10 C 474/2020

Plný text

: Obvodní soud pro Prahu 7 rozhodl soudkyní JUDr. Marií Filippiovou ve věci žalobkyně: osobní údaje žalobkyně zastoupená advokátem údaje o zástupci proti žalované: osobní údaje žalované zastoupená advokátem údaje o zástupci pro zaplacení 10 500 Kč s příslušenstvím

I. Žalovaná je povinna zaplatit žalobkyni částku 10 000 Kč spolu s úrokem z prodlení ve výši 8,25% ročně od 26. 8. 2020 do zaplacení, a to do tří dnů od právní moci tohoto rozsudku.

II. Žaloba co do zaplacení částky 500 Kč s úrokem z prodlení ve výši 8,25% ročně z částky 500 Kč od 26.8.2020 do zaplacení se zamítá.

III. Žalovaná je povinna zaplatit žalobkyni náhradu nákladů řízení v částce 15 956 Kč, a to do tří dnů od právní moci tohoto rozsudku k rukám právního zástupce žalobkyně.

1. Žalobkyně v podané žalobě uvedla, že si za účelem provádění nákupů zřídila v internetovém obchodě [webová adresa] provozovaném žalovanou uživatelský účet, kdy k registraci použila svojí emailovou adresu [email]. V rámci tohoto uživatelského účtu byly do databáze žalované uloženy, vedle uvedené emailové adresy, též další osobní údaje žalobkyně – nejméně jméno, příjmení, telefonní číslo. Žalobkyně odsouhlasila shromažďování a zpracovávání těchto svých osobních údajů v databázi žalované, přičemž žalovaná i v rámci žalobkyní odsouhlasených obchodních podmínek deklarovala, že osobní údaje zákazníků jsou plně zabezpečeny proti zneužití a osobní údaje žalovaná nepředává s výjimkou dopravců žádným dalším osobám. Žalovaná tedy měla povinnost tyto osobní údaje chránit před zneužitím a proti předání třetím osobám bez souhlasu žalobkyně. Nejpozději v průběhu roku 2017 došlo u žalované k bezpečnostnímu incidentu, při kterém došlo k rozsáhlému úniku osobních údajů jejích klientů, a to v rozsahu emailové adresy, přístupového hesla (v šifrované podobě), jména, příjmení a telefonního kontaktu. Mezi poškozenými byla žalobkyně, o čemž svědčí i skutečnost, že její emailová adresa je v databázi [webová adresa] vedena jako adresa, která byly nalezena v souboru dat uniklých z databáze žalované. Uniklá klientská data byla následně volně zpřístupněna veřejnosti na webovém uložišti [webová adresa], a to nejméně od 23. 7. 2017 do 27. 8. 2017. Předmětná data měla dále prokazatelně k dispozici redakce internetového magazínu [název], která s databází dále pracovala. V současné době jsou předmětná data v rozsahu emailu a šifrovaného hesla dále dostupná např. na webovém uložišti [webová adresa]. Žalobkyně poukázala na to, že žalovaná není schopna účinně zajistit ukončení distribuce uniklé databáze. Žalovaná nejenže data žalobkyně nezabezpečila dostatečným způsobem, ale neměla implementovány ani takové mechanismy, které by únik dat odhalily. Žalobkyně poukázala znalecký posudek [jméno] [příjmení] ohledně účelu webových stránek [webová adresa] a následky spojené s únikem klientských dat. Zdůraznila, že žalovaná porušila povinnost plynoucí z § 13 odst. 1 zákona č. 101/2000 Sb., tedy jako správce přijmout taková opatření, aby nemohlo dojít k neoprávněnému nebo nahodilému přístupu k osobním údajům, k jejich změně, zničení či ztrátě, neoprávněným přenosům, k jejich jinému neoprávněnému zpracování, jakož i k jejich jinému zneužití, což bylo potvrzeno i v rozhodnutí Úřadu pro ochranu osobních údajů, kterým byla žalované uložena pokuta ve výši 1 500 000 Kč. Žalobkyně dodala, že v důsledku nedostatečné ochrany jejích osobních údajů žalovanou došlo k jejich volnému zveřejnění, přičemž žalovaná tuto okolnost ani sama nezjistila a neměla ani implementovány postupy, které by důsledky úniku osobních údajů mohly alespoň zmírnit. Žalobkyně tak ztratila možnost svobodného uvážení a rozhodnutí, zda vůbec, příp. v jakém rozsahu a jakým způsobem mají být její osobní údaje zpřístupněny dalším subjektům. Zásah do jejích práv trvá a je umocněn tím, že jednou zveřejněné osobní údaje (např. email, telefon), nelze z prostředí sítě internet zcela odstranit a zamezit jejich zneužití třetími osobami, např. ve formě odesílání nevyžádané pošty a zásah do osobnostního práva tak v čase neoslabuje. Žalobkyně poukázala na skutkově totožnou věc projednávanou zdejším soudem pod sp. zn. [spisová značka], kde bylo žalobci přiznáno přiměřené zadostiučinění za zásah do ústavně zaručeného práva na soukromí a informačního sebeurčení ve výši 10 000 Kč. Žalobkyně zdůraznila rozdíl od odkazovaného případu, spočívající v tom, že není subjektem, který by své osobní údaje předem dobrovolně zveřejnil v síti internet, pročež má za to, že by přiměřené zadostiučinění mělo být nepatrně zvýšeno. Dodala, že na výzvu reagovala žalovaná toliko tím, že v celé záležitosti nijak nepochybila. Úrok z prodlení požadovala žalobkyně výslovně od podání žaloby.

