Апелляционное определение СК по гражданским делам Московского городского суда от 28 июня 2023 г. по делу N 33-25184/2023

Судебная коллегия по гражданским делам Московского городского суда в составе председательствующего Сурниной М.В., судей фио, фио, при помощнике Копотиловой И.А., рассмотрев в открытом судебном заседании по докладу судьи Сурниной М.В. гражданское дело N 2-5892/2022 по апелляционной жалобе истца фио на решение Замоскворецкого районного суда адрес от 08 ноября 2022 года, которым постановлено:

В удовлетворении исковых требований Медведева Ивана Владиславовича к ООО "Яндекс", "Яндекс.Еда" о защите персональных данных, взыскании компенсации морального вреда отказать.

УСТАНОВИЛА:

Истец Медведев И.В. обратился в суд с иском к ответчикам ООО "Яндекс", ООО "Яндекс.Еда" о защите персональных данных, взыскании компенсации морального вреда, мотивировав свои требования тем, что "Яндекс.Еда" является сервисом для заказа быстрой доставки еды из ресторанов и продуктов из магазинов через мобильные приложения или веб-сайт, работает в 170 адрес. Администратором сервиса является ООО "Яндекс.Еда". В марте 2022 года служба информационной безопасности сервиса выявила утечку информации, в результате которой в сети Интернет были опубликованы и выложены на сайте https://saverudata.org/ личные данные пользователей. Впоследствии истец обнаружила свои данные в открытом доступе в сети Интернет. Согласно скриншоту с указанного сайта были распространены данные истца в виде имени и фамилии, номера телефона, адреса места жительства, а также адрес электронной почты. Разглашенные сведения позволяют однозначно идентифицировать истца, являются его персональными данными. По мнению истца, ответчики не предприняли всех возможных организационных и технических мер для обеспечения конфиденциальности его персональных данных, что привело к их распространению в сети Интернет, в подтверждение чего представил отчет об исследовании, составленный ООО "Центр цифровой криминалистики и права", а также полученное от ООО "Яндекс.Еда" электронное сообщение от 02.03.2022 об имевшей место утечке.

Истец просил признать незаконными действия ООО "Яндекс.Еда" и ООО "Яндекс", выраженные в непринятии необходимых и достаточных мер для обеспечения конфиденциальности персональных данных, обязать ответчиков опубликовать в течение 30 календарных дней с момента вступления решения суда на веб-сайте https://yandex.ru/, https://eda.yandex.ru, а также в мобильном приложении "Яндекс.Еда - заказ продуктов" в Google Play и App Store информацию о принятых мерах по обеспечению сохранности персональных данных после произошедшей утечки, а также улучшению контроля за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных, взыскать с ответчиков солидарно компенсацию морального вреда в размере сумма

Представители истца в судебное заседание суда первой инстанции явились, поддержали исковые требования в полном объеме, просили иск удовлетворить, пояснили, что истцу причинены нравственные страдания в связи с утечкой его персональных данных, поддержали письменный отзыв на возражения ответчиков.

Представители ответчика ООО "Яндекс.Еда" в судебное заседание суда первой инстанции явились, представили письменные возражения на иск, просили в удовлетворении требований отказать, ссылаясь на то, что доказательств причинения истцу морального вреда не представлено, равно как и доказательств распространения персональных данных истца в сети Интернет, а также отсутствует причинно-следственная связь между действиями (бездействием) ответчика и причиненным истцу вредом, кроме того, указали, что представленный истцом скриншот является недопустимым доказательством по делу, поскольку получен с нарушением законодательства, так как доступ к сайту и другим ресурсам был ограничен на основании ст. 15.5 Закона об информации.

Представитель ответчика ООО "Яндекс" в суд первой инстанции явился, представил отзыв на иск, просил отказать в удовлетворении исковых требований, указал, что Общество является ненадлежащим ответчиком, поскольку не является оператором персональных данных.

Представитель третьего лица Роскомнадзора в судебное заседание суда первой инстанции не явился, представил ходатайство о рассмотрении дела в отсутствие третьего лица, указал, что на основании п. 3.1 ч. 3 ст. 23 ФЗ "О персональных данных" интернет-ресурс https://saverudata.org/ внесен Роскомнадзором в Реестр нарушителей прав субъектов персональных данных.

Судом постановлено вышеуказанное решение, об отмене которого просит истец Медведев И.В. по доводам апелляционной жалобы.

