Гражданский кодекс часть 1

Рассмотрев в открытом судебном заседании гражданское дело по иску Кузнецовой А. Г., Эйвазовой Ю. В., Сафоновой В. К., Садыковой Зои С., Тихоновой Е. Ю., Сазонова С. А., Ефремовой А. М., Семеновой Э. А., Бережной В. Р., Танаева К. К.ича к ООО "Яндекс.Еда" о компенсации морального вреда,

У с т а н о в и л:

Истцы обратились в суд с иском к ответчику о взыскании компенсации морального вреда, мотивируя свои требование тем, что являются пользователями приложения и потребителями услуг «Яндекс.Еда», а также сервиса «Яндекс.Еда», который позволяет осуществить заказ товара или доставки на условиях, предусмотренных пользовательским соглашением, в котором указано, что полученные данные о пользователе не могут быть использованы для передачи третьим лицам. В марте 2022 истцам стало известно о нарушении политики конфиденциальности организацией Яндекс.Еда; службой информационной безопасности сервиса они были проинформированы о внутренней утечке данных данного сервиса, а именно об утечке фамилии, имени, отчества, номера телефона, адрес электронной почты, адрес проживания и информации о заказах. Факт утечки личных данных пользователей стал общеизвестным и публичным. Распространением персональных данных гражданина в сети «Интернет» ответчик при обработке персональных данных нарушил положения ст. 3 Федерального закона "О персональных данных". Своими действиями ответчик причинил им нравственные страдания, которые истцы оценивают в 100 000 руб.

В судебное заседание истец Сафонова В.К. явилась, остальные истцы в суд не явились, о дате и времени судебного заседания извещены надлежащим образом /л.д.168-178/.

Сафонова В.К. на иске настаивает, ссылаясь на то, что утечка личных данных пользователей стал общеизвестным фактом, не нуждаются в доказывании, ограничение доступа к сайту saverdata.org, на котором оказались данные истцов, является подтверждением того факта, что на нём распространена информация, содержащая персональные данные истцов; у ответчика имелась реальная возможность обеспечить выполнение требований действующего законодательства; факт утечки персональных данных пользователей сервиса является обработкой персональных данных; при наличии состава административном правонарушении пользователи сервиса имеют право на возмещение морального вреда; ответчик обязан обеспечить истцам защиту персональных данных вне зависимости от того, на каком из сайтов будут размещены их данные /л.д. 153/.

Представитель ответчика в судебном заседании против удовлетворения иска возражала /л.д. 80,145/, указывая на недоказанность истцами доводов, большинством истцов не представлены доказательства распространения их данных, представленные скриншоты не являются надлежащим доказательством, т.к. не содержат необходимой информации (даты и адреса Интернет-страницы), скриншоты являются недопустимым доказательством, т.к. доступ к сайту saverdata.org ограничен на основании ст. 15.5 закона об информации, отсутствуют доказательства, что информация об истцах, опубликованная на сайте, была получена из базы данных ответчика; согласно данным сервиса проверки доменов местом регистрации администратора сайта является <адрес>, т.е. ответчик не является администратором сайта; согласно общедоступной информации в последнее время участились случаи взлома Интернет-ресурсов и баз данных (ФАС, ТЦ «Мегаполис», СДЭК, Альфа-банк, РЖД), нет доказательств, подтверждающих получение злоумышленниками для публикации на сайте информации именно из базы данных ответчика, а не какого-либо другого источника; сообщение ответчика о выявленной утечке данных не подтверждает, что данные об истцах вошли в список утекших данных; ответчик не передавал и не распространял персональные данные истцов, ответчиком предприняты все необходимые меры по обеспечению безопасности данных пользователей. Действия по несанкционированному доступу к базе данных Яндекс.Еда и распространение её на сайте не могут быть отнесены к действиям ответчика, поскольку являются злоумышленными действиями третьих лиц. Ответчик незамедлительно передал информацию о факте незаконного доступа в правоохранительные органы, по результатам проверки возбуждено уголовное дело, ДД.ММ.ГГГГ ответчик признан потерпевшим по возбуждённому уголовному делу. Постановление по уголовному делу вынесено после рассмотрения административного дела, в качестве причины утечки указывается DDos-атака на сервер, хакерская атака на сервер извне, в ходе которой на сервер одновременно направляется большое количество запросов с целью вызвать перегрузку ресурсов системы и отказ в обслуживании. Результаты административного дела не подтверждают распространение данных базы ответчика на указанном истцом сайте. После получения информации о взломе ответчик предпринял все действия по обеспечению ограничения доступа к соответствующим данным, сообщил в Роскомнадзор. Ни в электронном сообщении ответчика, ни на официальном сайте, ни в новостном сообщении нет указания на то, что были распространены данные непосредственно истцов. Ответчиком были до утечки предприняты необходимые меры, а именно внедрены модели (матрицы) угроз безопасности –Реестр рисков и регламент управления уязвимостями сервиса Яндекс.Еда, утверждена и регулярно обновляется политика информационной безопасности сервиса, в июне 2018г. ответчик получил сертификат соответствия требованиям международного стандарта безопасности данных индустрии платёжных карт и процедурам оценки безопасности PSI DSS, внедрены регламент управления изменениями в сервисе, предусматривающий внутренний аудит всех новых продуктов со стороны службы безопасности и регламент управления информационными рисками в сервисе, утверждены план реагирования на инциденты Яндекс.Еда и регламент управления инцидентами информационной безопасности сервиса, внедрена модель нарушителя сервисов, внедрена политика использования приватных данных пользователей, предусматривающая учёт всех действий, совершаемых с персональными данными пользователей, а также строгое ограничение доступа к ним, реализуются программы регулярного обучения основам информационной безопасности для всех сотрудников. Истцами не представлено доказательств тому, что адрес, телефон и иные данные, приведённые на скриншотах, принадлежат именно им. Сумма исковых требований необоснованно завышена.

