Определение СК по гражданским делам Второго кассационного суда общей юрисдикции от 05 декабря 2023 г. по делу N 8Г-30251/2023[88-28969/2023]

Судебная коллегия по гражданским делам Второго кассационного суда общей юрисдикции в составе

председательствующего ФИО7, судей ФИО2, ФИО8

рассмотрела в открытом судебном заседании гражданское дело по иску ФИО1 к ООО "Яндекс.Еда" о защите персональных данных, компенсации морального вреда

по кассационной жалобе ООО "Яндекс.Еда" на решение Замоскворецкого районного суда "адрес" от ДД.ММ.ГГГГ и апелляционное определение судебной коллегии по гражданским делам Московского городского суда от ДД.ММ.ГГГГ.

Заслушав доклад судьи ФИО2, судебная коллегия Второго кассационного суда общей

УСТАНОВИЛА:

ФИО1 обратился в суд с иском к ответчикам ООО "Яндекс", ООО "Яндекс.Еда" о защите персональных данных, взыскании компенсации морального вреда, просит признать незаконными действия ООО "Яндекс.Еда" и ООО "Яндекс", выраженные в непринятии необходимых и достаточных мер для обеспечения конфиденциальности персональных данных, обязать ответчиков опубликовать в течение 30 календарных дней с момента вступления решения суда на веб-сайте https://yandex.ru/, https://eda.yandex.ru, а также в мобильном приложении "Яндекс.Еда - заказ продуктов" в Google Play и Арр Store информацию о принятых мерах по обеспечению сохранности персональных данных после произошедшей утечки, а также улучшению контроля за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных, взыскать с ответчиков солидарно компенсацию морального вреда в размере 100 000 руб, мотивировав свои требования тем, что "Яндекс.Еда" является сервисом для заказа быстрой доставки еды из ресторанов и продуктов из магазинов через мобильные приложения или веб-сайт, работает в 170 городах России.

Администратором сервиса является ООО "Яндекс.Еда". В марте 2022 года служба информационной безопасности сервиса выявила утечку информации, в результате которой в сети Интернет были опубликованы и выложены на сайте https://saverudata.org/ личные данные пользователей. Впоследствии истец обнаружил свои данные в открытом доступе в сети Интернет. Согласно скриншоту с указанного сайта были распространены данные истца в виде имени и фамилии, номера телефона, адреса места жительства, а также адрес электронной почты. Разглашенные сведения позволяют однозначно идентифицировать истца, являются его персональными данными. По мнению истца, ответчики не предприняли всех возможных организационных и технических мер для обеспечения конфиденциальности его персональных данных, что привело к их распространению в сети Интернет, в подтверждение чего представил копию изображения (скриншот с сайта) www.saverudata.org, отчет об исследовании, составленный ООО "Центр цифровой криминалистики и права", а также полученное от ООО "Яндекс.Еда" электронное сообщение от ДД.ММ.ГГГГ об имевшей место утечке.

Решением Замоскворецкого районного суда "адрес" от ДД.ММ.ГГГГ, оставленным без изменения апелляционным определением судебной коллегии по гражданским делам Московского городского суда от ДД.ММ.ГГГГ, постановлено:

"Иск ФИО1 удовлетворить частично.

Взыскать с ООО "Яндекс.Еда" (ИНН 9705114405) в пользу ФИО1 (паспорт N N) компенсацию морального вреда в размере 5 000 руб.

В удовлетворении остальной части исковых требований ФИО1 отказать".

В кассационной жалобе заявитель просит отменить принятое по делу апелляционное определение в связи с нарушением судом апелляционной инстанции норм материального и процессуального права, направить дело на новое рассмотрение.

Информация о времени и месте судебного заседания по рассмотрению кассационной жалобы опубликована на общедоступном сайте 2kas.sudrf.ru в сети Интернет.

В судебное заседание суда кассационной инстанции лица, участвующие в деле, не явились извещены. Дело рассмотрено в порядке статьи 167, части 5 статьи 379.5 Гражданского процессуального кодекса Российской Федерации.

Проверив материалы дела, обсудив доводы кассационной жалобы, судебная коллегия приходит к следующему.

На основании части 1 статьи 379.6 Гражданского процессуального кодекса Российской Федерации, кассационный суд общей юрисдикции проверяет законность судебных постановлений, принятых судами первой и апелляционной инстанций, устанавливая правильность применения и толкования норм материального права и норм процессуального права при рассмотрении дела и принятии обжалуемого судебного постановления, в пределах доводов, содержащихся в кассационных жалобе, представлении, если иное не предусмотрено настоящим Кодексом.

В соответствии со статьей 379.7 Гражданского процессуального кодекса Российской Федерации основаниями для отмены или изменения судебных постановлений кассационным судом общей юрисдикции являются несоответствие выводов суда, содержащихся в обжалуемом судебном постановлении, фактическим обстоятельствам дела, установленным судами первой и апелляционной инстанций, нарушение либо неправильное применение норм материального права или норм процессуального права.

Суд кассационной инстанции проверяет законность только тех судебных постановлений, которые обжалуются, и только в той части, в которой они обжалуются (часть 2 статьи 379.6 Гражданского процессуального кодекса Российской Федерации).

Как следует из материалов дела, истец является пользователем сервиса "Яндекс.Еда". Авторизация пользователей сервиса осуществляется по номеру телефона. Персональные данные пользователей сервиса обрабатываются для исполнения договора, стороной которого является субъект персональных данных.

В соответствии с пунктом 3.6 Пользовательского соглашения сервиса "Яндекс.Еда" пользователь соглашается с тем, что ООО "Яндекс.Еда" вправе хранить персональную информацию пользователя не менее трех лет с даты исполнения рестораном и/или доставщиком соответствующего заказа, оформленного с использованием сервиса "Яндекс.Еда".

В марте 2022 года пользователи указанного сервиса получили электронное уведомление от службы поддержки сервиса "Яндекс.Еда" (love@eda.yandex.ru), в котором сообщилось, что Служба информационной безопасности сервиса "Яндекс.Еда" выявила внутреннюю утечку данных о заказах в сервисе, в результате которого в сеть Интернет попали номера телефонов клиентов и техническая информация о заказах, ДД.ММ.ГГГГ ГСУ СК Российской Федерации возбуждено уголовное дело в отношении неустановленных лиц по признакам преступлений, предусмотренных частью 4.1 статьи 137, частью 3 статьи 272, частью 2 статьи 273 Уголовного кодекса Российской Федерации.

Постановлением следователя по ОВД ГСУ СК Российской Федерации от ДД.ММ.ГГГГ ООО "Яндекс.Еда" признано потерпевшим по данному уголовному делу.

Из указанного постановления следует, что не позднее ДД.ММ.ГГГГ неустановленные лица, используя технические устройства с доступом в информационно-телекоммуникационную сеть Интернет и компьютерные программы, заведомо предназначенные для несанкционированного копирования компьютерной информации и нейтрализации средств защиты компьютерной информации, совершили DDos-атаки на сервис "Яндекс.Еда", после чего в этот же день распространили в сети Интернет на странице, расположенной по веб-адресу: https://saverudata.org/map/, незаконно полученные сведения о частной жизни пользователей сервиса "Яндекс.Еда", доступные неопределенному кругу лиц, чем причинили вред деловой репутации ООО "Яндекс.Еда".

Постановлением мирового судьи судебного участка N района Замоскворечье "адрес" от ДД.ММ.ГГГГ, оставленным без изменения ДД.ММ.ГГГГ, ООО "Яндекс.Еда" признано виновным в совершении административного правонарушения, предусмотренного частью 1 статьи 13.11 КоАП Российской Федерации, ответственность по которой наступает за обработку персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработку персональных данных, несовместимую с целями сбора персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи, если эти действия не содержат уголовно наказуемого деяния.

Как следует из постановления, ООО "Яндекс.Еда" осуществляет свою деятельность с нарушением требований законодательства в сфере связи, информационных технологий и массовых коммуникаций, а именно: в результате недобросовестных действий сотрудника ООО "Яндекс.Еда" в сеть попала база заказов, содержащая данные о пользователях, содержащие, в том числе, их персональные данные: имя, адрес заказа (адрес места жительства), номер телефона, сведения о заказе пользователя. Данные нарушения выявлены в ходе мониторинга электронных СМИ Роскомнадзором ДД.ММ.ГГГГ.

Судом установлены факт совершения административного правонарушения и виновность ООО "Яндекс.Еда" в утечке персональных данных (обработке персональных данных) пользователей сервиса.

Данное постановление имеет для настоящего дела преюдициальное значение в силу статьи 61 Гражданского процессуального кодекса Российской Федерации.

Для установления факта распространения своих персональных данных истец должен доказать, что данные, во-первых, позволяют идентифицировать его как конкретное лицо и, во-вторых, ему принадлежат.

Согласно представленному стороной истца скриншоту страницы https://saverudata.org/ следует, что в открытом доступе содержится информация, которая в совокупности позволяет отнести указанные сведения конкретно истцу: имя ФИО1, телефон N, адрес: "адрес", адрес электронной почты - "данные изъяты". Указанные данные являются персональными данными истца.

Согласно отчету N от ДД.ММ.ГГГГ, проведенному специалистом ООО "Центр цифровой криминалистики и права", на исследование представлен флеш-накопитель с содержащимися на нем таблицами, которые могли быть получены в результате выгрузки баз данных, хранящих информацию о клиентах сервиса доставки "Яндекс". Среди содержимого обнаружена информация, имеющая признаки персональных данных. Установлена связь между истцом и записью в исследуемых файлах

Разрешая заявленные требования, суд первой инстанции, руководствуясь статьями 23, 24 Конституции Российской Федерации, статями 3, 6, 9, 17, 24 Федерального закона от ДД.ММ.ГГГГ N152-ФЗ "О персональных данных", статьями 150, 151 Гражданского кодекса Российской Федерации, суд первой инстанции пришел к выводу о том, что ответчиком не был обеспечен необходимый уровень защищенности персональных данных пользователей сервиса, вследствие чего персональные данные истца были разглашены неограниченному кругу лиц в отсутствие какого-либо его согласия.

Разрешая заявленные требования, оценив собранные по делу доказательства, применительно к положениям вышеназванных норм закона, с учетом установленных судом конкретных обстоятельств дела, учитывая характер нарушений прав истца, объем причиненных ему нравственных страданий, суд пришел к выводу о наличии оснований для взыскания в пользу истца компенсации морального вреда в размере 5 000 руб, взыскав указанную сумму с ответчика ООО "Яндекс.Еда", в остальной части требований отказал.

Отклоняя требования о возложении на ответчика обязанности публикации сведений о принятых правовых, организационных и технических мерах по обеспечению безопасности персональных данных в соответствии со статьей 19 Федерального закона "О персональных данных", суд не усмотрел оснований к их удовлетворению.

Отказывая в удовлетворении исковых требований к ООО "Яндекс", суд исходил из того, что данное юридическое лицо не является стороной Соглашения с пользователями сервиса "Яндекс.Еда", не владеет указанным сервисом, в связи с чем, является ненадлежащим ответчиком, и оснований для возложения на него ответственности за нарушение законодательства о персональных данных в связи с утечкой данных истца в сервисе "Яндекс.Еда", принадлежащем иному юридическому лицу, не имеется.

Суд апелляционной инстанции согласился с таким решением, отклонив довод апелляционной жалобы истца о том, что судом первой инстанции неправомерно взыскан размер компенсации морального вреда, суд апелляционной инстанции отклоняет, поскольку компенсация морального вреда не предполагает возможности его точного выражения в определенной денежной сумме, в то же время, предусмотренная законом компенсация должна отвечать признакам справедливого вознаграждения потерпевшего за перенесенные страдания, определяя размер денежной компенсации морального вреда в размере 5 000 руб, суд первой инстанции дал надлежащую оценку доказательствам, имеющимся в деле.

Оснований для переоценки доказательств по доводам апелляционной жалобы ответчика судебная коллегия не усмотрела.

Такие выводы являются правильными, мотивированными и в кассационной жалобе по существу не опровергнуты.

Доводы кассационной жалобы заявителя изложены подробно (на 19 листах), преимущественно сводятся к повторению фактических обстоятельств дела, описанию хода рассмотрения дела и его результатов, интерпретации обстоятельств утечки персональных данных, переоценке доказательств, связанных с виной ответчика в утечке персональных данных и наличию причинно-следственной связи между действием (бездействием) ответчика и причиненным истцу вредом, несогласию с правовой квалификацией спорных отношений и интерпретации предмета заявленных требований, компиляции положений действующего законодательства, приведенных в контексте субъективных трактовок спорных положений договора, не могут быть основанием для отмены судебных актов в кассационном порядке, поскольку направлены на установление фактических обстоятельств дела и переоценку доказательств, для чего у суда кассационной инстанции не имеется процессуальной компетенции.

Развернутые указания в кассационной жалобе на то, что суд принял неотносимые и недопустимые доказательства в виде скриншотов, отчета также направлены на переоценку доказательств по делу, в опровержение выводов, основанных на данных доказательствах, исследованных в совокупности с иными материалами дела, в том числе с вышеприведенным постановлением мирового судьи, иных сведений ответчиками не представлено. При этом действующее процессуальное законодательство не содержит запрета на оценку такого рода материалов. Заявление о подложности доказательства в установленном порядке сделано ответчиком не было.

Нарушений правил оценки доказательств, вопреки доводам кассационной жалобы, не усматривается. Положение статьи 61 Гражданского процессуального кодекса Российской Федерации в отношении постановления мирового судьи и установленных им обстоятельств, имеющих значение для настоящего дела, применено обоснованно. Вопреки мнению ответчика, судами устанавливалась с учетом данного постановления не вина ответчика, а факт совершения административного правонарушения. Иная трактовка выводов суда противоречит установленному содержанию мотивировочной части судебных актов. Признание ответчика потерпевшим по уголовному делу и выводы следствия на стадии предварительного расследования не влияют на процессуальную правильность выводов суда, не исключает гражданско-правовую ответственность по рассматриваемым обстоятельствам в виду неисполнения надлежащим образом обязанности по обеспечению сохранности персональных данных граждан, в том числе истца по делу.

Субъективная оценка ответчиком достаточности собственных действий по обеспечению сохранности персональных данных и недопущению их утечки, а также последующих мер, после такой утечки, при установленных по делу обстоятельствах не свидетельствует о неправильности выводов суда и незаконности решения.

Каких-либо иных доводов и обстоятельств, не связанных с переоценкой доказательств и нуждающихся в дополнительной проверке, кассационная жалоба истца не содержит.

Суд кассационной инстанции не вправе переоценивать доказательства и устанавливать иные обстоятельства, отличающиеся от установленных судами нижестоящих инстанций в нарушение своей компетенции, предусмотренной Гражданским процессуальным кодексом Российской Федерации.

Суд кассационной инстанции считает, что исходя из конкретных обстоятельств, установленных по настоящему делу, предмета и оснований заявленных требований, правовые нормы, регулирующие спорные правоотношения, судами применены правильно. Нарушений судами норм процессуального права, являющихся безусловными основаниям для отмены судебных актов, не установлено.

Руководствуясь статьями 379.6, 390, 390.1 Гражданского процессуального кодекса Российской Федерации, судебная коллегия по гражданским делам Второго кассационного суда общей юрисдикции

ОПРЕДЕЛИЛА:

решение Замоскворецкого районного суда "адрес" от ДД.ММ.ГГГГ и апелляционное определение судебной коллегии по гражданским делам Московского городского суда от ДД.ММ.ГГГГ оставить без изменения, кассационную жалобу ООО "Яндекс.Еда" - без удовлетворения.

Председательствующий

Судьи