigi við rök að styðjast. Þessi skylda nái meðal annars til tilkynninga um að starfsmaður fjarskiptafyrirtækis kunni að vera að nýta aðstöðu sína til að nálgast gögn um viðskiptavini fyrirtækisins á óleyfilegan hátt eða hlera símtöl þeirra. Þá telji stefndi að í skyldunni felist að gera verði reka að slíkri könnun innan hæfilegs tíma og allt að einu áður en upplýsingum um viðkomandi aðgang hafi verið eytt, sé slíkt mögulegt. Óumdeilt sé að umrætt lagaákvæði eigi við um stefnanda.

Með bréfi frá 22. september 2008 hafi þess verið krafist af hálfu stefndu, A, að stefnandi myndi rannsaka hvort fylgst hefði verið með símtölum hennar á vegum starfsmanna stefnanda og jafnvel eftir atvikum hlustað á símtöl í gsm-símum hennar. Óumdeilt sé að stefnandi hafi ekki brugðist við þessari tilkynningu um hugsanlegt öryggisbrot fyrr en rúmu ári síðar, eftir ítrekun af hálfu stefndu, A. Einnig sé óumdeilt að af hálfu stefnanda hafi eftirtöldu verið haldið fram: Rannsókn stefnanda í kjölfar ítrekunarinnar hafi leitt í ljós óleyfilegan aðgang viðkomandi starfsmanns; eiginleg rannsókn á því hvort starfsmaðurinn hafi hlerað hafi aldrei farið fram því það hafi verið ómögulegt þar sem atburðaskrám hefði þá verið eytt; og eina rökrétta skýringin á þeim drætti sem orðið hafi á að rannsókn hæfist sé sú að málið hafi fallið í skuggann af bankahruninu. Stefndi telji hafið yfir vafa að stefnandi hafi samkvæmt framansögðu brotið gegn ákvæði 1. mgr. 47. gr. laga um fjarskipti með þeim hætti sem að framan greini, tiltekið sé í 1. mgr. ákvörðunarorðs ákvörðunar stefnda og rökstutt í niðurstöðum ákvörðunarinnar. Því sé þeirri málsástæðu stefnanda, að ákvörðunin styðjist ekki við viðhlítandi lagagrundvöll þar sem hún hafi ekki stoð í lögum nr. 81/2003 um fjarskipti eða öðrum lögum, hvað 1. mgr. ákvörðunarorðsins áhræri, vísað á bug.

Því sé ranglega haldið fram í stefnu að 1. mgr. ákvörðunarorðsins byggist á 3. málslið 1. mgr. 47. gr. laga nr. 81/2003, sem fjalli um upplýsingaskyldu þjónustuveitanda. Eins og að framan greini sé þessi hluti ákvörðunarorðsins byggður á 2. málslið ákvæðisins, sem fjalli um skyldu fjarskiptafyrirtækis til að verja upplýsingar, eins og komi skýrlega fram í rökstuðningi ákvörðunarinnar.

Stefnandi virðist skilja 1. mgr. ákvörðunarorðsins svo að í því felist skylda til að hefja sakamálarannsókn. Af hálfu stefnda sé hins vegar byggt á því að viðbragðsskyldu stefnanda við öryggisbrotum, þar á meðal skyldu til að kanna ábendingar um slík brot, verði ekki jafnað við rannsókn lögreglu á meintum lögbrotum einstaklinga og eftirfarandi saksókn. Því verði ekki fallist á að stefnandi losni undan skyldu sinni til rannsóknar á öryggisbrotum af þeirri ástæðu að jafnframt fari fram, eða eigi að fara fram, lögreglurannsókn á meintum lögbrotum, enda viðbúið að til slíkra lögreglurannsókna kunni oft að koma þegar öryggisbrot eigi sér stað.

Í stefnu sé meðal annars vikið að þagnarskyldu stefnanda, skilningi hans á reglum nr. 1221/2007, ákvörðun stefndu A um að kæra eða kæra ekki meint lögbrot viðkomandi starfsmanns til lögreglu og meintum misskilningi hennar um aðstöðu viðkomandi starfsmanns til hlerunar. Verði ekki séð að neitt þessara atriða geti leyst stefnanda undan þeirri skyldu til rannsóknar öryggisbrota sem umrædd 1. mgr. ákvörðunarorðsins lúti að. Því sé umræddum málsástæðum stefnanda vísað á bug.

