Решение по делу № 8Г-9504/2024 [88-11150/2024] от 10.04.2024

ТРЕТИЙ КАССАЦИОННЫЙ СУД ОБЩЕЙ ЮРИСДИКЦИИ

35RS0001-02-2022-006368-95	Дело 88-11150/2024
№2-667/2023

ОПРЕДЕЛЕНИЕ

г. Санкт-Петербург	22 мая 2024 г.
Судебная коллегия по гражданским делам Третьего кассационного суда общей юрисдикции в составе
председательствующего судьи		Какурина А.Н.
судей		Кузнецова С.Л., Чекрий Л.М.
рассмотрела в открытом судебном заседании гражданское дело                          № 2-667/2023 по иску Кулакова Алексея Александровича, Шпыновой Марии Ильиничны к ООО «Яндекс.Еда» о защите прав субъекта персональных данных, взыскании компенсации морального вреда, штрафапо кассационной жалобе Кулакова Алексея Александровича на решение Невского районного суда Санкт-Петербурга от 16 марта 2023 г. и апелляционное определение судебной коллегии по гражданским делам Санкт-Петербургского городского суда от 28 ноября 2023 г.          Заслушав доклад судьи Чекрий Л.М., объяснения Кулакова А.А., поддержавшего доводы кассационной жалобы, представителя ООО «Яндекс.Еда» Юрьева С.В., возражавшего против удовлетворения кассационной жалобы, судебная коллегия по гражданским делам Третьего кассационного суда общей юрисдикцииустановила:Кулаков А.А., Шпынова М.И. обратились в суд с иском к ООО «Яндекс.Еда») о защите прав субъекта персональных данных, взыскании компенсации морального вреда в размере 30 000 руб. в пользу каждого и штрафа, предусмотренного пунктом 6 статьи 13 Закона Российской Федерации                     от 7 февраля 1992 г. № 2300-1 «О защите прав потребителей», мотивируя свои требования тем, что они предоставили ответчику свои персональные данные, присоединившись к пользовательскому соглашению сервиса по заказу товаров и доставки «Яндекс.Еда»; 1 марта 2022 г. из письма ООО «Яндекс.Еда» истцам стало известно о факте утечки информации пользователей сервиса «Яндекс.Еда», выразившегося в размещении в свободном доступе в информационно-телекоммуникационной сети «Интернет» на сайте <данные изъяты> их фамилий, имен, отчеств, адресов доставки, номеров телефонов; тем самым ответчик нарушил личные неимущественные права истцов, а именно право на неприкосновенность частной, личной и семейной жизни, семейную <данные изъяты> причинив истцам нравственные страдания.         Решением Невского районного суда Санкт-Петербурга от 16 марта 2023 г. исковые требования оставлены без удовлетворения.                   Апелляционным определением судебной коллегии по гражданским делам Санкт-Петербургского городского суда от 28 ноября 2023 г. решение суда отменено, принято новое решение, которым исковые требования удовлетворены частично. С ООО «Яндекс.Еда» в пользу Кулакова А.А. и Шпыновой М.И взыскана компенсация морального вреда по 5 000 руб. В удовлетворении остальной части требований отказано. С ООО «Яндекс.Еда» в доход бюджета Санкт-Петербурга взыскана государственная пошлина в размере 300 руб.         В кассационной жалобе кулаков АА. ставит вопрос об отмене решения суда и апелляционного определения как постановленных с неправильным применением норм материального права и нарушением норм процессуального права.         В связи с отменой решения судом апелляционной инстанции оно не является предметом проверки в кассационном порядке.         Заслушав участников процесса, изучив материалы дела, проверив апелляционное определение в пределах доводов кассационной жалобы в соответствии с частью 1 статьи 3796 ГПК РФ, судебная коллегия Третьего кассационного суда общей юрисдикции приходит к следующему.          В соответствии со статьей 3797 ГПК РФ основаниями для отмены или изменения судебных постановлений кассационным судом общей юрисдикции являются несоответствие выводов суда, содержащихся в обжалуемом судебном постановлении, фактическим обстоятельствам дела, установленным судами первой и апелляционной инстанций, нарушение либо неправильное применение норм материального права или норм процессуального права.          Таких оснований для отмены обжалуемого судебного постановления не имеется.         Как установлено судебными инстанциями Кулаков А.А., Шпынова М.И. являлись получателями услуг по доставке товаров и продуктов питания, предоставляемых ООО «Яндекс.Еда».         2 марта 2022 г. истцам от ответчика поступило электронное письмо, в котором сообщалось о том, что служба информационной безопасности ООО «Яндекс.Еда» выявила внутреннюю утечку данных о заказах в сервисе; в информационно-телекоммуникационную сеть «Интернет» попали номера телефонов клиентов и техническая информация о заказах: дата создания, состав и другие подробности. Утечка не коснулась банковских и платежных данных, логинов и паролей - они в безопасности.          Истцы при проверке сведений, имеющихся о них в открытом доступе в информационно-телекоммуникационной сети «Интернет», обнаружили, что на сайте <данные изъяты> размещена информация об их фамилии, имени, отчестве, номере телефона, адресах, времени, датах доставки, цене и ассортименте приобретенных товаров.          Судами также установлено, что авторизация пользователей сервиса «Яндекс.Еда» осуществляется по номеру телефона; персональные данные пользователей сервиса обрабатываются для исполнения договора, стороной которого является субъект персональных данных.          В пункте 3.6 Пользовательского соглашения сервиса «Яндекс.Еда» указано, что пользователь подтверждает свое согласие с тем, что персональная информация, которую пользователь предоставляет Яндексу при использовании сервиса, в том числе при оформлении заказа, может быть передана Яндексом ресторану и/или доставщику, с которым пользователь заключает договор в результате оформления заказа, для целей исполнения рестораном и/или доставщиком указанного договора с пользователем. Пользователь соглашается с тем, что Яндекс и ООО «Яндекс» вправе хранить персональную информацию пользователя, а также персональную информацию указанного пользователем получателя заказа не менее трех лет с даты исполнения соответствующего заказа рестораном и/или доставщиком.           Информация об утечке в сеть «Интернет» персональных данных пользователей сервиса «Яндекс.Еда», а именно: фамилий, имен и отчеств, номерах телефонов, адресах регистрации, сведений о сделанных заказах, была опубликована на официальном сайте ответчика 1 марта 2022 г. (<данные изъяты>). В тот же день в интернет-портале «Российская Газета» была опубликована статья о том, что служба безопасности «Яндекс.Еда» выявила утечку телефонных номеров и информации о заказах своих пользователей    (<данные изъяты>).         1 и 2 марта 2022 г. ответчик проинформировал пользователей об утечке информации, разместив на странице своего сайта статью «Служба безопасности Яндекс Еды сообщила об утечке информации».          По заявлению ООО «Яндекс.Еда» от 28 февраля 2022 г. о совершении преступления, выразившегося в неправомерном, умышленном, совершенном в корыстных целях доступе неустановленных лиц к охраняемой компьютерной информации конфиденциального характера (персональные данные) и последующем распространении этих сведений в информационнотелекоммуникационной сети «Интернет», 23 марта 2022 г. главным следственным управлением Следственного комитета Российской Федерации возбуждено уголовное дело № <данные изъяты> по признакам преступлений, предусмотренных частью 1 статьи. 137 (нарушение неприкосновенности частной жизни), частью 3 статьи 272 (неправомерный доступ к компьютерной информации) и частью 2 статьи 273 Уголовного кодекса Российской Федерации (создание, использование и распространение вредоносных компьютерных программ).          Решением Таганского районного суда города Москвы от 10 марта 2022 г. доступ к указанному сайту был ограничен в соответствии со статьей 15.5 Федерального закона от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и защите информации».          Постановлением следователя от 12 августа 2022 г. ООО «Яндекс.Еда» признано потерпевшим по данному уголовному делу.          Из указанного постановления следует, что не позднее 23 марта 2022 г. неустановленные лица, действуя группой лиц по предварительному сговору, используя технические устройства и компьютерные программы, заведомо предназначенные для несанкционированного копирования компьютерной информации и нейтрализации средств защиты компьютерной информации, совершили DDos-атаки на сервис «Яндекс.Еда», после чего, осуществив неправомерный доступ к охраняемой компьютерной информации, в этот же день распространили в информационно-телекоммуникационной сети «Интернет» на странице, расположенной по веб-адресу: <данные изъяты>, незаконно полученные сведения о частной жизни пользователей сервиса «Яндекс.Еда», доступные неопределенному кругу лиц, чем причинили вред деловой репутации ООО «Яндекс.Еда».         Судами установлено, что во исполнение требований, предусмотренных ст. 19 Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных» и постановлением Правительства Российской Федерации от 1 ноября 2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» в части определения угроз безопасности данных при их обработке в информационных системах персональных данных, ООО «Яндекс.Еда» внедрены модели (матрицы) угроз безопасности - Реестр рисков, с последним действующим обновлением 13 октября 2021 г., Регламент управления уязвимости сервиса «Яндекс.Еда» с последним действующим обновлением 23 июня 2021 г.          В порядке применения организационных, технических мер по обеспечению безопасности персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных, ООО «Яндекс.Еда» утверждена и обновляется Политика информационной безопасности сервиса «Яндекс.Еда», в июне 2018 г. ответчиком получен сертификат соответствия требованиям международного стандарта безопасности PCI DSS.          Кроме того, ответчиком внедрены: Регламент управления изменениями в сервисе «Яндекс.Еда» (набор практик, направленных на повышение безопасности разрабатываемых систем), предусматривающий внутренний аудит всех новых продуктов со стороны службы информационной безопасности, Регламент управления информационными рисками в сервисе, утверждённый в ноябре 2021 г.; утверждены План реагирования на инциденты и Регламент управления инцидентами информационной безопасности сервиса «Яндекс.Еда», внедрена модель нарушителя сервисов «Яндекс»; утверждён и введён в действие Регламент повышения осведомленности работников сервиса в области информационной безопасности, на основе которого реализуются программы регулярного обучения основам информационной безопасности для всех сотрудников, имеющих доступ к персональным данным, а также осуществляется контроль за соблюдением требований информационной безопасности.           В октябре 2018 г. ответчиком утверждена и внедрена Политика использования приватных данных пользователей, предусматривающая учет всех действий, совершаемых с персональными данными пользователей и строгое ограничение доступа к ним.           Разрешая возникший между сторонами спор, суд первой инстанции пришел к выводу об отсутствии оснований для удовлетворения иска исходя из отсутствия виновных действий ответчика в распространении персональных данных истцов, принятия им значительных мер к недопущению утечки информации, непредоставления истцами доказательств нарушения их прав.          Суд апелляционной инстанции с данными выводами не согласился.           С целью установления юридически значимых для дела обстоятельств судебной коллегией в соответствии с абзацем 2 части 1 статьи 3271 ГПК РФ и пунктом. 42 постановления Пленума Верховного Суда Российской Федерации от 22 июня 2021 г. № 16 «О применении судами норм гражданского процессуального законодательства, регламентирующих производство в суде апелляционной инстанции» истребованы и приняты в качестве дополнительных (новых) доказательств надлежаще заверенные копии постановления мирового судьи судебного участка № 101 района Замоскворечье города Москвы                    от 21 апреля 2022 г. по делу № 5-413/2022 о признании ООО «Яндекс.Еда» виновным в совершении административного правонарушения, предусмотренного частью 1 статьи 13.11 КоАП РФ; решения судьи Замоскворецкого районного суда города Москвы от 8 июня 2022 года, которым данное постановление оставлено без изменения.            Согласно названному постановлению ООО «Яндекс.Еда» осуществляет свою деятельность с нарушением требований законодательства в сфере связи, информационных технологий и массовых коммуникаций, а именно: в результате недобросовестных действий сотрудника ООО «Яндекс.Еда» в сеть попала база заказов, содержащая данные о пользователях, содержащие, в том числе, их персональные данные: имя, адрес заказа (адрес места жительства), номер телефона, сведения о заказе пользователя. Данные нарушения выявлены в ходе мониторинга электронных СМИ Роскомнадзором 1 марта 2022 г.          Согласно решению судьи Замоскворецкого районного суда города Москвы от 08 июня 2022 г. в ходе рассмотрения дела об административном правонарушении судом установлено, что у ООО «Яндекс.Еда» имелась реальная возможность обеспечить выполнение требований действующего законодательства, однако в результате недобросовестных действий сотрудника организации в сеть «Интернет» попала база заказов, содержащая данные о пользователях и заказах с июля 2021 г. по 4 февраля 2022 г.           Оценив представленные доказательства, руководствуясь положениями статьи 23 Конституции Российской Федерации, статей 150, 151 ГК РФ, статей 3, 7, 19, 24 Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных», статьи 16 Федерального закона от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и защите информации», постановления Правительства Российской Федерации от 1 ноября 2012 г.                     № 1119, исходила из того, что сам факт утечки персональных данных пользователей сервиса является нарушением правил обработки персональных данных; ответчик не обеспечил необходимый уровень защиты персональных данных пользователей сервиса, в результате чего персональные данные истцов были распространены в сети «Интернет» и стали известны неограниченному кругу лиц в отсутствие какого-либо согласия с их стороны. Принимая во внимание объем распространенных персональных данных, суд апелляционной инстанции пришел к выводу о наличии правовых оснований для взыскания в пользу истцов денежной компенсации морального вреда.           Определяя размер компенсации в сумме 5 000 руб., суд апелляционной инстанции исходила из фактических обстоятельств дела, при которых истцам причинен моральный вред, степени и характера причиненных истцам нравственных страданий, личности истцов, которые были вынуждены изменить свой привычный образ жизни, осуществлять защиту своих прав в суде, степень вины причинителя вреда, отсутствие у ответчика намерения причинить истцам вред, факт признания ответчика потерпевшим в рамках соответствующего уголовного дела, а также отсутствие тяжелых последствий у истцов вследствие действий ответчика.          Между тем суд апелляционной инстанции не установил оснований для возложения на ответчика обязанности выплатить истцам штраф, предусмотренный пунктом 6 статьи 13 Закона Российской Федерации от                       7 февраля 1992 года № 2300-1 «О защите прав потребителей». При этом судебная коллегия исходила из того, что нарушение ответчиком прав истцов как субъектов персональных данных не свидетельствует о нарушении их прав как потребителей; защита персональных данных не являлось услугой, которая предоставлялась истцам в рамках пользовательского соглашения сервиса по заказу товаров и доставки; следовательно, возникшие правоотношения указанным законом не регулируются.

Судебная коллегия по гражданским делам Третьего кассационного суда общей юрисдикции полагает, что выводы суда апелляционной инстанции соответствуют установленным фактическим обстоятельствам дела, сделаны при правильном применении норм материального и процессуального права к спорным правоотношениям, оснований не согласиться с ними не имеется.

Доводы, приведенные в кассационной жалобе, повторяют правовую позицию истца при рассмотрении дела судом апелляционной инстанции, основаны на неправильном применении норм материального права, направлены на переоценку доказательств по делу и оспаривание вывода судов по фактическим обстоятельствам спора, исследованных судом и получивших должную правовую оценку, тогда как в силу части 3 статьи 390 ГПК РФ при рассмотрении дела в порядке кассационного производства суд кассационной инстанции не вправе устанавливать или считать доказанными обстоятельства, которые не были установлены либо были отвергнуты судом первой или апелляционной инстанции, либо предрешать вопросы о достоверности или недостоверности того или иного доказательства, преимуществе одних доказательств перед другими.

С учетом изложенного предусмотренных статьей 3797 ГПК РФ оснований для удовлетворения кассационной жалобы и отмены апелляционного определения в кассационном порядке не имеется.

Руководствуясь статьями 390, 3901 Гражданского процессуального кодекса Российской Федерации, судебная коллегия по гражданским делам Третьего кассационного суда общей юрисдикции

определила:

    апелляционное определение судебной коллегии по гражданским делам Санкт-Петербургского городского суда от 28 ноября 2023 г. оставить без изменения, кассационную жалобу Кулакова Алексея Александровича - без удовлетворения.

           Председательствующий

        Судьи