Stutta svarið
Einstaklingur á ekki sjálfkrafa rétt á skaðabótum vegna þess eins að viðkvæmar persónuupplýsingar hans hafi lekið. Til bóta samkvæmt 82. gr. persónuverndarreglugerðarinnar þarf að sýna fram á brot, eignatjón eða óefnislegt tjón og orsakatengsl þar á milli. Brotið eitt og sér nægir ekki, en ekki má heldur krefjast þess að óefnislegt tjón nái tilteknu alvarleikastigi. Raunverulegur og vel rökstuddur ótti við misnotkun upplýsinga getur einn og sér talist tjón.
Önnur úrræði krefjast ekki sömu sönnunar. Einstaklingurinn getur óskað eftir upplýsingum um brestinn, nýtt rétt til aðgangs, leiðréttingar, eyðingar eða takmörkunar eftir því sem við á og kvartað til Persónuverndar. Stofnunin getur staðfest brot, gefið fyrirmæli um tilkynningu, úrbætur, eyðingu eða stöðvun vinnslu og lagt á stjórnvaldssekt. Sektin rennur í ríkissjóð en ekki til þeirra sem urðu fyrir brestinum. Bótakröfu þarf því að beina að ábyrgðaraðila eða vinnsluaðila og eftir atvikum reka hana fyrir dómstólum.
Í bótamáli ráða einkum viðkvæmni og magn upplýsinganna, dreifing, staðfest notkun, tímalengd aðgangs, viðbrögð og gögn um tjón. Íslenskir dómar sýna jafnframt að miskabætur samkvæmt 26. gr. skaðabótalaga ráðast af ólögmætri meingerð og aukinni saknæmiskröfu.
Fyrsta úrræðið er skýr tilkynning og takmörkun tjóns
Öryggisbrestur er ekki aðeins tölvuinnbrot. Hugtakið nær einnig til þess að gögnum sé eytt, þau glatist eða breytist, séu send röngum viðtakanda eða verði aðgengileg án heimildar. Ábyrgðaraðila ber almennt að tilkynna Persónuvernd um brestinn innan 72 klukkustunda nema ólíklegt sé að hann valdi áhættu. Strangari skilyrði gilda um beina tilkynningu til einstaklingsins:
Ef líklegt er að öryggisbrestur við meðferð persónuupplýsinga leiði af sér mikla áhættu fyrir réttindi og frelsi einstaklinga skal ábyrgðaraðili tilkynna skráðum einstaklingi um brestinn án ótilhlýðilegrar tafar.
—
Tilkynningin skal lýsa eðli brestsins, líklegum afleiðingum, viðbrögðum og tengilið. Þannig getur einstaklingur skipt um lykilorð, lokað greiðslukorti eða gripið til annarra varna. Sé tilkynningin óljós er rétt að spyrja skriflega:
- hvaða upplýsingar um viðkomandi urðu aðgengilegar;
- hvenær bresturinn hófst, uppgötvaðist og var stöðvaður;
- hverjir gátu fengið gögnin og hvort aðgangur eða afritun hafi verið staðfest;
- hvaða ráðstafanir hafa verið gerðar til að takmarka misnotkun; og
- hvaða aðstoð stendur til boða vegna raunhæfrar áhættu.
Leiðbeiningar Persónuverndar leggja áherslu á sömu þætti í áhættumati: tegund brests, eðli, viðkvæmni og magn gagna, persónugreinanleika, möguleg áhrif, viðkvæma hópa og fjölda einstaklinga.
Kvörtun getur stöðvað vinnslu en veitir ekki sjálfkrafa bætur
Skráður einstaklingur getur lagt fram kvörtun hjá Persónuvernd samkvæmt 39. gr. laga nr. 90/2018. Persónuvernd metur hvort nægt tilefni sé til rannsóknar og getur úrskurðað hvort brot hafi átt sér stað. Valdheimildir hennar ná til fleiri úrræða en sekta:
- gefið fyrirmæli um að ábyrgðaraðili tilkynni hinum skráða um öryggisbrest við meðferð persónuupplýsinga;
- takmarkað eða bannað vinnslu tímabundið eða til frambúðar;
- gefið fyrirmæli um leiðréttingu eða eyðingu persónuupplýsinga eða takmörkun á vinnslu þeirra skv. 16., 17. og 18. gr. reglugerðarinnar og að slíkar aðgerðir verði tilkynntar viðtakendum sem fengið hafa persónuupplýsingarnar í hendur skv. 2. mgr. 17. gr. og 19. gr. hennar;
—
Kvörtun getur þannig skilað viðurkenningu á broti og raunhæfum úrbótum. Hún er hins vegar ekki skaðabótamál. Stjórnvaldssekt á ábyrgðaraðila er viðurlag sem rennur í ríkissjóð og fjárhæð hennar segir ekkert til um það tjón sem hver einstaklingur varð fyrir.
