15 C 239/2020

Plný text

: Obvodní soud pro Prahu 7 rozhodl soudkyní JUDr. Ivou Kaňákovou ve věci Žalobce: ; celé jméno žalobce , datum narození , bytem adresa žalobce , zastoupený advokátem titul jméno příjmení , sídlem adresa , proti; žalovanému: ; právnická osoba , IČO: osobní údaje žalovaného Sídlem ulice a číslo , PSČ obec a číslo , zastoupený advokátem titul jméno příjmení , sídlem adresa , o zaplacení částky 10 500 Kč s příslušenstvím,

I. Žalovaný je povinen zaplatit žalobci částku 10 000 Kč se zákonným úrokem z prodlení ve výši 8,25% ročně z částky 10 000 Kč od 27. 8. 2020 do zaplacení, to vše do tří dnů od právní moci tohoto rozsudku.

II. Žaloba se co do zaplacení částky 500 Kč s úrokem z prodlení ve výši 8,25% ročně z částky 500 Kč od 27. 8. 2020 do zaplacení, zamítá.

III. Žádný z účastníků nemá právo na náhradu nákladů řízení.

1. Žalobce se žalobou doručenou Obvodnímu soudu pro Prahu 7 dne 25. 8. 2020 domáhal vydání rozsudku, kterým by soud rozhodl, že žalovaný je povinen zaplatit žalobci částku 10 500 Kč s příslušenstvím. Žalobce uvedl, že si za účelem provádění nákupů zřídil v internetovém obchodě [webová adresa] provozovaném žalovaným uživatelský účet, když k registraci použil svojí e-mailovou adresu [email]. V rámci tohoto účtu byly do databáze žalovaného uloženy vedle uvedené e-mailové adresy též další osobní údaje žalobce – nejméně jméno, příjmení, telefonní číslo. Žalobce odsouhlasil shromažďování a zpracovávání těchto svých osobních údajů v databázi žalovaného, přičemž žalovaný i v rámci žalobcem odsouhlasených obchodních podmínek deklaroval, že osobní údaje zákazníků jsou plně zabezpečeny proti zneužití a osobní údaje žalovaný nepředává s výjimkou dopravců žádným dalším osobám. Žalovaný měl povinnost tyto osobní údaje chránit před zneužitím a proti předání třetím osobám bez souhlasu žalobce. Nejpozději v průběhu roku 2017 došlo u žalovaného k bezpečnostnímu incidentu, při kterém došlo k rozsáhlému úniku osobních dat klientů žalovaného, a to v rozsahu e-mailové adresy, přístupového hesla, jména, příjmení a telefonního kontaktu. V rámci incidentu došlo k úniku celkem 766 421 elektronických záznamů a 735 956 unikátních e-mailových adres. Mezi poškozenými byl i žalobce, jehož identifikační a kontaktní údaje byly uloženy v jeho uživatelském účtu. V případě žalobce se jednalo o jméno, příjmení, e-mailovou adresu, telefon, heslo. O tom, že žalobce byl postižen únikem svých osobních údajů z databáze žalovaného, byl žalobce žalovaným informován e-mailem ze dne 27. 8. 2017. V tomto e-mailu žalovaný žalobci sdělil, že se žalovaný stal obětí neoprávněného přístupu neznámého útočníka k některým zákaznickým údajům. Tomu, že žalobce byl postižen únikem svých osobních údajů, nasvědčovala i skutečnost, že jeho e-mailová adresa je v databázi [webová adresa] vedena jako adresa, která byla nalezena v souboru dat uniklých z databáze žalovaného. Klientská data zpracovávaná žalovaným, jejichž součástí byly i osobní data žalobce ve shora uvedeném rozsahu, byla po jejich úniku volně zpřístupněna veřejnosti ve stáhnutelné podobě na webovém úložišti [webová adresa], a to nejméně od 23. 