4 C 357/2020

Plný text

Obvodní soud pro Prahu 7 rozhodl samosoudcem Mgr. Tomášem Mottlem ve věci žalobce: osobní údaje žalobce zastoupený advokátem údaje o zástupci proti žalované: osobní údaje žalované zastoupená advokátem údaje o zástupci pro zaplacení 10 500 Kč s příslušenstvím

I. Žalovaná je povinna zaplatit žalobci částku 10 000 Kč spolu s úrokem z prodlení ve výši 8,25 % ročně z částky 10 000 Kč od 25. 8. 2020 do zaplacení, a to do tří dnů od právní moci tohoto rozsudku.

II. Žaloba se co do zaplacení částky 500 Kč s úrokem z prodlení ve výši 8,25 % ročně z částky 500 Kč od 25. 8. 2020 do zaplacení zamítá.

III. Žalovaná je povinna zaplatit žalobci náhradu nákladů řízení ve výši 13 482,02 Kč, a to do tří dnů od právní moci tohoto rozsudku do rukou advokáta žalobce.

1. Žalobce v podané žalobě uvedl, že si za účelem provádění nákupů zřídil v internetovém obchodě [webová adresa] provozovaném žalovanou uživatelský účet, kdy k registraci použil svojí e-mailovou adresu [email]. V rámci tohoto účtu byly do databáze žalované uloženy vedle uvedené e-mailové adresy, též další osobní údaje žalobce – nejméně jméno, příjmení, telefonní číslo. Žalobce odsouhlasil shromažďování a zpracovávání těchto svých osobních údajů v databázi žalované, přičemž žalovaná i v rámci žalobcem odsouhlasených obchodních podmínek deklarovala, že osobní údaje zákazníků jsou plně zabezpečeny proti zneužití a osobní údaje žalovaná nepředává s výjimkou dopravců žádným dalším osobám. Žalovaná měla povinnost tyto osobní údaje chránit před zneužitím a proti předání třetím osobám bez souhlasu žalobce. Nejpozději v průběhu roku 2017 došlo u žalované k bezpečnostnímu incidentu, při kterém došlo k rozsáhlému úniku osobních údajů klientů žalované, a to v rozsahu e-mailové adresy, přístupového hesla, jména, příjmení a telefonního kontaktu. V rámci incidentu došlo k úniku celkem 766 421 elektronických záznamů a 735 956 unikátních e-mailových adres. Mezi poškozenými byl i žalobce, jehož identifikační a kontaktní údaje byly uloženy v jeho uživatelském účtu. V případě žalobce se jednalo o jméno, příjmení, e-mailovou adresu, telefon, heslo. O tom, že žalobce byl postižen únikem svých osobních údajů z databáze žalované, byl žalobce žalovanou informován e-mailem dne 27. 8. 2017. V tomto e-mailu žalovaná žalobci sdělila, že se žalovaná stala obětí neoprávněného přístupu neznámého útočníka k některým zákaznickým údajům. Tomu, že žalobce byl postižen únikem svých osobních údajů, nasvědčovala i skutečnost, že jeho e-mailová adresa je v databázi [webová adresa] vedena jako adresa, která byly nalezena v souboru dat uniklých z databáze žalovaného. Klientská data zpracovávaná žalovanou, jejichž součástí byly i osobní údaje žalobce ve shora uvedeném rozsahu, byla po jejich úniku volně zpřístupněna veřejnosti ve stáhnutelné podobě na webovém uložišti [webová adresa], a to nejméně od 23. 