12 C 237/2020

Plný text

Obvodní soud pro Prahu 7 rozhodl samosoudcem Mgr. Janem Čvančarou ve věci žalobce: osobní údaje žalobce zastoupený advokátem údaje o zástupci proti žalované: osobní údaje žalované zastoupená advokátem Mgr. jméno příjmení se sídlem adresa o zaplacení 10 500 Kč s příslušenstvím

I. Žalovaná je povinna zaplatit žalobci částku 10 000 Kč spolu s úrokem z prodlení ve výši 8,25% ročně z částky 10 000 Kč od 26. 8. 2020 do zaplacení, a to do tří dnů od právní moci tohoto rozsudku.

II. Žaloba se, co do zaplacení částky 500 Kč s úrokem z prodlení ve výši 8,25% ročně z částky 500 Kč od 26. 8. 2020 do zaplacení, zamítá.

III. Žalovaná je povinna zaplatit žalobci náhradu nákladů řízení v částce 14 153 Kč, a to do tří dnů od právní moci tohoto rozsudku, k rukám právního zástupce žalobce.

1. Žalobce se na žalované domáhala zaplacení v záhlaví uvedená částky s příslušenstvím s tvrzením, že si za účelem provádění nákupů založil v internetovém obchodě [webová adresa], provozovaném žalovanou, uživatelský účet, přičemž k registraci použil svojí emailovou adresu [email] a další osobní údaje přinejmenším v rozsahu jméno, příjmení a telefonní číslo a zvolil si vstupní heslo. Odsouhlasil shromažďování a zpracovávání těchto svých osobních údajů v databázi žalované, přičemž žalovaná v rámci obchodních podmínek deklarovala, že osobní údaje zákazníků jsou plně zabezpečeny proti zneužití a osobní údaje žalovaný nepředává s výjimkou dopravců žádným dalším osobám. Nejpozději v průběhu roku 2017 došlo u žalované k bezpečnostnímu incidentu, při kterém došlo k rozsáhlému úniku osobních údajů jejích klientů, a to v rozsahu emailové adresy, přístupového hesla (v šifrované podobě), jména, příjmení a telefonního kontaktu. Mezi poškozenými byl i žalobce a svědčí o tom i skutečnost, že jeho emailová adresa je v databázi [webová adresa] vedena jako adresa, která byly nalezena v souboru dat uniklých z databáze žalované. Uniklá klientská data byla následně volně zpřístupněna veřejnosti na webovém uložišti [webová adresa], a to nejméně od 23. 7. 2017 do 27. 8. 2017. Předmětná data měla dále k dispozici redakce internetového magazínu [název], která s databází dále pracovala. V současné době jsou předmětná data v rozsahu emailu a šifrovaného hesla dále dostupná např. na webovém uložišti [webová adresa]. Žalobce poukázal na to, že žalovaná není schopna účinně zajistit ukončení distribuce uniklé databáze. O tom, že klientská data z databáze žalované jsou volně přístupná na síti internet, byla žalovaná upozorněna třetí osobou, přičemž na toto upozornění svými opatřeními reagovala až po několika dnech. Žalovaná nejenže data žalobkyně nezabezpečila dostatečným způsobem, ale neměla implementovány ani takové mechanismy, které by únik dat odhalily. Žalobce poukázal znalecký posudek [jméno] [příjmení] ohledně účelu webových stránek [webová adresa] a následky spojené s únikem klientských dat. Zdůraznil, že žalovaná porušila povinnost plynoucí z § 13 odst. 1 zákona č. 101/2000 Sb., tedy jako správce přijmout taková opatření, aby nemohlo dojít k neoprávněnému nebo nahodilému přístupu k osobním údajům, k jejich změně, zničení či ztrátě, neoprávněným přenosům, k jejich jinému neoprávněnému zpracování, jakož i k jejich jinému zneužití, což bylo potvrzeno i v rozhodnutí Úřadu pro ochranu osobních údajů, kterým byla žalované uložena pokuta ve výši 1 500 000 Kč. Žalobce dodal, že v důsledku nedostatečné ochrany jeho osobních údajů došlo k jejich volnému zveřejnění a ztratil možnost svobodného uvážení a rozhodnutí, zda vůbec, příp. v jakém rozsahu a jakým způsobem mají být jeho osobní údaje zpřístupněny dalším subjektům. Zásah do jeho práv trvá a je umocněn tím, že jednou zveřejněné osobní údaje (např. email, telefon), nelze z prostředí sítě internet zcela odstranit a zamezit jejich zneužití třetími osobami, např. ve formě odesílání nevyžádané pošty a zásah do osobnostního práva tak v čase neoslabuje. Žalobce poukázal na skutkově totožnou věc projednávanou zdejším soudem pod sp. zn. [spisová značka], kde bylo poškozenému přiznáno přiměřené zadostiučinění za zásah do ústavně zaručeného práva na soukromí a informačního sebeurčení ve výši 10 000 Kč. Zdůraznil rozdíl od odkazovaného případu, spočívající v tom, že není subjektem, který by své osobní údaje předem dobrovolně zveřejnil v síti internet, pročež má za to, že by přiměřené zadostiučinění mělo být nepatrně zvýšeno. Dodal, že na předžalobní výzvu reagovala žalovaná toliko tím, že v celé záležitosti nijak nepochybila. Úrok z prodlení požadoval žalobce výslovně od podání žaloby, ač prodlení nastalo dříve.

