E-373/2015

Mál þetta, sem dómtekið var 13. maí 2016, var þingfest 5. febrúar 2015 af hálfu A [..., ...], á hendur Fjarskiptum hf., Skútuvogi 2, Reykjavík.

Stefnandi krefst þess að stefndi verði dæmdur til að greiða honum 8.424.500 krónur auk vaxta samkvæmt 1. mgr. 8. gr. laga nr. 38/2001 um vexti og verðtryggingu frá 30. nóvember 2013 til 5. febrúar 2015 og með dráttarvöxtum samkvæmt 1. mgr. 6. gr. sömu laga frá 5. febrúar 2015 til greiðsludags. Þá krefst stefnandi málskostnaðar úr hendi stefnda.

Stefndi krefst sýknu af öllum kröfum stefnanda og málskostnaðar úr hendi stefnanda að skaðlausu.

Þinghöld eru lokuð og nafnleynd haldin við meðferð málsins, sbr. a-lið 1. mgr. 8. gr. laga nr. 91/1991.

Yfirlit málsatvika og ágreiningsefna

Stefndi er fjarskiptafyrirtæki sem veitir þjónustu undir nafninu Vodafone, þar á meðal símaþjónustu. Stefndi hefur einnig haldið úti vefsíðunni vodafone.is og bauð viðskiptavinum sínum aðgang að þjónustu á vefsíðunni sem nefndist ,,Mínar síður“. Á ,,Mínum síðum“ gátu viðskiptavinir stefnda meðal annars sent SMS-skeyti í farsíma, varðveitt send skeyti og meðhöndlað þau.

Við sendingu á SMS-skeytum á ,,Mínum síðum“ var texti skeytisins ritaður í þar til gerðan reit og þar undir birtist meðal annars reiturinn ,,Vista í skeyta sögu“, sem var fyrir fram hakað við. Við hliðina á þeim reit birtist ,,senda“ hnappur um leið og fyrsti stafur nýs skeytis var skrifaður. Neðar á síðunni birtist svonefnd ,,skeytasaga“, ásamt fjölda skeyta, sem var listi yfir vistuð skeyti, dagsetningu þeirra, tímasetningu, fyrsta 21 staf skeytanna, fjölda viðtakenda og kostnað við sendingu þeirra. Óumdeilt er að SMS-skeyti, sem send voru í gegnum ,,Mínar síður“, voru vistuð ótímabundið nema sendandi tæki út hakið við reitinn ,,Vista í skeyta sögu“ þegar hann sendi skeyti.

Aðfaranótt 30. nóvember 2013 braust óþekktur ,,tölvuþrjótur“ inn á vefsíðu stefnda með því að notfæra sér, að sögn stefnda, ,,áður óþekktan veikleika í öryggi vefsíðunnar“. Tölvuþrjóturinn afritaði vistuð SMS-skeyti sem notendur ,,Minna síðna“, þar á meðal stefnandi, höfðu sent sem og vistuð skeyti sem höfðu verið send af öðrum notendum ,,Minna síðna“, og gerði skeytin aðgengileg öllum almenningi á internetinu ásamt upplýsingum um símanúmer sendanda og móttakanda. Stefndi kveðst þegar hafa ræst út viðbragðsteymi sem hafi tekið niður vefsíðu stefnda og lokað öllum aðgangi. Þá hafi ,,færustu öryggissérfræðingar landsins“ verið kvaddir til, sem og sérfræðingar frá Vodafone Global. Netöryggissveit samkvæmt reglugerð nr. 475/2013 hafi verið tilkynnt um málið strax árla morguns. Um leið og stefnda hafi orðið ljóst að tölvuþrjóturinn hefði tekið gögn ófrjálsri hendi hafi hann sett af stað átak til að láta alla viðskiptavini sína vita sem hafi átt gögn sem tölvuþrjóturinn hafi stolið og birt.

Fyrstu daga desembermánaðar 2013 sendi stefndi tölvubréf til viðskiptavina sinna sem voru með skráð netfang á ,,Mínum síðum“ og sendi frá sér fréttatilkynningu. Þar kemur m.a. fram að meðal stolinna gagna hafi verið 79 þúsund SMS-skeyti, notendanöfn og lykilorð að ,,Mínum síðum“. SMS-skilaboðin hafi verið send með SMS-þjónustu á heimasíðu stefnda á tímabilinu 1. desember 2010 til 30. nóvember 2013. SMS-skeytin hafi verið send af 5.100 aðilum, þar af hafi 2.500 viðskiptavinir aðeins sent ein skilaboð. Af þessum fjölda hafi um 60 þúsund skilaboð verið almennar þjónustutilkynningar sem hafi verið sendar af félagasamtökum eða litlum þjónustuaðilum, svo sem tannlæknum og hárgreiðslustofum. Fjarskiptalög kveði ,,skýrt á um að varðveisla gagna lengur en 6 mánuði er óheimil. Ljóst er að stór hluti hinna stolnu gagna var eldri en það og ber [stefndi] fulla ábyrgð á því.“ Ástæðum þessa var lýst þannig að á heimasíðunni væri viðskiptavinum boðið að vista send SMS-skilaboð en hægt væri að afþakka vistunina með því að taka út hak í reitnum ,,Vista í samskiptasögu“. Þetta fyrirkomulag á heimasíðunni væri ,,gallað og í því felast mistök“ stefnda.

Stefndi kveðst áður hafa sætt tilraunum ,,tölvuþrjóta“ til að brjótast inn á vefsíðu stefnda. Stefndi lýsir því að 7. mars 2012 hafi tölvuþrjóti tekist að skipta um útlit á vefsíðu stefnda. Í kjölfarið kveðst stefndi hafa gert sérstaka öryggisúttekt á vefsíðunni og aukið við varnir hennar. Hinn 13. mars 2012 hafi tölvuþrjótur reynt að gera slíkt hið sama en þá hafi uppfærðar varnir stefnda haldið og hafi tölvuþrjótnum því ekki tekist ætlunarverk sitt. Stefndi segist hafa tekið þátt í evrópskri netöryggisæfingu á vegum opinberra aðila. Þar hafi verið sviðsett öryggisatvik, þau meðhöndluð, viðbrögð samræmd og miðlun upplýsinga æfð. Starfsmenn stefnda hafi með því meðal annars fengið sérstaka þjálfun í að bregðast við öryggisógn. Að sögn stefnda gerðu ,,færustu sérfræðingar“ öryggisúttekt á vefsíðu stefnda í janúar 2013. Hinn 3. maí 2013 hafi tölvuþrjóti aftur tekist að valda skemmdum á vefsíðu stefnda. Tilvikið hafi varðað afmarkaðan hluta hennar og stefndi hafi álitið það síður alvarlegt en tilvikið 7. mars 2012. Stefndi kveður öryggi vefsíðunnar þá hafa verið yfirfarið og varnir hennar auknar. Reglugerð nr. 475/2013 um málefni CERT-ÍS netöryggissveitar tók gildi 1. júní 2013. Stefndi kveðst hafa átt ágætt samstarf við sveitina vegna fjarskiptastarfsemi sinnar. Stefndi hafi til dæmis tilnefnt sérstakan tengilið við netöryggissveitina til að tryggja að sveitin gæti haft samband við stefnda. Haustið 2013 segist stefndi hafa tekið þátt í fyrstu innanlandsæfingunni í netöryggi á vegum netöryggissveitar. Starfsmenn stefnda hafi þar aftur fengið sérstaka þjálfun í að bregðast við ógn við öryggi.

Stefnandi kveðst hafa starfað fram til ársins 2013 sem [...], en hann hafi verið eigandi og framkvæmdastjóri [...]. Stefndi veitti [...] fjarskiptaþjónustu á grundvelli samnings þar um frá 2. júlí 2010. Símanúmer stefnanda hjá stefnda var [...]. Stefnandi krefst í máli þessu bóta frá stefnda vegna þess að hann var meðal þeirra viðskiptavina stefnda sem urðu fyrir því að SMS-skeytum, sem þá vörðuðu, var stolið og þau gerð aðgengileg á internetinu af hinum óþekkta tölvuþrjóti. Stefnandi kveðst hafa sent eða tekið á móti samtals um það bil 3.400 smáskilaboðum frá vefsvæði stefnda. Samkvæmt frásögn stefnda hafði stefnandi sjálfur sent frá ,,Mínum síðum“ og vistað þar að minnsta kosti 2.814 smáskilaboð.