Þetta sést vel í . Viðkvæmar upplýsingar um 18 ólögráða nemendur fóru til 57 viðtakenda. Sektin var 1,3 milljónir króna, en Persónuvernd vó saman viðkvæmni upplýsinganna, einstök mannleg mistök og skjót viðbrögð:
Við ákvörðun sektarinnar var meðal annars litið til þess að umræddur öryggisbrestur fól í sér verulega skerðingu á einkalífsrétti viðkomandi nemenda, í ljósi eðlis þeirra persónuupplýsinga sem um ræddi. Þær voru sendar frá umsjónarkennara þeirra frá fyrri vetri til nýnema sem voru í umsjón hjá honum, auk forráðamanna þeirra, alls 57 manns. Hins vegar var litið til þess að ekki var um að ræða langvarandi brot heldur einstakt tilvik.
—
Í öðru máli var þriggja milljóna króna sekt lögð á heilbrigðisaðila eftir að fyrrverandi starfsmaður fékk fyrir mistök innritunarbækur með nöfnum um 3.000 sjúklinga og ítarlegar sjúkraskrár 252 einstaklinga. Í var sektin 12 milljónir króna. Þar vógu þungt viðkvæm gögn, langvarandi veikleikar og misvísandi skýringar, þótt aðeins tveir notendur, sem tilkynntu veikleikana, hefðu sannanlega nýtt þá og embættið gripið strax til aðgerða.
Bótaréttur byggist á broti, tjóni og orsakatengslum
Persónuverndarreglugerðin hefur lagagildi hér á landi og ákvæði hennar ganga framar ákvæðum laga nr. 90/2018. Samkvæmt 82. gr. er bæði eignatjón og óefnislegt tjón bótaskylt:
Hver sem hefur orðið fyrir eignatjóni eða óefnislegu tjóni vegna brots á ákvæðum þessarar reglugerðar skal eiga rétt á skaðabótum frá ábyrgðaraðila eða vinnsluaðila fyrir það tjón sem hann hefur orðið fyrir.
—
Eignatjón getur til dæmis falist í beinu tjóni vegna fjársvika eða nauðsynlegum kostnaði við að bregðast við misnotkun. Óefnislegt tjón getur falist í missi stjórnar á upplýsingum, vanlíðan, mannorðsskaða eða rökstuddum ótta við auðkennisþjófnað og aðra misnotkun.
Evrópudómstóllinn skýrði í að þrennt þurfi að koma til: brot, tjón og orsakatengsl. Brotið eitt og sér veitir ekki bótarétt. Dómstóllinn hafnaði hins vegar reglu um að óefnislegt tjón yrði að ná tilteknu lágmarksalvarleikastigi. Bótunum er ætlað að bæta tjónið að fullu, en þær eru ekki refsikenndar.
Í var fjallað um gögn sem netárásarmenn höfðu birt. Vel rökstuddur ótti við framtíðarmisnotkun getur verið óefnislegt tjón, en dómstóll þarf að leggja mat á óttann og aðstæður hvers einstaklings. Ábyrgðaraðili losnar ekki undan ábyrgð einungis vegna þess að þriðji maður framdi netárásina. Hann ber sjálfur sönnunarbyrði fyrir því að öryggisráðstafanir hafi verið viðeigandi.
Samkvæmt 51. gr. laga nr. 90/2018 skal einnig bæta fjárhagslegt tjón vegna ólögmætrar vinnslu. Ábyrgðaraðili eða vinnsluaðili getur losnað undan þeirri ábyrgð ef hann sannar að tjónið verði hvorki rakið til mistaka hans né vanrækslu.
Íslenskir dómar: sami leki getur leitt til ólíkrar niðurstöðu
Fyrir gildistöku núverandi reglna féllu íslensk bótamál oft undir b-lið 1. mgr. 26. gr. skaðabótalaga. Sú leið er enn mikilvæg þegar leki eða birting felur í sér ólögmæta meingerð gegn frelsi, friði, æru eða persónu. Þar er saknæmiskrafan strangari en svo að nægi að vinnslan hafi verið ólögmæt.
Í komust margra ára SMS-skilaboð og ódulkóðuð lykilorð í hendur árásarmanns og gögnin voru birt. Dómurinn taldi öryggismálum ábótavant, að áhættumat hefði skort og að viðkvæm gögn hefðu verið varðveitt án nægrar aðgæslu. Um afleiðingarnar sagði:
Fær það sannfærandi stoð í gögnum málsins og framburði fyrir dómi að umrædd atvik hafi valdið stefnanda verulegri vanlíðan og óþægindum. Opinberun upplýsinganna, þar með talið viðkvæmra persónuupplýsinga samkvæmt m.a. stafliðum c- og d- í 8. tl. 2. gr. laga nr. 77/2000, fól í sér rof á friðhelgi einkalífs stefnanda, er til þess fallin að rýra orðspor hans og hefur að mati dómsins valdið honum talverðum miska.
—
Dæmd var ein milljón króna í miskabætur. Niðurstaðan byggðist ekki aðeins á því að leki hefði orðið, heldur á ófullnægjandi öryggi, ólögmætri varðveislu, umfangsmikilli opinberri dreifingu og sönnuðum áhrifum á einstaklinginn.
Í hafði Persónuvernd áður staðfest ólögmæta vinnslu og birtingu. Héraðsdómur taldi starfsmenn ríkisins hafa sýnt verulegt gáleysi með því að afla ekki skýrrar lagastoðar og dæmdi hvorum tveggja 1,7 milljónir króna. Aftur á móti hafnaði Hæstiréttur miskabótum í , enda fullnægði háttsemin ekki þeirri auknu saknæmiskröfu sem 26. gr. skaðabótalaga gerir. Staðfest brot eða inngrip í friðhelgi einkalífs annars vegar og réttur til miskabóta hins vegar eru því ekki eitt og hið sama að lögum.
Samanburðartafla yfir úrræðin
Gögnin sem geta ráðið bótamálinu
Varðveita þarf sjálfa tilkynninguna, tölvupósta og svör ábyrgðaraðila, tímasetningar, lýsingu á gögnunum og upplýsingar um viðtakendur eða staðfestan aðgang. Einnig skiptir máli að skrá raunverulegar afleiðingar: svik eða tilraunir til þeirra, kostnað, tapaðan tíma, breytingar á aðgangi, mannorðsskaða, vanlíðan og hvers vegna ótti við misnotkun er raunhæfur miðað við gögnin sem láku.
Ákvörðun Persónuverndar getur verið mikilvægt sönnunargagn um brotið, en hún sker ekki sjálfkrafa úr um tjón og orsakatengsl. Á sama hátt sannar há stjórnvaldssekt ekki tiltekna bótafjárhæð. Sterkasta bótamálið tengir því saman staðfest brot, nákvæmt umfang leka og einstaklingsbundnar afleiðingar.
Niðurstaða
Eftir gagnaleka geta kvörtun og réttindabeiðni upplýst málið, stöðvað vinnslu og knúið fram úrbætur. Sekt bætir einstaklingnum ekki tjónið. Til þess þarf sjálfstæða bótakröfu þar sem sýnt er fram á brot, tjón og orsakatengsl.
Netárás eða mannleg mistök leysa ábyrgðaraðila ekki sjálfkrafa undan ábyrgð, en gagnaleki einn og sér stofnar heldur ekki til bótaréttar. Eðli gagnanna, dreifing þeirra, viðbrögð og sannanleg áhrif á einstaklinginn ráða úrslitum.
Heimildir
- , einkum 27., 39., 42., 46., 47. og 51. gr. og 77.–82. gr. reglugerðarinnar.
- .
- .
- .
- .
- .
- .
- .
- og .
This article provides general legal information, not advice for a specific matter. Laws, facts and procedural deadlines may change the result. Follow the linked primary sources and obtain local advice before acting.