7. 2017 do 27. 8. 2017. Předmětná data měla dále prokazatelně k dispozici redakce internetového magazínu LUPA.CZ, která s databází dále pracovala. V současné době jsou předmětná data v rozsahu e-mailu a šifrovaného hesla dále volně dostupná např. na webovém uložišti [webová adresa]. Je tedy zjevné, že žalovaná není schopna účinně zajistit ukončení distribuce uniklé databáze. O tom, že klientská data z databáze žalované jsou volně přístupná na síti internet, byla žalovaná upozorněna třetí osobou, přičemž na toto upozornění žalovaná svými opatřeními reagovala až po několika dnech. Žalovaná nejenže data žalobce nezabezpečila dostatečným způsobem, nýbrž žalovaná neměla implementovány ani takové mechanismy, které by únik dat odhalily. Podle ustanovení § 13 odst. 1 zákona č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, v tehdy platném a účinném znění (dále jen„ zákon č. 101/2000 Sb.“), byla žalovaná jako správkyně povinna přijmout taková opatření, aby nemohlo dojít k neoprávněnému nebo nahodilému přístupu k osobním údajům, k jejich změně, zničení či ztrátě, neoprávněným přenosům, k jejich jinému neoprávněnému zpracování, jakož i k jejich jinému zneužití. S ohledem na výše uvedené je zjevné, že žalovaná porušila zákonnou povinnost správce osobních údajů podle zákona č. 101/2000 Sb., přijmout taková opatření, aby nedošlo k neoprávněnému přístupu k osobním údajům žalobce a jejich zneužití. Tato skutečnost byla potvrzena i v rozhodnutí Úřadu pro ochranu osobních údajů, který žalovanou uznal vinnou za přestupek podle ustanovení § 45 odst. 1 písm. h) zákona č. 101/2000 Sb., za což žalované uložil pokutu ve výši 1 500 000 Kč. Tím, že žalobce žalované svěřil ke zpracování své osobní údaje a žalovaná porušila svoji zákonnou povinnost zabezpečit tyto údaje před neoprávněným přístupem a zneužitím, došlo ze strany žalované k zásahu do ústavně zaručeného práva žalobce na soukromí zakotveného v ust. čl. 10 odst. 3 Listiny základních práv a svobod (dále jen„ Listina“), z něhož vyplývá i právo na informační sebeurčení. Skutkově totožná věc byla nadepsaným soudem již rozhodována v řízení sp. zn. 4 C 13/2017 a v následném odvolacím řízení vedeném Městským soudem v Praze pod sp. zn. 22 Co 147 / 2019. V rámci tohoto řízení dospěl soud k závěru, že za přiměřené zadostiučinění za zásah do ústavně zaručeného práva na soukromí a informačního sebeurčení lze považovat částku 10 000 Kč. Podle ustanovení § 13 zákona č. 89/2012 Sb., občanský zákoník (dále jen „o. z.“), platí, že každý, kdo se domáhá právní ochrany, může důvodně očekávat, že jeho právní případ bude rozhodnut obdobně jako jiný právní případ, který již byl rozhodnut a který se s jeho právním případem shoduje v podstatných znacích.

2. Žalovaná ve vyjádření k podané žalobě uvedla, že nerozporuje, že k bezpečnostnímu incidentu, na který je odkazováno žalobcem, skutečně došlo. Nadále je však přesvědčena, že žádnou svou povinnost neporušila. Zabezpečení používané v době útoku bylo dostačující, odpovídající stavu techniky v dané době, a tak incidentu nešlo nijak předejít. I proto žalovaná nesouhlasila s tvrzením žalobce, že přístup žalované k osobním údajům zákazníků byl nedůsledný. Žalovaná v předmětné věci ihned reagovala na nastalé události a učinila nezbytné kroky jak k zabezpečení celé databáze, tak k informování všech potenciálně dotčených osob, incident rovněž bez zbytečného odkladu, zcela v souladu s povinnostmi vyplývajícími jí z příslušných právních předpisů, ohlásila Úřadu pro ochranu osobních údajů. Považuje proto za významné připomenout, že rozhodnutí Úřadu pro ochranu osobních údajů, jímž byla shledána vinnou ze spáchání přestupku v souvislosti s předmětným bezpečnostním incidentem, je aktuálně předmět přezkumu ve správním soudnictví, přičemž konečné rozhodnutí dosud nebylo vydáno. I kdyby se však soud ztotožnil se závěrem o existenci odpovědnosti žalované za bezpečnostní incident (únik osobních údajů), žalobní tvrzení žalobce jsou zcela nedostatečná, pokud jde o popis tvrzené újmy a odůvodnění výše odškodnění, které je požadováno. Žalované byla doručena předžalobní výzva, ve které se žalobce domáhá v předmětné věci zaplacení částky 10 500 Kč jako přiměřeného zadostiučinění za zásah do jeho práva na soukromí a informační sebeurčení. Ani ve výzvě, ani v následně podané žalobě však žalovaný neuvedl žádné konkrétní skutečnosti vztahující se k jím pociťované újmě a požadovanému odškodnění, pouze odkazuje na rozhodnutí v obdobné věci. Žalovaná v tomto směru poukazuje především na fakt, že výpočet přiměřeného zadostiučinění nelze vyčíslit obecně, protože z podstaty tohoto institutu jednoznačně vyplývá nutnost personifikace každého jednotlivého nároku. V tomto případě žalobce nijak neuvádí, jakým způsobem se musel s tímto zásahem do svých práv vypořádat, neuvádí ani, jakým způsobem se ho tento zásah osobně dotkl a v čem konkrétně spatřuje vzniklou újmu. Při absenci těchto tvrzení pak logicky žaloba postrádá jakoukoli schopnost údajně vzniklou újmu individualizovat a umožnit určení částky, která by ji mohla kompenzovat, k čemuž žalovaná poukázala na judikaturu Nejvyššího soudu. Žalovaná vyjádřila přesvědčení, že tvrzení uvedená žalobcem v žalobě jsou zcela nedostatečná pro účely rozhodnutí o výši náhrady škody, resp. že z těchto tvrzení nevyplývá, jakou konkrétní újmu žalobce pociťuje. Žalobce proto nesplnil svou povinnost tvrzení, tím méně pak povinnost důkazní, když k předmětným skutečnostem v žalobce ani neoznačil žádný důkaz, natož aby takový důkaz předložil. Za těchto okolností žalobce neunesl procesní břemena tvrzení a důkazní, pročež žalovaná navrhla zamítnutí žaloby. Žalovaná dále argumentovala, že tento případ se od těch již rozhodnutých odlišuje ve dvou znacích, jednak v tom, že předmětem úniku nebyl osobní údaj – telefonní číslo žalobce a jednak v tom, že e-mailová adresa žalobce, která sice předmětem úniku byla, však již byla předmětem úniku před předmětným incidentem a to i po něm. To jsou skutečnosti, které by měly mít dopad do řešení celé věci, buď v té podobě, že újma žalobci nevznikla vůbec a pokud vznikla, měla být prokázána. Zároveň by toto mělo mít dopad i do výše přiměřeného zadostiučinění za vzniklou nemajetkovou újmu, kdy by mělo být zohledněno v podobě snížení újmy.

3. Na základě zjištění učiněných po provedeném dokazování k následujícímu závěru o skutkovém stavu ve věci samé. Přitom vzhledem k tomu, že relevantní skutkový stav byl mezi stranami nesporný, zejména skutečnost, že k předmětnému úniku osobních údajů došlo v důsledku hackerského útoku (protiprávního vniknutí do informačních systémů žalované zvenčí), jakož i to, že v tomto případě e-mailová adresa žalobce již byla v minulosti předmětem podobného útoku, jakož i to, že v tomto případě nebylo předmětem úniku telefonní číslo žalobce, vzal soud za svá skutková zjištění též shodná tvrzení účastníků (§ 120 odst. 3 o. s. ř.).

4. Žalovaná je provozovatelkou e-shopu [webová adresa] a je správkyní osobních údajů. Žalovaná po bezpečnostním incidentu, ke kterému došlo v přesně nezjištěném období od 31. 12. 2014 do 23. 6. 2017, písemně informovala dotčené subjekty osobních údajů prostřednictvím e-mailu o této události (viz e-mail zákazníkům o hackerském útoku, výroční zpráva Úřadu pro ochranu osobních údajů za rok 2018). Žalovaná byla uznán vinnou ze spáchání přestupku, neboť nepřijala nebo neprovedla opatření pro zajištění bezpečnosti zpracování osobních údajů tím, že nezabezpečila osobní údaje nejméně 735 956 zákazníků v rozsahu jméno, příjmení, e-mailová adresa, heslo uživatelského účtu, případně telefon, před neoprávněným přístupem v období minimálně od 31. 12. 2014 do srpna 2017, v důsledku čehož došlo v době od 27. 7. 2017 do 25. 8. 2017 k jejich zpřístupnění na serveru [webová adresa], čímž žalovaná porušila povinnost přijmout taková opatření, aby nemohlo dojít k neoprávněnému nebo nahodilému přístupu k osobním údajů, k jejich změně, či ztrátě, neoprávněným přenosům, k jejich jinému neoprávněnému zpracování, případně jinému zneužití osobních údajů, za což byla žalované uložena pokuta ve výši 1 500 000 Kč (viz rozhodnutí Úřadu pro ochranu osobních údajů ze dne 23. 5. 2018, č. j. UOOU-04073/18-5, rozhodnutí předsedkyně Úřadu pro ochranu osobních údajů ze dne 21. 9. 2018, č. j. UOOU-04073/18-11). Údaje k uživatelskému účtu [email] jsou v souboru uniklých dat při úniku informací ze stránky [webová adresa] (viz výpis stránek„ have i been pwned“ – [webová adresa]). Cílem krádeží osobních údajů je jejich prodej k provádění marketingu či zasílání spamu s cílem vylákání dalších osobních údajů nebo získání přístupu k zařízení uživatele. Vzhledem k tomu, že únik nebyl dlouhodobě odhalen, nemohl na něj uživatel reagovat. Po odhalení mohl uživatel měnit hesla a přístupy, obrana proti marketingu je pouze ve změně e-mailu a telefonního čísla (viz znalecký posudek). Žalovaná se ve všeobecných obchodních podmínkách zavazuje k plnému zabezpečení osobních údajů zákazníků proti zneužití (viz všeobecné obchodní podmínky). Žalobce vyzval žalovanou k náhradě nemajetkové újmy dne 15. 7. 2020, jež byla doručena dne 4. 8. 2020 (viz výzva, dodejka). Jinému uživateli [webová adresa], jehož osobní data byla postižena totožným únikem, byla v soudním řízení pravomocně přiznána náhrada nemajetkové újmy 10 000 Kč (viz rozsudek zdejšího soudu ze dne 21. 1. 2019, č. j. 4 C 13/2017-128, potvrzený rozsudkem odvolacího soudu ze dne 29. 8. 2019, č. j. 22 Co 147/2019-155).

5. Na základě shora uvedeného závěru o skutkovém stavu posoudil soud věc po právní stránce takto:

6. Podle čl. 10 odst. 3 Listiny každý má právo na ochranu před neoprávněným shromažďováním, zveřejňováním nebo jiným zneužíváním údajů o své osobě.

7. Podle § 81 odst. 1 a 2 o. z. je chráněna osobnost člověka včetně všech jeho přirozených práv. Každý je povinen ctít svobodné rozhodnutí člověka žít podle svého. Ochrany požívají zejména život a důstojnost člověka, jeho zdraví a právo žít v příznivém životním prostředí, jeho vážnost, čest, soukromí a jeho projevy osobní povahy.

8. Podle § 2951 odst. 2 o. z. se nemajetková újma odčiní přiměřeným zadostiučiněním. Zadostiučinění musí být poskytnuto v penězích, nezajistí-li jeho jiný způsob skutečné a dostatečně účinné odčinění způsobené újmy.

9. Podle § 13 o. z. každý, kdo se domáhá právní ochrany, může důvodně očekávat, že jeho právní případ bude rozhodnut obdobně jako jiný právní případ, který již byl rozhodnut a který se s jeho právním případem shoduje v podstatných znacích; byl-li právní případ rozhodnut jinak, má každý, kdo se domáhá právní ochrany, právo na přesvědčivé vysvětlení důvodu této odchylky.

10. Soud shledal, že v dané věci bylo prokázáno, že žalovaná porušila své povinnosti správce osobních dat chránit svěřené osobní údaje žalobce i jiných svých zákazníků, což vyplývá ze závěrů kontroly Úřadu pro ochranu osobních údajů, který jednoznačně konstatoval pochybení žalované, která při správě osobních dat nepřijala taková opatření, aby nedošlo k neoprávněnému odcizení databáze zákazníků. Žalovaná jako správce osobních údajů nejen nezabránila neoprávněnému přístupu a odcizení databáze uživatelů, ale ani je nezaznamenala a nezjistila. Žalovaná tak neučinila nezbytné kroky ke snížení rizika zneužití osobních údajů zákazníků, včetně žalobce, přičemž za toto přestupkové jednání byla rozhodnutím správního orgánu pravomocně postižena. Byla-li žalovaná pravomocně uznána vinnou spácháním přestupku, je jednoznačně dáno její protiprávní jednání (podaná správní žaloba nemá sama o sobě odkladný účinek, není-li soudem přiznán); pravomocným rozhodnutím příslušného orgánu o přestupku je soud v občanském soudním řízení vázán (§ 135 odst. 1 o. s. ř.). V příčinné souvislosti s tímto jednáním pak žalobci vznikla nemajetková újma, kterou má soud prokázánu již samotným (nesporným) faktem, že osobní údaje uživatele unikly a byly dostupné na internetu ke stažení všem třetím osobám v rámci souhrnné databáze zveřejněné na veřejně dostupném serveru pro ukládání dat, čímž došlo k zásahu do práva na informační sebeurčení (čl. 10 odst. 3 Listiny). Ze zveřejnění osobních údajů pak plyne zřejmé riziko nevyžádané pošty a obtěžujících volání, stejně jako možnost, že třetí osoba získá na základě zveřejněných údajů přístup do uživatelského účtu [webová adresa], kde bude mít k dispozici údaje např. o historii objednávek, doručovacích adresách, platebních metodách atd. Pakliže by žalobce chtěl eliminovat nepříznivé následky úniku těchto osobních údajů, musel by měnit přístupová hesla všude tam, kde užívá stejnou kombinaci e-mailu a hesla, potažmo pak měnit i e-mail a telefon. Vzhledem ke skutečnosti, že tato popsaná újma fakticky vyplývá již ze zjištěného skutkového stavu, soud nepovažoval za nutné provádět účastnický výslech žalobce.

11. Jinému z uživatelů [webová adresa], jež byl postižen stejným únikem osobních údajů, byla v soudním řízení pravomocně přiznána náhrada nemajetkové újmy 10 000 Kč.

12. Posuzovaný případ je v podstatných rysech totožný a zdejší soud tak neshledal důvod, proč se odchýlit od způsobu posouzení skutkově i právně obdobné věci, jež již byla u zdejšího soudu rozsouzena. Soud proto rozhodl o přiznání nemajetkové újmy žalobci ve výši 10 000 Kč, neboť shledal, že únikem svých osobních dat byl žalobce vystaven možnosti, že může kdykoliv dojít ke zneužití jeho osobních údajů. Náhrada nemajetkové újmy v této výši je přiléhavá výše popsaným okolnostem dané věci s přihlédnutím ke způsobu, jakým bylo zasaženo do práv žalobce v důsledku porušení povinností žalované při správě osobních dat. Příslušenství soud přiznal dle žalobního návrhu až od podání žaloby. Co do částky 500 Kč s příslušenstvím soud podanou žalobu zamítl.

13. Za skutkové odlišnosti oproti citovanému rozhodnutí ve skutkově obdobné věci soud nepovažuje ani (mezi účastníky nesporné) skutečnosti, že e-mailová adresa žalobce již byla v minulosti předmětem hackerského útoku, jakož ani to, že v tomto případě nebylo předmětem úniku telefonní číslo žalobce, neboť žádná z těchto skutečností nezavdává důvod k odepření práva na ochranu osobních údajů, jakož ani ve skutkové rovině (příčinné souvislosti a následku) neovlivňuje dopady porušení právní povinnosti žalované do osobnostní sféry žalobce, následky neoprávněného zásahu do práva na soukromí a informační sebeurčení. Skutečnost, že v minulosti již e-mailová adresa žalobce unikla v důsledku hackerského útoku, nezavdává důvod k odepření právní ochrany či k modifikaci (snížení) přiměřeného zadostiučinění, dopady do osobnostní sféry jsou stejné, i když osobní údaj již v minulosti byl předmětem útoku a unikl; rovněž v rovině příčinné souvislosti či posuzování následků dopadu zde nebyla tvrzena žádná skutková okolnost, proč by újma na straně žalobce z toho důvodu měla být umenšena či příčinná souvislost například přetržena. To že v tomto případě nebyl předmětem úniku osobní údaj – telefonní číslo žalobce, soud za zásadní okolnost pro snížení přiměřeného zadostiučinění nepovažuje, podstatné je, že byly dotčeny ostatní osobní údaje, zejména jméno, příjmení, označení uživatelského účtu, heslo, jejichž únik způsobil dopad do osobnostní sféry žalobce a jeho práva na soukromí a informační sebeurčení, ohledně nichž mohl žalobce pociťovat obavu z dalšího zneužití, jež je právě předmětem odškodnění.

14. Na základě uvedených skutečností soud žalobě vyhověl co do částky 10 000 Kč jakožto přiměřeného zadostiučinění včetně příslušenství v podobě zákonného úroku z prodlení (§ 1970 o. z., § 2 nařízení vlády č. 351/2013 Sb.) a ve zbytku žalobu zamítl jako nedůvodnou.

15. O náhradě nákladů řízení rozhodl soud podle § 142 odst. 3 o. s. ř. tak, že přiznal žalobci, jenž byl v řízení úspěšný kromě nepatrné části, přičemž přiznané plnění současně záviselo na úvaze soudu, náhradu nákladů řízení v plné výši. Náklady sestávají ze zaplaceného soudního poplatku ve výši 800 Kč a nákladů zastoupení advokátem, kterému náleží odměna stanovená dle § 9 odst. 1, § 6 odst. 1 a § 7 vyhlášky č. 177/1996 Sb., advokátního tarifu, (dále jen „a. t.”) z tarifní hodnoty ve výši 10 000 Kč sestávající z částky 1 500 Kč za každý ze pěti úkonů uvedených v § 11 odst. 1 a. t. (příprava a převzetí, předžalobní výzva, žaloba, replika, účast u jednání soudu) včetně pěti paušálních náhrad výdajů po 300 Kč dle § 13 odst. 4 a. t., dále cestovné za cestu advokáta žalobce z jeho sídla k jednání soudu a zpět dne 19. 5. 2021 za 150 ujetých km v částce 881,01 Kč (27,80 Kč za litr paliva dle vyhlášky č. 589/2020 Sb. při průměrné spotřebě 5,3 l [číslo] km a 4,40 Kč/km za amortizaci vozidla dle vyhlášky č. 589/2020 Sb.) podle § 13 a. t. a náhrada za ztrátu času v trvání 6 × 30 minut v částce 600 Kč podle § 14 a. t. a daň z přidané hodnoty ve výši 21 % z částky 10 481,01 Kč ve výši 2 201,01 Kč, celkem 13 482,02 Kč.