7. 2017 do 27. 8. 2017. Předmětná data měla dále prokazatelně k dispozici redakce internetového magazínu [webová stránka], která s databází dále pracovala. V současné době jsou předmětná data v rozsahu e-mailu a šifrovaného hesla dále volně dostupná například na webovém úložišti [webová adresa]. Je tedy zjevné, že žalovaný není schopen účinně zajistit ukončení distribuce uniklé databáze. O tom, že klientská data z databáze žalovaného jsou volně přístupná na síti internet, byl žalovaný upozorněn třetí osobou, přičemž na toto upozornění žalovaný svými opatřeními reagoval až po několika dnech. Žalovaný nejenže data žalobce nezabezpečil dostatečným způsobem, nýbrž žalovaný neměl implementovány ani takové mechanismy, které by únik dat odhalily. Podle ustanovení § 13 odst. 1 zákona č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, v tehdy platném a účinném znění (dále jen„ zákon č. 101/2000 Sb.“) byl žalovaný jako správce povinen přijmout taková opatření, aby nemohlo dojít k neoprávněnému nebo nahodilému přístupu k osobním údajům, k jejich změně, zničení či ztrátě, neoprávněným přenosům, k jejich jinému neoprávněnému zpracování, jakož i k jejich jinému zneužití. S ohledem na výše uvedené je zjevné, že žalovaný porušil zákonnou povinnost správce osobních údajů podle zákona č. 101/2000 Sb., přijmout taková opatření, aby nedošlo k neoprávněnému přístupu k osobním údajům žalobce a jejich zneužití. Tato skutečnost byla potvrzena i v rozhodnutí Úřadu pro ochranu osobních údajů, který žalovaného uznal vinným za přestupek podle ustanovení § 45 odst. 1 písm. h) zákona č. 101/2000 Sb., za což žalovanému uložil pokutu ve výši 1 500 000 Kč. Tím, že žalobce žalovanému svěřil ke zpracování své osobní údaje a žalovaný porušil svoji zákonnou povinnost zabezpečit tyto údaje před neoprávněným přístupem a zneužitím, došlo ze strany žalovaného k zásahu do ústavně zaručeného práva žalobce na soukromí zakotveného v ustanovení článku 10 odst. 3 Listiny základních práv a svobod (dále jen„ Listina“), z něhož vyplývá i právo na informační sebeurčení. Skutkově totožná věc byla nadepsaným soudem již rozhodována v řízení sp. zn. [spisová značka] a v následném odvolacím řízení vedeném Městským soudem v Praze pod sp. zn. [spisová značka]. V rámci tohoto řízení dospěl soud k závěru, že za přiměřené zadostiučinění za zásah do ústavně zaručeného práva na soukromí a informačního sebeurčení lze považovat částku 10 000 Kč. Podle ustanovení § 13 zákona č. 89/2012 Sb., občanský zákoník (dále jen „o.z.“), platí, že každý, kdo se domáhá právní ochrany, může důvodně očekávat, že jeho právní případ bude rozhodnut obdobně jako jiný právní případ, který již byl rozhodnut a který se s jeho právním případem shoduje v podstatných znacích.