Участник процесса считается извещенным о времени и месте судебного заседания надлежащим образом в том случае, когда повестка направлена по месту нахождения стороны или указанному ею адресу, и у суда имеется доказательство, подтверждающее получение отправленного уведомления адресатом, в том числе с учетом положений статьи 165.1 ГК РФ.

Информация о месте и времени рассмотрения заблаговременно размещена на официальном сайте суда.

Согласно ст. 167 ГПК РФ лица, участвующие в деле, обязаны известить суд о причинах неявки и представить доказательства уважительности этих причин (ч. 1).

Невыполнение лицами, участвующими в деле, обязанности известить суд о причинах неявки и представить доказательства уважительности этих причин дает суду право рассмотреть дело в их отсутствие, в порядке ст. 167 ГПК РФ.

Заслушав стороны, изучив материалы дела, суд находит иск не подлежащим удовлетворению.

Как установлено судом, не оспаривается ответчиком, истцы являлись пользователями приложения и потребителями услуг «Яндекс.Еда», а также сервиса «Яндекс.Еда».

ООО "Яндекс.Еда" направило своим клиентам уведомление о внутренней утечке данных о заказах в сервисе /л.д. 38/.

Истцами в подтверждение доводов о распространении их персональных данных представлен скрин с сайта saverdata.org /л.д. 35,36,37/, из которого следует, что на указанном сайте имеется информация об адресе (без № квартира), электронном адресе, телефоне А., Бережной В. Р., К. Танаева.

Постановлением по делу об административном правонарушении от 02.04.2022г. мирового судьи г. Москвы установлено, что ДД.ММ.ГГГГ ООО "Яндекс.Еда" осуществило обработку персональных данных пользователей сервиса, нарушив Закон №152-ФЗ; в ходе мониторинга электронных СМИ Роскомнадзором ДД.ММ.ГГГГ на Интернет-ресурсе itarmy.to установлен факт наличия данных ООО "Яндекс.Еда", содержащих персональные данные пользователей сервиса в объёме: имя, адрес заказа (адрес места жительства), номер телефона, сведения о заказе, что повлекло предоставление доступа неопределённому кругу лиц к персональным данным пользователей. ООО "Яндекс.Еда" подтверждён факт неправомерной обработки персональных данных в форме предоставления доступа без правовых оснований к базе данных, содержащий персональные данные пользователя сервиса. /л.д. 72, 76/.

ДД.ММ.ГГГГ ответчик признан потерпевшим по уголовному делу, возбуждённому по факту неправомерного доступа к охраняемой законом компьютерной информации с целю незаконного собирания и последующего распространения сведений о частной жизни лиц, без их согласия неустановленные лица произвели копирование указанных сведений, после чего распространили в сети Интернет на странице по адресу //saverdata.org/map/, незаконно полученные в результате DDos-атак сведения о частной жизни пользователей сервиса Яндекс.Еда, доступные неопределённому кругу лиц /л.д. 95/.

Согласно ст. 2 Закона от 27.07.2006г. N 152-ФЗ "О персональных данных", целью данного Закона является обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную <данные изъяты>.

В соответствии со ст. 3 Закона N 152-ФЗ персональными данными является любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация; оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели и содержание обработки персональных данных; обработка персональных данных - это действия (операции) с персональными данными, включая сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передачу), обезличивание, блокирование, уничтожение персональных данных.