Stefnandi kveður að efni smáskilaboðanna megi í aðalatriðum skipta í eftirfarandi flokka: Í fyrsta lagi samskipti stefnanda og kvenna sem hann átti í kynnum við í kjölfar þess að eiginkona hans lést [...]. Langflest smáskilaboðanna séu á milli stefnanda og konu sem hann hafi átt í kynnum við á árunum 2010-13. Smáskilaboð stefnanda til konunnar hafi verið skráð send frá símanúmeri hans [...] en smáskilaboð konunnar til hans frá símanúmerum hennar, þar á meðal símanúmerunum [...] og [...]. Smáskilaboðin teljist til einkalífs stefnanda, en í langflestum tilvikum fjalla þau um samband þeirra tveggja, þar á meðal um sambandserfiðleika og framtíð sambandsins. Þá fjalli þau um kynlíf og atriði sem tengist því, meðal annars lýsingar á kynlífi og kynlífslöngunum, upplýsingar um aðra rekkjunauta og notkun kynlífshjálpartækja og lyfja. Jafnframt komi fram ásakanir beggja um framhjáhald, ásakanir hennar um misnotkun stefnanda á áfengi og ásakanir hans um misnotkun hennar á áfengi og lyfjum. Þá komi fram að stefnandi telji sig þjást af þunglyndi og misnota áfengi í kjölfar fráfalls eiginkonu sinnar og að hann hafi leitað læknis vegna þess. Þá komi fram viðkvæmar upplýsingar um samskipti stefnanda við börn sín og tengdafjölskyldu, samstarfsfólk og aðra einstaklinga, sem stefnandi hafi átt í persónulegum samskiptum við. Einnig sé að finna smáskilaboð stefnanda og annarra kvenna sem hann hafi stofnað til kynna við. Í umræddum smáskilaboðum sé t.d. fjallað um stefnumót, kynlíf og fleiri atriði sem heyra til einkalífs stefnanda. Í öðru lagi samskipti stefnanda við fjölskyldu, þar á meðal börn stefnanda, samstarfsfólk, lögmann, lækni og fleiri einstaklinga. Þar komi t.d. fram upplýsingar um fjárhagsmálefni og ökuréttindasviptingu stefnanda og samskipti hans við lögmann af því tilefni. Einnig sé um að ræða samskipti stefnanda við son sinn og dóttur sem lýsi erfiðleikum í samskiptum þeirra. Í þriðja lagi sé um að ræða samskipti stefnanda sem beinist að öðrum atriðum en einkalífi stefnanda. Stefnandi kveður langflest smáskilaboðanna fela í sér samskipti um einkalíf sitt. Meira en tíu þúsund aðilar hafi hlaðið niður þeirri tölvuskrá sem innihélt smáskilaboðin á fyrsta degi eftir að hún var vistuð á erlendum netþjónum og fleiri hafi fylgt í kjölfarið næstu daga á eftir. Frá þeim tíma hafi reglulega birst á samfélagsmiðlum og vefsvæðum skilaboð sem stefnandi sendi eða tók á móti.

Í bréfi lögmanns stefnda til lögmanns stefnanda 16. janúar 2014 var því hafnað að stefndi hefði brotið gegn lögum um fjarskipti nr. 81/2003 eða lögum um persónuvernd og meðferð persónuupplýsinga nr. 77/2000. Aðrir viðskiptavinir stefnda beindu kvörtun til Póst- og fjarskiptastofnunar vegna þessara atvika. Póst- og fjarskiptastofnun framsendi erindin til Persónuverndar, þannig að fyrrnefnda stofnunin tók til umfjöllunar öryggi umræddra gagna, en síðarnefnda stofnunin kannaði lögmæti varðveislu þeirra persónuupplýsinga sem gögnin hefðu að geyma. Með ákvörðun Póst- og fjarskiptastofnunar nr. 1/2014, 24. mars 2014, komst stofnunin að þeirri niðurstöðu að sendikerfið sem flytur merki af vefsvæði stefnda, vodafone.is, yfir í SMS-miðlara í farsímakerfi stefnda, teldist vera fjarskiptanet í skilningi 13. tl. 3. gr. laga nr. 81/2003. Einnig að sú þjónusta sem veitt væri á vefsvæði stefnda, vodafone.is, sem fæli í sér sendingu smáskilaboða af „Mínum síðum“ yfir í farsíma, teldist vera fjarskiptaþjónusta í skilningi 15. tl. 3. gr. sömu laga og að sá hluti fjarskiptanets sem miðli merkjum af vefsvæði stefnda, vodafone.is, yfir í SMS-miðlara í farsímakerfi félagsins og veiti viðskiptavinum þess sem tengist „Mínum síðum“ með símanúmeri sínu slíkan aðgang, teldist hluti af almennu fjarskiptakerfi stefnda í skilningi 5. tl. 3. gr. laga nr. 81/2003. Stefndi kærði ákvörðunina til úrskurðarnefndar fjarskipta- og póstmála, sem staðfesti hana með úrskurði í máli nr. 3/2014, 11. október 2014. Stefndi hefur höfðað mál á hendur Póst- og fjarskiptastofnun og krefst þess að umræddur úrskurður úrskurðarnefndarinnar verði ógiltur með dómi. Niðurstaða í því máli liggur enn ekki fyrir. Persónuvernd upplýsti 28. maí 2014 um þá úrskurði sína í sjö málum að varðveisla stefnda á persónuupplýsingum, þ.m.t. SMS-skeytum sem kvartendur sendu af vefsíðu fyrirtækisins og birt voru á netinu í kjölfar innbrots í tölvukerfi stefnda, samrýmdist ekki lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga.

Stefnandi kom fyrir dóm og gaf aðilaskýrslu við aðalmeðferð málsins.B, stjórnarformaður stefnda, gaf einnig aðilaskýrslu. Þá gáfu einnig skýrslur vitnin C, D, E sálfræðingur, F, fyrrverandi forstjóri stefnda, G, framkvæmdastjóri tæknisviðs stefnda, H, yfirmaður netkerfis stefnda, I, framkvæmdastjóri sölu- og þjónustusviðs stefnda, J, yfirmaður notendakerfis stefnda, K, starfsmaður í deild vöru- og viðskiptastýringar fyrir heildsölulausnir hjá stefnda, L, fyrrum lögfræðingur hjá stefnda, M og N, bæði stjórnarmenn stefnda. Verður vitnað til framburðar þeirra eftir því sem þurfa þykir.

Málsástæður og lagarök stefnanda

Stefnandi byggir á því að stefndi beri skaðabótaábyrgð á því tjóni sem hann hafi orðið fyrir við það að óviðkomandi aðili fékk aðgang að smáskilaboðum stefnanda og tölvuskrá með þeim hafi í kjölfarið verið gerð opinber. Stefnandi byggir á því að hann hafi mátt treysta því að óviðkomandi aðilar gætu ekki nálgast smáskilaboð sem hann hafi sent eða tekið á móti í tölvu- og fjarskiptakerfi stefnda.

Stefndi hafi ekki hegðað sér í samræmi við þær kröfur sem gerðar séu að lögum til fjarskiptafyrirtækja. Athafnir og athafnaleysi stefnda hafi falið í sér saknæma og ólögmæta háttsemi. Í fyrsta lagi hafi smáskilaboðin verið vistuð lengur en heimilt sé. Smáskilaboðin hafi öll verið eldri en sex mánaða. Stefndi hafi því brotið gegn 1., sbr. 3. mgr. 42. gr. laga nr. 81/2003, um fjarskipti. Í öðru lagi hafi smáskilaboðin verið vistuð án þess að afla samþykkis stefnanda og án þess að honum væri það ljóst. Með þessu hafi stefnandi brotið gegn 4. mgr. 47. gr. laganna, sbr. 1. mgr. 5. gr. reglna nr. 1221/2007, um vernd upplýsinga í almennum fjarskiptanetum. Háttsemin hafi jafnframt farið á svig við 7. tl. 2. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, og almennar reglur um friðhelgi einkalífs. Í þriðja lagi hafi stefndi ekki gert viðeigandi ráðstafanir til að verja smáskilaboðin gegn því að óviðkomandi fengi aðgang að þeim. Stefndi hafi því meðal annars brotið gegn 1. mgr. 47. gr. laga nr. 81/2003 og 4. gr. reglna nr. 1221/2007. Í fjórða lagi hafi stefndi ekki gert ráðstafanir til að tryggja öryggi smáskilaboðanna og upplýsinga um sendanda og móttakanda þeirra, fengi óviðkomandi aðgang að þeim. Slíkar ráðstafanir hefðu meðal annars getað falist í því að dulkóða smáskilaboðin og upplýsingarnar. Með athafnaleysi sínu hafi stefndi brotið gegn 1. mgr. 47. gr. laga nr. 81/2003 og 4. gr. reglna nr. 1221/2007. Í fimmta lagi hafi stefndi ekki lokað þeim hluta tölvu- og fjarskiptakerfisins þar sem tölvuskrá með smáskilaboðunum var vistuð um leið og upp hafi komist að óviðkomandi hafi reynt að opna eða hafði opnað aðgang að honum. Stefnandi byggir á því að koma hefði mátt í veg fyrir aðgang hins óviðkomandi aðila að smáskilaboðunum, hefði stefndi brugðist við þegar í stað. Þess í stað hafi stefndi ákveðið að hafa umræddan hluta tölvu- og fjarskiptakerfisins áfram opinn og lýsa því yfir að engum upplýsingum hefði verið stolið. Í sjötta lagi hafi stefndi engar ráðstafanir gert, í samráði við þar til bæra aðila hér á landi, til að loka fyrir aðgang innlendra aðila að hinu erlenda vefsvæði þar sem tölvuskrá með smáskilaboðunum hafði verið vistuð. Með hinni saknæmu og ólögmætu háttsemi hafi verið brotið gegn friðhelgi einkalífs stefnanda.

Fjarskiptafyrirtæki verði að gera ráð fyrir að upplýsingar sem fari um fjarskiptanet þess, þar á meðal smáskilaboð, kunni að geyma viðkvæmar persónuupplýsingar. Fjarskiptafyrirtæki verði þess vegna að sjá til þess að slíkar upplýsingar séu ekki vistaðar nema samkvæmt heimild í lögum. Séu slíkar upplýsingar á hinn bóginn vistaðar verði fjarskiptafyrirtæki ávallt að gera viðeigandi ráðstafanir gegn því að óviðkomandi fái aðgang að þeim. Þá verði fjarskiptafyrirtæki að dulkóða slíkar upplýsingar í því skyni að tryggja öryggi þeirra, séu ytri öryggisvarnir ófullnægjandi. Að öðrum kosti geti það gert ráð fyrir að upplýsingarnar komist í hendur óviðkomandi aðila og verði gerðar opinberar.

Stefndi beri ábyrgð á tjóni stefnanda, óháð ábyrgð einstakra starfsmanna stefnda, enda beri stefndi ábyrgð á saknæmum og ólögmætum athöfnum og athafnaleysi þeirra á grundvelli reglunnar um húsbóndaábyrgð. Ekki skipti máli hvort aðgangs að þeim upplýsingum sem voru í tölvu- og fjarskiptakerfi stefnda hafi verið aflað með ólögmætum hætti.