2. Žalovaná nárok neuznala a žalobu navrhla zamítnout. Shodně uvedla, že k bezpečnostnímu incidentu, na který je odkazováno v žalobě, skutečně došlo. Zdůraznila však, že žádnou svou povinnost neporušila. Zabezpečení používané v době útoku bylo dostačující, odpovídající stavu techniky v dané době, a tak incidentu nešlo nijak předejít. I proto nesouhlasila s tvrzením, že její přístup k osobním údajům zákazníků byl nedůsledný. Uvedla, že v předmětné věci reagovala na nastalé události ihned, učinila nezbytné kroky jak k zabezpečení celé databáze, informovala všechny potenciálně dotčené osoby a incident bez zbytečného odkladu ohlásila Úřadu pro ochranu osobních údajů. Poukázala na to, že shora uvedené rozhodnutí ÚOOÚ, jímž byla shledána vinnou ze spáchání přestupku v souvislosti s předmětným bezpečnostním incidentem, je aktuálně předmět přezkumu ve správním soudnictví. Zvlášť však zdůraznila, že žalobní tvrzení považuje za nedostatečná, pokud jde o popis tvrzené újmy a odůvodnění výše odškodnění. Dostatečné vylíčení pociťované újmy neobsahovala ani předžalobní výzva k zaplacení částky 10 500 Kč jako přiměřeného zadostiučinění, doručená jí dne 18. 8. 2020. Podotkla, že výpočet přiměřeného zadostiučinění nelze vyčíslit obecně, protože z podstaty tohoto institutu jednoznačně vyplývá nutnost personifikace každého jednotlivého nároku, přičemž v posuzované věci se neuvádí, jakým způsobem se žalující strana musela s tímto zásahem do svých práv vypořádat, jakým způsobem se jí tento zásah osobně dotkl a v čem konkrétně spatřuje vzniklou újmu. V této souvislosti odkázala na judikaturu Nejvyššího soudu ČR. Dodala, že není zřejmé, jaké osobní údaje o žalobci unikly, když údaje, které uvedl v žalobě, žalovaná ověřila ve své databázi a v databázi [webová adresa] a těmito lustracemi neprochází.

3. Z provedených důkazů, o jejichž pravosti a pravdivosti neměl důvod pochybovat, učinil soud následující zjištění:

4. Žalovaná je provozovatelem e-shopu [webová adresa] a je správcem osobních údajů, přičemž se v rámci vlastních obchodních podmínek zavázala k plnému zabezpečení osobních údajů zákazníků proti zneužití (nesporné, ověřeno z obchodních podmínek žalované účinných od 15. 12. 2014).