2. Žalovaný ve vyjádření k podané žalobě uvedl, že nerozporuje, že k bezpečnostnímu incidentu, na který je odkazováno žalobcem, skutečně došlo. Nadále je však přesvědčen, že žádnou svoji povinnost neporušil. Zabezpečení používané v době útoku bylo dostačující, odpovídající stavu techniky v dané době, a tak incidentu nešlo nijak předejít. I proto žalovaný nesouhlasil s tvrzením žalobce, že přístup žalovaného k osobním údajům zákazníků byl nedůsledný. Žalovaný v předmětné věci ihned reagoval na nastalé události a učinil nezbytné kroky jak k zabezpečení celé databáze, tak k informování všech potenciálně dotčených osob, incident rovněž bez zbytečného odkladu, zcela v souladu s povinnostmi vyplývajícími mu z příslušných právních předpisů, ohlásil Úřadu pro ochranu osobních údajů. Považuje proto za významné připomenout, že rozhodnutí Úřadu pro ochranu osobních údajů, jímž byl shledán vinným ze spáchání přestupku v souvislosti s předmětným bezpečnostním incidentem, je aktuálně předmětem přezkumu ve správním soudnictví, přičemž konečné rozhodnutí nebylo dosud vydáno. I kdyby se však soud ztotožnil se závěrem o existenci odpovědnosti žalovaného za bezpečnostní incident (únik osobních údajů), žalobní tvrzení žalobce jsou zcela nedostatečná, pokud jde o popis tvrzené újmy a odůvodnění výše odškodnění, které je požadováno. Žalovanému byla dne 4. 8. 2020 doručena předžalobní výzva, ve které se žalobce domáhá v předmětné věci zaplacení částky 10 500 Kč jako přiměřeného zadostiučinění za zásah do jeho práva na soukromí a informační sebeurčení. Ani ve výzvě, ani v následně podané žalobě však žalovaný neuvedl žádné konkrétní skutečnosti vztahující se k jím pociťované újmě a požadovanému odškodnění, pouze odkazuje na rozhodnutí v obdobné věci. Žalovaný v tomto směru odkazuje především na fakt, že výpočet přiměřeného zadostiučinění nelze vyčíslit obecně, protože z podstaty tohoto institutu jednoznačně vyplývá nutnost personifikace každého jednotlivého nároku. V tomto případě žalobce nijak neuvádí, jakým způsobem se musel s tímto zásahem do svých práv vypořádat, neuvádí ani, jakým způsobem se ho tento zásah osobně dotkl a v čem konkrétně spatřuje vzniklou újmu. Při absenci těchto tvrzení pak logicky žaloba postrádá jakoukoli schopnost údajně vzniklou újmu individualizovat a umožnit určení částky, která by ji mohla kompenzovat, k čemuž žalovaný poukázal na judikaturu Nejvyššího soudu České republiky. Žalovaný vyjádřil přesvědčení, že tvrzení uvedená žalobcem v žalobě jsou zcela nedostatečná pro účely rozhodnutí o výši náhrady škody, respektive, že z těchto tvrzení nevyplývá, jakou konkrétní újmu žalobce pociťuje. Žalobce proto nesplnil svou povinnost tvrzení, tím méně povinnost důkazní, když k předmětným skutečnostem v žalobě ani neoznačil žádný důkaz, natož aby takový důkaz předložil. Za těchto okolností žalobce neunesl procesní břemena tvrzení a důkazní, pročež žalovaný navrhl zamítnutí žaloby.

3. Na základě zjištění učiněných po provedeném dokazování a jejich zhodnocení ve smyslu § 132 o.s.ř. dospěl soud k následujícímu závěru o skutkovém stavu ve věci samé. Přitom vzhledem k tomu, že mezi účastníky byla nesporná zejména skutečnost, že došlo k úniku e-mailové adresy žalobce a hesla z důvodu hackerského útoku (protiprávní vniknutí do informačního systému žalovaného zvenčí), vzal soud za svá skutková zjištění též shodná tvrzení účastníků (§ 120 odst. 3 o.s.ř.).

4. Žalovaný je provozovatelem e-shopu [webová adresa] a je správcem osobních údajů. Žalovaný po bezpečnostním incidentu, ke kterému došlo v přesně nezjištěném období od 31. 12. 2014 do 23. 6. 2017, písemně informoval dotřené subjekty osobních údajů prostřednictvím e-mailu o této události, což je prokázáno e-mailem zákazníkům o hackerském útoku a výroční zprávou úřadu pro ochranu osobních údajů za rok 2018. Žalovaný byl uznán vinným ze spáchání přestupku, neboť nepřijal nebo neprovedl opatření pro zajištění bezpečnosti zpracování osobních údajů tím, že nezabezpečil osobní údaje nejméně 735 956 zákazníků v rozsahu jméno, příjmení, e-mailová adresa, heslo uživatelského účtu, případně telefon, před neoprávněným přístupem v období minimálně od 31. 12. 2014 do srpna 2017, v důsledku čehož došlo v době od 27. 7. 2017 do 25. 8. 2017 k jejich zpřístupnění na serveru [webová adresa], čímž žalovaný porušil povinnost přijmout taková opatření, aby nemohlo dojít k neoprávněnému nebo nahodilému přístupu k osobním údajům, k jejich změně či ztrátě, neoprávněným přenosům, k jejich jinému neoprávněnému zpracování, případně jinému zneužití osobních údajů, za což byla žalovanému uložena pokuta ve výši 1 500 000 Kč, což je prokázáno rozhodnutím Úřadu pro ochranu osobních údajů ze dne 23. 5. 2018, [číslo jednací] a rozhodnutím předsedkyně Úřadu pro ochranu osobních údajů ze dne 21. 9. 2018, [číslo jednací]. Údaje k uživatelskému účtu [email] jsou v souboru uniklých dat při úniku informací ze stránky [webová adresa], což je prokázáno výpisem stránek„ have i been pwned – [webová adresa]. Cílem krádeží osobních údajů je jejich prodej k provádění marketingu či zasílání spamu s cílem vylákání dalších osobních údajů nebo získání přístupu k zařízení uživatele. Vzhledem k tomu, že únik nebyl dlouhodobě odhalen, nemohl na něj uživatel reagovat. Po odhalení mohl uživatel měnit hesla a přístupy, obrana proti marketingu je pouze ve změně e-mailu a telefonního čísla; toto je prokázáno Znaleckým posudkem [číslo] který dne 15. 7. 2020 vypracoval znalec [jméno] [příjmení]. Žalovaný se ve všeobecných obchodních podmínkách zavazuje k plnému zabezpečení osobních údajů zákazníků proti zneužití, což je prokázáno Všeobecnými obchodními podmínkami žalovaného. Žalobce vyzval žalovaného k náhradě nemajetkové újmy dne 15. 7. 2020, to je prokázáno listinou Výzva k náhradě nemajetkové újmy. Výzva byla žalovanému doručena dne 23. 7. 2020, což je prokázáno Doručenkou datové zprávy. Jinému uživateli [webová adresa], jehož osobní data byla postižena totožným únikem, byla v soudním řízení přiznána pravomocně náhrada nemajetkové újmy ve výši 10 000 Kč, což je prokázáno rozsudkem Obvodního soudu pro Prahu 7 ze dne 21. 1. 2019, č.j. [číslo jednací], který byl potvrzen rozsudkem Městského soudu v Praze ze dne 29. 8. 2019, č.j. [číslo jednací].

5. Na základě shora uvedeného závěru o skutkovém stavu posoudil soud věc po právní stránce takto:

6. Podle článku 10 odst. 3 Listiny každý má právo na ochranu před neoprávněným shromažďováním, zveřejňováním nebo jiným zneužíváním údajů o své osobě.

7. Podle § 81 odst. 1 a 2 o.z. je chráněna osobnost člověka včetně všech jeho přirozených práv. Každý je povinen ctít svobodné rozhodnutí člověka žít podle svého. Ochrany požívají zejména život a důstojnost člověka, jeho zdraví a právo žít v příznivém životním prostředí, jeho vážnost, čest, soukromí a jeho projevy osobní povahy.

8. Podle § 2951 odst. 2 o.z. se nemajetková újma odčiní přiměřeným zadostiučiněním. Zadostiučinění musí být poskytnuto v penězích, nezajistí-li jeho jiný způsob skutečné a dostatečně účinné odčinění způsobené újmy.

9. Podle § 13 o.z. každý, kdo se domáhá právní ochrany, může důvodně očekávat, že jeho právní případ bude rozhodnut obdobně jako jiný právní případ, který již byl rozhodnut a který se s jeho právním případem shoduje v podstatných znacích; byl-li právní případ rozhodnut jinak, má každý, kdo se domáhá právní ochrany, právo na přesvědčivé vysvětlení důvodu této odchylky.