Tjón stefnanda felist í því að upplýsingar um einkalíf og einkamálefni hans hafi verið gerðar aðgengilegar almenningi hér á landi. Á annan tug þúsund einstaklinga, að lágmarki, hafi hlaðið niður þeirri tölvuskrá sem hafði að geyma smáskilaboð hans og síðan sent skrána áfram til annarra. Þeir sem hafi hlaðið niður tölvuskránni eða fengið hana senda hafi margir hverjir kynnt sér skilaboð stefnanda og/eða upplýst aðra um efni þeirra. Margir hafi sent valin smáskilaboð áfram með tölvupósti eða í einkaskilaboðum á samfélagsmiðlum. Á þennan hátt hafi einstaklingar sem stefnandi þekki eða kannist við jafnframt fengið upplýsingar um einkalíf hans. Í mörgum tilvikum hafi þeir sem hlóðu niður tölvuskránni birt smáskilaboð stefnanda opinberlega. Stefnandi byggir á því að orsakasamband sé milli hinnar saknæmu og ólögmætu háttsemi og þessarar atburðarásar. Þá sé atburðarásin sennileg afleiðing af hinni saknæmu og ólögmætu háttsemi.

Ekki stoði fyrir stefnda að bera fyrir sig að óviðkomandi aðili hafi með saknæmum og ólögmætum hætti fengið aðgang að tölvuskránni og gert upplýsingar úr henni opinberar. Stefndi hafi mátt gera ráð fyrir að tölvuskráin yrði gerð opinber, fengi óviðkomandi aðili á annað borð aðgang að henni. Það hafi stefndi getað komið í veg fyrir, hefði hann dulkóðað upplýsingarnar.

Verði ekki fallist á ábyrgð stefnda samkvæmt almennu sakarreglunni byggir stefnandi á því að stefndi beri hlutlæga ábyrgð á því tjóni sem hann hafi orðið fyrir. Stefndi beri víðtæka bótaábyrgð án sakar sem vörsluaðili viðkvæmra persónuupplýsinga, sér í lagi þegar litið sé til þess að stefndi hafi vistað upplýsingarnar með ólögmætum og ótryggum hætti. Stefndi hafi mátt gera sér grein fyrir þeirri ábyrgð sem á honum hafi hvílt við vörslu upplýsinganna og þeirri hættu að viðkvæmar persónuupplýsingar sem væru vistaðar í tölvu- og fjarskiptakerfi hans yrðu gerðar opinberar færi svo að óviðkomandi aðili fengi aðgang að kerfinu. Orsakatengsl séu á milli afritunar tölvuskrárinnar úr tölvu- og fjarskiptakerfi stefnda og tjóns stefnanda.

Tjón stefnanda stafi af þeim áhrifum sem rof á friðhelgi einkalífs stefnanda hafi til skemmri og lengri tíma. Í fyrsta lagi lagi hafi það áhrif á möguleika stefnanda til að eignast maka. Hin birtu smáskilaboð hafi valdið því að slitnað hafi upp úr sambandi stefnanda við konu sem hann hafði kynnst eftir að upplýsingarnar urðu opinberar. Þriðji aðili hafi upplýst konuna um smáskilaboðin og hún hafi í kjölfarið slitið sambandinu við stefnanda. Í öðru lagi hafi hin birtu smáskilaboð skaðað samband stefnanda við börn hans, móður, systkini og tengdaforeldra. Í þriðja lagi valdi hin birtu smáskilaboð því að útilokað sé fyrir stefnanda að starfa sjálfstætt sem [...]. Stefnandi starfi nú sem [...] en hafi áður rekið [...]. Stofni stefnandi að nýju [...] muni upplýsingar um hann verða dregnar fram og á þann hátt notaðar til að sverta mannorð hans og koma höggi á hann. Í fjórða lagi hafi hin birtu smáskilaboð gert stefnanda ókleift að bjóða sig fram til félags- og trúnaðarstarfa. Geri stefnandi það muni upplýsingar um hann verða dregnar fram og notaðar til að sverta mannorð hans og koma höggi á hann.

Krafa stefnanda sé í fyrsta lagi um miskabætur vegna þess rofs sem hafi orðið á friðhelgi einkalífs hans og þeirra áhrifa sem það hafi haft á hann. Rofið hafi grafið undan sjálfsmynd hans og sjálfstrausti og valdið verulegri vanlíðan. Rofið hafi stuðlað að félagslegri forðun hans og kvíða og dregið úr gæðum daglegs lífs hans. Þá hafi það dregið úr trúverðugleika hans sem [...] og haft víðtækar afleiðingar á líf hans og störf. Vegna þessa krefjist stefnandi miskabóta að fjárhæð 8.000.000 króna. Krafa stefnanda sé í öðru lagi um skaðabætur vegna sálfræðiaðstoðar og kostnaðar við öflun sálfræðiskýrslu. Kostnaður vegna þessa nemi samtals 150.000 krónum vegna sálfræðiaðstoðar sem stefnandi hafi þegar þegið og 149.500 krónum vegna öflunar sálfræðiskýrslu. Stefnandi krefjist jafnframt skaðabóta að fjárhæð 125.000 krónur vegna kostnaðar hans við að leita sér frekari sálfræðiaðstoðar. Alls nemi þessi kostnaður því 424.500 krónum.

Yfirlýsingar og aðgerðir stefnda hafi aukið á tjón stefnanda. Í upphafi hafi stefndi látið að því liggja að hann hygðist rétta hlut stefnanda. Síðar hafi hann viljað bíða ákvörðunar Póst- og fjarskiptastofnunar og úrskurðar úrskurðarnefndar póst- og fjarskiptamála. Þegar á hólminn var komið hafi stefndi hins vegar hafnað því að rétta hlut stefnanda. Af þessum sökum sé stefnandi knúinn til að höfða dómsmál. Með því aukist enn líkurnar á því að efni smáskilaboðanna komist aftur í hámæli.

Stefnandi dragi ekki dul á að hann beri sjálfur ábyrgð á efni þeirra smáskilaboða sem hann sendi í gegnum vefsvæði stefnda. Smáskilaboðin tilheyri hins vegar einkalífi stefnanda og hafi ekki verið á vitorði annarra en sendanda og viðtakanda þeirra. Saknæm og ólögmæt háttsemi stefnda hafi hins vegar leitt til þess að smáskilaboðin hafi orðið opinber.

Leggja verði sönnunarbyrðina á stefnda fyrir því að hann hafi farið að lögum og reglum í starfsemi sinni og gripið til viðeigandi ráðstafana til að tryggja öryggi þeirra upplýsinga sem hafi farið um fjarskiptanet hans. Fyrir liggi ákvörðun Póst- og fjarskiptastofnunar og úrskurður úrskurðarnefndar um póst- og fjarskiptamál sem og ákvörðun Persónuverndar. Í öllum þessum stjórnvaldsúrlausnum sé komist að þeirri niðurstöðu að stefndi hafi brotið gegn lögum og reglum í rekstri sínum.

Engu skipti þótt samningur stefnda um fjarskiptaþjónustu hafi verið við [...]. Stefnandi hafi verið bæði framkvæmdastjóri og eigandi [...] og notandi símanúmersins [...]. Stefndi hafi vitað að stefnandi hafi nýtt fjarskiptaþjónustu stefnda, enda hafi stefnandi undirritað samninginn. Engu skipti um réttarvernd stefnanda þótt lögaðili í hans eigu hafi greitt fyrir þjónustuna. Algengt sé að vinnuveitandi greiði símakostnað starfsmanna sinna.

Lagarök

Stefnandi vísar til almennra reglna skaðabótaréttar, meðal annars sakarreglunnar og ólögfestrar reglu um ábyrgð án sakar. Þá vísar stefnandi til ákvæða skaðabótalaga nr. 50/1993, meðal annars 1. mgr. 26. gr., laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, laga nr. 81/2003, um fjarskipti, og reglna nr. 1221/2007, um vernd upplýsinga í almennum fjarskiptanetum. Krafa um vexti og dráttarvexti styðst við ákvæði laga nr. 38/2001, um vexti og verðtryggingu. Um málskostnað er vísað til 129. og 130. gr. laga, um meðferð einkamála nr. 91/1991.

Málsástæður og lagarök stefnda

Ákvörðun stefnanda um að vista gögn

Stefndi hafnar því að honum hafi verið óheimilt að varðveita vefskilaboð stefnanda og að hann hafi vanrækt að eyða skilaboðunum. Stefndi vísar til þess að það sé óaðskiljanlegur hluti persónuréttar hvers manns að varðveita eigin gögn. Hvorki lög nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, né lög nr. 81/2003, um fjarskipi, svipti menn þessum rétti. Stefnda hafi verið frjálst að veita stefnanda og öðrum notendum „Minna síðna“ þá þjónustu að vista afrit sendra skeyta og reyndar hefði stefnda verið heimilt að ljá stefnanda atbeina til varðveislu hvers kyns persónuupplýsinga, viðkvæmra eður ei. Ýmis fyrirtæki, t.d. gagnaver og hýsingaraðilar, veiti slíka þjónustu án þess að það teljist andstætt 8. og 9. gr. laga nr. 77/2000.