Annar hluti ákvörðunarorðs umræddrar ákvörðunar sé byggður á 3. málslið 1. mgr. 47. gr. laga nr. 81/2003 um fjarskipti, svo sem rökstutt sé í forsendum ákvörðunarinnar. Í ákvæðinu sé lögð sú skylda á fjarskiptafyrirtæki að upplýsa áskrifendur um hættuna ef sérstök hætta er á að leynd fjarskipta á tilteknu neti verði rofin. Þessi hluti ákvörðunarorðsins byggist einnig á 15. gr. reglna nr. 1221/2007 um vernd upplýsinga í almennum fjarskiptanetum, sbr. einkum 1. og 2. mgr. ákvæðisins, en samkvæmt því skal tilkynna viðskiptavinum um þau öryggisatvik sem valdi truflunum á samfelldri fjarskiptaþjónustu, ef leynd á tilteknu fjarskiptaneti eða upplýsingar viðskiptavina eru í stórfelldri hættu af völdum öryggishættu í fjarskiptanetum. Þá skuli fjarskiptafyrirtæki vera með skýra og skilvirka ferla vegna fyrrgreindra tilkynninga. Þjónustuviðmið þar að lútandi skuli koma fram á heimasíðu fyrirtækisins eða eftir sambærilegum leiðum, til dæmis í viðskiptamannasamningum. Í tilkynningunum þurfi að lágmarki að koma fram hvaða áhrif atvikið hafi eða geti haft, og þær ráðstafanir sem fjarskiptafyrirtækið muni gera, ásamt ráðleggingum til viðskiptamanna ef svo ber undir. Stefndi telji að samkvæmt tilvitnuðum ákvæðum beri fjarskiptafyrirtækjum skylda til að upplýsa viðskiptavin sinn ef fyrirtækið fær vitneskju um hættu sem steðji að leynd fjarskipta eða upplýsinga viðskiptavinarins. Þá sé byggt á því að slík skylda sé til staðar þótt brot sé þegar hafið eða hafi þegar átt sér stað.

Óumdeilt sé að umrædd lagaákvæði eigi við um stefnanda. Þá sé óumdeilt að í kjölfar ítrekunar stefndu, A, dags. 24. september 2009, hafi rannsókn innan stefnanda leitt í ljós að starfsmaður hans hafi með ólögmætum hætti kynnt sér upplýsingar um fjarskiptanotkun hennar og að stefnandi hafi aldrei upplýst stefndu, A, um að fjarskiptaleynd hennar hefði verið rofin.

Stefndi telji hafið yfir vafa að stefnandi hafi samkvæmt framansögðu brotið gegn ákvæðum 1. mgr. 47. gr. laga nr. 81/2003 og 15. gr. reglna nr. 1221/2007 með þeim hætti sem að framan greini, tiltekið sé í 2. mgr. ákvörðunarorðs og rökstutt í niðurstöðum umræddrar ákvörðunar. Því sé, hvað 2. mgr. ákvörðunarorðsins áhræri, vísað á bug þeirri málsástæðu stefnanda að ákvörðunin styðjist ekki við viðhlítandi lagagrundvöll þar sem hún hafi ekki stoð í lögum.

Í stefnu séu tiltekin þrjú skilyrði í 3. málslið 1. mgr. 47. gr. fjarskiptalaga sem stefnandi telji ekki uppfyllt. Í fyrsta lagi telji hann ákvæðið einungis ná til tilvika þar sem hætta sé á að leynd verði rofin í náinni framtíð en ekki þar sem brot hafi þegar átt sér stað. Af hálfu stefnda, Póst- og fjarskiptastofnunar, sé byggt á því að ákvæðið nái til aðstæðna þar sem brot hafi þegar hafist eða átt sér stað og vísi stefndi hvað það varði annars vegar til lögskýringargagna og hins vegar til þess að ákvæðið verði að skýra þannig að réttindi þeirra sem verði fyrir því að fjarskiptaleynd þeirra sé rofin geti a fortiori ekki átt að fá lakari réttarstöðu en þeir sem verði einungis fyrir því að hætta myndist á að slíkt gerist. Þá sé einnig byggt á því að fyrir liggi að hætta hafi enn verið yfirvofandi þegar brotið hafi komist upp, enda hafi stefnandi hvorki ákveðið að víkja starfsmanninum frá störfum né að kæra brotið til lögreglu, þrátt fyrir yfirlýsingar þess efnis, til dæmis í bréfi stefnanda til stefnda, Póst- og fjarskiptastofnunar, dags. 22. mars 2011. Þá liggi ekkert fyrir í málinu um að starfsmaðurinn hafi verið sviptur þeim aðgangi sem hann hafi verið staðinn að misnotkun á. Loks skuli á það bent að 2. mgr. ákvörðunarorðsins sé einnig byggð á 15. gr. reglna nr. 1221/2007, en samkvæmt 2. mgr. þess ákvæðis skuli tilkynna viðskiptavinum að lágmarki hvaða áhrif viðkomandi atvik hafi eða geti haft og taki því ljóslega einnig til liðinna atburða. Í öðru lagi telji stefnandi að hætta á rofi þurfi að ná til tiltekins fjarskiptanets, en ekki til einstakra símanúmera, eins og segi í stefnu. Stefndi byggi á því að orðalag ákvæðisins um „leynd fjarskipta á tilteknu neti“ nái til leyndar umferðarupplýsinga í fjarskiptaneti stefnanda, en það séu þær upplýsingar sem óumdeilt sé í málinu að viðkomandi starfsmaður hafi orðið uppvís að að fletta óleyfilega. Að auki megi benda á að símanúmer teljist til gagna um fjarskiptaumferð sem vistaðar séu hjá fjarskiptafyrirtæki, sbr. 3. mgr. 42. gr. laga nr. 81/2003. Þess utan sé ljóst að símanúmer séu ekki hluti af endabúnaði notenda, heldur upplýsingar sem séu grundvöllur gjaldtöku fjarskiptafyrirtækja, liggi í fjarskiptanetum og séu nýttar þar meðal annars til að koma á sambandi milli notenda og til að gera mögulegt að miðla merkjum milli þeirra. Í þriðja lagi telji stefnandi að ákvæðið taki einungis til „tiltekins hóps áskrifenda“. Stefndi telji umrætt ákvæði ekki verða túlkað svo að tilkynningarskylda fjarskiptafyrirtækis sé einunugis gagnvart hópum áskrifenda. Hún eigi að ná til allra þeirra sem viðkomandi brot á fjarskiptaleynd taki til, hvort sem um sé að ræða einn áskrifanda eða marga, enda engin rök fyrir því að þessi vernd falli niður ef einungis sé brotið á einum áskrifanda.