5. Žalobce si, za účelem nákupu zboží u žalované, zřídil uživatelský účet, kde v rámci registrace uvedla své jméno, příjmení, telefonní číslo, emailovou adresu [email]) a zvolil si přístupové heslo (viz výpis ze stránek [webová adresa]). [příjmení] žalované, že tato emailová adresa žalobce nebyla v jejím systému vedena je nedůvodná, neboť shora uvedená služba [webová adresa] shromáždila data uniklá z bezpečnostního incidentu žalované a dotaz ohledně emailu žalobce vychází jako pozitivní.

6. Žalovaná informovala žalující stranu o pokusu o narušení bezpečnosti a zablokování jejího klientského účtu emailem ze dne 27. 8. 2017 (viz email ze dne 27. 8. 2017).

7. Žalovaná byla uznána vinnou ze spáchání přestupku, neboť nepřijala nebo neprovedla opatření pro zajištění bezpečnosti zpracování osobních údajů tím, že nezabezpečila osobní údaje nejméně 735 956 zákazníků v rozsahu jméno, příjmení, e-mailová adresa, heslo uživatelského účtu, případně telefon, před neoprávněným přístupem v období minimálně od 31. 12. 2014 do srpna 2017, v důsledku čehož došlo v době od 27. 7. 2017 do 25. 8. 2017 k jejich zpřístupnění na serveru [webová adresa], čímž žalovaná porušila povinnost přijmout taková opatření, aby nemohlo dojít k neoprávněnému nebo nahodilému přístupu k osobním údajů, k jejich změně, či ztrátě, neoprávněným přenosům, k jejich jinému neoprávněnému zpracování, případně jinému zneužití osobních údajů, za což byla žalovanému uložena pokuta ve výši 1.500.000 Kč (viz rozhodnutí Úřadu pro ochranu osobních údajů ze dne 23.5.2018 [číslo jednací] [anonymizováno] [číslo], rozhodnutí předsedkyně Úřadu pro ochranu osobních údajů ze dne 21.9.2018 [číslo jednací], výroční zpráva ÚOOÚ za rok 2018, protokol ÚOOÚ o kontrole ze dne 21.3.2018, článek s nadpisem„ V úniku z [příjmení] je přes tři čtvrtě milionu jmen, hesel a telefonních čísel v čitelné podobě“ uveřejněném na server [webová adresa]).

8. Údaje k uživatelskému účtu [email] jsou v souboru dat uniklých žalované ze stránky [webová adresa] (viz výpis stránek [webová adresa]“ ohledně emailu žalobce). Únik osobních údajů klientů z databáze žalované lze ověřit rovněž na stránkách serveru [webová adresa] (viz výpis ze stránek [webová adresa]). Cílem krádeží osobních údajů je jejich prodej k provádění marketingu či zasílání spamu za účelem vylákat další osobní údaje nebo získat přístup k zařízení uživatele. Vzhledem k tomu, že únik nebyl dlouhodobě odhalen, nemohl na něj uživatel reagovat. Po odhalení mohl uživatel měnit hesla a přístupy, obrana proti marketingu je pouze ve změně emailu a telefonního čísla (viz znalecký posudek [jméno] [příjmení] [číslo]).

9. Žalobce vyzval žalovanou k náhradě nemajetkové újmy dne 18. 8. 2020 (viz výzva ze dne 15. 7. 2020, včetně doručenky do DS).

10. Jinému uživateli [webová adresa], jehož osobní data ve stejném rozsahu byla postižena totožným únikem, byla v soudním řízení pravomocně přiznána náhrada nemajetkové újmy 10 000 Kč (rozsudek Obvodního soudu pro Prahu 7 ze dne 21.1.2019, č.j. [číslo jednací], rozsudek Městského soudu v Praze ze dne29. 8. 2019, sp zn. [spisová značka]).

