Lovanvendelsen ved datainnbrudd - krav om oppreisning og erstatning som følge av dette, samt spørsmål om tiltalte kunne domfelles etter personopplysningsloven
Høyesteretts dom 31.10.2012, HR-2012-02056-A, (sak nr. 2012/969), straffesak, anke over dom
Den offentlige påtalemyndighet (Geir Evanger) mot A (advokat Knut Helge Hurum)
Dommere: Noer, Øie, Bårdsen, Bergsjø, Schei
Saken gjelderlovanvendelsen ved datainnbrudd etter straffeloven § 145, og krav om oppreisning og erstatning som følge av dette, samt spørsmål om tiltalte kunne domfelles etter personopplysningsloven.
Tiltalte var domfelt for såkalt hacking. Han hadde skaffet seg tilgang til en rekke servere, herunder til et amerikansk nettselskap, og hentet ut kundeopplysninger om mer enn 66 millioner brukere. Videre hadde han skaffet seg tilgang til en lang rekke e-postkontoer og hentet ut blant annet intime bilder som var sendt med vedlegg fra disse.
En av tiltalepostene gjaldt at tiltalte, i forbindelse med at han skulle reparere en pc for virusproblemer, skaffet seg tilgang til privat informasjon som var lagret på maskinen. Han hadde fått lovlig tilgang til maskinen og fått oppgitt passord, og Høyesterett kom til at han da ikke kunne straffes for overtredelse av § 145 for den del av informasjonen som lå åpent tilgjengelig.
Høyesterett fant at tiltalte måtte anses å ha vinnings hensikt ved de datainnbruddene hvor han hentet ut blant annet elektronisk lagrede kunderegistre. Det ble vist til at informasjonen var av økonomisk verdi. Det kunne ikke spille noen rolle at fornærmede ikke ble fratatt noe.
Det var videre tatt ut tiltale for overtredelse av personopplysningsloven. Det straffbare forhold var – i korte trekk – at tiltalte hadde lagret de personopplysningene han urettmessig hadde skaffet seg, uten å informere de berørte om dette og om hvem som var behandlingsansvarlig, og uten å sende melding til Datatilsynet. Høyesterett fant at tiltalte ikke kunne straffes for dette, idet det ikke var naturlig å se han som "behandlingsansvarlig" etter loven, og under henvisning til lovens § 3 om unntak for behandling av personopplysninger som skjer for rent personlige eller private formål.
Fem fornærmede privatpersoner krevde oppreisning etter skadeserstatningsloven § 3-6 for krenkelse av privatlivets fred ved at tiltalte hadde kopiert private bilder de hadde lagret på sine pc'er. Høyesterett drøftet om § 3-6 hjemler oppreisningserstatning i tilfelle hvor opplysningene ikke er meddelt offentlig, jf. vilkåret i straffeloven § 390. Høyesterett bemerket at reelle hensyn kan tale for en slik utvidelse av oppresiningsansvarets omfang, men at det ikke er rettskildemessig dekning for det i dag.
Et av de fornærmede selskapene ble tilkjent erstatning av tiltalte for utgifter til teknisk og juridisk bistand forut for anmeldelsen av forholdet. Høyesterett fant at dette måtte anses som sivile krav og ikke som sakskostnader knyttet til fremsettelsen av det sivile kravet.