2. Žalovaná nárok neuznala a žalobu navrhla zamítnout. Nerozporovala, že k bezpečnostnímu incidentu, na který je odkazováno v žalobě, skutečně došlo. Zdůraznila však, že žádnou svou povinnost neporušila. Zabezpečení používané v době útoku bylo dostačující, odpovídající stavu techniky v dané době, a tak incidentu nešlo nijak předejít. Nesouhlasila s tvrzením, že její přístup k osobním údajům zákazníků byl nedůsledný. Uvedla, že v předmětné věci reagovala na nastalé události ihned, učinila nezbytné kroky jak k zabezpečení celé databáze, informovala všechny potenciálně dotčené osoby a incident bez zbytečného odkladu ohlásila Úřadu pro ochranu osobních údajů. Poukázala na to, že shora uvedené rozhodnutí ÚOOÚ, jímž byla shledána vinnou ze spáchání přestupku v souvislosti s předmětným bezpečnostním incidentem, je aktuálně předmět přezkumu ve správním soudnictví. Zvlášť však zdůraznila, že žalobní tvrzení považuje za nedostatečná, pokud jde o popis tvrzené újmy a odůvodnění výše odškodnění. Dostatečné vylíčení pociťované újmy neobsahovala ani předžalobní výzva k zaplacení částky 10.500 Kč jako přiměřeného zadostiučinění, doručená jí dne 4. 8. 2020. Podotkla, že výpočet přiměřeného zadostiučinění nelze vyčíslit obecně, protože z podstaty tohoto institutu jednoznačně vyplývá nutnost personifikace každého jednotlivého nároku, přičemž v posuzované věci se neuvádí, jakým způsobem se žalující strana musela s tímto zásahem do svých práv vypořádat, jakým způsobem se jí tento zásah osobně dotkl a v čem konkrétně spatřuje vzniklou újmu. V této souvislosti odkázala na judikaturu Nejvyššího soudu ČR. Namítala, že žalobkyně uváděla, že únikem dat bylo dotčeno jméno a příjmení [celé jméno žalobkyně] a telefonní číslo [tel. číslo], avšak tento údaj není pravdivý, jelikož předmětem úniku nikdy nebyl. Zároveň email zmiňovaný žalobkyní evidují u úplně jiného klienta.

3. Na základě zjištění učiněných po provedeném dokazování a jejich zhodnocení ve smyslu § 132 o.s.ř. dospěl soud k následujícímu závěru o skutkovém stavu ve věci samé. Přitom vzhledem k tomu, že mezi stranami bylo nesporné, zejména skutečnost, že došlo k úniku e-mailové adresy žalobkyně a hesla v důsledku hackerského útoku (protiprávního vniknutí do informačního systému žalované zvenčí), jakož i to, že v tomto případě e-mailová adresa žalobkyně již byla v minulosti předmětem podobného útoku, vzal soud za svá skutková zjištění též shodná tvrzení účastníky (§ 120 odst. 3 o.s.ř.).