Stefndi andmælir því að 4. mgr. 47. gr. laga nr. 81/2003 og 1. mgr. 5. gr. reglna nr. 1221/2007, um vernd upplýsinga í almennum fjarskiptanetum, eigi við í málinu. Ákvæðin eigi aðeins við um „almenna fjarskiptaþjónustu“, „fjarskiptanet“ og „almenn fjarskiptanet“, en SMS-þjónustan á „Mínum síðum“ falli ekki þar undir. Úrskurðarnefnd fjarskipta- og póstmála sé ósammála þessari afstöðu stefnda. Stefndi hafi ekki unað úrskurði nefndarinnar og hafi höfðað mál 7. apríl 2015 til ógildingar á úrskurðinum. Fari svo að 4. mgr. 47. gr. laga nr. 81/2003 og 1. mgr. 5. gr. reglna nr. 1221/2007 verði talin eiga við þá byggir stefndi á því að ákvæðin standi ekki í vegi þeirri ákvörðun stefnanda að vista SMS-skeytin á vefsíðunni.

Stefndi mótmælir því að 42. gr. laga nr. 81/2003 takmarki heimild til að vista SMS-skeyti. Ákvæðið vísi til gagna um „fjarskiptaumferð“. Hér hafi ekki verið um slíkt að ræða, heldur skeyti sem stefnandi hafi kosið að vista og geyma. Efni skeytanna og geymsla umfram sex mánuði hafi ekki brotið gegn ákvæðinu. Yrði fallist á slíkt yrði raskað raunhæfum möguleikum fólks til að varðveita upplýsingar um einkalíf sitt með aðstoð nútímatækni. Stefndi hafnar því að hann hafi í fyrstu viðurkennt að vistun gagna hafi verið andstæð 42. gr. laga nr. 81/2003 en síðan breytt afstöðu sinni. Stefndi hafi aðeins bent á að gögnin hafi verið vistuð lengur en þann tíma sem 42. gr. mæli fyrir um en um leið útskýrt að ákvörðun um vistunina hafi verið tekin af viðskiptavinum stefnda.

Stefnandi hafi kosið að nýta „Mínar síður“ til að senda og vista að minnsta kosti 2.814 SMS-skeyti sem hafi verið send á tímabilinu 1. desember 2010 til 19. apríl 2013. Stefnanda hljóti að hafa verið vistun skeytanna ljós. Á vefsíðunni hafi birst, í hvert skipti þegar SMS-skeyti hafi verið send, svonefnd „skeytasaga“ ásamt fjölda vistaðra skeyta og lista sem hafi sýnt öll vistuð skeyti, dagsetningu þeirra, tímasetningu, fyrsta 21 staf skeytanna, fjölda viðtakenda og kostnað við sendingu þeirra. Við reit þar sem nýtt skeyti var skrifað hafi einnig verið reitur sem hakað hafi verið í, við upplýsingar um að skeytið yrði vistað í sögunni. Þegar fyrsti stafur nýs skeytis hafi verið skrifaður hafi kviknað „senda“ hnappur við hliðina á því haki sem hafi gert hakið sérstaklega áberandi.

Stefnandi hafi fengið send talsverðan fjölda SMS-skeyta frá öðrum aðilum sem hafi notfært sér SMS-þjónustuna á „Mínum síðum“. Í öllum tilvikum hafi sendendur þeirra skeyta vistað þau í sinni ,,skeytasögu“. Stefnandi geti ekki andmælt þeirri ákvörðun sendenda og eigi hvorki lögvarða hagsmuni um kröfugerð vegna vistunar þeirra né aðild í skilningi 16. gr. laga nr. 91/1991, um meðferð einkamála.

Stefnandi hafi ekki beint kvörtun til Persónuverndar og geti því ekki byggt á neinum úrskurði stofnunarinnar. Mál stefnanda sé að umfangi ólíkt þeim málum sem tekin hafi verið til úrskurðar og niðurstaða hefði því orðið önnur. Stefndi mótmæli þeirri niðurstöðu Persónuverndar að vistun á „Mínum síðum“ hafi ekki farið fram með samþykki notenda síðnanna í skilningi laga nr. 77/2000, um persónuvernd og verndun persónuupplýsinga. Þá hafi gögnin sem Persónuvernd byggði sína ályktun á verið ófullnægjandi. Stofnunina hafi vantað viðhlítandi skjámyndir „Minna síðna“ og hafi ekki framkvæmt skoðun á vettvangi.

Reifun málsins sé áfátt. Stefnandi geti ekki samtímis byggt annars vegar á tilgreindum ákvæðum IX. kafla laga nr. 81/2003 og reglna nr. 1221/2007 og hins vegar á lögum nr. 77/2000.

Stefndi kveður ákvæði IX. kafla laga nr. 81/2003 og reglur nr. 1221/2007 vera sérákvæði um persónuvernd sem gangi framar ákvæðum laga nr. 77/2000. Telji dómurinn að hin vistuðu SMS-skeyti falli undir sérákvæðin falli málið utan valdsviðs Persónuverndar en innan valdsviðs Póst- og fjarskiptastofnunar, sbr. 2. mgr. 2. gr. laga nr. 81/2003.

Hæfilegar og viðeigandi öryggisráðstafanir og forsvaranleg viðbrögð

Stefndi hafnar því að hann hafi ekki gert hæfilegar ráðstafanir til að tryggja öryggi vistaðra SMS-skeyta gagnvart innbroti tölvuþrjóta og ekki brugðist forsvaranlega við innbrotinu. Stefndi hafi ekki sýnt af sér sök og starfsmenn hans hafi gætt þeirra varúðarráðstafana og brugðist við líkt og krafa verði gerð um. Stefnandi leiði rétt sinn til símanúmersins [...]af samningi milli [...] og stefnda frá 2. júlí 2010. Af því leiði að bótaskylda stefnda takmarkist við þau tilvik þegar hann hafi sýnt af sér „stórkostlega vanrækslu“, sbr. 5. gr. samningsins. Breyti þá engu hvort SMS-þjónustan á „Mínum síðum“ teljist „fjarskiptaþjónusta“ eða ekki. Þá mótmælir stefndi því að hlutlæg ábyrgð eða öfug sönnunarbyrði eigi við í málinu.

Stefndi andmælir því að auknar kröfur samkvæmt 1. mgr. 47. gr. laga nr. 81/2003 og 4. gr. reglna nr. 1221/2007, um öryggisráðstafanir til verndar upplýsingum umfram þær sem leiðir af lögum nr. 77/2000, eigi við í þessu máli, enda teljist SMS-skeytaþjónustan ekki „almenn fjarskiptaþjónusta“, „fjarskiptanet“ eða „almennt fjarskiptanet“. Telji dómurinn að þjónustan falli undir 1. mgr. 47. gr. laga nr. 81/2003 og reglur nr. 1221/2007 byggir stefndi á því að öryggi vefsíðu hans hafi allt að einu fullnægt þeim kröfum sem þar séu gerðar. Stefndi hafi ítrekað leitað veikleika í öryggi vefsíðunnar, m.a. með aðstoð færustu sérfræðinga, en veikleikinn sem tölvuþrjóturinn nýtti hafi aldrei fundist. Ekkert í málinu bendi til þess að öryggi vefsíðu stefnda hafi verið óhæfilegt miðað við áhættu eða verið lakara en öryggi aðgangs að öðrum samsvarandi vefsíðum. Ekkert í málinu bendi til þess að samsvarandi gögn á öðrum vefsíðum hafi almennt verið varin með dulkóðun að aðgangsvörnum slepptum. Málatilbúnaður stefnanda sé vanreifaður að þessu leyti, þar sem hann geri hvorki grein fyrir því tæknistigi sem hann vilji miða við né kostnaði við það.

Stefnandi vísi ekki til neinna settra laga eða reglna því til stuðnings að viðbrögð stefnda við innbroti tölvuþrjótsins hafi verið óforsvaranleg. Stefndi vísar til þess að í upphafi hafi ríkt „margs konar óvissa“ og því hafi þurft að „afla frekari upplýsinga um atvikið til að geta metið umfang vandamálsins“, líkt og netöryggissveit hafi bent á. Þetta hafi verið sérstaklega erfitt hér því tölvuþrjóturinn hafi gert ráðstafanir til „að eyða slóð sinni og eyðileggja“ vefsíðuna. Þess vegna hafi stefndi ekki getað séð að gögnum hefði verið stolið fyrr en „nokkrum klukkustundum seinna“ þegar tölvuþrjóturinn hafi birt gögnin á internetinu. Eins og netöryggissveit hafi bent á hafi stefndi kallað til „færustu“ sérfræðinga í netöryggi. Öll viðbrögð hafi verið til samræmis við þetta. Stefndi hafi strax orðið var við innbrotið, hafi þegar hafist handa við að greina ástæður þess og umfang, og brugðist við með þeim mótaðgerðum sem gerð verði krafa til. Þær aðgerðir, sem stefnandi haldi fram að stefndi hafi átt að ráðast í, séu ýmist óraunhæfar eða ekki á færi stefnda.

Stefndi hafi sent netöryggissveit tilkynningu um innbrotið kl. 8:27 að morgni 30. nóvember 2013. Netöryggissveitin hafi hins vegar ekki verið með „sólarhrings- eða helgarvakt“ á netfanginu sem tilkynningin var send á. Netöryggissveit hafi hins vegar talið ástæðulaust að koma að annarri tæknilegri greiningarvinnu en þeirri að „greina hin stolnu gögn og meta þær upplýsingar sem bárust“ frá stefnda. Þá hafi sveitin hvorki talið atvikið „útbreitt“ né vána beinast að fleiri aðilum. Sveitin hafi hins vegar þurft að veita ráðleggingar til annarra sem hafi rekið „óskyld kerfi“ og hafi haft „áhyggjur af eigin kerfum“. Annað, en ótengt, öryggisatvik hafi síðan orðið hjá öðru fyrirtæki 2. desember 2013 og þá hafi sveitin verið „meira vakandi en ella vegna undangenginna atburða“.