11. Z ostatních provedených důkazů soud nezjistil žádné skutečnosti rozhodné pro posouzení dané věci.

12. Soud k důkazu neprovedl účastnický výslech žalobce, neboť jde o důkazní prostředek subsidiární (§ 131 o. s. ř.), a soud neměl za to, že by účastnický výslech byl nezbytný pro objasnění skutkového stavu.

13. Po stránce právní soud posoudil věc následovně: <i>14. Podle čl. 10 odst. 3 LZPS každý má právo na ochranu před neoprávněným shromažďováním, zveřejňováním nebo jiným zneužíváním údajů o své osobě.</i> <i>15. Podle § 81 zákona č. 89/2012 Sb., občanský zákoník (dále jen o. z.), je chráněna osobnost člověka včetně všech jeho přirozených práv. Každý je povinen ctít svobodné rozhodnutí člověka žít podle svého (odst. 1). Ochrany požívají zejména život a důstojnost člověka, jeho zdraví a právo žít v příznivém životním prostředí, jeho vážnost, čest, soukromí a jeho projevy osobní povahy (odst. 2).</i> <i>16. Podle § 2951 odst. 2 o. z. se nemajetková újma odčiní přiměřeným zadostiučiněním. Zadostiučinění musí být poskytnuto v penězích, nezajistí-li jeho jiný způsob skutečné a dostatečně účinné odčinění způsobené újmy.</i> 17. S ohledem na shora uvedené závěry Úřadu pro ochranu osobních údajů není pochyb (§ 135 odst. 1 o. s. ř.) o tom, že žalovaná porušila své povinnosti správce osobních dat chránit svěřené osobní údaje žalobkyně i jiných svých zákazníků, což vyplývá i ze závěrů kontroly Úřadu, který jednoznačně konstatoval pochybení žalované, která při správě osobních dat nepřijala taková opatření, aby nedošlo k neoprávněnému odcizení databáze zákazníků. Žalovaná jako správce osobních údajů nejen nezabránila neoprávněnému přístupu a odcizení databáze uživatelů, ale ani je nezaznamenala a nezjistila. Žalovaná tak neučinila nezbytné kroky ke snížení rizika zneužití osobních údajů zákazníků, včetně žalobce, přičemž za toto přestupkové jednání byla rozhodnutím správního orgánu pravomocně postižena. Pakliže žalovaná byla pravomocně uznána vinnou spácháním přestupku, je jednoznačně dáno její protiprávní jednání (podaná správní žaloba nemá sama o sobě odkladný účinek, není-li soudem přiznán). V příčinné souvislosti s tímto jednáním pak žalobci vznikla nemajetková újma, kterou má soud za prokázanou ze zjištěného skutkového stavu již tím, že osobní údaje uživatele unikly a byly dostupné na internetu ke stažení všem třetím osobám v rámci souhrnné databáze zveřejněné na veřejně dostupném serveru pro ukládání dat, čímž došlo k zásahu do práva na informační sebeurčení (čl. 10 odst. 3 LZPS). Ze zveřejnění osobních údajů pak plyne zřejmý stav nejistoty žalobce ohledně rizika nevyžádané pošty a obtěžujících volání, stejně jako možnosti, že třetí osoba získá na základě zveřejněných údajů přístup do uživatelského účtu [webová adresa], kde bude mít k dispozici údaje např. o historii objednávek, doručovacích adresách, platebních metodách atd. Pakliže by žalobce chtěl eliminovat nepříznivé následky úniku těchto osobních údajů, musel by změnit email a telefon. Vzhledem ke skutečnosti, že tato popsaná újma fakticky vyplývá již ze zjištěného skutkového stavu a tuto újmu by pociťovala každá osoba v postavení žalobce, soud nepovažoval za nutné provádět jeho účastnický výslech.