4. Z e-mailu zákazníkům o hackerskému útoku a z výroční zprávy ÚOOÚ za rok 2018 soud zjistil, že žalovaná je provozovatelem e-shopu [webová adresa] a je správcem osobních údajů. Žalovaná po bezpečnostním incidentu, ke kterému došlo v přesně nezjištěném období od 31.12.2014 do 23.6.2017, písemně informovala dotčené subjekty osobních údajů prostřednictvím e-mailu o této události. Z rozhodnutí Úřadu pro ochranu osobních údajů ze dne 23.5.2018 [číslo jednací] [anonymizováno] [číslo], rozhodnutí předsedkyně Úřadu pro ochranu osobních údajů ze dne 21.9.2018 [číslo jednací] zjistil, že žalovaná byla uznána vinnou ze spáchání přestupku, neboť nepřijala nebo neprovedla opatření pro zajištění bezpečnosti zpracování osobních údajů tím, že nezabezpečila osobní údaje nejméně 735 956 zákazníků v rozsahu jméno, příjmení, e-mailová adresa, heslo uživatelského účtu, případně telefon, před neoprávněným přístupem v období minimálně od 31.12.2014 do srpna 2017, v důsledku čehož došlo v době od 27.7.2017 do 25.8.2017 k jejich zpřístupnění na serveru [webová adresa], čímž žalovaná porušila povinnost přijmout taková opatření, aby nemohlo dojít k neoprávněnému nebo nahodilému přístupu k osobním údajů, k jejich změně, či ztrátě, neoprávněným přenosům, k jejich jinému neoprávněnému zpracování, případně jinému zneužití osobních údajů, za což byla žalované uložena pokuta ve výši 1 500 000 Kč. Z výpisu stránek„ have i been pwned“ – [webová adresa] soud zjistil, že údaje k uživatelskému účtu [email] jsou v souboru uniklých dat při úniku informací ze stránky [webová adresa]. Ze znaleckého posudku [jméno] [příjmení] soud zjistil, že cílem krádeží osobních údajů je jejich prodej k provádění marketingu či zasílání spamu s cílem vylákání dalších osobních údajů nebo získání přístupu k zařízení uživatele. Vzhledem k tomu, že únik nebyl dlouhodobě odhalen, nemohl na něj uživatel reagovat. Po odhalení mohl uživatel měnit hesla a přístupy, obrana proti marketingu je pouze ve změně emailu a telefonního čísla. Z všeobecných obchodních podmínek soud zjistil, že žalovaná se ve všeobecných obchodních podmínkách zavazuje k plnému zabezpečení osobních údajů zákazníků proti zneužití. Z výzvy soud zjistil, že žalobkyně vyzvala žalovanou k náhradě nemajetkové újmy dne 15.7.2020. Z rozsudku zdejšího soudu ve věci sp.zn. [spisová značka] a z rozsudku odvolacího soudu sp. zn. [spisová značka] soud zjistil, že jinému uživateli [webová adresa], jehož osobní data byla postižena totožným únikem, byla v soudním řízení pravomocně přiznána náhrada nemajetkové újmy 10 000 Kč. Z výpovědi žalobkyně soud zjistil, že v roce 2006 si vytvořila emailovou adresu [email], která se skládala z jejího rodného čísla bez lomítka a založila si účet u žalované, kde učinila jednu objednávku. U žalované vyplnila svoje osobní údaje, jméno, příjmení, které tehdy bylo [příjmení], adresu bydliště [ulice] [anonymizováno] [číslo], [obec a číslo] a telefonní číslo [tel. číslo]. Objednávku si však nevyzvedla. Před pár lety jí přišel mail ohledně úniku osobních dat. Od správce osobních údajů dostala dotaz, zda vyplněné osobní údaje souhlasí se skutečností. Z toho zjistila, že jsou zde vyplněné jiné osobní údaje, než které uváděla. Ke všem svým účtům si nechává vygenerovat úplně jiná hesla. Předmětná emailová adresa je stále aktivní, používá jí v eshopech. Z oddacího listu soud zjistil, že žalobkyně, která se jmenovala [příjmení] se dne 12.10.2019 provdala za [jméno] [příjmení]. Z e-mailu [email] soud zjistil, že v listopadu 2006 byla založena e-mailová adresa [email] na jméno [jméno] [příjmení], rok narození [rok]. Z e-mailu soud zjistil, že žalovaná zaslala dne 26.4.2007 na e-mail [email] upozornění na zrušení rezervace zboží. Z e-mailu ze dne 12.11.2020 soud zjistil, že dne 12.11.2020 zaslala žalovaná na e-mail [email] dotaz na kontrolu osobních údajů, kdy doručovací adresa byla na jméno [jméno] [příjmení], telefon [číslo], adresa [adresa].

5. Z ostatních provedených důkazů soud nezjistil žádné skutečnosti rozhodné pro posouzení dané věci. Soud neprováděl důkaz navržený žalovaným, aby si soud vyžádal u Úřadu pro ochranu osobních údajů, jaké konkrétní informace unikly, neboť má za to, že zjištěný skutkový stav je dostatečný.

6. Na základě shora uvedeného závěru o skutkovém stavu posoudil soud věc po právní stránce takto:

7. Podle čl. 10 odst. 3 LZPS každý má právo na ochranu před neoprávněným shromažďováním, zveřejňováním nebo jiným zneužíváním údajů o své osobě.

8. Podle § 81 odst. 1 a 2 zákona č. 89/2012 Sb., občanský zákoník (dále jen „o.z.“), podle kterého chráněna je osobnost člověka včetně všech jeho přirozených práv. Každý je povinen ctít svobodné rozhodnutí člověka žít podle svého. Ochrany požívají zejména život a důstojnost člověka, jeho zdraví a právo žít v příznivém životním prostředí, jeho vážnost, čest, soukromí a jeho projevy osobní povahy.

9. Podle § 2951 odst. 2 o.z. nemajetková újma se odčiní přiměřeným zadostiučiněním. Zadostiučinění musí být poskytnuto v penězích, nezajistí-li jeho jiný způsob skutečné a dostatečně účinné odčinění způsobené újmy.

10. Soud shledal, že v dané věci bylo prokázáno, že žalovaná porušila své povinnosti správce osobních dat chránit svěřené osobní údaje žalobkyně i jiných svých zákazníků, což vyplývá ze závěrů kontroly Úřadu, který jednoznačně konstatoval pochybení žalované, která při správě osobních dat nepřijala taková opatření, aby nedošlo k neoprávněnému odcizení databáze zákazníků. Žalovaná jako správce osobních údajů nejen nezabránila neoprávněnému přístupu a odcizení databáze uživatelů, ale ani je nezaznamenala a nezjistila. Žalovaná tak neučinila nezbytné kroky ke snížení rizika zneužití osobních údajů zákazníků, včetně žalobkyně, přičemž za toto přestupkové jednání byla rozhodnutím správního orgánu pravomocně postižena. Pakliže žalovaná byla pravomocně uznána vinnou spácháním přestupku, je jednoznačně dáno její protiprávní jednání (podaná správní žaloba nemá sama o sobě odkladný účinek, není-li soudem přiznán). V příčinné souvislosti s tímto jednáním pak žalobkyni vznikla nemajetková újma, kterou má soud za prokázánu ze zjištěného skutkového stavu již samotným faktem, že osobní údaje uživatele unikly a byly dostupné na internetu ke stažení všem třetím osobám v rámci souhrnné databáze zveřejněné na veřejně dostupném serveru pro ukládání dat, čímž došlo k zásahu do práva na informační sebeurčení (čl. 10 odst. 3 LZPS). Ze zveřejnění osobních údajů pak plyne zřejmé riziko nevyžádané pošty.

11. Jinému z uživatelů [webová adresa], jež byl postižen stejným únikem osobních údajů, byla v soudním řízení pravomocně přiznána náhrada nemajetkové újmy 10 000 Kč.

12. Dle § 13 o.z. každý, kdo se domáhá právní ochrany, může důvodně očekávat, že jeho právní případ bude rozhodnut obdobně jako jiný právní případ, který již byl rozhodnut a který se s jeho právním případem shoduje v podstatných znacích; byl-li právní případ rozhodnut jinak, má každý, kdo se domáhá právní ochrany, právo na přesvědčivé vysvětlení důvodu této odchylky.

13. Posuzovaný případ je v podstatných rysech totožný a zdejší soud tak neshledal důvod, proč se odchýlit od způsobu posouzení skutkově i právně obdobné věci, jež již byla u zdejšího soudu rozsouzena. Bylo prokázáno, z e-mailu správce emailových adres i z e-mailu žalované ze dne 12.11.2020, že e-mailovou adresu [email], žalobkyně založila a dosud jí užívá. Došlo k úniku této e-mailové adresy. Soud proto rozhodl o přiznání nemajetkové újmy žalobkyni ve výši 10 000 Kč, neboť shledal, že únikem svých osobních dat byla žalobkyně vystavena možnosti, že může kdykoliv dojít ke zneužití jejích osobních údajů. Náhrada nemajetkové újmy v této výši je přiléhavá výše popsaným okolnostem dané věci s přihlédnutím ke způsobu, jakým bylo zasaženo do práv žalobkyně v důsledku porušení povinností žalované při správě osobních dat.

14. Za skutkové odlišnosti oproti citovanému rozhodnutí ve skutkově obdobné věci soud nepovažuje ani (mezi účastníky nesporné) skutečnost, že e-mailová adresa žalobkyně již byla v minulosti předmětem hackerského útoku, neboť to nezavdává důvod k odepření práva na ochranu osobních údajů, jakož ani ve skutkové rovině (příčinné souvislosti a následku) neovlivňuje dopady porušení právní povinnosti žalované do osobnostní sféry žalobkyně, následky neoprávněného zásahu do práva na soukromí a informační sebeurčení. Skutečnost, že v minulosti již e-mailová adresa žalobkyně unikla v důsledku hackerského útoku, nezavdává důvod k odepření právní ochrany či k modifikaci (snížení) přiměřeného zadostiučinění, dopady do osobnostní sféry jsou stejné, i když osobní údaj již v minulosti byl předmětem útoku a unikl; rovněž v rovině příčinné souvislosti či posuzování následků dopadu zde nebyla tvrzena žádná skutková okolnost, proč by újma na straně žalobkyně z toho důvodu měla být umenšena či příčinná souvislost například přetržena. To že v tomto případě nebylo prokázáno, že předmětem úniku byl osobní údaj – telefonní číslo žalobkyně, soud za zásadní okolnost pro snížení přiměřeného zadostiučinění nepovažuje. Jak uvedl znalec [jméno] [příjmení] ve svém znaleckém posudku cílem krádeží osobních údajů je jejich prodej k provádění marketingu nebo zasílání spamu s cílem vylákání dalších osobních údajů či získání přístupu k zařízení uživatele. Rizikem je získání přístupu ke službám a aplikacím uživatele či pouze obtěžování v rovině telemarketingu a emilového marketingu. Únik e-mailové adresy způsobil dopad do osobnostní sféry žalobkyně a jejího práva na soukromí a informační sebeurčení, ohledně nichž mohla žalobkyně pociťovat obavu z dalšího zneužití, jež je právě předmětem odškodnění.

15. Na základě uvedených skutečností soud žalobě vyhověl co do částky 10 000 Kč jakožto přiměřeného zadostiučinění včetně příslušenství v podobě zákonného úroku z prodlení, které soud přiznal dle žalobního návrhu až od podání žaloby a ve zbytku žalobu zamítl jako nedůvodnou.

16. O náhradě nákladů řízení rozhodl soud podle § 142 odst. 2 o. s. ř. tak, že přiznal žalobkyni, jež byla v řízení úspěšná, nárok na náhradu nákladů řízení 15 956 Kč, přičemž tato částka představuje 90 % z jejich celkové výše (rozdíl úspěchu v řízení v rozsahu 95 % a úspěchu žalované v rozsahu 5 %). Tyto náklady sestávají ze zaplaceného soudního poplatku v částce 800 Kč a nákladů zastoupení advokátem a nákladů zastoupení advokátem, kterému náleží odměna stanovená dle § 6 odst. 1 a § 7 vyhlášky č. 177/1996 Sb., advokátního tarifu, (dále jen „a. t.”) z tarifní hodnoty ve výši 10 500 Kč sestávající z částky 1 540 Kč za každý z sedmi úkonů uvedených v § 11 odst. 1 a. t. (příprava a převzetí zastoupení, výzva k plnění, podání návrhu, vyjádření k odporu, účast na jednání 20.5.2021 a 17.6.2021, písemné vyjádření) včetně sedmi paušálních náhrad výdajů po 300 Kč dle § 13 odst. 4 a. t. Dále pak náklady řízení tvoří náhrada cestovních výdajů 881 Kč (cesta k ÚJ 20.5.2021 a 17.6.2021, při jedné cestě [obec] - Obvodní soud pro Prahu 7 a zpět, 150 km, průměrná kombinovaná spotřeba dle TP v l [číslo] km 5,3, cena automobilového benzinu 95 oktanů za 1 l 27,80 Kč, sazba základní náhrady za 1 km 4,4 Kč) a náhrada za promeškaný čas 600 Kč na jedno jednání (6 půlhodin x 100 Kč). Vzhledem k tomu, že žalobce se zúčastnil dne 20.5.2021 ještě dalších třech jednání činí náklady za cestovné a za náhradu za promeškaný čas ¼ tj. 370,25 Kč a za účast na jednání dne 17.6.2021 je žalobce účastnil ještě jednoho jednání činí náhrada cestovních výdajů a náhrada za promeškaný čas poloviční výši tj. 740,50 Kč Náklady řízení dále tvoří daň z přidané hodnoty ve výši 21 % z částky 13990,75 Kč ve výši 2 938,06 Kč Náklady řízení tak celkem tvoří částka 17 728,81 Kč a 90% pak částku 15 955 Kč.