Stefnandi mótmæli því að lagt sé á hann að rannsaka mál. Af hálfu stefnda sé þessari málsástæðu hafnað og bent á að 2. mgr. ákvörðunarorðsins lúti ekki að skyldu stefnanda til að rannsaka, heldur til að tilkynna stefndu, A, um niðurstöður rannsóknar sem stefnandi hafi sjálfur ákveðið að framkvæma.

Loks sé því borið við að þær upplýsingar sem 2. mgr. ákvörðunarorðsins lúti að teljist til fjarskiptaupplýsinga, sbr. 3. mgr. 42. gr. laga nr. 81/2003 og sé því óheimilt að afhenda þær öðrum en lögreglu eða ákæruvaldi. Af hálfu stefnda, Póst- og fjarskiptastofnunar, sé byggt á því að sú skylda sem kveðið sé á um í 2. mgr. ákvörðunarorðsins lúti að upplýsingum um að fjarskiptaleynd hafi verið rofin, en þær upplýsingar verði ekki með nokkru móti taldar falla undir 3. mgr. 42. gr. laga nr. 81/2003.

Í stefnu segi að ekki verði byggt á tilskipun nr. 2009/136/EB þar sem hún hafi ekki verið innleidd í íslenskan rétt. Af hálfu stefnda sé bent á að ákvörðun stofnunarinnar sé að engu leyti byggð á umræddri tilskipun. Hins vegar sé í forsendum ákvörðunarinnar vísað til þess að af hálfu útgefanda beggja tilskipananna sé litið svo á að eldri tilskipunin hafi þegar falið í sér skýra skyldu til að tilkynna um þau brot sem þegar hafi átt sér stað.

Þá segi í stefnu að 15. gr. reglna nr. 1221/2007 feli ekki í sér skyldu til að tilkynna tilteknum áskrifanda um að fjarskiptaleynd hafi verið rofin með „hugsanlegu ólögmætu atferli starfsmanns fyrirtækis“. Ekki séu færð nein rök fyrir þessari fullyrðingu og verði henni því vísað á bug, enda ekki gerður áskilnaður í ákvæðinu um að öryggishætta geti ekki stafað af ólögmætu athæfi starfsmanna. Hvað varði skilgreiningar í reglunum á hugtökunum „öryggisatvik“ og „öryggisatburður“ skuli bent á að þær séu almennar, ekki atviksbundnar, og þar sé ekki tæmandi upptalning þeirra tilvika sem falli undir þær. Þá sé því haldið fram í stefnu að reglur 1221/2007 eigi ekki við þar sem þær hafi ekki verið í gildi á þeim tíma er þau atvik sem kvörtun stefndu, A, sé sprottin af hafi átt sér stað. Stefndi mótmæli því að fyrir liggi og óumdeilt sé hvenær umrædd brot hafi hafist eða hvenær þeim hafi lokið. Allt að einu hafi umræddar reglur verið í gildi þegar stefnda, A, hafi sent stefnanda ábendingu sína. Hafi stefnanda því borið að fara að reglunum við meðferð hennar. Þá sé því haldið fram að ákvörðun stefnda, Póst- og fjarskiptastofnunar, gangi í berhögg við lög þar sem stefnanda hafi verið óheimilt að afhenda „hvers konar upplýsingar sem snerta umferð“ nema til lögreglu eða ákæruvalds. Af því tilefni séu hér ítrekuð fyrrgreind andmæli stefnda við svo víðri túlkun á 3. mgr. 42. laga nr. 81/2003 og því hafnað að ákvörðun stefnda gangi í berhögg við lög.

Stefndi bendi á að ákvörðun stefndu, A, um að kæra eða kæra ekki meint lögbrot viðkomandi starfsmanns til lögreglu skipti engu máli um þá skyldu sem 2. mgr. ákvörðunarorðsins lúti að og málsástæðu stefnanda sem á því byggi sé vísað á bug. Ranglega sé gefið í skyn í stefnu að í forsendum ákvörðunarinnar sé því haldið fram að stefnanda hafi borið lagaskylda til að kæra umrætt brot til lögreglu. Engar slíkar fullyrðingar sé að finna í ákvörðuninni. Í umfjöllun sinni um forsendur og niðurstöðu ákvörðunar sinnar hafi stefndi hins vegar lýst þeirri skoðun að stefnandi hefði átt að tilkynna málið til lögreglu. Slíkt hljóti að teljast eðlileg viðbrögð fjarskiptafyrirtækis, jafnvel þótt lagaskylda sé ekki fyrir hendi. Einkum hljóti það að teljast eðlilegt þegar fyrirtækið komist að því að starfsmaður þess hafi framið lögbrot gegn viðskiptavini þess og ákveði samt sem áður að deila þeirri vitneskju hvorki með brotaþola né eftirlitsstjórnvaldi sem eftir henni inni.