10. Soud shledal, že v dané věci bylo prokázáno, že žalovaný porušil své povinnosti správce osobních dat chránit svěřené osobní údaje žalobce i jiných svých zákazníků, což vyplývá ze závěrů kontroly Úřadu pro ochranu osobních údajů, který jednoznačně konstatoval pochybení žalovaného, který při správě osobních dat nepřijal taková opatření, aby nedošlo k neoprávněnému odcizení databáze zákazníků. Žalovaný jako správce osobních údajů nejen nezabránil neoprávněnému přístupu a odcizení databáze uživatelů, ale ani je nezaznamenal a nezjistil. Žalovaný tak neučinil nezbytné kroky ke snížení rizika zneužití osobních údajů zákazníků, včetně žalobce, přičemž za toto přestupkové jednání byl rozhodnutím správního orgánu pravomocně postižen. Byl-li žalovaný pravomocně uznán vinným spácháním přestupku, je jednoznačně dáno jeho protiprávní jednání. Podaná správní žaloba nemá sama o sobě odkladný účinek, není-li soudem přiznán. Podle § 135 odst. 1 o.s.ř. pravomocným rozhodnutím příslušného orgánu o přestupku je soud v občanském soudním řízení vázán. V příčinné souvislosti s tímto jednáním pak žalobci vznikla nemajetková újma, kterou má soud prokázánu již samotným (nesporným) faktem, že osobní údaje uživatele unikly a byly dostupné na internetu ke stažení všem třetím osobám v rámci souhrnné databáze zveřejněné na veřejně dostupném serveru pro ukládání dat, čímž došlo k zásahu do práva na informační sebeurčení (článek 10 odst. 3 Listiny). Ze zveřejnění osobních údajů pak plyne zřejmé riziko nevyžádané pošty a obtěžujících volání, stejně jako možnost, že třetí osoba získá na základě zveřejněných údajů přístup do uživatelského účtu [webová adresa], kde bude mít k dispozici údaje například o historii objednávek, doručovacích adresách, platebních metodách apod. Pakliže by žalobce chtěl eliminovat nepříznivé následky úniku těchto osobních údajů, musel by měnit přístupová hesla všude tam, kde užívá stejnou kombinaci e-mailu a hesla, potažmo pak měnit i e-mail a telefon. Vzhledem ke skutečnosti, že tato popsaná újma fakticky vyplývá již ze zjištěného skutkového stavu, soud nepovažoval za nutné provádět účastnický výslech žalobce.

11. Jinému z uživatelů [webová adresa], který byl postižen stejným únikem osobních údajů, byla v soudním řízení pravomocně přiznána náhrada nemajetkové újmy 10 000 Kč.

12. Posuzovaný případ je v podstatných rysech totožný a soud tak neshledal důvod, proč se odchýlit od způsobu posouzení skutkově i právně obdobné věci, jež již byla u zdejšího soudu rozsouzena. Soud proto rozhodl o přiznání nemajetkové újmy žalobci ve výši 10 000 Kč, neboť shledal, že únikem svých osobních dat byl žalobce vystaven možnosti, že může kdykoliv dojít ke zneužití jeho osobních údajů. Náhrada nemajetkové újmy v této výši je přiléhavá výše popsaným okolnostem předmětné věci s přihlédnutím ke způsobu, jakým bylo zasaženo do práv žalobce v důsledku porušení povinností žalovaného při správě osobních dat. Příslušenství soud přiznal dle žalobního návrhu od podání žaloby. Co do částky 500 Kč s příslušenstvím soud podanou žalobu zamítl.

13. Za skutkové odlišnosti oproti výše citovanému rozhodnutí ve skutkově obdobné věci soud nepovažuje ani mezi účastníky nespornou skutečnost, že žalobce v tomto případě není podnikatelem, neboť tato skutečnost nezavdává důvod k odepření práva na ochranu osobních údajů, jakož ani ve skutkové rovině (příčinné souvislosti a následku) neovlivňuje dopady porušení právní povinnosti žalovaného do osobnostní sféry žalobce, následky neoprávněného zásahu do práva na soukromí a informační sebeurčení. Intenzita zásahu do práva na soukromí a informační sebeurčení a jeho následky nejsou závislé na tom, zda poškozený je podnikatelem či nikoliv, neboť jde o zásah do práv fyzické osoby, člověka, ochrana člověka se neodvíjí od způsobu obživy; ve srovnávaném obdobném případu nadto stanovení přiměřeného zadostiučinění nespočívalo na zohlednění skutečnosti, že žalobce byl podnikatelem a s tím souvisejících okolností. Rovněž v rovině příčinné souvislosti či posuzování následků dopadu zde nebyla tvrzena žádná skutková okolnost, proč by újma na straně žalobce z toho důvodu měla být umenšena či příčinná souvislost například přetržena.

14. Na základě uvedených skutečností soud žalobě vyhověl co do částky 10 000 Kč jakožto přiměřeného zadostiučinění včetně příslušenství v podobě zákonného úroku z prodlení (§ 1970 o.z., § 2 nařízení vlády č. 351/2013 Sb.) a ve zbytku žalobu zamítl jako nedůvodnou.

15. O náhradě nákladů řízení rozhodl soud podle § 142 odst. 2 o.s.ř., podle kterého měl-li účastník ve věci úspěch jen částečný, soud náhradu nákladů poměrně rozdělí, popřípadě vysloví, že žádný z účastníků nemá na náhradu nákladů právo.

16. Platí pravidlo, že soud přiznává náhradu nákladů potřebných k účelnému uplatňování nebo bránění práva. Žalobci byl znám rozsudek Obvodního soudu pro Prahu 7 ze dne 21. 1. 2019, č.j. [číslo jednací], který byl potvrzen rozsudkem Městského soudu v Praze ze dne 29. 8. 2019, č.j. [číslo jednací] v obdobném případě, kde žalobci byla přiznána satisfakce za imateriální újmu ve výši 10 000 Kč, ačkoli požadoval částku vyšší. Právní zástupkyně žalobce při jednání před soudem dne 4. 8. 2021 uvedla, že žalobce v projednávané věci požaduje částku 10 500 Kč, neboť zohlednil specifika svého případu na rozdíl od jiných věcí. Jednání ve věci sp. zn. [spisová značka] předcházelo jednání ve věci [spisová značka], které se týkalo téhož žalovaného a žalobci zastoupenému týmž právním zástupcem, jako v řízení [spisová značka], byla přiznána částka 10 000 Kč s příslušenstvím, ačkoli požadoval částku 10 500 Kč. Porovnání obou žalob v těchto věcech soud zjistil, že jsou naprosto totožné, liší se pouze ve jménu žalobce. Soud se neztotožňuje s tvrzením žalobce, že věc vedená pod sp. zn. [spisová značka] je specifická oproti jiným projednávaným věcem se stejným skutkovým základem a stejným žalovaným. Vzhledem k tomu, že žalobce velmi dobře věděl, jak soud v obdobných případech rozhoduje, přesto trval na zaplacení částky 10 500 Kč a díky postoji žalobce došlo k tomu, že soud žalobci částečně vyhověl a částečně jeho návrh zamítl. Proto má soud za to, že v daném případě je na místě použít ustanovení § 142 odst. 2 o.s.ř. a žádnému z účastníků nepřiznat náhradu nákladů řízení, když oba účastníci byli v řízení úspěšní pouze částečně (byť žalobce z větší části).

17. Lhůtu k plnění stanovil soud podle § 160 odst. 1 věty první před středníkem o.s.ř., když pro stanovení lhůty delší či pro povolení splátek neshledal zákonné důvody.