Enginn réttur til bóta

Stefndi byggir á því að bótaréttur stefnanda takmarkist við „beint tjón“, sbr. 5. gr. samningsins frá 2. júlí 2010. Stefnandi geri engar kröfur sem geti talist varða „beint tjón“. Stefndi telur að umkrafið tjón stefnanda geti ekki talist sennileg afleiðing af veikleika í vörnum á vefsvæði stefnda. Innbrot tölvuþrjótsins og birting hans á umræddum gögnum hafi verið refsiverð, sbr. t.d. 228., 229. og 257. gr. almennra hegningarlaga nr. 19/1940. Útburður hinna umdeildu gagna af öðrum hafi einnig verið refsiverður, sbr. t.d. 229. gr. almennra hegningarlaga. Afleiðingar slíkra refsiverðra brota geti ekki talist sennileg afleiðing í skilningi almennu sakarreglunnar. Yrði fallist á slíkt græfi það undan réttarskipaninni, enda geti allir vænst þess, og eigi beinlínis kröfu til þess, að aðrir virði refsilöggjöfina.

Krafa stefnanda um miskabætur byggi sýnilega á b-lið 1. mgr. 26. gr. skaðabótalaga nr. 50/1993. Stefndi mótmælir því að háttsemi hans verði álitin ólögmæt meingerð gegn persónu stefnanda.

Krafa stefnanda um skaðabætur að fjárhæð 150.000 krónur, vegna sálfræðiaðstoðar sem hann hafi þegar aflað sér og um skaðabætur að fjárhæð 125.000 krónur vegna sálfræðiaðstoðar sem hann segist eiga eftir að afla sér, geti ekki talist fjártjón í hefðbundnum skilningi. Hafi innbrot tölvuþrjótsins valdið stefnanda sálarangist með tilheyrandi sálfræðiaðstoð hlyti slíkt að teljast miski. Krafa um skaðabætur að fjárhæð 149.500 krónur vegna öflunar sálfræðiskýrslu teljist réttilega til málskostnaðarkröfu stefnanda samkvæmt g-lið 129. gr. laga nr. 91/1991, um meðferð einkamála.

Stefndi mótmælir fjárhæð miskabótakröfu stefnanda sem ekki sé í neinu samhengi við dómaframkvæmd um ákvörðun miskabóta í til muna alvarlegri tilvikum. Stefnandi hafi þegar átt við ýmis vandamál að stríða þegar tölvuþrjóturinn braust inn á vefsíðuna. [...], sem hann hafi átt og rekið, hafi verið tekið til gjaldþrotaskipta [...]. Stefnandi hafi átt við „áfengisánetjun“ að glíma og verið í „tilfinningalegu ójafnvægi“, að því er fram komi í skýrslu sálfræðings og jafnframt megi álykta af öðrum gögnum. Líkt og stefnandi viðurkenni sjálfur í stefnu beri hann ábyrgð á efni SMS-skeytanna. Þá hafi gögn sem birtust á internetinu í kjölfar innbrotsins yfirleitt verið ótengd nafni og hafi verið tekin niður fljótt í kjölfarið. Þá kunni stefnandi að eiga sjálfstæðan bótarétt gagnvart þeim sem hafi brotið á honum og borið út gögnin til almennings undir nafni. Hafi stefnandi orðið fyrir miska vegna alls þessa geti stefndi ekki verið ábyrgur fyrir því. Leiði sjónarmið um orsakatengsl og sennilega afleiðingu ekki til brottfalls bótaréttar, leiði þau að minnsta kosti til lækkunar bótafjárhæðar. Þá geti stefnandi ekki átt rétt til bóta vegna skeyta sem aðrir hafi sent honum og hafi verið vistuð á svæði sendanda á „Mínum síðum“. Loks verði að horfa til þess við ákvörðun bóta að gerandinn í málinu sé tölvuþrjóturinn en ekki stefndi.

Lagarök

Stefndi vísar einkum til laga nr. 81/2003, reglna nr. 1221/2007 og laga nr. 77/2000. Einnig er vísað til laga nr. 91/1991, um meðferð einkamála. Varðandi kröfu um málskostnað er vísað til 129. og 130. gr. sömu laga.

Niðurstaða

Stefnandi krefst í máli þessu bóta vegna fjártjóns og miska sem hann hafi orðið fyrir sökum þess að upplýsingar sem hann varða urðu aðgengilegar á internetinu í kjölfar innbrots á vefsvæði stefnda þar sem upplýsingarnar var að finna. Stefnandi telur stefnda bera bótaábyrgð á tjóni sínu vegna þess að stefndi hafi með saknæmri og ólögmætri háttsemi varðveitt gögn með viðkvæmum persónuupplýsingum og án þess að gera viðeigandi öryggisráðstafanir til að vernda þau gögn, en stefnandi hafi mátt treysta því að óviðkomandi aðilar gætu ekki nálgast SMS-skilaboð sem hann sendi eða tók á móti í tölvu- og fjarskiptakerfi stefnda.

Svo sem rakið er í sérstökum kafla um málsatvik hér að framan var ráðist inn á vefsvæði Vodafone, sem stefndi rekur, 30. nóvember 2013 og stolið þaðan miklu magni viðkvæmra upplýsinga. Samkvæmt skjölum málsins hafði verið boðið upp á sendingu SMS-skilaboða frá vefsvæðinu í fjölmörg ár, en með tilkomu vefsvæðisins „Mínar síður“ árið 2010 gátu viðskiptavinir fengið eigin aðgang þar sem þeir gátu vistað send SMS-skilaboð á vefsvæðinu. Vefsvæðið var smíðað með PHP-forritunarmálinu og gögn geymd í MySQL-gagnagrunni sem staðsettur var á vefsvæðinu (DMZ). Vefsvæðið varð fyrir nokkrum árásum á árunum 2012 og 2013 þar sem árásaraðilinn breytti m.a. útliti vefsíðna en árásirnar ollu ekki miklum skaða að öðru leyti. Í framhaldi af þeim árásum kveðst stefndi hafa brugðist við, bætt öryggi og leitað til þess aðstoðar nafngreindra ráðgjafafyrirtækja á sviði tölvuöryggismála.

Ekki kemur fram í skjölum málsins til hvaða öryggisráðstafana var gripið, en í framburði framkvæmdastjóra tæknisviðs stefnda fyrir dóminum kom fram að kerfin hefðu verið efld í samræmi við þær tillögur sem fram hefðu komið. Tillögurnar hafi náð til fjölmargra öryggisatriða, eins og að bæta öryggi hugbúnaðarkóðans og vefsins. Hann vissi þó ekki nákvæmlega hvað gert hefði verið, en einhverjir veikleikar hefðu fundist sem þurfti að laga og að það hafi verið margra daga vinna. Mundi framkvæmdastjórinn ekki til þess að bent hefði verið á að varhugavert væri að geyma gögnin á vefsvæðinu, en taldi líklegt að bent hefði verið á að dulkóða þyrfti lykilorð notenda. Taldi hann að það hvernig lykilorð birtust í gögnunum benti til þess að það verkefni að dulkóða lykilorðin hefði verið í vinnslu þegar árásin var gerð en því ekki lokið. Hann hafi sjálfur ekki komið að þeirri vinnu. Kvaðst hann ekki muna til þess að áhættumöt hefðu verið gerð fyrir vefsvæðið Mínar síður, enda hafi „fókusinn“ verið á fjarskiptakerfin, en almenn stefna félagsins í upplýsingaöryggi hafi gilt um vefinn.

Stefndi ber ábyrgð á hugbúnaði sínum og á því að hugbúnaðurinn standist þær árásir sem á hann eru gerðar. Reynslan sýnir hins vegar að illmögulegt er að gera hugbúnað þannig úr garði að bíræfnir hakkarar finni ekki einhverjar öryggisholur til að brjótast í gegnum. Ekki er að fullu útskýrt hvernig tölvuþrjóturinn náði umræddum gögnum 30. nóvember 2013 en þó liggur fyrir að hann nýtti sér galla í PHP-forriti stefnda sem gerði honum kleift að yfirtaka MySQL-gagnagrunninn og ná út þeim gögnum sem þar voru geymd. Í innbrotinu komst tölvuþrjóturinn yfir þriggja ára sögu SMS-skilaboða allra viðskiptavina stefnda sem vistað höfðu smáskilaboð sín á „Mínum síðum“ stefnda, auk ódulkóðaðra lykilorða umræddra viðskiptavina. Þessi gögn voru meðal þeirra gagna sem geymd voru í MySQL-gagnagrunni vefsvæðisins. Það að í gagnagrunninum voru geymd ódulkóðuð lykilorð viðskiptavina sem höfðu stofnað aðgang að „Mínum síðum“ er eitt og sér staðfesting á því að öryggismálum á vefsvæði stefnda hafi verið ábótavant. Sú staðreynd að þessi augljósi galli var ekki lagfærður þegar í stað í framhaldi af fyrri árásum rýrir því trúverðugleika þeirra öryggisaðgerða sem stefndi segist hafa ráðist í í framhaldi af þeim.

Stefnda mátti vera ljóst hvílíkur fjöldi SMS-skilaboða var vistaður í gagnagrunninum og að þar gætu verið viðkvæm gögn sem skaðlegt væri ef kæmust í rangar hendur. Eðlilegt hefði verið að stefndi hefði gripið til einhverra ráðstafana til að verja umrædd gögn betur, svo sem að dulkóða SMS-skilaboðin í gagnagrunninum, færa gagnagrunninn af vefsvæðinu (DMZ) á traustari stað og nota vefþjónustur til að eiga við hann samskipti frá PHP-forritinu eða gera einhverjar þær tæknilegu ráðstafanir sem betur tryggðu gögnin fyrir árásum. Í ljósi eðlis þeirrar árásar sem um ræðir er þó óvíst að þær öryggisráðstafanir sem hér eru nefndar hefðu dugað.

