Решение от 08.11.2022 по делу № 02-5898/2022 от 21.07.2022

УИД: 77RS0007-02-2022-008187-60

Судья Волкова Е.Ю.

Номер дела в суде первой инстанции 2-5898/2022

Номер дела в суде апелляционной инстанции 33-25217/2023

АПЕЛЛЯЦИОННОЕ ОПРЕДЕЛЕНИЕ

г. Москва                                                                                                        01 августа 2023 года    

Судебная коллегия по гражданским делам Московского городского суда в составе:

председательствующего судьи Акульшиной Т.В.,

судей Куприенко С.Г., Мищенко О.А.,

при ведении протокола судебного заседания помощником судьи Фомичевой А.В.,

рассмотрев в открытом судебном заседании по докладу судьи Мищенко О.А.

гражданское дело Замоскворецкого районного суда г. Москвы №2-5898/22 по апелляционным жалобам представителя истца Чурилова Е.О. по доверенности Кравченко Е.А., представителя ответчика ООО «Яндекс.Еда» по доверенности Курбанова Ш.К. на решение Замоскворецкого районного суда г. Москвы от 08 ноября 2022 года, которым постановлено:

Иск Чурилова Егора Олеговича удовлетворить частично.

Взыскать с ООО «Яндекс.Еда» (ИНН 9705114405) в пользу Чурилова Егора Олеговича (паспортные данные) компенсацию морального вреда в размере 5 000 руб.

В удовлетворении остальной части исковых требований Чурилова Егора Олеговича отказать,

УСТАНОВИЛА:

Чурилов Е.О. обратился в суд с иском к ООО «Яндекс», ООО «Яндекс.Еда» о признании незаконными действия ООО «Яндекс.Еда» и ООО «Яндекс», выраженные в непринятии необходимых и достаточных мер для обеспечения конфиденциальности персональных данных, обязать ответчиков опубликовать в течение 30 календарных дней с момента вступления решения суда на веб-сайте https://yandex.ru/, https://eda.yandex.ru, а также в мобильном приложении «Яндекс.Еда – заказ продуктов» в Google Play и App Store информацию о принятых мерах по обеспечению сохранности персональных данных после произошедшей утечки, а также улучшению контроля за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных, взыскании солидарно компенсации морального вреда в размере 100 000 руб., указав, что «Яндекс.Еда» является сервисом для заказа быстрой доставки еды из ресторанов и продуктов из магазинов через мобильные приложения или веб-сайт, работает в 170 городах России. Администратором сервиса является ООО «Яндекс.Еда».

В марте 2022 года служба информационной безопасности сервиса выявила утечку информации, в результате которой в сети Интернет были опубликованы и выложены на сайте https://saverudata.org/ личные данные пользователей. Впоследствии истец обнаружил свои данные в открытом доступе в сети Интернет. Согласно скриншоту с указанного сайта были распространены данные истца в виде имени и фамилии, номера телефона, адреса места жительства, а также адрес электронной почты. Разглашенные сведения позволяют однозначно идентифицировать истца, являются его персональными данными.

По мнению истца, ответчики не предприняли всех возможных организационных и технических мер для обеспечения конфиденциальности его персональных данных, что привело к их распространению в сети Интернет, в подтверждение чего представил копию изображения (скриншот с сайта) www.saverudata.org, отчет об исследовании, составленный ООО «Центр цифровой криминалистики и права», а также полученное от ООО «Яндекс.Еда» электронное сообщение от 02.03.2022 г. об имевшей место утечке.

Истец Чурилов Е.О. в судебное заседание не явился, о времени и месте рассмотрения дела извещался надлежащим образом, обеспечил явку представителей по доверенности Акопяна Н.Г., Кравченко Е.А., которые поддержали исковые требования в полном объеме.

Представители ответчика ООО «Яндекс.Еда» по доверенности Свиридова Т.А., Михеева А.Ю. в судебное заседание явились, представили письменные возражения на иск, просили в удовлетворении требований отказать в полном объеме.

Представитель ответчика ООО «Яндекс» по доверенности Тагиев Т.Ф. в судебное заседание явился, представил отзыв на иск, в котором просил отказать в удовлетворении исковых требований в полном объеме.

Представитель третьего лица Роскомнадзора в судебное заседание не явился, о времени и месте рассмотрения дела извещался надлежащим образом, ранее представил ходатайство о рассмотрении дела в его отсутствие, указав, что на основании п.3.1 ч.3 ст.23 ФЗ «О персональных данных» интернет-ресурс https://saverudata.org/ внесен Роскомнадзором в Реестр нарушителей прав субъектов персональных данных.

Суд постановил вышеуказанное решение, об отмене которого просят представитель истца Чурилова Е.О. по доверенности Кравченко Е.А., представитель ответчика ООО «Яндекс.Еда» по доверенности Курбанов Ш.К. по доводам апелляционных жалоб.

Представитель ответчика ООО «Яндекс» по доверенности Деева К.А. в судебное заседание суда апелляционной инстанции явилась, доводы апелляционной жалобы не признала.

В судебное заседание суда апелляционной инстанции истец Чурилов Е.О., представитель ответчика ООО «Яндекс.Еда», представитель третьего лица Роскомнадзор не явились, извещены надлежаще. В соответствии со ст. 165.1 ГК РФ, ст. 167 ГПК РФ судебная коллегия полагает возможным рассмотреть дело в их отсутствие.

Пленум Верховного Суда РФ в Постановлении от 19 декабря 2003 г. за № 23 «О судебном решении» разъяснил, что решение должно быть законным и обоснованным (часть 1 статьи 195 ГПК РФ). Решение является законным в том случае, когда оно принято при точном соблюдении норм процессуального права и в полном соответствии с нормами материального права, которые подлежат применению к данному правоотношению, или основано на применении в необходимых случаях аналогии закона или аналогии права (часть 1 статьи 1, часть 3 статьи 11 ГПК РФ). Решение является обоснованным тогда, когда имеющие значение для дела факты подтверждены исследованными судом доказательствами, удовлетворяющими требованиям закона об их относимости и допустимости, или обстоятельствами, не нуждающимися в доказывании (статьи 55, 59 - 61, 67 ГПК РФ), а также тогда, когда оно содержит исчерпывающие выводы суда, вытекающие из установленных фактов.

В соответствии с ч. 1 ст. 327.1 ГПК РФ суд апелляционной инстанции рассматривает дело в пределах доводов, изложенных в апелляционных жалобе, представлении и возражениях относительно жалобы, представления.

Проверив материалы дела, выслушав пояснения лиц, участвующих в деле, обсудив доводы апелляционной жалобы, судебная коллегия не находит оснований к отмене решения суда, постановленного в соответствии с фактическими обстоятельствами дела, которым судом дана надлежащая правовая оценка, и требованиями закона.

В соответствии со ст. 150 ГК РФ жизнь и здоровье, достоинство личности, личная неприкосновенность, честь и доброе имя, деловая репутация, неприкосновенность частной жизни, личная и семейная тайна, право свободного передвижения, выбора места пребывания и жительства, право на имя, право авторства, иные личные неимущественные права и другие нематериальные блага, принадлежащие гражданину от рождения или в силу закона, неотчуждаемы и непередаваемы иным способом.

Согласно ст. 151 ГК РФ, если гражданину причинен моральный вред (физические или нравственные страдания) действиями, нарушающими его личные неимущественные права, либо посягающими на принадлежащие гражданину другие нематериальные блага, а также в других случаях, предусмотренных законом, суд может возложить на нарушителя обязанность денежной компенсации указанного вреда. При определении размера компенсации морального вреда суд принимает во внимание степень вины нарушителя и иные заслуживающие внимания обстоятельства. Суд должен также учитывать степень физических и нравственных страданий, связанных с индивидуальными особенностями лица, которому причинен вред.

В соответствии со ст. ст. 23, 24 Конституции РФ каждый имеет право на неприкосновенность частной жизни, личную и семейную тайны, защиту своей чести и доброго имени.

Сбор, хранение, использование и распространение информации о частной жизни лица без его согласия не допускается.

Согласно ст.ст. 3, 6, 24, 7, 17 Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных» под персональными данными понимается любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных). Обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Под распространением персональных данных понимаются действия, направленные на раскрытие персональных данных неопределенному кругу лиц.

Под предоставлением персональных данных понимаются действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.

Обработка персональных данных должна осуществляться с соблюдением принципов и правил, предусмотренных настоящим Федеральным законом. Обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных.

Моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных, установленных настоящим Федеральным законом, а также требований к защите персональных данных, установленных в соответствии с настоящим Федеральным законом, подлежит возмещению в соответствии с законодательством Российской Федерации. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков.

Операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.

Если субъект персональных данных считает, что оператор осуществляет обработку его персональных данных с нарушением требований настоящего Федерального закона или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке. Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

Как установлено судом, а также подтверждается материалами дела, истец является пользователем сервиса «Яндекс.Еда». Данное обстоятельство ответчиком не оспорено.

Авторизация пользователей сервиса осуществляется по номеру телефона. Персональные данные пользователей сервиса обрабатываются для исполнения договора, стороной которого является субъект персональных данных.

В соответствии с пунктом 3.6 Пользовательского соглашения сервиса «Яндекс.Еда» пользователь соглашается с тем, что ООО «Яндекс.Еда» вправе хранить персональную информацию пользователя не менее трех лет с даты исполнения рестораном и/или доставщиком соответствующего заказа, оформленного с использованием сервиса «Яндекс.Еда».

В марте 2022 года пользователи указанного сервиса получили электронное уведомление от службы поддержки сервиса «Яндекс.Еда» (love@eda.yandex.ru), в котором сообщилось, что Служба информационной безопасности Яндекс Еды выявила внутреннюю утечку данных о заказах в сервисе, в результате которого в сеть Интернет попали номера телефонов клиентов и техническая информация о заказах.

23.03.2022 ГСУ СК РФ возбуждено уголовное дело в отношении неустановленных лиц по признакам преступлений, предусмотренных ч.1 ст.137, ч.3 ст.272, ч.2 ст.273 УК РФ.

Постановлением от 12.08.2022 ООО «Яндекс.Еда» признано потерпевшим по данному уголовному делу.

Из постановления следует, что не позднее 23.03.2022 неустановленные лица, используя технические устройства с доступом в информационно-телекоммуникационную сеть Интернет и компьютерные программы, заведомо предназначенные для несанкционированного копирования компьютерной информации и нейтрализации средств защиты компьютерной информации, совершили DDos-атаки на сервис «Яндекс.Еда», после чего в этот же день распространили в сети Интернет на странице, расположенной по веб-адресу: https://saverudata.org/map/, незаконно полученные сведения о частной жизни пользователей сервиса «Яндекс.Еда», доступные неопределенному кругу лиц, чем причинили вред деловой репутации ООО «Яндекс.Еда».

Согласно Постановлению мирового судьи судебного участка №101 района Замоскворечье г.Москвы от 21 апреля 2022 г., оставленного без изменения 8 июня 2022 г., ООО «Яндекс.Еда» признано виновным в совершении административного правонарушения, предусмотренного ч.1 ст.13.11 КоАП РФ.

Из данного постановления следует, что ООО «Яндекс.Еда» осуществляет свою деятельность с нарушением требований законодательства в сфере связи, информационных технологий и массовых коммуникаций, а именно: в результате недобросовестных действий сотрудника ООО «Яндекс.Еда» в сеть попала база заказов, содержащая данные о пользователях, содержащие, в том числе, их персональные данные: имя, адрес заказа (адрес места жительства), номер телефона, сведения о заказе пользователя. Данные нарушения выявлены в ходе мониторинга электронных СМИ Роскомнадзором 01.03.2022.

Таким образом судом был установлен факт совершения административного правонарушения и виновность ООО «Яндекс.Еда» в утечке персональных данных (обработке персональных данных) пользователей сервиса.

В силу ч.4 ст. 61 ГПК РФ вступившее в законную силу постановление суда по делу об административном правонарушении обязательны для суда, рассматривающего дело о гражданско-правовых последствиях действий лица, в отношении которого они вынесены, по вопросам, имели ли место эти действия и совершены ли они данным лицом.

Согласно представленному стороной истца скриншоту страницы https://saverudata.org/ в открытом доступе содержится информация, которая в совокупности позволяет отнести указанные сведения конкретно истцу: имя Егор Чурилов, телефон телефон, адрес: адрес, адрес электронной почты – *** (л.д. 10). Указанные данные являются персональными данными истца.

Согласно отчету №1605-22 от 16.05.2022 г., проведенному специалистом ООО «Центр цифровой криминалистики и права», на исследование представлен флеш-накопитель с содержащимися на нем таблицами, которые могли быть получены в результате выгрузки баз данных, хранящих информацию о клиентах сервиса доставки «Яндекс». Среди содержимого обнаружена информация, имеющая признаки персональных данных. Установлена связь между истцом и записью в исследуемых файлах (стр. 12, 16 отчета).

Суд не нашел оснований для признания данных доказательств недопустимыми, поскольку оснований полагать, что скриншот получен в нарушение норм действующего законодательства, не имелось. Кроме того, ответчиком не представлено доказательств, опровергающих совпадение информации, содержащейся в сети Интернет, и информации, содержащейся в базе данных о клиентах ответчика.

При таких обстоятельствах, оценив собранные по делу доказательства в их совокупности, суд пришел к выводу о том, что ответчиком ООО «Яндекс.Еда» не был обеспечен необходимый уровень защищенности персональных данных пользователей сервиса, в результате чего персональные данные истца были разглашены неограниченному кругу лиц в отсутствие какого-либо согласия истца.

Принимая во внимание изложенное, суд пришел к выводу о том, что Чурилов Е.О. имеет право на возмещение морального вреда, поскольку факт нарушения ответчиком норм действующего законодательства РФ в отношении истца как пользователя сервиса «Яндекс.Еда» установлен и подтвержден представленными по делу доказательствами, в результате чего истцу был причинен моральный вред, который подлежит денежной компенсации.

Согласно разъяснениям, данным в п.п. 2, 8 Постановления Пленума Верховного Суда РФ от 20.12.1994 г. № 10 «Некоторые вопросы применения законодательства о компенсации морального вреда», под моральным вредом понимаются нравственные или физические страдания, причиненные действиями (бездействием), посягающими на принадлежащие гражданину от рождения или в силу закона нематериальные блага (жизнь, здоровье, достоинство личности, деловая репутация, неприкосновенность частной жизни, личная и семейная тайна и т.п.), или нарушающими его личные неимущественные права (право на пользование своим именем, право авторства и другие неимущественные права в соответствии с законами об охране прав на результаты интеллектуальной деятельности) либо нарушающими имущественные права гражданина.

Компенсация морального вреда является частью установленного законом механизма восстановления нарушенного права субъекта персональных данных.

Таким образом, при установлении факта нарушения, у гражданина возникает право на компенсацию морального вреда, причиненного указанным нарушением.

Размер компенсации морального вреда зависит от характера и объема причиненных истцу нравственных или физических страданий, индивидуальных особенностей истца, в том числе его возраст и состояние здоровья, степень вины ответчика, длительного характера неисполнения законных требований, требования разумности и справедливости.