18. Podle § 13 o. z. každý, kdo se domáhá právní ochrany, může důvodně očekávat, že jeho právní případ bude rozhodnut obdobně jako jiný právní případ, který již byl rozhodnut a který se s jeho právním případem shoduje v podstatných znacích; byl-li právní případ rozhodnut jinak, má každý, kdo se domáhá právní ochrany, právo na přesvědčivé vysvětlení důvodu této odchylky.

19. Jinému z uživatelů [webová adresa], jež byl postižen stejným únikem osobních údajů, byla ve shora zmíněném soudním řízení pravomocně přiznána náhrada nemajetkové újmy 10 000 Kč.

20. Posuzovaný případ je v podstatných rysech totožný a zdejší soud tak neshledal důvod, proč se odchýlit od způsobu posouzení skutkově i právně obdobné věci, rozsouzené u zdejšího soudu. Rozdíl není dán tím, že žalobce (na rozdíl podnikatele v odkazované věci) nemá povinnost zveřejnovat některé své osobní údaje, protože újma je v obou případech dána nejistou ohledně zneužití kombinace osobních údajů, která je v obou případech stejná.

21. Soud proto rozhodl o přiznání nemajetkové újmy ve výši 10 000 Kč, neboť shledal, že únikem svých osobních dat byl žalobce vystaven možnosti, že může kdykoliv dojít ke zneužití jeho osobních údajů. Náhrada nemajetkové újmy v této výši je přiléhavá výše popsaným okolnostem dané věci s přihlédnutím ke způsobu, jakým bylo zasaženo do práv žalobce v důsledku porušení povinností žalované při správě osobních údajů. Příslušenství podle § 1970 a vyhl. č. 351/2013 Sb. soud přiznal dle žalobního návrhu až od podání žaloby, ačkoliv k prodlení došlo uplynutím lhůty v předžalobní výzvě. Ve zbývající části žalobu jako nedůvodnou zamítl.

22. O náhradě nákladů řízení rozhodl soud podle § 142 odst. 3 o. s. ř., neboť rozhodnutí o výši zadostiučinění záviselo na úvaze soudu. Přiznal proto žalobci plnou náhradu nákladů, které tvoří zaplacený soudní poplatek 800 Kč, náklady právního zastoupení, tj. mimosmluvní odměna advokáta podle § 8 odst. 1 vyhl. č. 177/1996 Sb., advokátní tarif, (dále jen AT) za 5 úkonů právní služby v plné výši po 1 540 Kč (převzetí a příprava, sepis předžalobní výzvy, žaloby, doplnění a účast na ÚJ) a 1 úkon ve výši poloviční za 770 Kč (námitky proti výzvě), dále paušální náhrada hotových výdajů podle § 13 odst. 4 AT za každý z těchto úkonů po 300 Kč, dále polovina nákladů na cestovné v celkové výši 931 Kč za cestu osobním automobilem Škoda, [registrační značka], [obec] [obec] a zpět (150 km) při průměrné spotřebě 6,5 l [číslo] km benzínu natural 95 v ceně 27,80 Kč a amortizaci 4,40 Kč na km podle § 13 odst. 1 AT a vyhl. č. 589/2020 Sb., polovina náhrady za promeškaný čas v celkové výši 600 Kč v rozsahu 6 jednotek (započatých půlhodin) podle § 14 odst. 1 písm. a) AT, náhrada za DPH 21 % ve výši 2 371,50 Kč podle § 137 odst. 3 o. s. ř. Náhrada za cestovné a promeškaný čas byla krácena na ½ z důvodu současné účasti právního zástupce na jednání ve věci [spisová značka] téhož dne.

23. O povinnosti žalované, zaplatit tuto náhradu k rukám zástupce žalobce, bylo rozhodnuto dle § 149 odst. 1 o. s. ř. O třídenní lhůtě, ke splnění obou povinností, bylo rozhodnuto dle § 160 odst. 1 o. s. ř.