Samhliða slíkri tæknirýni hefði stefndi átt að kanna hvort hann hefði lagaheimild til að geyma umrædd SMS-skilaboð viðskiptavina sinna. Formlegar öryggisráðstafanir og áhættumat var ekki fyrir hendi og ekki verður séð að greining eða umræða um áhættuna af geymslu SMS-skilaboða hafi farið fram áður en hin afdrifaríka árás átti sér stað. Ósamstíg viðbrögð stjórnenda stefnda í framhaldi af árásinni benda einnig til þess að engin slík greining hafi verið fyrir hendi. Fyrst eftir gagnalekann voru fjölmörg atriði óljós og stefndi gerði sér illa grein fyrir umfanginu, sem telst ekki óeðlilegt í ljósi aðstæðna. Misvísandi ummæli forsvarsmanna stefnda opinberlega um það hvaða lög og reglur giltu varðandi vistun SMS-skilaboða benda til þess að stefndi hefði lítið hugað að þeim þætti eða því hversu mikil áhætta væri fólgin í að vista allt að þriggja ára SMS-skilaboðasögu viðskiptavina sinna á vefsvæðinu.

Innbrotum í tölvukerfi og gagnalekum hefur fjölgað stórkostlega síðustu ár um heim allan. Óumdeilt er að þetta er veruleg ógn og fæstir teljast óhultir í þeim efnum. Sú staðreynd hefði einmitt mátt ýta við stefnda að taka markvissari skref til að tryggja öryggi vefsvæðisins og þeirra gagna sem þar voru vistuð.

Fram kom fyrir dóminum að vefsvæði Vodafone hjá stefnda og þar með „Mínar síður“ voru í umsjón og rekstri sölu- og markaðssviðs stefnda og aðkoma tæknisviðsins var takmörkuð. Í framburði framkvæmdastjóra tæknisviðs stefnda kom fram að hann teldi SMS-þjónustuna á Mínum síðum ekki vera hluta af fjarskiptakerfi stefnda og hefði rekstur hennar ekki verið á hendi tæknisviðs félagsins. Mun þetta fyrirkomulag vera til komið af sögulegum ástæðum á sama hátt og notkun PHP og MySQL við gerð vefsvæðisins. Eftir árásina hefur stefndi tekið öryggismál föstum tökum og hefur á margan hátt verið leiðandi í þeim efnum hérlendis. Fyrir utan nýjar öryggisráðstafanir byggir vefsvæðið nú á annarri tækni, tæknisvið stefnda sér um rekstur vefsvæðisins og tekin var ákvörðun um að bjóða ekki upp á SMS-sendingar frá vefsvæðinu. Óumdeilt er að stefndi hefur frá upphafi unnið ötullega að því að upplýsa um alla þætti málsins.

Stefndi ber það fyrir sig að honum verði ekki um það kennt þótt gögnin hafi komist í umferð þar sem það hafi gerst í innbroti. Stefndi kveðst hafa gert allt sem í hans valdi hafi staðið til að tryggja öryggi vefsvæðisins og heldur því fram að ekkert bendi til þess að öryggi vefsvæðis hans hafi verið ófullnægjandi miðað við áhættu af vinnslunni og eðli skilaboðanna eða verið lakara en öryggi aðgangs að öðrum samsvarandi vefsíðum. Margt bendir að mati dómsins til þess að öryggismálum stefnda í tengslum við „Mínar síður“ hafi verið ábótavant. Fyrir liggur, og er það óumdeilt, að stefndi hafði ekki sett sér skriflega öryggisstefnu og framkvæmt áhættumat samkvæmt reglum nr. 299/2001, um öryggi persónuupplýsinga, sem settar eru á grundvelli 11. og 12. gr. laga nr. 77/2000, þrátt fyrir að stefnda hafi mátt vera ljóst að verulegt magn viðkvæmra gagna væri vistað á vefsvæðinu. Ekki verður séð að stefndi hafi brugðist við og gert verulegar úrbætur í framhaldi af árásum sem áður voru gerðar á vefsvæðið en ollu takmörkuðum skaða. Samkvæmt framansögðu fellst dómurinn á það með stefnanda að stefndi hafi ekki gert viðeigandi öryggisráðstafanir til að verja smáskilaboðin gegn því að óviðkomandi fengi aðgang að þeim eða til að tryggja öryggi efnis þeirra og annarra upplýsinga á vefsvæðinu ef svo færi. Telur dómurinn að stefndi hafi sýnt af sér verulegt gáleysi í þessum efnum. Þegar af þeirri ástæðu á fyrirvari um bótaábyrgð í samningi um fjarskiptaþjónustu, sem stefndi vísar til, ekki við.

Á hinn bóginn fellst dómurinn ekki á það með stefnanda að koma hefði mátt í veg fyrir aðgang hins óviðkomandi aðila að SMS-skilaboðunum þegar upp komst um innbrotið með því að loka þeim hluta tölvu- og fjarskiptakerfisins þegar í stað. Gögnunum var stolið í innbrotinu og var tjónið því þegar orðið þegar innbrotið uppgötvaðist. Dómurinn telur að brugðist hafi verið við eins fljótt og ætlast mátti til við þessar aðstæður. Þá verður ekki fallist á að stefndi hafi átt þess kost að gera frekari ráðstafanir til að loka fyrir aðgang innlendra aðila að hinu erlenda vefsvæði þar sem SMS-skilaboðin voru í upphafi vistuð. Fram kom fyrir dóminum að með aðstoð „Vodafone Group“ hafi gögnin verið tekin af því vefsvæði, en óumdeilt er að þau fóru fljótt í dreifingu og eru aðgengileg víða á internetinu. Stefndi sendi samdægurs tilkynningu til fjölmiðla um að óheimilt væri að birta umrædd gögn á vefsíðum hvort heldur innanlands eða erlendis. Ekki verður séð hvernig stefndi hefði getað gengið lengra í þeim efnum.

Stefndi heldur því fram að vefsvæðið „Mínar síður“ teljist ekki hluti fjarskiptakerfis og að lög um fjarskipti nr. 81/2003 gildi ekki um vefsvæðið. Póst- og fjarskiptastofnun hefur úrskurðað um að vefsvæðið teljist hluti af fjarskiptakerfi stefnda og fjarskiptalög gildi um vefsvæðið „Mínar síður“ og hefur úrskurðarnefnd fjarskipta- og póstmála staðfest þá niðurstöðu. Stefndi hefur höfðað dómsmál til að fá þeirri niðurstöðu hnekkt, en ekki liggur fyrir niðurstaða í því máli. Taka sérfróðir meðdómarar í þessu máli undir röksemdir og ákvörðun Póst- og fjarskiptastofnunar og telur dómurinn að á vefsvæðinu hafi m.a. verið varðveittar upplýsingar sem lög um fjarskipti gilda ótvírætt um. Samkvæmt lögunum er fjarskiptafyrirtækjum óheimilt að geyma fjarskiptagögn lengur en nauðsynlegt er til reikningsgerðar og uppgjörs. Umferðarupplýsingar skal þó geyma í sex mánuði í þágu rannsókna sakamála og almannaöryggis. Á vefsíðu stefnda voru, ásamt efni smáskilaboða viðskiptavina, jafnframt varðveitt ótímabundið gögn um þá fjarskiptaumferð, sem tengist þeim skilaboðum sem komust í dreifingu, svo sem um það hvenær skilaboð voru send og símanúmer viðtakanda, þrátt fyrir þau tímamörk sem fjarskiptafyrirtækjum eru í lögunum sett til varðveislu gagna um fjarskiptaumferð. Því er fallist á það með stefnanda að stefndi hafi vistað þær upplýsingar lengur en heimilt var.

Á því leikur enginn vafi að það, að viðskiptavinir stefnda rita SMS-skilaboð sín frá símanúmerum sínum hjá stefnda inn á vefsíðu stefnda, stendur í órofa tengslum við viðskiptasamband þeirra við stefnda sem fjarskiptafyrirtæki sem rekið er samkvæmt opinberu leyfi. Breytir sú skilgreining stefnda sjálfs á umræddu vefsvæði, að það standi utan fjarskiptanets, engu um þá staðreynd. Ekkert er komið fram í málinu sem bendi til þess að stefndi hafi kynnt viðskiptavinum sínum að hann teldi vefsvæðið standa utan fjarskiptaþjónustu sinnar þegar hann bauð upp á umrædda þjónustu, en til þess að komast inn á „Mínar síður“ og notfæra sér þessa þjónustu stefnda þurftu viðskiptavinir notandanafn og lykilorð sem þeim var sent í netbanka. Viðskiptavinir stefnda höfðu sérstaka ástæðu til þess að ætla að lykilorð væru örugglega geymd og að ekki væri hætta á að óviðkomandi aðilar kæmust í SMS-skilaboð þeirra, enda kom fram á „Mínum síðum“ að öryggi upplýsinga þar væri tryggt og ýtrustu öryggiskröfum væri fylgt. Greitt var fyrir sendingu á SMS-skilaboðum sem send voru með þessum hætti úr símanúmerum viðskiptamanna hjá stefnda og máttu þeir ætla að öryggi þeirra upplýsinga sem færu um vefsvæðið væri þar tryggt svo sem væru þær á fjarskiptaneti. Ríkar öryggiskröfur eru gerðar til fjarskiptafyrirtækja og almennt er traust viðskiptavina til fjarskiptafyrirtækja mikið.