Fram komi í stefnu að þar sem ákvörðun stefnda, Póst- og fjarskiptastofnunar, sé fordæmisgefandi muni hún hafa veruleg áhrif á starfsemi stefnanda standi hún óhögguð. Umrædd ákvörðun lúti einungis að því að Símanum hafi borið að kanna hvort ábending um öryggisbrot hafi átt við rök að styðjast og tilkynna brotaþola þegar fyrir hafi legið að svo væri. Stefndi telji slík viðbrögð sjálfsögð og mótmæli því að það að viðhafa þau muni hafa veruleg áhrif á starfsemi stefnanda, enda séu engin rök færð fyrir þeirri fullyrðingu í stefnu.

Loks sé því haldið fram í stefnu að umrædd ákvörðun sé haldin verulegum annmarka og beri því að fella hana úr gildi. Af hálfu stefnda sé því mótmælt að ákvörðunin sé haldin slíkum annmarka. Byggt sé á því að þótt komist yrði að þeirri niðurstöðu að ágallar væru á ákvörðuninni þá yrðu þeir ekki taldir til verulegs annmarka sem geti leitt til ógildingar.

Varðandi málskostnaðarkröfu vísi stefndi til XXI. kafla laga nr. 91/1991 um meðferð einkamála.

IV

Stefnda, A, byggir sýknukröfu sína einkum á því að ekkert tilefni sé til ógildingar á ákvörðun stefnda, Póst- og fjarskiptastofnunar, frá 15. febrúar 2012, þar sem ákvörðunin hafi verið byggð á lögmætum grundvelli og við meðferð málsins hafi verið gætt allra stjórnsýslulegra málsmeðferðarreglna.

Byggt sé á því að stefnanda hafi borið að bregðast við tilkynningu hennar um ætlað friðhelgisbrot með rannsókn og með því að upplýsa hana um framgang og niðurstöðu þeirrar rannsóknar. Þá hafi stefnanda borið að framkvæma rannsókn eða könnun innan hæfilegs tíma og allt að einu áður en tekin væri afstaða til erindis hennar. Af hálfu stefnanda sé því mótmælt að draga megi ályktun um slíka skyldu af ákvæðum laga nr. 81/2003 um fjarskipti og sé sérstaklega vísað til niðurlags 47. gr. laganna vegna þess. Stefnanda hafi sérstaklega borið að tryggja öryggi í símanotkun hennar hjá félaginu sem þjónustuaðila hennar, enda hafi hún verið þjónustukaupi símaþjónustu og átt réttindi sem slík gagnvart stefnanda. Þó svo að stefnandi hafi hugsanlega talið sig bera þagnarskyldu í málinu á grundvelli 42. gr. laga nr. 81/2003 þá hefði sú þagnarskylda fyrst og fremst átt við um miðlun upplýsinga til þriðja aðila um símanotkun stefndu, en ekki til hennar sjálfrar sem þjónustukaupa. Þá hefði stefnandi hæglega getað leitað formlegs samþykkis stefndu til upplýsingagjafar, eða óskað frekari samvinnu af hennar hálfu, en ekkert slíkt hafi verið gert. Þvert á móti virðist stefnandi hafa orðið áskynja um friðhelgisbrot, framin af eigin starfsmanni gegn stefndu í starfi hjá stefnanda, og ákveðið að bregðast hvorki við þeim með því að upplýsa hana um þau né með því að láta viðkomandi starfsmann víkja úr starfi og fyrirbyggja þannig frekari brot. Þannig hafi stefnandi ekkert gert til að verja fjarskiptaöryggi stefndu svo sem honum hafi borið að gera samkvæmt meginreglu 47. gr. laga nr. 81/2003.

Stefnda byggi á því að auknar skyldur hafi hvílt á stefnanda þar sem brotin hafi verið framin af þeirra eigin starfsmanni. Hafi stefnandi ekki talið sig geta upplýst um þau á grundvelli meintrar þagnarskyldu, hafi honum engu að síður borið annað hvort að vísa málinu til lögreglurannsóknar eða tilkynna stefndu um að tilefni væri til slíkrar rannsóknar svo hún gæti óskað eftir henni. Með því að gefa stefndu engar upplýsingar hafi stefnandi komið í veg fyrir að athæfið væri rannsakað og um leið að hún fengi upplýsingar um það, jafnvel þótt það hefði brotið með verulegum hætti persónuleg réttindi hennar. Af hálfu stefndu sé því mótmælt sem haldið sé fram í stefnu að þagnarskylda stefnanda hafi komið í veg fyrir alla upplýsingagjöf til hennar, enda hefði stefnandi ekki þurft að afhenda upplýsingar um fjarskiptaumferð með tilkynningu til hennar um að tilefni væri til lögreglurannsóknar.

Af hálfu stefndu sé jafnframt byggt á því að stefnandi beri sem fjarskiptafyrirtæki ábyrgð á starfsmönnum sínum og eigi þar með að gera fullnægjandi ráðstafanir verði þeir staðnir að brotum, þó svo að ekki megi finna í lögum nr. 81/2003 sérstakar málsmeðferðarreglur í því samhengi. Staða stefnanda sé, hvað það varði, ekki önnur en annarra vinnuveitanda sem beri ábyrgð á sínum starfsmönnum og beri að taka á brotum sem þeir fremji, eftir atvikum með lögreglurannsókn ef um refsiverð brot er að ræða.

Stefnda mótmæli því að upphaflegt erindi hennar til stefnanda hafi byggst á misskilningi, eins og haldið sé fram í stefnu, enda telji hún að bæði hafi verið fylgst með símanotkun hennar og símtöl hennar hleruð eða hlustuð, en um það geti hún ekki verið fullviss fyrr en lögreglurannsókn málsins sé lokið. Af hálfu stefnanda sé því haldið fram að hlerun hafi ekki getað átt sér stað hjá viðkomandi starfsmanni þar sem hann hafi ekki haft heimild til að skoða símnotkun eftir á, en umkvörtun stefndu hafi einmitt lotið að því að starfsmaður stefnanda væri að gera eitthvað sem hann hefði ekki heimild til. Á meðan málið hafi ekki verið rannsakað með fullnægjandi hætti af lögreglu sé það enn óupplýst hvað stefndu varði og því ekki hægt að fullyrða um það á þessari stundu nákvæmlega hvaða brot hafi verið framin.

Þá sé því hafnað að ekkert hafi verið því til fyrirstöðu að stefnda legði fram lögreglukæru, eins og haldið sé fram í stefnu, enda hafi hún ekki haft þær upplýsingar sem hún hafi þurft til að kæra. Þær upplýsingar hafi verið hjá stefnanda, en hafi verið haldið frá henni. Það hafi verið mat stefndu að engar líkur væru á að málið yrði tekið til rannsóknar þegar hún hefði engar staðfestingar á meintum brotum á þeim tíma. Auk þess hafi persónuleg tengsl hennar við starfsmann stefnanda verið þess eðlis að hún hafi ekki verið í aðstöðu til að kæra hann án frekari staðfestingar. Því sé mótmælt af hálfu stefndu að stefnandi geti skýlt sér á bak við það að hún hefði getað kært málið til lögreglu. Það felli enda hvorki niður ábyrgð stefnanda né aðgerðarskyldu gagnvart brotum eigin starfsmanns, að hún hafi ekki sett fram kæru á þeim tíma.

Að öðru leyti sé byggt á sömu málsástæðum og af hálfu stefnda, Póst- og fjarskiptastofnunar, og sé tekið undir þær af hálfu stefndu.

Stefnda byggi kröfur sínar aðallega á ákvæðum laga nr. 81/2003 um fjarskipti, einkum 47. gr., svo og reglum nr. 1221/2007 um vernd upplýsinga í almennum fjarskiptanetum. Krafa um málflutningsþóknun byggist á XXI. kafla laga nr. 91/1991 um meðferð einkamála.

V

Í máli þessu krefst stefnandi ógildingar á ákvörðun Póst- og fjarskiptastofnunar nr. 5/2012 frá 15. febrúar 2012, vegna meðferðar á öryggisatviki. Samkvæmt 4. mgr. 13. gr. laga nr. 69/2003 um Póst- og fjarskiptastofnun er stefnanda heimilt að bera ákvörðun þessa undir dómstóla án þess að málið sé fyrst borið undir úrskurðarnefnd fjarskipta- og póstmála. Skal málið höfðað innan þriggja mánaða frá því viðkomandi fékk vitneskju um ákvörðunina. Mál þetta var höfðað með birtingu stefnu 11. maí 2012 og er þetta skilyrði laganna því uppfyllt.

Stefnandi er fyrirtæki á fjarskiptamarkaði. Stefndi, Póst- og fjarskiptastofnun, er sjálfstæð stofnun sem hefur umsjón með framkvæmd fjarskipta- og póstmála hér á landi og fer um starfsemi hennar eftir lögum nr. 69/2003. Stofnunin fer með eftirlit með starfsemi fjarskiptafyrirtækja og fylgist með því að starfsemi þeirra sé í samræmi við lög, reglugerðir, reglur, skilyrði eða ákvarðanir sem um starfsemina gilda og að starfsemin sé að öðru leyti í samræmi við heilbrigða og eðlilega viðskiptahætti, sbr. 4. gr. laganna.