Согласно п. 5 названной статьи под распространением персональных данных понимаются действия, направленные на раскрытие персональных данных неопределенному кругу лиц.

Согласно положениям статьи 7 Закона "О персональных данных" операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.

В силу части 2 ст. 17 Закона субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

В соответствии с частью 2 статьи 24 Закона "О персональных данных" моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных, установленных настоящим Федеральным законом, а также требований к защите персональных данных, установленных в соответствии с настоящим Федеральным законом, подлежит возмещению в соответствии с законодательством Российской Федерации. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков.

Статьей 12 ГК РФ определены способы защиты гражданских прав, избираемый истцом способ защиты права должен соответствовать характеру и последствиям нарушения и обеспечивать восстановление нарушенных прав. При этом защите подлежит только нарушенное право.

В силу ст. 56 ГПК РФ каждая сторона должна доказать те обстоятельства, на которые она ссылается как на основания своих требований и возражений, если иное не предусмотрено федеральным законом.

Требования истцов заявлены в связи с нарушением закона "О персональных данных", исковые требования не вытекают из прав потребителя при нарушении исполнителем сроков оказания услуги или обнаружения недостатков оказанной услуги (товара), положения закона «О защите прав потребителей не распространяется на данные правоотношения, соответственно на истцах лежала обязанность доказать, что ответчиком распространены персональные данные истцов либо не приняты необходимые меры для защиты персональных данных, в результате чего персональные данные истцов стали доступны третьим лицам.

Истцами доказательств того, что сотрудники ответчика каким-либо способом распространили, либо разгласили персональные данные истца, не представлено.

Согласно определению, содержащемуся в ст. 2 Конвенции о защите физических лиц в отношении автоматизированной обработки данных личного характера (ETS N 108) (заключенной в г. Страсбурге 28.01.1981 года), "персональные данные" - это информация, касающаяся конкретного или могущего быть идентифицированным лица.

Телефонный номер абонента не относится к персональным данным, т.к. не позволяет идентифицировать субъект персональных данных, а является лишь средством передачи данных и звонков. При этом, в силу ст. 19 ГК РФ, к персональным данным лица следует относить, прежде всего его фамилию, имя, отчество, год, месяц и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессию, доходы, а также другую информацию, при которой возможно идентифицировать конкретное лицо.

Не представлено доказательств того, что адреса, указанные в скриншотах имеют отношение к истцам, Кузнецовой А.Г., Бережной В.Р., Танаеву К.К. Более того, в исковые требовании в качестве адреса регистрации указанные отличные от тех, которые указаны в скиншотах. Адреса без указания квартиры нельзя отнести к персональным данным, т.к. дома являются многоквартирными.

Сумма заказа сама по себе (без указания на фамилию, имя и отчество) не относится к персональным данным.

Таким образом, информация, которая была распространена не позволяет идентифицировать истцов и не может считаться относящейся к ним в отсутствие дополнительных сведений и доказательств.

Доказательств, свидетельствующих о том, что персональные данные истца, распространены ответчиком третьим лицам, истцом не представлено.

Передача или распространение персональных данных представляет собой способы обработки персональных данных, которые предусматривают активные действия со стороны оператора персональных данных.

Согласно разъяснениям, изложенным в абзаце 2 пункта 55 постановления Пленума Верховного Суда Российской Федерации от 23.04.2019 N 10 "О применении части четвертой Гражданского кодекса Российской Федерации", допустимыми доказательствами являются, в том числе сделанные и заверенные лицами, участвующими в деле, распечатки материалов, размещенных в информационно-телекоммуникационной сети (скриншот), с указанием адреса интернет-страницы, с которой сделана распечатка, а также точного времени ее получения. Такие распечатки подлежат оценке судом при рассмотрении дела наравне с прочими доказательствами (статья 67 ГПК Российской Федерации).

Представленные истцами скриншоты не содержат дату и время их получения, адрес интерент-страницы, с которой сделан скриншот. Т.е. в подтверждение факта нарушения прав истцами представлены скриншоты страниц сайта saverdata.org, не заверенные надлежащим образом, что не позволило суду установить дату нарушения, период нарушения исключительных прав и источник информации.

Согласно информации с сайта Роскомнадзора доступ к сайту saverdata.org ограничен на основании судебного акта Таганского районного суда г. Москвы от 10.03.2022г. на основании ст. 15.5 Закона от 27.07.2006г. «Об информации» как содержащий информацию, обрабатываемую с нарушением законодательства РФ о персональных данных.

В случае, если предоставленные истцами скриншоты сделаны после внесения сайта в реестр нарушителей прав субъектов персональных данных и ограничения доступа к сайту, то они являются недопустимыми доказательствами на основании ч. 2 ст. 55 ГПК РФ. Однако в представленных распечатках дата отсутствует.