Ein helsta röksemd stefnda fyrir sýknukröfu sinni er að viðskiptavinum hafi verið í sjálfsvald sett hvort þeir vistuðu SMS-skilaboð sín á vefsvæði stefnda. Stefndi kveðst ekki hafa getað ákveðið fyrir hönd viðskiptavina sinna hvaða gögnum þeirra skyldi eyða og sé ákvörðun um slíkt í höndum viðskiptavinarins sjálfs. Efni SMS-skilaboða er almennt aðeins vistað í endabúnaði sendanda og móttakanda, svo sem tölvu eða símtæki, og er þar með á ábyrgð þeirra hvort þeim er eytt eða þau þar vistuð. Ekki verður fallist á þá málsástæðu stefnda að raskað væri raunhæfum möguleikum fólks til að varðveita upplýsingar um einkalíf sitt með aðstoð nútímatækni ef umrædd vistun þeirra hjá stefnda væri ekki talin heimil.

Lög um fjarskipti, nr. 81/2003, gilda ekki um efni sem sent er á fjarskiptanetum, sbr. 5. mgr. 1. gr. laganna, svo sem texta SMS-skilaboða, en dómurinn fellst ekki á að það hafi verið stefnda óviðkomandi hvort SMS-skilaboð viðskiptavina væru vistuð á „Mínum síðum“ stefnda eða ekki. Með þessu fyrirkomulagi, og með því að bjóða upp á slíka þjónustu á vefsvæði sínu, tók stefndi á sig ábyrgð á vinnslu þeirra persónuupplýsinga sem á vef hans safnast með þeim hætti, í skilningi laga um persónuvernd og meðferð persónuupplýsinga nr. 77/2000, og bar að fara með upplýsingarnar í samræmi við þá löggjöf. Í því felst m.a. að heimild til vinnslunnar þarf að eiga sér stoð í einhverju þeirra atriða sem greinir í 8. og 9. gr. laganna og vísar stefndi um vinnsluheimild sína efnislega eingöngu til þess að samþykki hins skráða hafi verið fyrir hendi, sbr. 1. tölulið beggja lagagreina.

Fyrir liggur að stefndi upplýsti ekki móttakendur SMS-skilaboða sem send voru frá „Mínum síðum“ um vörslu þeirra á „Mínum síðum“ og áttu þeir þess ekki kost að eyða þeim eða upplýsingum um símanúmer sitt sem móttakanda úr gagnagrunninum á vefsvæði stefnda. Samþykkis stefnanda var samkvæmt því ekki aflað til vistunar á vefsíðu stefnda á þeim skilaboðum sem hann fékk send.

Stefnandi byggir á því að hann hafi ekki samþykkt vistun þeirra SMS-skilaboða sem hann sendi sjálfur frá vefsíðunni, en þau voru a.m.k. 2.814 talsins á tímabilinu 1. desember 2010 til 19. apríl 2013 samkvæmt upplýsingum frá stefnda. Stefndi heldur því fram að samþykkis sendanda skilaboða til vistunar þeirra hafi verið aflað með því fyrirkomulagi á viðmóti vefsíðunnar, að notanda var veittur kostur á því að skilaboð sem hann ritaði vistuðust ekki sjálfkrafa, ef hak í þar til gerðan reit var tekið af. Þá gat sendandi einnig eytt eldri sendum skilaboðum sínum. Stefndi heldur því fram að hakið hafi verið áberandi þegar ritun skilaboða hófst þar sem þá hafi birst hnappur til að senda við hlið textans „vista í skeyta sögu“. Útprentun af skjámynd vefsíðunnar, sem er meðal gagna málsins, samræmist þeirri lýsingu stefnda.

Viðskiptavinum, sem notuðu síðuna reglulega til SMS-sendinga, t.d. til þjónustutilkynninga til viðskiptavina og skjólstæðinga eða til fjöldasendinga, mátti vera ljóst að SMS-skilaboð sem þeir sendu væru vistuð á „Mínum síðum“, enda fólst hagræðið m.a. í því að endurnýta texta og upplýsingar um skilgreinda hópa viðtakenda slíkra sendinga. Álitamál er að hvaða marki aðrir viðskiptavinir, sem notuðu „Mínar síður“ til að senda SMS-skilaboð, hafi almennt gert sér grein fyrir því að þau skilaboð sem þeir sendu væru vistuð þar. Í málatilbúnaði stefnanda er því haldið fram að hann hafi ekki gert sér grein fyrir því að stefndi vistaði SMS-skilaboð hans, en stefndi telur að stefnanda hljóti að hafa verið vistun þeirra ljós. Fyrir dóminum viðurkenndi stefnandi að hann hefði gert sér grein fyrir því að SMS-skilaboðin vistuðust sjálfkrafa á síðunni, en kvaðst jafnframt hafa treyst þjónustunni sem fyrirtækið, sem væri flott og alþjóðlegt fyrirtæki, bauð upp á. Hann hafi aldrei órað fyrir því að skilaboðin gætu komið fyrir augu annarra en viðtakanda. Ekki verður séð að viðskiptavinum hafi verið kynnt hvernig vistun skilaboðanna færi fram og hvernig persónuvernd væri tryggð.

Unnt er að veita gilt samþykki sitt til vinnslu persónuupplýsinga í verki, svo sem með því að haka við reiti á eyðublaði, en það verður ekki veitt með þögninni einni og telst vinnsla persónuupplýsinga ekki samþykkt í verki eða ótvírætt, sbr. 1. tl. 1. mgr. 8. gr. laga nr. 77/2000 með því að láta það ógert að breyta fyrir fram gefinni stillingu eins og hér var að verki staðið. Enn ríkari kröfur eru gerðar til samþykkis þegar um er að ræða vinnslu viðkvæmra persónuupplýsinga, sbr. 1. tl. 1. mgr. 9. gr. laganna, en slíkt samþykki þarf að fullnægja skilyrðum 7. tl. 2. gr. laganna. Í því felst að gefin sé af fúsum og frjálsum vilja sérstök, ótvíræð yfirlýsing um að einstaklingur sé samþykkur vinnslu tiltekinna upplýsinga um sig og að honum sé kunnugt um tilgang hennar, hvernig hún fari fram, hvernig persónuvernd verði tryggð, um að honum sé heimilt að afturkalla samþykki sitt o.s.frv. Að mati dómsins uppfyllir umrætt fyrirkomulag til að afla samþykkis ekki þær kröfur sem gera verður til þess að samþykki sendanda hafi verið veitt í skilningi framangreindra lagaákvæða. Dómurinn tekur undir skýrar forsendur Persónuverndar í úrskurði sem stefnandi hefur lagt fram og sambærilegum málum sem hann vísar til og telur dómurinn að varðveisla umræddra skilaboða með viðkvæmum persónuupplýsingum um stefnanda, sem send voru af vefsíðu stefnda, hafi falið í sér vinnslu þeirra án þess að viðhlítandi samþykkis væri aflað, og hafi því ekki samrýmst lögum nr. 77/2000.

Fyrir liggur að umtalsverðu magni gagna, sem voru í vörslu stefnda, var stolið. Þar á meðal voru viðkvæmar persónuupplýsingar sem varða stefnanda í fjöldamörgum SMS-skilaboðum sem komust í dreifingu vegna framangreindra atvika. Flest þeirra eru skilaboð sem stefnandi sendi sjálfur, en einnig er þar að finna skilaboð sem send voru honum og hann átti því aldrei kost á því að verjast því að þau yrðu vistuð á vefsvæði stefnda. Stefnandi telur að framangreind ólögmæt og saknæm háttsemi stefnda hafi valdið honum fjártjóni og miska sem sé sennileg afleiðing af háttseminni og hafi orðið við það að upplýsingar um einkalíf og einkamálefni hans hafi verið gerðar opinberar og aðgengilegar almenningi. Stefnda beri því að greiða honum bætur vegna fjártjóns og miska. Stefnandi vísar til þess að rof á friðhelgi einkalífs síns hafi m.a. haft áhrif á möguleika hans til að eignast maka, haft áhrif á samband hans við fjölskyldu, haft áhrif á möguleika hans til að starfa og til að taka þátt í félags- og trúnaðarstörfum.

Efni skilaboðanna varða að miklu leyti einkalíf stefnanda og eru þau þess eðlis að dreifing slíkra upplýsinga getur verið refsiverð að lögum, sbr. 229. gr. almennra hegningarlaga nr. 19/1940. Þótt stefndi hafi ekki sjálfur staðið að dreifingu efnis skilaboðanna á internetinu og hafi beinlínis hvatt aðra til að eyða skilaboðunum og dreifa þeim ekki, þá verður ekki fram hjá því litið að skilaboðin hefðu ekki farið í dreifingu ef ekki hefði verið fyrir ólögmæta vistun þeirra á vefsvæði stefnda og þá saknæmu háttsemi, sem hann ber ábyrgð á, að tryggja ekki öryggi upplýsinga á vefsvæðinu. Hin ólögmæta og saknæma háttsemi stefnda var nauðsynleg forsenda þess að upplýsingarnar urðu aðgengilegar á internetinu fyrir tilstuðlan tölvuþrjóts, en almennt aðgengi að þessum upplýsingum felur í sér stórfellt brot gegn friðhelgi einkalífs stefnanda.

Samkvæmt framansögðu er það niðurstaða dómsins að varðveisla SMS-skilaboðanna á vefsvæði stefnda án viðhlítandi samþykkis hafi frá upphafi falið í sér brot gegn lögum um persónuvernd og meðferð persónuupplýsinga. Lög um fjarskipti veita stefnda ekki heimild til að vista slíkar upplýsingar, en skilaboðin eru rituð á vefsíðu stefnda beinlínis vegna þess að stefndi rekur fjarskiptaþjónustu. Dreifing upplýsinganna á internetið verður sem fyrr segir rakin til verulegs gáleysis stefnda, eða starfsmanna sem stefndi ber ábyrgð á, við að tryggja öryggi upplýsinganna á vefsvæði sínu.

Stefndi verður að þessu virtu að bæta stefnanda það tjón sem telja má sennilega afleiðingu af dreifingu upplýsinganna. Þar sem stefndi hefur skapað sér bótaábyrgð með verulegu gáleysi á grundvelli sakarreglu skaðabótaréttar er ábyrgð hans ekki takmörkuð við fjártjón, þó að í 43. gr. laga nr. 77/2000 sé aðeins kveðið á um bótaskyldu ábyrgðaraðila vegna fjárhagslegs tjóns, sem hlýst af því að hann eða vinnsluaðili hafi unnið með persónuupplýsingar í andstöðu við lögin.

Stefnandi krefst skaðabóta að fjárhæð 424.500 krónur vegna fjártjóns, sem hann rekur til sálfræðiaðstoðar, bæði sem hann hefur þegið og þyrfti að þiggja í framtíðinni og loks til öflunar skýrslu til að sýna fram á sálfræðilegt tjón sitt í máli þessu. Samkvæmt þeim kvittunum sem lagðar hafa verið fram í málinu eftir að það var höfðað hefur stefnandi greitt sálfræðingi samtals 143.311 krónur, þar af eru 136.500 krónur greiddar fyrir meðferðartíma. Af framburði sálfræðingsins fyrir dóminum er ljóst að þessir viðtalstímar voru keyptir í tilefni af þeim atvikum sem hér eru til umfjöllunar og að stefnandi hafi þurft á þjónustunni að halda vegna þeirra atvika. Útgjöld vegna meðferðarinnar er sjúkrakostnaður, sem fallist er á að stefnda beri að bæta honum, en rétt er að stefnandi beri sjálfur kostnað vegna vaxta og bókaðs tíma sem hann mætti ekki í. Fram kom fyrir dóminum að stefnandi hefur ekki mætt til sálfræðingsins frá því í júní 2014. Þótt sálfræðingurinn hafi talið að stefnandi hefði þörf á frekari meðferð verður ekki séð að hann hafi gert neinn reka að því í nær tvö ár að halda áfram slíkri meðferð. Að því virtu þykja ekki efni til að fallast á kröfu stefnanda um bætur að fjárhæð 125.000 krónur úr hendi stefnda vegna kostnaðar við að leita sér frekari sálfræðiaðstoðar. Stefnandi hefur jafnframt, til stuðnings bótakröfu sinni, lagt fram reikning, að fjárhæð 149.500 krónur, vegna öflunar sálfræðiskýrslu til sönnunarfærslu í máli þessu. Þau útgjöld teljast hluti málskostnaðar, sbr. g-lið 1. mgr. 129. gr. laga um meðferð einkamála nr. 91/1991, svo sem stefndi bendir á, og verður stefnda ekki gert að greiða stefnanda þá fjárhæð í skaðabætur.

Stefnandi vísar til 1. mgr. 26. gr. skaðabótalaga nr. 50/1993, sem skilja verður svo að hann byggi kröfu sína um greiðslu bóta vegna miska á b-lið ákvæðisins, þar sem er að finna lagaheimild til að gera þeim sem ábyrgð ber á ólögmætri meingerð gegn frelsi, friði, æru og persónu annars manns að greiða þeim miskabætur sem misgert er við. Í athugasemdum með frumvarpi til skaðabótalaga kemur fram að eftir ákvæðinu falli skylda til greiðslu miskabóta á þann sem ábyrgð beri á ólögmætri meingerð, eftir atvikum eftir reglum um vinnuveitandaábyrgð. Í skilyrði 26. gr. um ólögmæta meingerð felist að um saknæma hegðun sé að ræða, en gáleysi myndi þó þurfa að vera verulegt til þess að tjónsatvik yrði talið ólögmæt meingerð. Svo sem að framan greinir er það skilyrði fyrir hendi í máli þessu.

Kröfu sína um miskabætur byggir stefnandi á þeim áhrifum sem það hafi haft á hann að friðhelgi einkalífs hans var rofin með framangreindum hætti. Það hafi grafið undan sjálfsmynd hans og sjálfstrausti og valdið verulegri vanlíðan, það hafi stuðlað að félagslegri forðun hans og kvíða og dregið úr gæðum daglegs lífs, auk þess sem það hafi dregið úr trúverðugleika hans sem [...] og haft víðtækar afleiðingar á líf hans og störf. Vitnin C og D, félagar stefnanda, báru um að atvik þessi hefðu haft gríðarleg áhrif á líðan stefnanda og að hann hefði hætt að hitta félagana þegar ljóst varð að efni SMS-skilaboðanna var á allra vitorði. E sálfræðingur staðfesti fyrir dóminum skýrslu sína um áhrif atviksins á líðan og hegðun stefnanda. Hún kvað stefnanda hafa átt erfitt eftir andlát eiginkonu sinnar og beri efni skilaboðanna því merki um reiði og tilfinningalegan óstöðugleika. Lýsti hún því svo að tekin hafi verið mynd af honum á viðkvæmasta tímabili lífs hans og birt almenningi, sem reynst hafi honum afar þungbært. Hún líkti áhrifum atviksins, til viðbótar við sorg stefnanda eftir missi konu sinnar, við það að hann hefði verið brotinn á öðrum fæti fyrir en brotnað á hinum við þetta atvik. Hann hafi skammast sín alveg gríðarlega og fundist mannorð sitt vera í rúst.

Stefnandi kom fyrir dóminn og kvað þetta vera skelfilegt mál, sem trufli hann alveg gríðarlega. Hann lýsti því m.a. að opinberun SMS-skilaboðanna hefði haft þau áhrif að börn hans á þrítugsaldri hringdu aldrei í hann að fyrra bragði og að fjölskylda látinnar eiginkonu hans hafi ekki talað við hann frá því það gerðist. Myndir af honum hafi verið tengdar við ákveðin skilaboð hans, sem menn hafi sent sín á milli á facebook. Slíkar sendingar hafi m.a. borist til þáverandi kærustu hans og hafi slitnað upp úr sambandinu í kjölfar þess. Stefnandi kvað ævisögu sína nánast hafa verið fyrir augum almennings, eins og hann væri berrassaður niðri í bæ og það væri ofboðsleg niðurlæging. Stefnandi kvaðst hafa dregið sig í hlé, hann treysti sér illa til þess að hitta fólk og velti því alltaf fyrir sér hvort fólk sem hann hitti hefði séð SMS-skilaboðin.

Það fær sannfærandi stoð í gögnum málsins, einkum skýrslu E sálfræðings, og framburði stefnanda og fyrrnefndra vitna fyrir dóminum, að umrædd atvik hafi valdið stefnanda verulegum óþægindum, vanlíðan og andlegum þjáningum. Opinberun upplýsinganna, þar með talið viðkvæmra persónuupplýsinga samkvæmt m.a. stafliðum b-, c- og d- í 8. tl. 2. gr. laga nr. 77/2000, fól í sér rof á friðhelgi einkalífs stefnanda, er til þess fallin að rýra orðspor hans og hefur að mati dómsins valdið honum verulegum miska. Hér var um að ræða ólögmæta meingerð af hendi stefnda gegn persónu stefnanda í skilningi b- liðar 1. mgr. 26. gr. skaðabótalaga og ber stefnda af þeim sökum að greiða stefnanda miskabætur.

Stefnandi krefst bóta að fjárhæð átta milljónir króna fyrir miska. Við ákvörðun á fjárhæð miskabóta er m.a. að líta til dómaframkvæmdar og afleiðinga bótaskylds atviks. Samskipti stefnanda með SMS-skilaboðum á umræddu tímabili eru gríðarlega efnismikil, skilaboðin eru fjölmörg og eru mörg þeirra löng. Í skilaboðunum er mikið af viðkvæmum persónuupplýsingum og einkalíf stefnanda opinberað. Skilaboðin sem stefnandi sendi bera merki um vanlíðan hans á þeim tíma sem þau voru send og eru mörg hver honum til lítils sóma. Af trúverðugum framburði stefnanda fyrir dóminum er ljóst að hann gerir sér grein fyrir því og líður mjög illa vegna þess að skilaboðin eru aðgengileg hverjum sem er. Að virtum þeim miska sem gagnalekinn þykir hafa valdið stefnanda er fjárhæð miskabóta sem stefnda verður gert að greiða honum ákveðin 1.800.000 krónur. Samtals verður stefnda því gert að greiða stefnanda 1.936.500 krónur í bætur fyrir fjártjón og miska. Bótafjárhæðin ber vexti frá tjónsdegi í samræmi við 8. gr. laga nr. 38/2001, um vexti og verðtryggingu, og verða dráttarvextir reiknaðir frá þingfestingardegi, sbr. 9. gr. sömu laga, svo sem stefnandi krefst og nánar greinir í dómsorði.

Með vísun til 1. mgr. 130. gr. laga um meðferð einkamála nr. 91/1991 verður stefnda gert að greiða stefnanda málskostnað sem með hliðsjón af umfangi málsins er ákveðinn 1.000.000 króna að meðtöldum virðisaukaskatti.

Dóminn kveður upp K-kvk-nf K-kvk-nf héraðsdómari, sem dómsformaður, ásamt sérfróðu meðdómsmönnunum B-kk-þgf J-kk-þgf og H-kk-þgf Ó-kk-þgf, rafmagnsverkfræðingum og tölvunarfræðingum.

D ó m s o r ð

Stefndi, Fjarskipti hf., greiði stefnanda, A, 1.936.500 krónur, ásamt vöxtum samkvæmt 1. mgr. 8. gr. laga nr. 38/2001, um vexti og verðtryggingu, frá 30. nóvember 2013 til 5. febrúar 2015, en með dráttarvöxtum samkvæmt 1. mgr. 6. gr. sömu laga, frá þeim degi til greiðsludags.

Stefndi greiði stefnanda 1.000.000 króna í málskostnað.

K-kvk-nf K-kvk-nf

B-kk-nf J-kk-nf

H-kk-nf Ó-kk-nf