Представитель ответчика ООО "Яндекс.Еда" по доверенности фио в заседание судебной коллегии явилась, доводы апелляционной жалобы не признала по доводам письменных возражений.

Представитель ответчика ООО "Яндекс" по доверенности фио в заседание судебной коллегии явилась, доводы апелляционной жалобы не признала по доводам письменных возражений.

Истец Медведев И.В, представитель третьего лица Роскомнадзора в заседание судебной коллегии не явились, о дате, времени и месте судебного разбирательства извещались надлежащим образом, от представителя третьего лица поступило ходатайство о рассмотрении апелляционной жалобы в его отсутствие.

Судебная коллегия сочла возможным рассмотреть дело при данной явке, учитывая положения ст. 167 ГПК РФ.

Проверив материалы дела в пределах доводов апелляционной жалобы, выслушав представителей ответчиков, обсудив доводы апелляционной жалобы, возражений к ней, судебная коллегия оснований для отмены, изменения решения суда не находит.

В соответствии со ст. 330 ГПК РФ основаниями для отмены или изменения решения суда в апелляционном порядке являются:

1) неправильное определение обстоятельств, имеющих значение для дела;

2) недоказанность установленных судом первой инстанции обстоятельств, имеющих значение для дела;

3) несоответствие выводов суда первой инстанции, изложенных в решении суда, обстоятельствам дела;

4) нарушение или неправильное применение норм материального права или норм процессуального права.

2. Неправильным применением норм материального права являются:

1) неприменение закона, подлежащего применению;

2) применение закона, не подлежащего применению;

3) неправильное истолкование закона.

Указанных обстоятельств, которые могли бы послужить основанием к отмене либо изменению оспариваемого решения, при рассмотрении настоящего дела не установлено.

Согласно ч. 1 ст. 195 ГПК РФ решение суда должно быть законным и обоснованным.

Как разъяснено в п. п. 2, 3 Постановления Пленума Верховного Суда РФ от 19 декабря 2003 г. N 23 "О судебном решении", решение является законным в том случае, когда оно принято при точном соблюдении норм процессуального права и в полном соответствии с нормами материального права, которые подлежат применению к данному правоотношению. Решение является обоснованным тогда, когда имеющие значение для дела факты подтверждены исследованными судом доказательствами, удовлетворяющими требованиям закона об их относимости и допустимости, или обстоятельствами, не нуждающимися в доказывании, а также тогда, когда оно содержит исчерпывающие выводы суда, вытекающие из установленных фактов. Обжалуемое решение названным требованиям закона отвечает.

Разрешая заявленные требования, суд первой инстанции исходил из следующего.

В соответствии с ч. 1 ст. 23 Конституции РФ каждый имеет право на неприкосновенность частной жизни, личную и семейную тайны, защиту своей чести и доброго имени.

В силу ч. 1 ст. 24 Конституции РФ сбор, хранение, использование и распространение информации о частной жизни лица без его согласия не допускается.

Отношения, связанные с обработкой персональных данных физических лиц, а также с обеспечением защиты: прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну регулируются Федеральным законом N 152-ФЗ "О персональных данных".

Согласно ст. 3 Закона под персональными данными понимается любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных). Обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

В соответствии с п. 5 ст. 3 Федерального закона N 152-ФЗ "О персональных данных" под распространением персональных данных понимаются действия, направленные на раскрытие персональных данных неопределенному кругу лиц.

В соответствии с п. 6 ст. 3 указанного Федерального закона под предоставлением персональных данных понимаются действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.

Согласно н. 1 ч. 1 ст. 6 ФЗ "О персональных данных" обработка персональных данных должна осуществляться с соблюдением принципов и правил, предусмотренных настоящим Федеральным законом. Обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных.

В соответствии со ст. 7 Федерального закона N 152-ФЗ операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.

Согласно статье 1099 Гражданского кодекса Российской Федерации основания и размер компенсации гражданину морального вреда определяются правилами, предусмотренными главой 59 Гражданского кодекса Российской Федерации и статьей 151 Гражданского кодекса Российской Федерации.