Учитывая характер нарушения прав истца, объем причиненных истцу нравственных страданий, требования разумности и справедливости, суд счел необходимым определить размер денежной компенсации морального вреда в размере 5000 руб., взыскав указанную сумму с ответчика ООО «Яндекс.Еда» в пользу Чурилова Е.О..

В удовлетворении требования о возложении на ответчика обязанности публикации сведений о принятых правовых, организационных и технических мерах по обеспечению безопасности персональных данных в соответствии со статьей 19 ФЗ «О персональных данных» было отказано, поскольку указанные требования не основанные на законе.

Отказывая в удовлетворении исковых требований к ООО «Яндекс», суд исходил из того, что данный ответчик не является стороной Соглашения с пользователями сервиса «Яндекс.Еда», не владеет указанным сервисом, в связи с чем является ненадлежащим ответчиком, и оснований для возложения на него ответственности за нарушение законодательства о персональных данных в связи с утечкой данных истца в сервисе, принадлежащем иному лицу, не имеется.

Судебная коллегия полагает согласиться с выводами суда.

Доводы апелляционной жалобы ответчика ООО «Яндекс.Еда» о несогласии с оценкой, представленных по делу доказательств, в том числе со скриншотом, по существу касается доказательственной стороны спора и установленных по делу фактических обстоятельств, поэтому судом апелляционной инстанции отклоняются. Такие доводы не свидетельствуют о неправильном применении судами норм материального или процессуального права, несоответствии выводов суда установленным обстоятельствам дела. Результаты оценки доказательства и мотивы, по которым суд пришел к такому выводу, подробно изложены в обжалованном судебном постановлении, оснований не согласиться с которым у судебной коллегии не имеется.

Доводы жалобы ответчика ООО «Яндекс.Еда» о том, что суд не дал оценки постановлению о признании ответчика потерпевшим по уголовному делу, отклоняются судебной коллегией, поскольку обязанность ответчика сохранять персональные данные клиентов возложена на ответчика в силу закона. (Ст. 7 ФЗ Закона о персональных данных). Из положений норм закона о персональных данных следует, что на администратора домена, как оператора, возложена обязанность по обеспечению конфиденциальности собираемых и обрабатываемых им персональных данных. Только в том случае, если утечка данных произошла по вине пользователя, то оператор освобождается от ответственности. Таковых сведений ответчик суду не предоставил. При этом использование и распространение персональных данных субъекта осуществляется оператором только с согласия субъекта. Поскольку истец такового согласия не давал, а ответчиком не выполнены требования указанного закона, то суд обоснованно удовлетворил исковые требования и взыскал с ответчика моральный вред.

Доводы апелляционной жалобы истца, сводящиеся к тому, что суд первой инстанции необоснованно снизил размер компенсации морального вреда, судебной коллегией отклоняются, поскольку размер денежной компенсации морального вреда определен судом первой инстанции с учетом конкретных обстоятельств дела, все заслуживающие своего внимания обстоятельства при определении размера такой компенсации судом были приняты во внимание, в связи с чем не согласиться с размером денежной компенсации морального вреда, взысканной судом первой инстанции с ответчика в пользу истца, у судебной коллегии не имеется.

Разрешая спор, суд правильно определил юридически значимые обстоятельства, дал правовую оценку установленным обстоятельствам и постановил законное и обоснованное решение. Выводы суда соответствуют обстоятельствам дела. Нарушений норм материального и процессуального права, влекущих отмену решения, судом допущено не было.

На основании изложенного, руководствуясь ст. ст. 328, 329 ГПК РФ, судебная коллегия

ОПРЕДЕЛИЛА:

░░░░░░░ ░░░░░░░░░░░░░░░ ░░░░░░░░░ ░░░░ ░. ░░░░░░ ░░ 08 ░░░░░░ 2022 ░░░░ ░░░░░░░░ ░░░ ░░░░░░░░░, ░░░░░░░░░░░░░ ░░░░░░ – ░░░ ░░░░░░░░░░░░░░.

░░░░░░░░░░░░░░░░░░░░:

░░░░░: