8 C 474/2020

Plný text

Obvodní soud pro Prahu 7 rozhodl samosoudcem Mgr. Pavlem Punčochářem ve věci žalobce: osobní údaje žalobce zastoupený advokátem údaje o zástupci proti žalované: osobní údaje žalované zastoupená advokátem údaje o zástupci pro zaplacení 10 500 Kč s příslušenstvím <b>takto:</b>

I. Žalovaná je povinna zaplatit žalobci částku 10 000 Kč spolu s úrokem z prodlení ve výši 8,25% ročně z částky 10 000 Kč od 26. 8. 2020 do zaplacení, a to do tří dnů od právní moci tohoto rozsudku.

II. Žaloba se co do zaplacení částky 500 Kč s úrokem z prodlení ve výši 8,25% ročně z částky 500 Kč od 26. 8. 2020 do zaplacení zamítá.

III. Žalovaná je povinna zaplatit žalobci náhradu nákladů řízení v částce 12 351,60 Kč, a to do tří dnů od právní moci tohoto rozsudku k rukám právního zástupce žalobkce.

1. Dle žaloby si žalobce za účelem provádění nákupů zřídila v internetovém obchodě [webová adresa] provozovaném žalovaným uživatelský účet. K registraci použil svojí emailovou adresu [email]. V rámci tohoto uživatelského účtu byly do databáze žalovaného uloženy, vedle uvedené emailové adresy další osobní údaje žalobce – jméno, příjmení a telefonní číslo [tel. číslo]. Žalobce odsouhlasil shromažďování a zpracovávání těchto svých osobních údajů v databázi žalovaného, přičemž žalovaný i v rámci žalobcem odsouhlasených obchodních podmínek deklaroval, že osobní údaje zákazníků jsou plně zabezpečeny proti zneužití a osobní údaje žalovaný nepředává s výjimkou dopravců žádným dalším osobám. Žalovaný tedy měl povinnost tyto osobní údaje chránit před zneužitím a proti předání třetím osobám bez souhlasu žalobce. Nejpozději v průběhu roku 2017 došlo u žalovaného k bezpečnostnímu incidentu, při kterém došlo k rozsáhlému úniku osobních údajů klientů žalovaného, a to v rozsahu emailové adresy, přístupového hesla, jména, příjmení a telefonního kontaktu. Mezi poškozenými byl i žalobce. V rámci incidentu došlo k úniku celkem 766 421 elektronických záznamů a 735 956 unikátních emailových adres. O tom, že žalobce byl postižen únikem svých osobních údajů, svědčí i skutečnost, že jeho emailová adresa je v databázi [webová adresa] vedena jako adresa, která byly nalezena v souboru dat uniklých z databáze žalovaného. Klientská data zpracovávaná žalovaným, jejichž součástí byly i osobní údaje žalobce ve shora uvedeném rozsahu, byla po jejich úniku volně zpřístupněna veřejnosti na webovém uložišti [webová adresa], a to nejméně od 23.7.2017 do 27.8.2017. Předmětná data měla dále prokazatelně k dispozici redakce internetového magazínu [webová adresa], která s databází dále pracovala. V současné době jsou předmětná data v rozsahu emailu a šifrovaného hesla dále volně dostupná např. na webovém uložišti [webová adresa]. Je tedy zjevné, že žalovaný není schopen účinně zajistit ukončení distribuce uniklé databáze. O tom, že klientská data z databáze žalovaného jsou volně přístupná na síti internet, byl žalovaný upozorněn třetí osobou, přičemž na toto upozornění žalovaný svými opatřeními reagoval až po několika dnech. Žalovaný nejenže data žalobce nezabezpečil dostatečným způsobem, nýbrž žalovaný neměl implementovány ani takové mechanismy, které by únik dat odhalily. K účelu webových stránek [webová adresa] se vyjadřuje soudní znalec [jméno] [příjmení] ve svém znaleckém posudku následovně:„ stránky slouží ke sdílení dat mezi uživateli nebo zálohování dat. Účelem vlastníka je realizace zisku, který roste s vyšší návštěvností a vyšším objemem stahování dat.“. Žalovaný porušil zákonnou povinnost správce osobních údajů podle ustanovení § 13 odst. 1 zákona č. 101/2000 Sb. Tato skutečnost byla potvrzena i v rozhodnutí Úřadu pro ochranu osobních údajů, který žalovaného uznal vinnou za přestupek podle ustanovení § 45 odst. 1 písm. h) zákona č. 101/2000 Sb., za což žalovanému uložil pokutu ve výši 1.500.000 Kč. Tím, že žalobce žalovanému svěřil ke zpracování své osobní údaje a žalovaný porušil svoji zákonnou povinnost zabezpečit tyto údaje před neoprávněným přístupem a zneužitím, došlo ze strany žalovaného k zásahu do ústavně zaručeného práva žalobce na soukromí zakotveného v ust. čl. 10 odst. 3 Listiny základních práv a svobod, z něhož vyplývá i právo na informační sebeurčení. Konkrétně je žalobce přesvědčen o zásahu do jeho práva na soukromí z toho důvodu, že žalovanému žalobcem poskytnuté osobní údaje byly v rozporu se zákonem nejen nedostatečně chráněny a zabezpečeny, v důsledku čehož došlo k jejích volnému zveřejnění, ale tato skutečnost nebyla žalobcem ani zaznamenána a zjištěna. Žalovaný tedy neměl ani implementována taková opatření a postupy, které by důsledky úniku osobních údajů mohly alespoň zmírnit. Skutečnost, že žalovaný reagoval na upozornění o odcizení klientský dat s několikadenním zpožděním, rovněž svědčí o nedůsledném přístupu žalovaného k ochraně osobních údajů žalobce, ke kterému byl žalovaný povinen nejen podle zákona č. 101/2000 Sb., ale i na základě smluvně převzaté povinnosti vyplývající z obchodních podmínek žalovaného. Předmětné osobní údaje jsou tak doposud veřejnosti k dispozici na síti internet v čitelném formátu tak, že si je kdokoliv může stáhnout a dále s nimi nakládat. Žalobce tedy neměl a nemá žádnou možnost svobodného uvážení a rozhodnutí, zda vůbec, příp. v jakém rozsahu a jakým způsobem mají být jeho osobní údaje zpřístupněny dalším subjektům. S ohledem na povahu uniklých osobních údajů a způsob jejich úniku má žalobce za to, že zásah do jeho práv trvá a je umocněn tím, že jednou zveřejněné osobní údaje (např. email, telefon), nelze z prostředí sítě internet zcela odstranit a zamezit jejich zneužití třetími osobami, např. ve formě odesílání nevyžádané pošty. Z uvedených důvodů se v daném případě nezákonný zásah do osobnostního práva žalobce v čase neoslabuje. K úniku osobních údajů a s tím spojené závažnosti zásahu do práv žalobce má žalobce k dispozici znalecký posudek. Skutkově totožná věc byla nadepsaným soudem již rozhodována v řízení sp. zn. [spisová značka] a v následném odvolacím řízení vedeném Městským soudem v Praze pod sp. zn. [spisová značka] [anonymizována tři slova] [rok]. V rámci tohoto řízení dospěl soud k závěru, že za přiměřené zadostiučinění za zásah do ústavně zaručeného práva na soukromí a informačního sebeurčení lze považovat částku 10.000 Žalobce má za to, že odlišně od citovaného právního případu není subjektem, který by své osobní údaje předem dobrovolně zveřejnil v síti internet, pročež má za to, že by přiměřené zadostiučinění mělo být nepatrně zvýšeno. S ohledem na shora uvedené vyzval žalobce žalovaného k zaplacení přiměřeného zadostiučinění za zásah do práva žalobce na informační sebeurčení ve výši 10.500 Kč. Na uvedenou výzvu reagoval žalovaný toliko tím, že v celé záležitosti nijak nepochybil. Žalobce požaduje úroky z prodlení od podání žaloby.

2. Upřesněním žalobního nároku k námitce žalované strany žalobce písemným podáním ze dne 28. 5. 2021 změnil svá skutková tvrzení ve vztahu k uniklému telefonnímu číslu, tedy že číslo uložené na účtu žalobce bylo [tel. číslo], nikoliv dříve uvedené. Ve zbytku podání jsou uvedena tvrzení ve shodě s žalobním návrhem.

3. Žalovaná ve vyjádření k podané žalobě uvedla, že nerozporuje, že k bezpečnostnímu incidentu, na který je odkazováno žalobcem, skutečně došlo. Nadále je však přesvědčena, že žádnou svou povinnost neporušila. Zabezpečení používané v době útoku bylo dostačující, odpovídající stavu techniky v dané době, a tak incidentu nešlo nijak předejít. I proto žalovaná nesouhlasí s tvrzením žalobce, že přístup žalované k osobním údajům zákazníků byl nedůsledný. Žalovaná v předmětné věci ihned reagovala na nastalé události a učinila nezbytné kroky jak k zabezpečení celé databáze, tak k informování všech potenciálně dotčených osob, incident rovněž bez zbytečného odkladu, zcela v souladu s povinnostmi vyplývajícími jí z příslušných právních předpisů, ohlásila Úřadu pro ochranu osobních údajů. Považuje proto za významné připomenout, že rozhodnutí ÚOOÚ, jímž byla shledána vinnou ze spáchání přestupku v souvislosti s předmětným bezpečnostním incidentem, je aktuálně předmět přezkumu ve správním soudnictví, přičemž konečné rozhodnutí dosud nebylo vydáno. I kdyby se však soud ztotožnil se závěrem o existenci odpovědnosti žalované za bezpečnostní incident (únik osobních údajů), žalobní tvrzení žalobce jsou zcela nedostatečná, pokud jde o popis tvrzené újmy a odůvodnění výše odškodnění, které je požadováno. Žalované byla dne 11. 8. 2020 doručena předžalobní výzva, ve které se žalobce domáhá v předmětné věci zaplacení částky 10.500 Kč jako přiměřeného zadostiučinění za zásah do jeho práva na soukromí a informační sebeurčení. Žalovaná v tomto směru poukazuje především na fakt, že výpočet přiměřeného zadostiučinění nelze vyčíslit obecně, protože z podstaty tohoto institutu jednoznačně vyplývá nutnost personifikace každého jednotlivého nároku. V tomto případě žalobce nijak neuvádí, jakým způsobem se musel s tímto zásahem do svých práv vypořádat, neuvádí ani, jakým způsobem se ho tento zásah osobně dotkl a v čem konkrétně spatřuje vzniklou újmu. Při absenci těchto tvrzení pak logicky žaloba postrádá jakoukoli schopnost údajně vzniklou újmu individualizovat a umožnit určení částky, která by ji mohla kompenzovat, k čemuž žalovaná poukázala na judikaturu Nejvyššího soudu ČR. Žalovaná je přesvědčena, že tvrzení uvedená žalobcem v žalobě jsou zcela nedostatečná pro účely rozhodnutí o výši náhrady škody, resp. že z těchto tvrzení nevyplývá, jakou konkrétní újmu Žalobce pociťuje. Žalobce proto nesplnil svou povinnost tvrzení, tím méně pak povinnost důkazní, když k předmětným skutečnostem v žalobce ani neoznačuje žádný důkaz, natož aby takový důkaz předložil. Za těchto okolností proto žalobce neunáší procesní břemena tvrzení a důkazní a jím podaná žaloba proto nemůže být úspěšná a je na místě ji zamítnout. Žalovaná dále namítala, že žalobcem uvedené telefonní číslo nebylo nikdy evidováno, což vzbuzuje pochybnosti, zda vůbec žalobce pociťuje skutečnou újmu, když není schopen správně vymezit, v čem újma spočívá.

4. Na základě zjištění učiněných po provedeném dokazování a jejich zhodnocení ve smyslu § 132 o.s.ř. dospěl soud k následujícímu závěru o skutkovém stavu ve věci samé:

5. Žalovaný je provozovatelem e-shopu [webová adresa] a je správcem osobních údajů. Po bezpečnostním incidentu, ke kterému došlo v přesně nezjištěném období od 31.12.2014 do 23.6.2017, písemně informoval dotčené subjekty osobních údajů prostřednictvím e-mailu o této události. (e-mail zákazníkům o hackerském útoku, výroční zpráva ÚOOÚ za rok 2018). Žalovaný byl uznán vinným ze spáchání přestupku, neboť nepřijal nebo neprovedl opatření pro zajištění bezpečnosti zpracování osobních údajů tím, že nezabezpečil osobní údaje nejméně 735 956 zákazníků v rozsahu jméno, příjmení, e-mailová adresa, heslo uživatelského účtu, případně telefon, před neoprávněným přístupem v období minimálně od 31.12.2014 do srpna 2017, v důsledku čehož došlo v době od 27.7.2017 do 25.8.2017 k jejich zpřístupnění na serveru [webová adresa], čímž žalovaný porušil povinnost přijmout taková opatření, aby nemohlo dojít k neoprávněnému nebo nahodilému přístupu k osobním údajů, k jejich změně, či ztrátě, neoprávněným přenosům, k jejich jinému neoprávněnému zpracování, případně jinému zneužití osobních údajů, za což byla žalovanému uložena pokuta ve výši 1.500.000 Kč (rozhodnutí Úřadu pro ochranu osobních údajů ze dne 23.5.2018 [číslo jednací] [anonymizováno] [číslo], rozhodnutí předsedkyně Úřadu pro ochranu osobních údajů ze dne 21.9.2018 [číslo jednací]). Údaje k uživatelskému účtu žalobce jsou v souboru uniklých dat při úniku informací ze stránky [webová adresa] (výpis stránek [webová adresa]). Cílem krádeží osobních údajů je jejich prodej k provádění marketingu či zasílání spamu s cílem vylákání dalších osobních údajů nebo získání přístupu k zařízení uživatele. Vzhledem k tomu, že únik nebyl dlouhodobě odhalen, nemohl na něj uživatel reagovat. Po odhalení mohl uživatel měnit hesla a přístupy, obrana proti marketingu je pouze ve změně emailu a telefonního čísla (znalecký posudek). Žalovaná se ve všeobecných obchodních podmínkách zavazuje k plnému zabezpečení osobních údajů zákazníků proti zneužití (všeobecné obchodní podmínky). Žalobkyně vyzvala žalovanou k náhradě nemajetkové újmy dne 15.7.2020 (výzva). Jinému uživateli [webová adresa], jehož osobní data byla postižena totožným únikem, byla v soudním řízení pravomocně přiznána náhrada nemajetkové újmy 10 000 Kč (rozsudek zdejšího soudu ve věci sp.zn. [spisová značka], rozsudek zdejšího soudu [spisová značka], rozsudek odvolacího soudu sp. zn. [spisová značka]). Uživatelský účet žalobce v eshopu žalované obsahoval osobní údaje – jméno, příjmení, emailovou adresu a telefonní [číslo].

6. Z ostatních provedených důkazů soud nezjistil žádné skutečnosti rozhodné pro posouzení dané věci. Jiné návrhy na doplnění dokazování účastníci neměli, krom návrhu na účastnický výslech žalobkyně, který soud neprováděl, když tento důkazní prostředek je ve smyslu § 131 o.s.ř. pouze subsidiární, a soud neměl za to, že by byl účastnický výslech nezbytný pro objasnění skutkového stavu.

7. Na základě shora uvedeného závěru o skutkovém stavu posoudil soud věc po právní stránce takto:

8. Podle čl. 10 odst. 3 LZPS každý má právo na ochranu před neoprávněným shromažďováním, zveřejňováním nebo jiným zneužíváním údajů o své osobě.

9. Podle § 81 odst. 1 a 2 zákona č. 89/2012 Sb., občanský zákoník (dále jen „o.z.“), podle kterého chráněna je osobnost člověka včetně všech jeho přirozených práv. Každý je povinen ctít svobodné rozhodnutí člověka žít podle svého. Ochrany požívají zejména život a důstojnost člověka, jeho zdraví a právo žít v příznivém životním prostředí, jeho vážnost, čest, soukromí a jeho projevy osobní povahy.

10. Podle § 2951 odst. 2 o.z. nemajetková újma se odčiní přiměřeným zadostiučiněním. Zadostiučinění musí být poskytnuto v penězích, nezajistí-li jeho jiný způsob skutečné a dostatečně účinné odčinění způsobené újmy.

11. Soud shledal, že v dané věci bylo prokázáno, že žalovaná porušila své povinnosti správce osobních dat chránit svěřené osobní údaje žalobkyně i jiných svých zákazníků, což vyplývá ze závěrů kontroly Úřadu, který jednoznačně konstatoval pochybení žalované, která při správě osobních dat nepřijala taková opatření, aby nedošlo k neoprávněnému odcizení databáze zákazníků. Únik osobních údajů prokazuje i výpis z databáze [webová adresa]. Žalovaná jako správce osobních údajů nejen nezabránila neoprávněnému přístupu a odcizení databáze uživatelů, ale ani je nezaznamenala a nezjistila. Žalovaná tak neučinila nezbytné kroky ke snížení rizika zneužití osobních údajů zákazníků, včetně žalobce, přičemž za toto přestupkové jednání byla rozhodnutím správního orgánu pravomocně postižena. Jestliže žalovaná byla pravomocně uznána vinnou spácháním přestupku, je jednoznačně prokázáno její protiprávní jednání (podaná správní žaloba nemá sama o sobě odkladný účinek, není-li soudem přiznán). V příčinné souvislosti s tímto jednáním pak žalobkyni vznikla nemajetková újma. Tím, že osobní údaje uživatele byly dostupné na internetu ke stažení třetím osobám v rámci souhrnné databáze zveřejněné na veřejně dostupném serveru pro ukládání dat, došlo nepochybně k zásahu do práva na informační sebeurčení (čl. 10 odst. 3 LZPS). Ze zveřejnění osobních údajů pak plyne obvyklá rizika nevyžádané pošty a obtěžujících volání, stejně jako možnost, že třetí osoba získá na základě zveřejněných údajů přístup do uživatelského účtu [webová adresa], kde bude mít k dispozici údaje např. o historii objednávek, doručovacích adresách, platebních metodách atd. Pakliže by žalobce chtěl eliminovat nepříznivé následky úniku těchto osobních údajů, musel by měnit přístupová hesla všude tam, kde užívá stejnou kombinaci emailu a hesla, potažmo pak měnit email i telefon. Vzhledem ke skutečnosti, že tato popsaná újma fakticky vyplývá již ze zjištěného skutkového stavu, soud nepovažoval za nutné provádět účastnický výslech žalobce ani jiné důkazy k prokázání nemajetkové újmy, která je v daném případě zjevná. Záměnu telefonního čísla v žalobě soud nepovažuje za relevantní. Lze připustit, že s odstupem času může dojít k takovéto chybě, jedná se spíše o nedbalost než důkaz o neexistenci újmy.

12. Jiným z uživatelů [webová adresa], jež byli postiženi stejným únikem osobních údajů, byla v soudním řízení pravomocně přiznána náhrada nemajetkové újmy ve výši 10 000 Kč.

13. Dle § 13 o.z.:„ Každý, kdo se domáhá právní ochrany, může důvodně očekávat, že jeho právní případ bude rozhodnut obdobně jako jiný právní případ, který již byl rozhodnut a který se s jeho právním případem shoduje v podstatných znacích; byl-li právní případ rozhodnut jinak, má každý, kdo se domáhá právní ochrany, právo na přesvědčivé vysvětlení důvodu této odchylky.“ 14. Posuzované případy jsou v podstatných rysech totožné a zdejší soud po úvaze neshledal důvod, proč se odchýlit od způsobu posouzení skutkově i právně obdobné věci, jež již byla u zdejšího soudu rozhodnuta. Soud proto rozhodl o přiznání nemajetkové újmy žalobkyni ve výši 10 000 Kč, neboť shledal, že únikem svých osobních dat byla žalobkyně vystavena možnosti, že může kdykoliv dojít ke zneužití jejích osobních údajů. Náhrada nemajetkové újmy v této výši je přiléhavá výše popsaným okolnostem dané věci s přihlédnutím ke způsobu, jakým bylo zasaženo do práv žalobkyně v důsledku porušení povinností žalované při správě osobních dat. Příslušenství soud přiznal dle žalobního návrhu až od podání žaloby. Co do částky 500 Kč s příslušenstvím soud podanou žalobu zamítl.

15. O náhradě nákladů řízení rozhodl soud podle § 142 odst. 2 o. s. ř. tak, že přiznal žalobci, jež byla v řízení úspěšný, nárok na náhradu nákladů řízení 10 738,80 Kč, přičemž tato částka představuje 90 % z jejich celkové výše (rozdíl úspěchu v řízení v rozsahu 95 % a úspěchu žalované v rozsahu 5 %). Tyto náklady sestávají ze zaplaceného soudního poplatku v částce 800 Kč a nákladů zastoupení advokátem, kterému náleží odměna stanovená dle § 6 odst. 1 a § 7 vyhlášky č. 177/1996 Sb., advokátního tarifu, (dále jen „a. t.”) z tarifní hodnoty ve výši 10 500 Kč sestávající z částky 1 540 Kč za každý z pěti úkonů (příprava a převzetí věci, předžalobní výzva, podání žaloby, písemné vyjádření ze dne 23. 12. 2020, účast na jednání 26. 5. 2021) uvedených v § 11 odst. 1 a. t. včetně pěti paušálních náhrad výdajů po 300 Kč dle § 13 odst. 4 a. t. Náklady řízení dále tvoří a daň z přidané hodnoty ve výši 21 % z částky 9 200 Kč ve výši 1 932 Kč. Soud nepřiznal odměnu žalobci za písemné vyjádření ze dne 28.2021 a jednání dne 2. 6. 2021, neboť toto vyjádření a navazující jednání netvoří náklady potřebné k účelnému uplatňování nebo bránění práva za situace, kdy žalobce upřesňoval, respektive měnil vlastní vinou skutková tvrzení oproti původní žalobě, a tyto úkony nelze přiznávat k tíži žalované. Náklady řízení tak celkem tvoří částka 11 932 Kč, 90% této částky činí 10 738,80 Kč.