Согласно ст. 151 ГК РФ если гражданину причинен моральный вред (физические или нравственные страдания) действиями, нарушающими его личные неимущественные права, либо посягающими на принадлежащие гражданину другие нематериальные блага, а также в других случаях, предусмотренных законом, суд может возложить на нарушителя обязанность денежной компенсации указанного вреда. При определении размера компенсации морального вреда суд принимает во внимание степень вины нарушителя и иные заслуживающие внимания обстоятельства. Суд должен также учитывать степень физических и нравственных страданий, связанных с индивидуальными особенностями лица, которому причинен вред.

Как установлено судом и следует из материалов дела, истец является пользователем сервиса "Яндекс.Еда". Данное обстоятельство ответчиком не оспорено.

Авторизация пользователей сервиса осуществляется по номеру телефона. Персональные данные пользователей сервиса обрабатываются для исполнения договора, стороной которого является субъект персональных данных.

В соответствии с пунктом 3.6 Пользовательского соглашения сервиса "Яндекс.Еда" пользователь соглашается с тем, что ООО "Яндекс.Еда" вправе хранить персональную информацию пользователя не менее трех лет с даты исполнения рестораном и/или доставщиком соответствующего заказа, оформленного с использованием сервиса "Яндекс.Еда".

В марте 2022 года пользователи указанного сервиса получили электронное уведомление от службы поддержки сервиса "Яндекс.Еда" (love@eda.yandex.ru), в котором сообщилось, что Служба информационной безопасности Яндекс Еды выявила внутреннюю утечку данных о заказах в сервисе, в результате которого в сеть Интернет попали номера телефонов клиентов и техническая информация о заказах.

23.03.2022 ГСУ СК РФ возбуждено уголовное дело в отношении неустановленных лиц по признакам преступлений, предусмотренных ч.1 ст.137, ч.3 ст.272, ч.2 ст.273 УК РФ.

Постановлением от 12.08.2022 ООО "Яндекс.Еда" признано потерпевшим по данному уголовному делу.

Из постановления следует, что не позднее 23.03.2022 неустановленные лица, используя технические устройства с доступом в информационно-телекоммуникационную сеть Интернет и компьютерные программы, заведомо предназначенные для несанкционированного копирования компьютерной информации и нейтрализации средств защиты компьютерной информации, совершили DDos-атаки на сервис "Яндекс.Еда", после чего в этот же день распространили в сети Интернет на странице, расположенной по веб-адресу: https://saverudata.org/map/, незаконно полученные сведения о частной жизни пользователей сервиса "Яндекс.Еда", доступные неопределенному кругу лиц, чем причинили вред деловой репутации ООО "Яндекс.Еда".

Статьей 7 Закона о персональных данных предусмотрено, что операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.

Согласно ч. 1 ст. 9 указанного Закона субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, информированным и сознательным. Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом.

В соответствии со ст. 17 Федерального закона от 27.07.2006 N 152-ФЗ, если субъект персональных данных считает, что оператор осуществляет обработку его персональных данных с нарушением требований настоящего Федерального закона или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке. Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

Постановлением мирового судьи судебного участка N101 адрес от 21 апреля 2022 г, оставленным без изменения 8 июня 2022 г, ООО "Яндекс.Еда" признано виновным в совершении административного правонарушения, предусмотренного ч.1 ст.13.11 КоАП РФ.

Ответственность по ч. 1 ст. 13.11 КоАП РФ наступает за обработку персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработку персональных данных, несовместимую с целями сбора персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи, если эти действия не содержат уголовно наказуемого деяния.

Как следует из постановления, ООО "Яндекс.Еда" осуществляет свою деятельность с нарушением требований законодательства в сфере связи, информационных технологий и массовых коммуникаций, а именно: в результате недобросовестных действий сотрудника ООО "Яндекс.Еда" в сеть попала база заказов, содержащая данные о пользователях, содержащие, в том числе, их персональные данные: имя, адрес заказа (адрес места жительства), номер телефона, сведения о заказе пользователя. Данные нарушения выявлены в ходе мониторинга электронных СМИ Роскомнадзором 01.03.2022.

Таким образом, судом установлен факт совершения административного правонарушения и виновность ООО "Яндекс.Еда" в утечке персональных данных (обработке персональных данных) пользователей сервиса.

В тоже время при рассмотрении дела суд обоснованно исходил из того, что для установления факта распространения своих персональных данных истец должен доказать, что данные, во-первых, позволяют идентифицировать его как конкретное лицо и, во-вторых, ему принадлежат.

