Определение СК по гражданским делам Второго кассационного суда общей юрисдикции от 09 ноября 2023 г. по делу N 8Г-30126/2023[88-29173/2023]

судебная коллегия по гражданским делам Второго кассационного суда общей юрисдикции в составе:

председательствующего ФИО2, судей ФИО3, ФИО5, рассмотрела в открытом судебном заседании гражданское дело по иску ФИО1 к ООО "Яндекс", ООО "Яндекс.Еда" о защите персональных данных, взыскании компенсации морального вреда

(номер дела, присвоенный судом первой инстанции, N)

по кассационной жалобе ООО "Яндекс.Еда" на решение Замоскворецкого районного суда "адрес" от ДД.ММ.ГГГГ и апелляционное определение судебной коллегии по гражданским делам Московского городского суда от ДД.ММ.ГГГГ.

Заслушав доклад судьи судебной коллегии по гражданским делам Второго кассационного суда общей юрисдикции ФИО5, судебная коллегия по гражданским делам Второго кассационного суда общей юрисдикции

УСТАНОВИЛА:

ФИО1 обратился в суд с указанным иском к ответчикам ООО "Яндекс", ООО "Яндекс.Еда", мотивируя свои требования тем, что в марте 2022 года служба информационной безопасности сервиса выявила утечку информации, в результате которой в сети Интернет были опубликованы и выложены на сайте https://saverudata.org/ личные данные истца.

Истец просил признать незаконными действия ООО "Яндекс.Еда" и ООО "Яндекс", выраженные в непринятии необходимых и достаточных мер для обеспечения конфиденциальности персональных данных, обязать ответчиков опубликовать в течение 30 календарных дней с момента вступления решения суда на веб-сайте https://yandex.ru/, https://eda.yandex.ru, а также в мобильном приложении "Яндекс.Еда - заказ продуктов" в Google Play и Арр Store информацию о принятых мерах по обеспечению сохранности персональных данных после произошедшей утечки, а также по улучшению контроля за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных, взыскании с ответчиков солидарно компенсации морального вреда в размере 100 000 руб.

Решением Замоскворецкого районного суда "адрес" от ДД.ММ.ГГГГ постановлено иск ФИО1 удовлетворить частично.

Взыскать с ООО "Яндекс.Еда" (ИНН 9705114405) в пользу ФИО1 (ДД.ММ.ГГГГ года рождения, паспорт 3206 N) компенсацию морального вреда в размере 5 000 руб.

В удовлетворении остальной части исковых требований ФИО1 отказать.

Апелляционным определением судебной коллегии по гражданским делам Московского городского суда от ДД.ММ.ГГГГ решение районного суда оставлено без изменения, апелляционная жалоба ООО "Яндекс.Еда" - без удовлетворения.

В кассационной жалобе представитель ответчика ООО "Яндекс.Еда" - ФИО4 просит принятые по делу судебные постановления отменить, как незаконные. В обоснование несогласия с судебными постановлениями ссылается на существенные нарушения норм материального и процессуального права, несоответствие выводов суда установленным по делу фактическим обстоятельствам. Полагает, истцом не представлено доказательств причинения ему морального вреда, равно как и доказательств распространения персональных данных истца в сети Интернет. Указывает на отсутствие причинно-следственной связи между действиями (бездействием) ответчика и причиненным истцу вредом. Отмечает, что представленный истцом скриншот является недопустимым доказательством по делу, поскольку получен с нарушением законодательства, так как доступ к сайту и другим ресурсам был ограничен на основании ст. 15.5 Закона об информации, между сторонами неправильно распределены обязанности по доказыванию.

Лица, участвующие в деле, надлежащим образом извещены о времени и месте рассмотрения дела в кассационном порядке. В судебное заседание суда кассационной инстанции не явились. Судебная коллегия по гражданским делам Второго кассационного суда общей юрисдикции, руководствуясь частью 5 статьей 379.5 Гражданского процессуального кодекса Российской Федерации, считает возможным рассмотреть дело в отсутствие неявившихся лиц.

Согласно статье 379.7 Гражданского процессуального кодекса Российской Федерации основаниями для отмены или изменения судебных постановлений кассационным судом общей юрисдикции являются несоответствие выводов суда, содержащихся в обжалуемом судебном постановлении, фактическим обстоятельствам дела, установленным судами первой и апелляционной инстанций, нарушение либо неправильное применение норм материального права или норм процессуального права (часть 1).

Изучив материалы дела, обсудив доводы кассационной жалобы, проверив по правилам статьи 379.6 Гражданского процессуального кодекса Российской Федерации в пределах доводов, содержащихся в кассационной жалобе, законность обжалуемых судебных постановлений, судебная коллегия по гражданским делам Второго кассационного суда общей юрисдикции не находит оснований для удовлетворения кассационной жалобы и отмены судебных актов.

В соответствии с ч. 1 ст. 23 Конституции Российской Федерации каждый имеет право на неприкосновенность частной жизни, личную и семейную тайны, защиту своей чести и доброго имени

В силу ч. 1 ст. 24 Конституции Российской Федерации сбор, хранение, использование и распространение информации о частной жизни лица без его согласия не допускается.

Отношения, связанные с обработкой персональных данных физических лиц, а также с обеспечением защиты: прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну регулируются Федеральным законом Российской Федерации от ДД.ММ.ГГГГ N 152-ФЗ "О персональных данных".

Согласно п. 1 ст. 3 Закона о персональных данных персональные данные - любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу (субъекту персональных данных).

Под обработкой персональных данных понимается любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, 2 использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных (п. 3 ст. 3 Закона о персональных данных).

В соответствии с п. 5 ст. 3 Федерального закона N 152-ФЗ "О персональных данных" под распространением персональных данных понимаются действия, направленные на раскрытие персональных данных неопределенному кругу лиц.

В соответствии с п. 6 ст. 3 указанного Федерального закона под предоставлением персональных данных понимаются действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.

Согласно п. 1 ч. 1 ст. 6 Федерального закона от ДД.ММ.ГГГГ N 152-ФЗ "О персональных данных" обработка персональных данных должна осуществляться с соблюдением принципов и правил, предусмотренных настоящим Федеральным законом. Обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных.

В соответствии с частью 2 статьи 24 Федерального закона от ДД.ММ.ГГГГ N 152-ФЗ "О персональных данных" моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных, установленных настоящим Федеральным законом, а также требований к защите персональных данных, установленных в соответствии с настоящим Федеральным законом, подлежит возмещению в соответствии с законодательством Российской Федерации. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков

В соответствии с частью 1 статьи 150 Гражданского кодекса Российской Федерации жизнь и здоровье, достоинство личности, личная неприкосновенность, честь и доброе имя, деловая репутация, неприкосновенность частной жизни, личная и семейная тайна, право свободного передвижения, выбора места пребывания и жительства, право на имя, право авторства, иные личные неимущественные права и другие нематериальные блага, принадлежащие гражданину от рождения или в силу закона, неотчуждаемы и непередаваемы иным способом.

Согласно ст. 151 Гражданского кодекса Российской Федерации если гражданину причинен моральный вред (физические или нравственные страдания) действиями, нарушающими его личные неимущественные права, либо посягающими на принадлежащие гражданину другие нематериальные блага, а также в других случаях, предусмотренных законом, суд может возложить на нарушителя обязанность денежной компенсации указанного вреда. При определении размера компенсации морального вреда суд принимает во внимание степень вины нарушителя и иные заслуживающие внимания обстоятельства. Суд должен также учитывать степень физических и нравственных страданий, связанных с индивидуальными особенностями лица, которому причинен вред.

Как установлено судом и подтверждается материалами дела, истец является пользователем сервиса "Яндекс.Еда". Данное обстоятельство ответчиком не оспорено.

Авторизация пользователей сервиса осуществляется по номеру телефона. Персональные данные пользователей сервиса обрабатываются для исполнения договора, стороной которого является субъект персональных данных.

В соответствии с пунктом 3.6 Пользовательского соглашения сервиса "Яндекс.Еда" пользователь соглашается с тем, что ООО "Яндекс.Еда" вправе хранить персональную информацию пользователя не менее трех лет с даты исполнения рестораном и/или доставщиком соответствующего заказа, оформленного с использованием сервиса "Яндекс.Еда".

В марте 2022 года пользователи указанного сервиса получили электронное уведомление от службы поддержки сервиса "Яндекс.Еда" "данные изъяты"), в котором сообщилось, что Служба информационной безопасности Яндекс Еды выявила внутреннюю утечку данных о заказах в сервисе, в результате которого в сеть Интернет попали номера телефонов клиентов и техническая информация о заказах. ДД.ММ.ГГГГ ГСУ СК РФ возбуждено уголовное дело в отношении неустановленных лиц по признакам преступлений, предусмотренных ч. 1 ст. 137, ч. 3 ст. 272, ч... 2 ст. 273 УК РФ.

Постановлением от ДД.ММ.ГГГГ ООО "Яндекс.Еда" признано потерпевшим по данному уголовному делу.

Из постановления следует, что не позднее ДД.ММ.ГГГГ неустановленные лица, используя технические устройства с доступом в информационно-телекоммуникационную сеть Интернет и компьютерные программы, заведомо предназначенные для несанкционированного копирования компьютерной информации и нейтрализации средств защиты компьютерной информации, совершили DDos-атаки на сервис "Яндекс.Еда", после чего в этот же день распространили в сети Интернет на странице, расположенной по веб-адресу: https://saverudata.org/map/, незаконно полученные сведения о частной жизни пользователей сервиса "Яндекс.Еда", доступные неопределенному кругу лиц, чем причинили вред деловой репутации ООО "Яндекс.Еда".

Постановлением мирового судьи судебного участка N района Замоскворечье "адрес" от ДД.ММ.ГГГГ, оставленным без изменения ДД.ММ.ГГГГ, ООО "Яндекс.Еда" признано виновным в совершении административного правонарушения, предусмотренного ч. 1 ст. 13.11 Ко АП РФ.

Как следует из постановления, ООО "Яндекс.Еда" осуществляет свою деятельность с нарушением требований законодательства в сфере связи, информационных технологий и массовых коммуникаций, а именно: в результате недобросовестных действий сотрудника ООО "Яндекс.Еда" в сеть попала база заказов, содержащая данные о пользователях, в том числе, их персональные данные: имя, адрес заказа (адрес места жительства), номер телефона, сведения о заказе пользователя. Данные нарушения выявлены в ходе мониторинга электронных СМИ Роскомнадзором ДД.ММ.ГГГГ.

Судом установлены факт совершения административного правонарушения и виновность ООО "Яндекс.Еда" в утечке персональных данных (обработке персональных данных) пользователей сервиса.

Согласно представленному стороной истца скриншоту страницы "данные изъяты" следует, что в открытом доступе содержится информация, которая в совокупности позволяет отнести указанные сведения конкретно истцу: имя ФИО1, телефон N, адрес: "адрес" адрес электронной почты "адрес". Указанные данные являются персональными данными истца.

В силу ст. 7 Федерального закона от ДД.ММ.ГГГГ N "О персональных данных" операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом

В соответствии со ст. 17 Федерального закона от ДД.ММ.ГГГГ N 152-ФЗ, если субъект персональных данных считает, что оператор осуществляет обработку его персональных данных с нарушением требований настоящего Федерального закона или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке. Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

Вышеуказанными судебными актами установлены факт совершения административного правонарушения и виновность ООО "Яндекс.Еда" в утечке персональных данных (обработке персональных данных) пользователей сервиса.

В силу ч. 4 ст. 61 Гражданского процессуального кодекса Российской Федерации вступившее в законную силу постановление суда по делу об административном правонарушении обязательны для суда, рассматривающего дело о гражданско-правовых последствиях действий лица, в отношении которого они вынесены, по вопросам, имели ли место эти действия и совершены ли они данным лицом.

Разрешая спор по существу, суд первой инстанции признал скриншот сайта допустимым доказательством, поскольку ответчиком не представлено доказательств, опровергающих совпадение информации, содержащейся в сети Интернет, и информации, содержащейся в базе данных о клиентах ответчика. Суд первой инстанции пришел к выводу, что ответчиком не был обеспечен необходимый уровень защищенности персональных данных пользователей сервиса, вследствие чего персональные данные истца были разглашены неограниченному кругу лиц в отсутствие какого-либо его согласия.

Исследовав и оценив представленные в материалы дела доказательства, учитывая характер нарушений прав истца, объем причиненных ему нравственных страданий, суд пришел к выводу о наличии оснований для взыскания в пользу истца компенсации морального вреда в размере 5 000 руб, взыскав указанную сумму с ответчика ООО "Яндекс.Еда", в остальной части требования отказал.

Отказывая в удовлетворении исковых требований к ООО "Яндекс", суд исходил из того, что Общество не является стороной Соглашения с пользователями сервиса "Яндекс.Еда", не владеет указанным сервисом, в связи с чем является ненадлежащим ответчиком, и оснований для возложения на него ответственности за нарушение законодательства о персональных данных в связи с утечкой данных истца в сервисе "Яндекс.Еда", принадлежащем иному юридическому лицу, не имеется.

Проверяя законность и обоснованность решения суда в апелляционном порядке, судебная коллегия с выводами суда первой инстанции и их правовым обоснованием согласилась.

Отклоняя доводы стороны ответчика ООО "Яндек.Еда" о несогласии с оценкой представленных по делу доказательств, в том числе скриншота, судебная коллегия исходила из того, что Пленум Верховного Суда Российской Федерации в постановлении от ДД.ММ.ГГГГ N "О практике применения судами Закона Российской Федерации "О средствах массовой информации" указал на то, что федеральными законами не предусмотрено каких-либо ограничений в способах доказывания факта распространения сведений через телекоммуникационные сети (в том числе, через сайты в сети "Интернет"), поэтому при разрешении вопроса о том, имел ли место такой факт, суд в силу статей 55 и 60 Гражданского процессуального кодекса Российской Федерации вправе принимать любые средства доказывания, предусмотренные процессуальным законодательством.

Результаты оценки доказательства и мотивы, по которым суд пришел к такому выводу, подробно изложены в обжалованном судебном постановлении, оснований не согласиться с которым судебная коллегия не усмотрела.

Доводы стороны ответчика ООО "Яндекс.Еда" о том, что суд не дал оценки постановлению о признании ответчика потерпевшим по уголовному делу, также отклонены судебной коллегией, поскольку обязанность ответчика сохранять персональные данные клиентов возложена на ответчика в силу закона (ст. 7 Федерального закона о персональных данных)

Из положений норм Закона о персональных данных следует, что на администратора домена, как оператора, возложена обязанность по обеспечению конфиденциальности собираемых и обрабатываемых им персональных данных.

Только в том случае, если утечка данных произошла по вине пользователя, то оператор освобождается от ответственности. Таковых сведений ответчик суду не предоставил. При этом использование и распространение персональных данных субъекта осуществляется оператором только с согласия субъекта, а истец такового согласия не давал.

Судебная коллегия по гражданским делам Второго кассационного суда общей юрисдикции, проверив законность обжалуемых судебных постановлений, считает, что выводы суда первой и апелляционной инстанций основаны на правильном применении норм материального права и соответствуют установленным по делу фактическим обстоятельствам, подтвержденным исследованными в судебном заседании относимыми и допустимыми доказательствами, которым судебными инстанциями дана оценка по правилам статьи 67 Гражданского процессуального кодекса Российской Федерации.

Доводы кассационной жалобы, приведенные в обоснование несогласия с выводами судов, повторяют позицию заявителя по делу, являлись предметом рассмотрения суда первой и апелляционной инстанций, получили надлежашую правовую оценку, по существу направлены на иную оценку доказательств и фактических обстоятельств дела, что не может служить основанием для кассационного пересмотра судебных постановлений, поскольку кассационный суд общей юрисдикции при проверке законности судебных постановлений имеет право оценивать лишь правильность применения нижестоящими судами норм материального и процессуального права и не вправе устанавливать или считать доказанными обстоятельства, которые не были установлены либо были отвергнуты судом первой или апелляционной инстанции, а также предрешать вопросы о достоверности или недостоверности того или иного доказательства, преимуществе одних доказательств перед другими (статья 379.6, часть 3 статьи 390 Гражданского процессуального кодекса Российской Федерации).

Исследование и оценка доказательств, а также установление и оценка фактических обстоятельств дела относятся к компетенции судов первой и апелляционной инстанций, поэтому связанные с этим доводы заявителя не могут служить основанием для отмены обжалуемых судебных постановлений в кассационном порядке. Нарушений норм процессуального законодательства при оценке судами доказательств не установлено.

Несогласие заявителя жалобы с оценкой доказательств судами первой и апелляционной инстанций и с их выводами об установленных на основе оценки доказательств обстоятельствах дела само по себе основанием для отмены в кассационном порядке судебных постановлений, принятых по этому делу, не является.

С учетом изложенного судебная коллегия по гражданским делам Второго кассационного суда общей юрисдикции не находит предусмотренных ст. 379.7 Гражданского процессуального кодекса Российской Федерации оснований для удовлетворения кассационной жалобы.

Руководствуясь статьями 379.6, 390, 390.1 Гражданского процессуального кодекса Российской Федерации, судебная коллегия по гражданским делам Второго кассационного суда общей юрисдикции

определила:

решение Замоскворецкого районного суда "адрес" от ДД.ММ.ГГГГ и апелляционное определение судебной коллегии по гражданским делам Московского городского суда от ДД.ММ.ГГГГ оставить без изменения, кассационную жалобу ООО "Яндекс.Еда" - без удовлетворения.

Председательствующий

Судьи