Ответственность за распространение персональных данных без согласия субъектов персональных данных несет администратор интернет-сайта. При этом ответчик не является владельцем или администратором сайта saverdata.org и не несёт ответственности за его содержание.

Согласно части 1 статьи 19 указанного закона оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных, в том числе путем применения организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных.

Доказательств тому, что ответчиком нарушены указанные требования закона по обеспечению защиты персональных данных от неправомерного или случайного доступа, в деле не имеется.

Постановлением Правительства РФ от 01.11.2012 N 1119 утверждены требования к защите персональных данных при их обработке в информационных системах персональных данных. Безопасность персональных данных при их обработке в информационной системе обеспечивается с помощью системы защиты персональных данных, нейтрализующей актуальные угрозы, определенные в соответствии с частью 5 статьи 19 Федерального закона "О персональных данных". Система защиты персональных данных включает в себя организационные и (или) технические меры, определенные с учетом актуальных угроз безопасности персональных данных и информационных технологий, используемых в информационных системах. Под актуальными угрозами безопасности персональных данных понимается совокупность условий и факторов, создающих актуальную опасность несанкционированного, в том числе случайного, доступа к персональным данным при их обработке в информационной системе, результатом которого могут стать уничтожение, изменение, блокирование, копирование, предоставление, распространение персональных данных, а также иные неправомерные действия.

Ответчиком предприняты меры к защите персональных данных: внедрены модели (матрицы) угроз безопасности –Реестр рисков и регламент управления уязвимостями сервиса Яндекс.Еда, утверждена и регулярно обновляется политика информационной безопасности сервиса, в июне 2018г. ответчик получил сертификат соответствия требованиям международного стандарта безопасности данных индустрии платёжных карт и процедурам оценки безопасности PSI DSS, внедрены регламент управления изменениями в сервисе, предусматривающий внутренний аудит всех новых продуктов со стороны службы безопасности и регламент управления информационными рисками в сервисе, утверждены план реагирования на инциденты Яндекс.Еда и регламент управления инцидентами информационной безопасности сервиса, внедрена модель нарушителя сервисов, внедрена политика использования приватных данных пользователей, предусматривающая учёт всех действий, совершаемых с персональными данными пользователей, а также строгое ограничение доступа к ним, реализуются программы регулярного обучения основам информационной безопасности для всех сотрудников /л.д. 96-127/.

Таким образом, сам по себе факт поступления данных лица на сторонний сайт не свидетельствует о незаконных действиях ответчика, а также о том, что сведения о лице были получены из данного источника.

Предъявляя иск к ответчику, истцы не представили доказательств того, что именно указанное ими в качестве ответчика лицо совершило действия по распространению информации. Доказательств допуска ответчиком утечки (передачи) персональных данных истцов при осуществлении обработки их персональных данных не имеется.

С учетом приведенных обстоятельств и положений норм материального права оснований для удовлетворения иска, у суда не имелось, так как нарушений требований ст. 19 Закона "О персональных данных" и личных неимущественных прав и иных нематериальных благ истца ответчиком не допущено.

Согласно разъяснениям, данным в пункте 2 Постановления Пленума Верховного Суда РФ от 20 декабря 1994 г. N 10 "Некоторые вопросы применения законодательства о компенсации морального вреда", под моральным вредом понимаются нравственные или физические страдания, причиненные действиями (бездействием), посягающими на принадлежащие гражданину от рождения или в силу закона нематериальные блага (жизнь, здоровье, достоинство личности, деловая репутация, неприкосновенность частной жизни, и т.п.), или нарушающими его личные неимущественные права (право на пользование своим именем, право авторства и другие неимущественные права в соответствии с законами об охране прав на результаты интеллектуальной деятельности) либо нарушающими имущественные права гражданина.

При рассмотрении заявленного спора не установлено нарушений прав истцов, в связи с чем требования о взыскании с ответчика компенсации морального вреда удовлетворению не подлежат.

На основании изложенного, руководствуясь ст. 194-199 ГПК РФ, суд

Р Е Ш И Л :

В удовлетворении исковых требований Кузнецовой А. Г., Эйвазовой Ю. В., Сафоновой В. К., Садыковой Зои С., Тихоновой Е. Ю., Сазонова С. А., Ефремовой А. М., Семеновой Э. А., Бережной В. Р., Танаева К. К.ича к ООО "Яндекс.Еда" о компенсации морального вреда – отказать.

Решение может быть обжаловано в Санкт-Петербургский городской суд в течение месяца.

Судья

Решение в окончательном виде изготовлено 30.06.23