Stefnandi reisir kröfu sína um ógildingu framangreindrar ákvörðunar á því að skort hafi lagaheimild fyrir henni, en efnisatriði ákvörðunarorðsins hafi ekki stoð í lögum nr. 81/2003 um fjarskipti eða öðrum lögum. Ákvörðun stefnda, Póst- og fjarskiptastofunar, er tvíþætt og byggist á 1. mgr. 47. gr. laga nr. 81/2003 og 15. gr. reglna nr. 1221/2007 um vernd upplýsinga í almennum fjarskiptanetum. Annars vegar er það talið hafa falið í sér ámælisvert athafnaleysi sem brjóti gegn framangreindri lagagrein að stefnandi skyldi ekki taka til rannsóknar ábendingu stefndu, A, um að starfsmaður fyrirtækisins hefði hugsanlega hlerað fjarskipti hennar, fyrr en um einu ári eftir að hún barst félaginu. Hins vegar er talið að stefnanda hafi borið, eftir að rannsókn innan fyrirtækisins hafi leitt í ljós að starfsmaður þess hafi með ólögmætum hætti kynnt sér upplýsingar um fjarskiptanotkun stefndu A, að upplýsa hana um að fjarskiptaleynd hafi verið rofin gagnvart henni, sbr. framangreind ákvæði.

Óumdeilt er að stefnandi aðhafðist ekki vegna erindis stefndu, A, fyrr en um einu ári eftir að það barst, eftir að erindi hennar hafði verið ítrekað. Hafði atburðaskrám vegna hlerana frá umræddu tímabili þá verið eytt og fór rannsókn á ætluðum hlerunum ekki fram. Athugun stefnanda leiddi engu að síður í ljós að starfsmaður fyrirtækisins hafði með ólögmætum hætti kynnt sér upplýsingar um fjarskiptanotkun stefndu, A.

Samkvæmt 1. mgr. 47. gr. laga nr. 81/2003 skulu fjarskiptafyrirtæki sem veita almenna fjarskiptaþjónustu gera viðeigandi ráðstafanir til þess að tryggja öryggi þjónustunnar í samráði við rekstraraðila fjarskiptaneta ef við á. Verja skal upplýsingar sem fara um fjarskiptanet gegn því að þær glatist, skemmist eða breytist fyrir slysni eða að óviðkomandi fái aðgang að þeim. Ef sérstök hætta er á að leynd fjarskipta á tilteknu neti verði rofin skal þjónustuveitandinn upplýsa áskrifendur um hættuna.

Stefnandi vísar til þess að 1. mgr. ákvörðunarorðsins byggist á síðasta málslið greinarinnar um hættu á rofi fjarskiptaleyndar. Telur hann ákvæðið ekki eiga við og ekki leiða af því að honum hafi borið að hefja rannsókn á ásökunum í garð starfsmanns síns, enda verði sú skylda ekki lögð á hann nema með skýrri lagaheimild. Þá bendir hann á að ákvæði um þagnarskyldu komi í veg fyrir að slíkar upplýsingar verði veittar.

Í ákvörðunarorðinu er vísað til 1. mgr. 47. gr. án nánari tilgreiningar á því hvaða málsliður eigi við. Í ákvörðuninni er hins vegar vísað til þess að meðal annars séu lagðar þær skyldur á fjarskiptafyrirtæki að verja upplýsingar sem fari um fjarskiptanet gegn því að þær glatist, skemmist eða breytist fyrir slysni eða að óviðkomandi fái aðgang að þeim, svo sem greinir í 2. málslið ákvæðisins. Með ákvæðinu er fjarskiptafyrirtækjum gert að tryggja á viðeigandi hátt öryggi almennrar fjarskiptaþjónustu. Í frumvarpi til laga nr. 39/2007, sem breytti framangreindu ákvæði laga nr. 81/2003, kemur fram að með ákvæðinu sé átt við inntak upplýsingaöryggis sem felist í að tryggja leynd upplýsinga, lögmætan aðgang að þeim, aðgengi þeirra og réttleika. Þá er tekið fram að rétt sé að leggja til grundvallar rúma skilgreiningu á hugtakinu upplýsingar.

Stefnandi telur að ekki geti falist í framangreindu ákvæði skylda hans til þess að bregðast við ábendingum um hugsanleg brot starfsmanna gegn fjarskiptaleynd, en stefndi Póst- og fjarskiptastofnun telur svo vera. Í ákvæðinu er ekki talið upp með hvaða hætti fjarskiptafyrirtæki skuli framfylgja þessu hlutverki, heldur tilgreint að þau skuli gera viðeigandi ráðstafanir. Við túlkun á ákvæðinu þykir verða að líta til þess að því er ætlað að vernda upplýsingaöryggi og tryggja persónuvernd og friðhelgi einkalífs. Til þess að ná því markmiði þarf að kanna hvort öryggi hafi verið rofið komi upp grunur um að svo hafi verið og koma í veg fyrir endurtekningu á því. Þar sem upplýsingar um þetta hjá stefnanda eru geymdar í skamman tíma er eðli málsins samkvæmt brýnt að slík athugun fari fram innan hæfilegs tíma og í öllu falli áður en upplýsingum þar um er eytt. Samkvæmt 2. mgr. 47. gr. setur stefndi, Póst- og fjarskiptastofnun, reglur um vernd upplýsinga í almennum fjarskiptanetum sem meðal annars kveða á um tilkynningar vegna öryggisrofs. Í 2. mgr. 3. gr. reglna nr. 1221/2007 um vernd upplýsinga í almennum fjarskiptanetum er meðal annars vísað til staðla um stjórnkerfi upplýsingaöryggis og starfsvenjur fyrir stjórnun upplýsingaöryggis. Samkvæmt þeim stöðlum skal fjarskiptafyrirtæki leiða strax í ljós heppnuð öryggisbrot og öryggisatvik og tilraunir til slíks. Í ljósi framangreinds þykir túlkun stefnda, Póst- og fjarskiptastofnunar, á ákvæðinu ekki vera ólögmæt.

Stefnandi hefur vísað til þess að erindi stefndu, A, hafi að hluta til byggst á misskilningi, þar sem starfsmenn fyrirtækisins séu ekki í aðstöðu til að hlera símtöl. Erindi A laut hins vegar ekki eingöngu að hlerunum, heldur einnig að öðrum ólögmætum aðgerðum gagnvart henni. Þykir fyrirkomulag stefnanda vegna hlerana því ekki réttlæta það að rannsókn hafi ekki þegar farið fram.

Ekki verður talið að með kröfu um rannsókn á því hvort öryggisbrot hafi átt sér stað sé gerð krafa um rannsókn sem jafnist á við lögreglurannsókn, heldur snýr krafan að því að fyrirtækinu beri að tryggja örugg fjarskipti. Þá þykir það ekki leysa stefnanda undan skyldu sinni til að rannsaka öryggisbrot að hægt sé að kæra mál til lögreglu.

Stefnandi hefur borið því við að ákvæði um þagnarskyldu hafi staðið því í vegi að hann gæti brugðist við erindi stefndu, A. Ekki verður séð að tilvitnuð lagaákvæði eða önnur ákvæði laga nr. 81/2003 komi í veg fyrir það að stefndu, A, verði veittar upplýsingar um það hvort fjarskiptaleynd gagnvart henni sjálfri hafi verið rofin.

Stefnandi telur einnig skorta lagastoð fyrir ályktun í 2. mgr. ákvörðunarorðs stefnda, Póst- og fjarskiptastofnunar, um að honum hafi borið, eftir að rannsókn innan fyrirtækisins hafi leitt í ljós að starfsmaður þess hafi með ólögmætum hætti kynnt sér upplýsingar um fjarskiptanotkun stefndu, A, að upplýsa hana um að fjarskiptaleynd hafi verið rofin gagnvart henni. Óumdeilt er í málinu að rannsókn innan stefnanda leiddi í ljós að starfmaður fyrirtækisins hefði með ólögmætum hætti kynnt sér upplýsingar um fjarskiptanotkun stefndu, A, og að henni var ekki tilkynnt um þá niðurstöðu.

Ákvörðun stefnda, Póst- og fjarskiptastofnunar, miðar að því að stefnandi hafi gerst brotlegur við 1. mgr. 47. gr. laga nr. 81/2003 þar sem gert er ráð fyrir tilkynningaskyldu til áskrifenda í þeim tilvikum að sérstök hætta sé á að leynd fjarskipta á tilteknu neti verði rofin. Stefnandi telur skilyrði ákvæðisins ekki vera uppfyllt í málinu. Til þess að það eigi við þurfi þrjú skilyrði að vera uppfyllt; um þurfi að vera að ræða yfirvofandi hættu á rofi á leynd fjarskipta í nánustu framtíð, hættan þurfi að ná til tiltekins fjarskiptanets, en ekki geti verið um að ræða einstök símanúmer, og tilkynningaskyldan nái til tiltekins hóps áskrifenda sem noti hið tiltekna fjarskiptanet.

Stefnandi telur að framangreint ákvæði geti ekki átt við um atburði sem þegar eru liðnir, heldur vísi það til framtíðar með orðalaginu um að hætta sé á að leynd verði rofin. Stefndi, Póst- og fjarskiptastofnun, byggir á því að ákvæðið nái einnig til tilvika þar sem brot sé þegar hafið eða hafi þegar átt sér stað. Í frumvarpi til laga nr. 39/2007 sem breyttu lögum nr. 81/2003 kemur fram í umsögn um 9. gr. frumvarpsins að 47. gr. laganna geri ráð fyrir skyldu þjónustuveitanda til að upplýsa notendur ef leynd fjarskipta á tilteknu neti er rofin. Virðist löggjafinn samkvæmt þessu líta svo á að tilkynningaskyldan sé til staðar þegar rof fjarskiptaleyndar hefur átt sér stað. Telja verður að svo þröng skýring sem stefnandi leggur í ákvæðið samræmist varla markmiði þess um vernd öruggra fjarskipta. Þá verður jafnframt að líta til þess að stefnandi gerði engar ráðstafanir, vegna kvörtunarinnar um að tiltekinn starfsmaður hans hefði hugsanlega brotið gegn fjarskiptaleynd, sem miðuðu að því að koma í veg fyrir endurtekin brot. Með því að starfsmaðurinn hafi enn verið í sama starfi og aðgangsheimildir hans hafi verið óskertar má því líta svo á að hætta á rofi hafi enn verið til staðar.

Stefnandi vísar til þess að það að umrædd hætta þurfi að ná til leyndar fjarskipta á tilteknu fjarskiptaneti merki að eitt tiltekið símanúmer sé ekki nægjanlegt til að fullnægja skilyrðum ákvæðisins. Ekki verður fallist á framangreinda túlkun stefnanda, enda er um að ræða upplýsingar um umferð á fjarskiptaneti sem ætla verður að falli undir ákvæðið, sbr. skilgreiningu í 3. gr. laganna. Þá getur fjöldi símanúmera ekki haft áhrif á þá niðurstöðu.

Í 3. málslið 1. mgr. 47. gr. er gert ráð fyrir að „áskrifendur“ séu upplýstir um hættuna. Ekki verður séð að nein rök standi til þess að túlka ákvæðið svo að það nái ekki til einstaks áskrifanda. Ákvæðinu er ætlað að vernda alla áskrifendur og verður ekki séð að til þess að falla þar undir þurfi einhvern tilskilinn lágmarksfjölda. Verður túlkun stefnda, Póst- og fjarskiptastofnunar, á 3. málslið 1. mgr. 47. gr. laga nr. 81/2003 því ekki talin ólögmæt eða gegn orðalagi ákvæðisins.

Í 2. mgr. ákvörðunar stefnda, Póst- og fjarskiptastofnunar, er jafnframt byggt á 15. gr. reglna nr. 1221/2007 um vernd upplýsinga í almennum fjarskiptanetum. Stefnandi hafnar því að ákvörðunin byggist á þessu ákvæði þar sem það eigi ekki við í málinu. Samkvæmt ákvæðinu skal tilkynna viðskiptavinum um þau öryggisatvik sem valda truflunum á samfelldri fjarskiptaþjónustu, ef leynd á tilteknu fjarskiptaneti eða upplýsingar viðskiptavina eru í stórfelldri hættu af völdum öryggishættu í fjarskiptanetum. Með vísan til framangreindra röksemda varðandi 3. málslið 1. mgr. 47. gr. laga nr. 81/2003 verður málsástæðum stefnanda varðandi þetta ákvæði einnig hafnað.

Þá byggir stefnandi á því að framangreindar reglur eigi ekki við þar sem þær hafi ekki verið í gildi á þeim tíma sem atvik þau sem kvörtun stefndu, A, er sprottin af hafi átt sér stað. Umræddar reglur tóku gildi 1. júlí 2008. Kvörtun stefndu, A, er dagsett 22. september 2008 og árituð um móttöku 2. október sama ár. Telja verður að þar sem reglurnar hafi verið í gildi þegar kvörtun stefndu, A, barst hafi stefnanda borið að fylgja þeim í starfsemi sinni. Þá beindist kvörtunin að síðustu mánuðunum áður en kvörtunin var send og laut því ekki eingöngu að tímabili fyrir gildistöku reglnanna.

Stefnandi hefur vísað til þess að þagnarskylduákvæði laga nr. 81/2003 hafi komið í veg fyrir að hægt væri að tilkynna stefndu, A, um brot á fjarskiptaleynd gagnvart henni, en honum hafi eingöngu verið heimilt að afhenda slík gögn til lögreglu eða ákæruvalds, sbr. 3. mgr. 42. gr. laga nr. 81/2003. Ekki verður séð að ákvæðið kom í veg fyrir að áskrifanda verði tilkynnt um það hvort fjarskiptaleynd hafi verið rofin gagnvart honum sjálfum, en þagnarskyldan lýtur að óviðkomandi aðilum.

Í ákvörðun stefnda, Póst- og fjarskiptastofnunar, kemur fram það mat stofnunarinnar að stefnandi hefði átt að tilkynna málið til lögreglu, án þess að það mat sé tilgreint í ákvörðunarorði. Óumdeilt er að stefnanda ber ekki lagaskylda til þess að tilkynna ætluð brot starfsmanna til lögreglu. Þessi athugasemd stefnda þykir þó ekki þess eðlis að hún geti talist verulegur annmarki á ákvörðuninni sem valdið geti ógildingu hennar.

Samkvæmt öllu framangreindu verður ekki talið að ákvörðun stefnda, Póst- og fjarskiptastofnunar, skorti lagastoð eða sé að öðru leyti haldin verulegum annmarka og verða stefndu því sýknuð af kröfu stefnanda.

Með vísan til 130. gr. laga nr. 91/1991 um meðferð einkamála þykir rétt að málskostnaður milli stefnanda og stefnda, Póst- og fjarskiptastofnunar, falli niður, en stefnandi greiði stefndu, A, 600.000 krónur í málskostnað.

B-kvk-nf B-kvk-nf, settur héraðsdómari, kveður upp þennan dóm.

D Ó M S O R Ð:

Stefndu, Póst- og fjarskiptastofnun og A, eru sýkn af kröfu stefnanda, Símans hf.

Málskostnaður milli stefnanda og stefnda, Póst- og fjarskiptastofnunar, fellur niður. Stefnandi greiði stefndu, A, 600.000 krónur í málskostnað.

B-kvk-nf B-kvk-nf