Согласно отчету N1605-22 от 16.05.2022, проведенному специалистом ООО "Центр цифровой криминалистики и права", на исследование представлен флеш-накопитель с содержащимися на нем таблицами, которые могли быть получены в результате выгрузки баз данных, хранящих информацию о клиентах сервиса доставки "Яндекс". Среди содержимого обнаружена информация, имеющая признаки персональных данных. Установлена связь между истцом и записью в исследуемых файлах (стр. 12, 13 отчета).

Кроме того, указанный в отчете адрес истца не совпадает с адресом, указанным в исковом заявлении как адрес регистрации истца.

Исходя из установленных по делу обстоятельств, суд пришел к выводу, что в деле отсутствуют доказательства незаконного распространения ООО "Яндекс.Еда" персональных данных истца, а также доказательств иных нарушений ответчиком положений Федерального закона N 152-ФЗ "О персональных данных".

При изложенных обстоятельствах, руководствуясь ч.2 ст. 24 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных", ст. 1101 ГК РФ, п. 2, 3, 8 Постановления Пленума Верховного Суда РФ N 10 "О некоторых вопросах применения законодательства о компенсации морального вреда", суд также пришел к обоснованному выводу об отсутствии законных оснований для возложения на ответчика обязанности по возмещению истцу морального вреда, поскольку в ходе рассмотрения дела судом не установлено, что ответчиком допущены какие-либо незаконные действия (бездействие), которые повлекли причинение истцу физических или нравственных страданий.

Судебная коллегия соглашается с выводами суда первой инстанции, поскольку они основаны на исследованных судом доказательствах, которым дана аргументированная правовая оценка, при этом мотивы, по которым суд пришел к указанным выводам, исчерпывающим образом изложены в решении суда и являются обоснованными.

Доводы апелляционной жалобы истца о том, что суд неверно применил нормы материального права при вынесении решения об отказе в защите персональных данных, судебная коллегия находит несостоятельными, таких нарушений судом допущено не было.

Доводы жалобы о неправомерном отказе судом в возмещении компенсации морального вреда субъекту персональных данных, также не могут являться основанием к отмене оспариваемого решения, поскольку факт нарушения прав истца со стороны ответчика не нашел своего подтверждения в ходе рассмотрения дела, в связи с чем, суд пришел к обоснованному выводу об отказе в удовлетворении требований истца, в том числе, и о компенсации морального вреда.

В целом доводы, изложенные в апелляционной жалобе, не содержат фактов, которые не были проверены и не учтены судом первой инстанции при рассмотрении дела и имели бы юридическое значение для вынесения судебного акта по существу, влияли на обоснованность и законность судебного акта, либо опровергали выводы суда первой инстанции, фактически они выражают несогласие истца фио с выводами суда, однако по существу их не опровергают, оснований к отмене решения не содержат, в связи с чем признаются судом апелляционной инстанции несостоятельными, т.к. иная точка зрения на то, как должно быть разрешено дело, - не может являться поводом для отмены состоявшегося по настоящему делу решения.

Вопреки доводам апелляционной жалобы, суд при разрешении спора руководствовался нормами права, подлежащими применению, с достаточной полнотой исследовал все доказательства собранные в ходе разрешения спора, юридически значимые обстоятельства по делу судом установлены правильно, выводы суда не противоречат материалам дела, основаны на всестороннем, полном и объективном исследовании имеющихся в деле доказательств, судом приняты во внимание доводы участвующих в деле лиц, доказательства были получены и исследованы в таком объеме, который позволил суду разрешить спор.

Судебная коллегия полагает, что решение суда является законным и обоснованным, поскольку принято в соответствии с нормами материального и процессуального права, которые подлежат применению к спорным правоотношениям, в решении отражены имеющие значение для данного дела факты, подтвержденные проверенными судом доказательствами, удовлетворяющими требованиям закона об их относимости и допустимости.

Оснований для отмены или изменения решения суда в апелляционном порядке, предусмотренных ст. 330 ГПК РФ, судебная коллегия не усматривает.

На основании изложенного, руководствуясь ст. ст. 193, 328, 329 ГПК РФ судебная коллегия

ОПРЕДЕЛИЛА:

Решение Замоскворецкого районного суда адрес от 08 ноября 2022 года оставить без изменения, апелляционную жалобу истца фио - без удовлетворения.

Председательствующий:

Судьи: