Гражданский кодекс часть 1

рассмотрела в открытом судебном заседании гражданское дело по иску Зырьяновой Елены Олеговны к обществу с ограниченной ответственностью «Яндекс», обществу с ограниченной ответственностью «Яндекс. Еда» о взыскании компенсации морального вреда (номер дела, присвоенный судом первой инстанции 02-5897/2022)

по кассационной жалобе общества с ограниченной ответственностью «Яндекс. Еда» на решение Замоскворецкого районного суда г.Москвы от 8 ноября 2022 года и апелляционное определение судебной коллегии по гражданским делам Московского городского суда от 22 июня 2023 года,

Заслушав доклад судьи судебной коллегии по гражданским делам Второго кассационного суда общей юрисдикции Матушкиной Н.В.,

судебная коллегия по гражданским делам Второго кассационного суда общей юрисдикции

установила:

Зырянова Е.О. обратилась в суд с иском к обществу с ограниченной ответственностью «Яндекс» (далее - ООО «Яндекс»), обществу с ограниченной ответственностью «Яндекс. Еда» (далее - ООО «Яндекс.Еда»), в котором просила признать незаконными действия ООО «Яндекс.Еда» и ООО «Яндекс», выраженные в непринятии необходимых и достаточных мер для обеспечения конфиденциальности персональных данных, обязать ответчиков опубликовать в течение 30 календарных дней с момента вступления решения суда на веб-сайте https://yandex.ru/, https://eda.yandex.ru, а также в мобильном приложении «Яндекс.Еда - заказ продуктов» в Google Play и Арр Store информацию о принятых мерах по обеспечению сохранности персональных данных после произошедшей утечки, а также улучшению контроля за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных, взыскать с ответчиков солидарно компенсацию морального вреда в размере 100 000 руб.

Исковые требования мотивированы тем, что ООО «Яндекс.Еда» является сервисом для заказа быстрой доставки еды из ресторанов и продуктов из магазинов через мобильные приложения или веб-сайт, работает в 170 городах России. Администратором сервиса является ООО «Яндекс.Еда». В марте 2022 года служба информационной безопасности сервиса выявила утечку информации, в результате которой в сети Интернет были опубликованы и выложены на сайте https://saverudata.org/ личные данные пользователей.

Впоследствии истец обнаружила свои данные в открытом доступе в сети Интернет. Согласно скриншоту с указанного сайта были распространены данные истца в виде имени и фамилии, номера телефона, адреса места жительства, а также адрес электронной почты. Разглашенные сведения позволяют однозначно идентифицировать истца, являются его персональными данными. Таким образом, ответчики не предприняли всех возможных организационных и технических мер для обеспечения конфиденциальности его персональных данных, что привело к их распространению в сети Интернет, в подтверждение чего представил копию изображения (скриншот с сайта) www.saverudata.org, отчет об исследовании, составленный ООО «Центр цифровой криминалистики и права», а также полученное от ООО «Яндекс.Еда» электронное сообщение от 02.03.2022 об имевшей место утечке.

Решением Замоскворецкого районного суда г. Москвы от 8 ноября 2022 года, оставленным без изменения апелляционным определением судебной коллегии по гражданским делам Московского городского суда от 22 июня 2023 года, исковые требования Зырьяновой Елены Олеговны к ООО «Яндекс», ООО «Яндекс. Еда» о взыскании компенсации морального вреда удовлетворены частично.

С ООО «Яндекс.Еда» (ИНН 9705114405) в пользу Зыряновой Елены Олеговны (№) взыскана компенсация морального вреда в размере 5 000 руб.

В удовлетворении остальной части исковых требований отказано.

В кассационной жалобе представитель ООО «Яндекс.Еда» Цуркан Е.С. выражает несогласие с судебными постановлениями, считает, что они вынесены с нарушением норм материального и процессуального права. Указывает, что судом неправильно оценены представленные доказательства, истцом не представлено доказательств причинения ему морального вреда, равно как и доказательств распространения персональных данных истца в сети Интернет. Указывает на отсутствие причинно-следственной связи между действиями (бездействием) ответчика и причиненным истцу вредом. Отмечает, что представленный истцом скриншот является недопустимым доказательством по делу, поскольку получен с нарушением законодательства, так как доступ к сайту и другим ресурсам был ограничен на основании ст. 15.5 Закона об информации.

Лица, участвующие в деле, надлежащим образом извещены о времени и месте рассмотрения дела в кассационном порядке. Судебная коллегия по гражданским делам Второго кассационного суда общей юрисдикции, руководствуясь частью 5 статьей 379.5 Гражданского процессуального кодекса Российской Федерации, считает возможным рассмотреть дело в отсутствие неявившихся лиц.

Согласно ст. 379.7 Гражданского процессуального кодекса Российской Федерации основаниями для отмены или изменения судебных постановлений кассационным судом общей юрисдикции являются несоответствие выводов суда, содержащихся в обжалуемом судебном постановлении, фактическим обстоятельствам дела, установленным судами первой и апелляционной инстанций, нарушение либо неправильное применение норм материального права или норм процессуального права.

Изучив материалы дела, обсудив доводы кассационной жалобы, проверив по правилам ст. 379.6 Гражданского процессуального кодекса Российской Федерации в пределах доводов, содержащихся в кассационных жалобе, законность судебных постановлений, принятых судами первой и апелляционной инстанций, кассационный суд не находит оснований для удовлетворения жалобы. Оснований, предусмотренных ст. 379.7 Гражданского процессуального кодекса Российской Федерации, для отмены решения и апелляционного определения в кассационном порядке не имеется.

Как следует из материалов дела и установлено судом, истец является пользователем сервиса «Яндекс.Еда». Данное обстоятельство ответчиком не оспорено.

Авторизация пользователей сервиса осуществляется по номеру телефона.

Персональные данные пользователей сервиса обрабатываются для исполнения договора, стороной которого является субъект персональных данных.

В соответствии с пунктом 3.6 Пользовательского соглашения сервиса «Яндекс.Еда» пользователь соглашается с тем, что ООО «Яндекс.Еда» вправе хранить персональную информацию пользователя не менее трех лет с даты исполнения рестораном и/или доставщиком соответствующего заказа, оформленного с использованием сервиса «Яндекс.Еда».

В марте 2022 года пользователи указанного сервиса получили электронное уведомление от службы поддержки сервиса «Яндекс.Еда» (love@eda.yandex.ru), в котором сообщилось, что Служба информационной безопасности Яндекс Еды выявила внутреннюю утечку данных о заказах в сервисе, в результате которого в сеть Интернет попали номера телефонов клиентов и техническая информация о заказах (л.д. 11).

23.03.2022 ГСУ СК РФ возбуждено уголовное дело в отношении неустановленных лиц по признакам преступлений, предусмотренных ч.1 ст. 137, ч.3 ст.272, ч.2 ст.273 УК РФ.

Постановлением от 12.08.2022 ООО «Яндекс.Еда» признано потерпевшим по данному уголовному делу. Из постановления следует, что не позднее 23.03.2022 неустановленные лица, используя технические устройства с доступом в информационно-телекоммуникационную сеть Интернет и компьютерные программы, заведомо предназначенные для несанкционированного копирования компьютерной информации и нейтрализации средств защиты компьютерной информации, совершили DDos-атаки на сервис «Яндекс.Еда», после чего в этот же день распространили в сети Интернет на странице, расположенной по веб-адресу: https://saverudata.org/map/, незаконно полученные сведения о частной жизни пользователей сервиса «Яндекс.Еда», доступные неопределенному кругу лиц, чем причинили вред деловой репутации ООО «Яндекс.Еда».

Постановлением мирового судьи судебного участка №101 района Замоскворечье г.Москвы от 21 апреля 2022 г., оставленным без изменения 8 июня 2022 г., ООО «Яндекс.Еда» признано виновным в совершении административного правонарушения, предусмотренного ч.1 ст. 13.11 КоАП РФ.

Ответственность по ч. 1 ст. 13.11 КоАП РФ наступает за обработку персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработку персональных данных, несовместимую с целями сбора персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи, если эти действия не содержат уголовно наказуемого деяния.

Как следует из постановления, ООО «Яндекс.Еда» осуществляет свою деятельность с нарушением требований законодательства в сфере связи, информационных технологий и массовых коммуникаций, а именно: в результате недобросовестных действий сотрудника ООО «Яндекс.Еда» в сеть попала база заказов, содержащая данные о пользователях, содержащие, в том числе, их персональные данные: имя, адрес заказа (адрес места жительства), номер телефона, сведения о заказе пользователя. Данные нарушения выявлены в ходе мониторинга электронных СМИ Роскомнадзором 01.03.2022.

Судом установлены факт совершения административного правонарушения и виновность ООО «Яндекс.Еда» в утечке персональных данных (обработке персональных данных) пользователей сервиса.

В силу ч.4 ст. 61 ГПК РФ вступившее в законную силу постановление суда по делу об административном правонарушении обязательны для суда, рассматривающего дело о гражданско-правовых последствиях действий лица, в отношении которого они вынесены, по вопросам, имели ли место эти действия и совершены ли они данным лицом.

Для установления факта распространения своих персональных данных истец должен доказать, что данные, во-первых, позволяют идентифицировать его как конкретное лицо и, во-вторых, ему принадлежат.

Согласно представленному стороной истца скриншоту страницы https://saverudata.org/ следует, что в открытом доступе содержится информация, которая в совокупности позволяет отнести указанные сведения конкретно истцу: имя Елена Олеговна Зырянова, телефон №, адрес: г. Красноярск, <адрес> адрес электронной почты - rotenschwanz@gmail.com (л.д. 10). Указанные данные являются персональными данными истца.

Согласно отчету №1605-22 от 16.05.2022, проведенному специалистом ООО «Центр цифровой криминалистики и права», на исследование представлен флеш- накопитель с содержащимися на нем таблицами, которые могли быть получены в результате выгрузки баз данных, хранящих информацию о клиентах сервиса доставки «Яндекс». Среди содержимого обнаружена информация, имеющая признаки персональных данных. Установлена связь между истцом и записью в исследуемых файлах (стр. 12, 16 отчета).

Суд не нашел оснований для признания данных доказательств недопустимыми, поскольку оснований полагать, что скриншот получен в нарушение норм действующего законодательства, у суда не имеется. Кроме того, ответчиком не представлено доказательств, опровергающих совпадение информации, содержащейся в сети Интернет, и информации, содержащейся в базе данных о клиентах ответчика.

Разрешая спор, суд первой инстанции руководствовался положениями ч. 1 ст. 23, ч. 1 ст. 24 Конституции РФ, ч. 1 ст. 150, ст. 151 ГК РФ, ст. 3, п. 1 ч. 1 ст. 6, ст. 7, ст. 17, ч. 2 ст. 24 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

Удовлетворяя исковые требования частично, суд первой инстанции пришел к выводу о том, что ответчиком ООО «Яндекс.Еда» не был обеспечен необходимый уровень защищенности персональных данных пользователей сервиса, в результате чего персональные данные истца были разглашены неограниченному кругу лиц в отсутствие какого-либо согласия истца. Учитывая изложенное, суд пришел к выводу о том, что Зырянова Е.О. имеет право на возмещение морального вреда, поскольку факт нарушения ответчиком норм действующего законодательства РФ в отношении истца как пользователя сервиса «Яндекс.Еда» установлен и подтвержден представленными по делу доказательствами, в результате чего истцу был причинен моральный вред, который подлежит денежной компенсации.

Учитывая характер нарушения прав истца, объем причиненных истцу нравственных страданий, требования разумности и справедливости, суд определил размер денежной компенсации морального вреда в размере 5000 руб., взыскав указанную сумму с ответчика ООО «Яндекс.Еда» в пользу Зыряновой Е.О., в остальной части требования отказано.

Требования о возложении на ответчика обязанности публикации сведений о принятых правовых, организационных и технических мерах по обеспечению безопасности персональных данных в соответствии со статьей 19 ФЗ «О персональных данных» оставлены без удовлетворения судом как не основанные на законе.

Отказывая в удовлетворении исковых требований к ООО «Яндекс», суд первой инстанции исходил из того, что Общество не является стороной Соглашения с пользователями сервиса «Яндекс.Еда», не владеет указанным сервисом, в связи с чем является ненадлежащим ответчиком, и оснований для возложения на него ответственности за нарушение законодательства о персональных данных в связи с утечкой данных истца в сервисе, принадлежащем иному лицу, не имеется.

С выводами суда первой инстанции согласился суд апелляционной инстанции.

Проверив материалы дела, обсудив доводы кассационной жалобы, Судебная коллегия по гражданским делам Второго кассационного суда общей юрисдикции приходит к выводу, что жалоба не подлежит удовлетворению, поскольку суды правильно применили нормы материального и процессуального права. Выводы судов первой и апелляционной инстанций соответствуют фактическим обстоятельствам дела и имеющимся в деле доказательствам.

Доводы кассационной жалобы были предметом исследования судов первой и апелляционной инстанций и им была дана правильная оценка.

В соответствии с ч. 1 ст. 23 Конституции РФ каждый имеет право на неприкосновенность частной жизни, личную и семейную тайны, защиту своей чести и доброго имени

В силу ч. 1 ст. 24 Конституции РФ сбор, хранение, использование и распространение информации о частной жизни лица без его согласия не допускается.

Отношения, связанные с обработкой персональных данных физических лиц, а также с обеспечением защиты: прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну регулируются Федеральным законом № 152-ФЗ «О персональных данных».

Согласно п. 1 ст. 3 Закона о персональных данных персональные данные - любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу (субъекту персональных данных).

Под обработкой персональных данных понимается любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, 2 использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных (п. 3 ст. 3 Закона о персональных данных).

В соответствии с п. 5 ст. 3 Федерального закона № 152-ФЗ «О персональных данных» под распространением персональных данных понимаются действия, направленные на раскрытие персональных данных неопределенному кругу лиц.

В соответствии с п. 6 ст. 3 указанного Федерального закона под предоставлением персональных данных понимаются действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.

Согласно п 1 ч. 1 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» обработка персональных данных должна осуществляться с соблюдением принципов и правил, предусмотренных настоящим Федеральным законом. Обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных.

В соответствии с частью 2 статьи 24 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных, установленных настоящим Федеральным законом, а также требований к защите персональных данных, установленных в соответствии с настоящим Федеральным законом, подлежит возмещению в соответствии с законодательством Российской Федерации. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков

В соответствии с частью 1 статьи 150 Гражданского кодекса РФ жизнь и здоровье, достоинство личности, личная неприкосновенность, честь и доброе имя, деловая репутация, неприкосновенность частной жизни, личная и семейная тайна, право свободного передвижения, выбора места пребывания и жительства, право на имя, право авторства, иные личные неимущественные права и другие нематериальные блага, принадлежащие гражданину от рождения или в силу закона, неотчуждаемы и непередаваемы иным способом.

Согласно ст. 151 Гражданского кодекса РФ если гражданину причинен моральный вред (физические или нравственные страдания) действиями, нарушающими его личные неимущественные права, либо посягающими на принадлежащие гражданину другие нематериальные блага, а также в других случаях, предусмотренных законом, суд может возложить на нарушителя обязанность денежной компенсации указанного вреда. При определении размера компенсации морального вреда суд принимает во внимание степень вины нарушителя и иные заслуживающие внимания обстоятельства. Суд должен также учитывать степень физических и нравственных страданий, связанных с индивидуальными особенностями лица, которому причинен вред.

Приведенные выше нормы материального права применены судами первой и апелляционной инстанций правильно.

Суд первой и апелляционной инстанций пришли к обоснованному к выводу о том, что ответчиком ООО «Яндекс.Еда» не был обеспечен необходимый уровень защищенности персональных данных пользователей сервиса, в результате чего персональные данные истца были разглашены неограниченному кругу лиц в отсутствие какого-либо согласия истца, вследствие этого истцу был причинен моральный вред, который подлежит денежной компенсации.

Доводы жалобы ответчика ООО «Яндекс.Еда» о несогласии с оценкой, представленных по делу доказательств, в том числе представленного истцом скриншота, подлежат отклонению.

Пленум Верховного Суда Российской Федерации в постановлении от 15 июня 2010 г. № 16 "О практике применения судами Закона Российской Федерации "О средствах массовой информации" указал на то, что федеральными законами не предусмотрено каких-либо ограничений в способах доказывания факта распространения сведений через телекоммуникационные сети (в том числе, через сайты в сети "Интернет"), поэтому при разрешении вопроса о том, имел ли место такой факт, суд в силу статей 55 и 60 ГПК РФ вправе принимать любые средства доказывания, предусмотренные процессуальным законодательством.

Результаты оценки доказательства и мотивы, по которым суд пришел к такому выводу, подробно изложены в обжалованных судебных постановлениях, оснований не согласиться с которым судебная коллегия не усмотрела.

Доводы ответчика ООО «Яндекс.Еда» о том, что суд не дал оценки постановлению о признании ответчика потерпевшим по уголовному делу, также отклонены судебной коллегией, поскольку обязанность ответчика сохранять персональные данные клиентов возложена на ответчика в силу закона (ст. 7 Федерального закона о персональных данных)

Из положений норм Закона о персональных данных следует, что на администратора домена, как оператора, возложена обязанность по обеспечению конфиденциальности собираемых и обрабатываемых им персональных данных.

Только в том случае, если утечка данных произошла по вине пользователя, то оператор освобождается от ответственности. Таковых сведений ответчик суду не предоставил. При этом использование и распространение персональных данных субъекта осуществляется оператором только с согласия субъекта, а истец такового согласия не давал.

Суд кассационной инстанции приходит к выводу, что судами первой и апелляционной инстанций правильно определены правоотношения, возникшие между сторонами по настоящему делу, а также закон, подлежащий применению, в полном объеме определены и установлены юридически значимые обстоятельства. Исходя из установленных судами первой и апелляционной инстанций фактических обстоятельств дела, суды правильно применили нормы материального права.

В соответствии с ч. 3 ст. 390 Гражданского процессуального кодекса Российской Федерации кассационный суд общей юрисдикции не вправе устанавливать или считать доказанными обстоятельства, которые не были установлены либо были отвергнуты судом первой или апелляционной инстанции, предрешать вопросы о достоверности или недостоверности того или иного доказательства, преимуществе одних доказательств перед другими.

Таким образом, оценка доказательств относится к полномочиям судов первой и апелляционной инстанций. Доводы кассационной жалобы аналогичны доводам, которые были предметом исследования и оценки судов первой и апелляционной инстанций, и им дана надлежащая правовая оценка в обжалуемых судебных постановлениях, они направлены на переоценку собранных по делу доказательств и не опровергают правильность выводов суда по существу спора. Выводы суда, содержащиеся в судебных постановлениях, не противоречат фактическим обстоятельствам дела, установленным судами первой и апелляционной инстанции.

Нарушений норм материального или процессуального права, указанных в ст. 379.7 Гражданского процессуального кодекса Российской Федерации, при разрешении настоящего спора судом допущено не было, в связи с чем оснований для отмены обжалуемых судебных постановлений в кассационном порядке не имеется.

Руководствуясь статьями 379.6, 390, 390.1 Гражданского процессуального кодекса Российской Федерации, судебная коллегия по гражданским делам Второго кассационного суда общей юрисдикции

о п р е д е л и л а :

решение Замоскворецкого районного суда г. Москвы от 8 ноября 2022 года и апелляционное определение судебной коллегии по гражданским делам Московского городского суда от 22 июня 2023 года оставить без изменения, кассационную жалобу ООО «Яндекс. Еда» - без удовлетворения.

Председательствующий

Судьи