Решение по делу № 33-22938/2023 от 15.08.2023

САНКТ-ПЕТЕРБУРГСКИЙ ГОРОДСКОЙ СУД

Рег. № 33-22938/2023	Судья: Попова Н.В.
УИД 78RS0015-01-2022-006276-59

АПЕЛЛЯЦИОННОЕ ОПРЕДЕЛЕНИЕ

Санкт-Петербург 28 ноября 2023 года

Судебная коллегия по гражданским делам Санкт-Петербургского городского суда в составе:

председательствующего	Савельевой Т.Ю.,
судей	Игнатьевой О.С., Малининой Н.Г.
при секретаре	Миркиной Я.Е.

рассмотрела в открытом судебном заседании апелляционную жалобу Кулакова Алексея Александровича, Шпыновой Марии Ильиничны на решение Невского районного суда Санкт-Петербурга от 16 марта 2023 года по гражданскому делу № 2-667/2023 по иску Кулакова Алексея Александровича, Шпыновой Марии Ильиничны к Обществу с ограниченной ответственностью «Яндекс.Еда» о защите прав субъекта персональных данных, взыскании компенсации морального вреда, штрафа.

Заслушав доклад судьи Савельевой Т.Ю., объяснения истца Кулакова А.А., представителя ответчика Юрьева С.В., действующего на основании доверенности, изучив материалы дела, обсудив доводы апелляционной жалобы, судебная коллегия по гражданским делам Санкт-Петербургского городского суда

УСТАНОВИЛА:

Кулаков А.А., Шпынова М.И. обратились в суд с иском к Обществу с ограниченной ответственностью «Яндекс.Еда» (далее - ООО «Яндекс.Еда») о защите прав субъекта персональных данных, взыскании компенсации морального вреда в размере 30 000 руб. в пользу каждого и штрафа, предусмотренного п. 6 ст. 13 Закона Российской Федерации от 07 февраля 1992 года № 2300-1 «О защите прав потребителей», мотивируя свои требования тем, что они предоставили ответчику свои персональные данные, присоединившись к пользовательскому соглашению сервиса по заказу товаров и доставки «Яндекс.Еда»; 01 марта 2022 года из письма ООО «Яндекс.Еда» истцам стало известно о факте утечки информации пользователей сервиса «Яндекс.Еда», выразившегося в размещении в свободном доступе в информационно-телекоммуникационной сети «Интернет» на сайте https://saverudata.org/map/ их фамилий, имен, отчеств, адресов доставки, номеров телефонов; тем самым ответчик нарушил личные неимущественные права истцов, а именно право на неприкосновенность частной, личной и семейной жизни, семейную тайну, причинив истцам нравственные страдания.

Решением Невского районного суда Санкт-Петербурга от 16 марта 2023 года исковые требования оставлены без удовлетворения.

Не согласившись с таким решением, истцы подали апелляционную жалобу, в которой просят его отменить и принять новое решение, ссылаясь на недоказанность выводов суда первой инстанции, их несоответствие фактическим обстоятельствам дела и на неправильное применение норм материального и процессуального права.

Изначально рассмотрение настоящего дела в суде апелляционной инстанции (первое судебное заседание) осуществлялось в составе судей Савельевой Т.Ю., Игнатьевой О.С. и Бородулиной Т.С.

Впоследствии на основании ч. 5 ст. 14 ГПК РФ в связи с невозможностью участия судьи Бородулиной Т.С. в судебном заседании, назначенном на 28 ноября 2023 года, определением председателя судебного состава от 28 ноября 2023 года была произведена замена судьи Бучневой О.И. на судью Малинину Н.Г. (л.д. 235)

Частью 1 ст. 327 ГПК РФ предусмотрено, что суд апелляционной инстанции извещает лиц, участвующих в деле, о времени и месте рассмотрения жалобы, представления в апелляционном порядке.

Истец Шпынова М.И., извещённая о времени и месте судебного разбирательства надлежащим образом (л.д. 226, 234), в заседание суда апелляционной инстанции не явилась, ходатайств об отложении заседания и доказательств наличия уважительных причин неявки не направила, в связи с чем применительно к положениями ст. 167, 327 ГПК РФ апелляционная жалоба рассматривается в её отсутствие.

С учётом требований ч. 2.1 ст. 113 ГПК РФ сведения о времени и месте проведения судебного заседания размещены в информационно-телекоммуникационной сети «Интернет» на официальном сайте Санкт-Петербургского городского суда.

Ознакомившись с материалами дела, обсудив доводы апелляционной жалобы, проверив в порядке ч. 1 ст. 327.1 ГПК РФ, п. 46 постановления Пленума Верховного Суда Российской Федерации от 22 июня 2021 года № 16 «О применении судами норм гражданского процессуального законодательства, регламентирующих производство в суде апелляционной инстанции» законность и обоснованность решения суда в пределах доводов апелляционной жалобы, судебная коллегия приходит к следующему.

Как установлено судом первой инстанции, Кулаков А.А., Шпынова М.И. являлись получателями услуг по доставке товаров и продуктов питания, предоставляемых ООО «Яндекс.Еда», что ответчиком в процессе рассмотрения дела не оспаривалось.

02 марта 2022 года истцам от ответчика поступило электронное письмо, в котором сообщалось о том, что служба информационной безопасности ООО «Яндекс.Еда» выявила внутреннюю утечку данных о заказах в сервисе. В информационно-телекоммуникационную сеть «Интернет» попали номера телефонов клиентов и техническая информация о заказах: дата создания, состав и другие подробности. Утечка не коснулась банковских и платёжных данных, логинов и паролей - они в безопасности.

По заявлению ООО «Яндекс.Еда» от 28 февраля 2022 года о совершении преступления, выразившегося в неправомерном, умышленном, совершённом в корыстных целях доступе неустановленных лиц к охраняемой компьютерной информации конфиденциального характера (персональные данные) и последующем распространении этих сведений в информационно-телекоммуникационной сети «Интернет», 23 марта 2022 года ГСУ СК РФ было возбуждено уголовное дело № 122202007703000203 по признакам преступлений, предусмотренных ч. 1 ст. 137 («Нарушение неприкосновенности частной жизни»), ч. 3 ст. 272 («Неправомерный доступ к компьютерной информации») и ч. 2 ст. 273 УК РФ («Создание, использование и распространение вредоносных компьютерных программ»).

Постановлением следователя ГСУ СК РФ от 12 августа 2022 года ООО «Яндекс.Еда» признано потерпевшим по данному уголовному делу.

Из указанного постановления следует, что не позднее 23 марта 2022 года неустановленные лица, действуя группой лиц по предварительному сговору, используя технические устройства и компьютерные программы, заведомо предназначенные для несанкционированного копирования компьютерной информации и нейтрализации средств защиты компьютерной информации, совершили DDos-атаки на сервис «Яндекс.Еда», после чего, осуществив неправомерный доступ к охраняемой компьютерной информации, в этот же день распространили в информационно-телекоммуникационной сети «Интернет» на странице, расположенной по веб-адресу: https://saverudata.org/map/, незаконно полученные сведения о частной жизни пользователей сервиса «Яндекс.Еда», доступные неопределённому кругу лиц, чем причинили вред деловой репутации ООО «Яндекс.Еда».

Истцы при проверке сведений, имеющихся о них в открытом доступе в информационно-телекоммуникационной сети «Интернет», обнаружили, что на сайте https://saverudata.org/map/ размещена информация об их фамилии, имени, отчестве, номере телефона, адресах, времени, датах доставки, цене и ассортименте приобретённых товаров.

Решением Таганского районного суда города Москвы от 10 марта 2022 года доступ к указанному сайту был ограничен в соответствии со ст. 15.5 Федерального закона от 27 июля 2006 года № 149-ФЗ «Об информации, информационных технологиях и защите информации», что подтверждается сведениями с официального сайта https://blocklist.rkn.gov.ru/.

Во исполнение требований, предусмотренных ст. 19 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных» и постановлением Правительства Российской Федерации от 01 ноября 2012 года № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных», в части определения угроз безопасности данных при их обработке в информационных системах персональных данных, ООО «Яндекс.Еда» внедрены модели (матрицы) угроз безопасности - Реестр рисков, с последним действующим обновлением 13 октября 2021 года, Регламент управления уязвимости сервиса «Яндекс.Еда» с последним действующим обновлением 23 июня 2021 года.

В порядке применения организационных, технических мер по обеспечению безопасности персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищённости персональных данных, ООО «Яндекс.Еда» утверждена и обновляется Политика информационной безопасности сервиса «Яндекс.Еда», в июне 2018 года ответчиком получен сертификат соответствия требованиям международного стандарта безопасности PCI DSS.

Кроме того, ответчиком внедрены: Регламент управления изменениями в сервисе «Яндекс.Еда» (набор практик, направленных на повышение безопасности разрабатываемых систем), предусматривающий внутренний аудит всех новых продуктов со стороны службы информационной безопасности, Регламент управления информационными рисками в сервисе, утверждённый в ноябре 2021 года; утверждены План реагирования на инциденты и Регламент управления инцидентами информационной безопасности сервиса «Яндекс.Еда», внедрена модель нарушителя сервисов «Яндекс»; утверждён и введён в действие Регламент повышения осведомленности работников сервиса в области информационной безопасности, на основе которого реализуются программы регулярного обучения основам информационной безопасности для всех сотрудников, имеющих доступ к персональным данным, а также осуществляется контроль за соблюдением требований информационной безопасности.

В октябре 2018 года ответчиком утверждена и внедрена Политика использования приватных данных пользователей, предусматривающая учёт всех действий, совершаемых с персональными данными пользователей и строгое ограничение доступа к ним.

Разрешая возникший между сторонами спор, суд первой инстанции оценил собранные по делу доказательства, руководствовался положениями ст. 23 Конституции Российской Федерации, ст. 150, 151 ГК РФ, ст. 3, 7, 19, 24 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных», ст. 16 Федерального закона от 27 июля 2006 года № 149-ФЗ «Об информации, информационных технологиях и защите информации», постановлением Правительства Российской Федерации от 01 ноября 2012 года № 1119 и не нашёл оснований для удовлетворения заявленных требований, поскольку истцы не подтвердили факт распространения их персональных данных вследствие виновных действий (бездействия) ответчика.

Как указал суд первой инстанции, информационное сообщение о произошедшей утечке данных клиентов ООО «Яндекс.Еда» без указания конкретных лиц, а также появление в информационных ресурсах сведений об истцах как о пользователях услуг по доставке товаров и продуктов питания сервиса ООО «Яндекс.Еда» само по себе не свидетельствуют о том, что ответчиком совершены незаконные действия, направленные на нарушение прав истцов.

Скриншоты страницы сайта https://saverudata.org/map/, которые истцы приобщили к материалам дела в подтверждение факта распространения ответчиком сведений об их персональных данных, не содержат информации, позволяющей отнести данный интернет-ресурс к ведению ответчика, и о том, что источником информации, размещённой на этом сайте, являлось именно ООО «Яндекс.Еда». К тому же данное доказательство противоречит принципу допустимости, так как получено после блокировки названного сайта в установленном законом порядке и без участия нотариуса.

Суд первой инстанции принял во внимание представленные ответчиком доказательства, указывающие на то, что им, как оператором и обладателем информации о персональных данных пользователей, в целях защиты этой информации предприняты конкретные меры в порядке, соответствующем действующему законодательству, и то, что по факту совершения неустановленными лицами преступных действий, следствием которых явился неправомерный доступ к базам данных клиентов, ответчик признан потерпевшим, что в отсутствие каких-либо сведений о неосторожности самого потерпевшего указывает на недоказанность факта распространения ответчиком ограниченной к доступу информации либо на несоблюдение с его стороны соответствующих регламентов безопасности.

Доказательства, свидетельствующие о том, что принятые ответчиком меры безопасности не соответствуют законодательству, противоречат техническим правилам и не обеспечиваются (не поддерживаются) техническими ресурсами, недостаточны и неэффективны, отсутствуют.

Вместе с тем, исходя из основания и предмета иска, а также совокупности имеющихся в деле доказательств, судебная коллегия не может согласиться с приведёнными выводами в силу следующего.

Согласно п. 1 ст. 150 ГК РФ жизнь и здоровье, достоинство личности, личная неприкосновенность, честь и доброе имя, деловая репутация, неприкосновенность частной жизни, личная и семейная тайна, право свободного передвижения, выбора места пребывания и жительства, право на имя, право авторства, иные личные неимущественные права и другие нематериальные блага, принадлежащие гражданину от рождения или в силу закона, неотчуждаемы и непередаваемы иным способом.

Отношения, связанные с обработкой персональных данных физических лиц, а также с обеспечением защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну регулируются Федеральным законом от 27 июля 2006 года № 152-ФЗ «О персональных данных».

В соответствии со ст. 3 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных» персональные данные - любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).

Обработкой персональных данных является любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Под распространением персональных данных понимаются действия, направленные на раскрытие персональных данных неопределённому кругу лиц.

Предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определённому кругу лиц;

Целью настоящего Федерального закона является обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты на неприкосновенность частной жизни, личную и семейную тайну.

Конституция Российской Федерации гарантирует каждому право на неприкосновенность частной жизни, личную и семейную тайну (ч. 1 ст. 23), и запрещает сбор, хранение, использование и распространение информации о частной жизни лица без его согласия (ч. 1 ст. 24).

Не подлежат разглашению только сведения медицинского, интимного характера и другая информация, касающаяся исключительно данного человека и способная в случае придания ей гласности нанести человеку или его семье моральный ущерб.

Указом Президента Российской Федерации от 06 марта 1997 года № 188 утверждён Перечень сведений конфиденциального характера, в п. 1 которого закреплено, что к таким сведениям относятся сведения о фактах, событиях и обстоятельствах частной жизни гражданина, позволяющие идентифицировать его личность (персональные данные), за исключением сведений, подлежащих распространению в средствах массовой информации в установленных федеральными законами случаях.

При этом понятия «частная жизнь» и «право на неприкосновенность частной жизни» в законодательстве чётко не определено, однако, как следует из правовой позиции Конституционного Суда Российской Федерации, выраженной в определении № 248-О от 09 июня 2005 года, в системе действующего законодательства под правом на неприкосновенность частной жизни понимается предоставленная человеку и гарантированная государством возможность контролировать информацию о самом себе, препятствовать разглашению сведений личного, интимного характера, в связи с чем в понятие «частная жизнь» включается та область жизнедеятельности человека, которая относится к отдельному лицу, касается только его и не подлежит контролю со стороны общества и государства, если она носит не противоправный характер.

Следовательно, информация о частной жизни отражает личностно выделенную деятельность, связанную с неофициальным, неформальным межличностным общением, включая общение с семьей, родственниками, друзьями, коллегами, а также значимые для лица действия и решения, в том числе опирающиеся на правовой и материальный статус, но в то же время безразличные с точки зрения общества и государства.

По общему правилу, обработка персональных данных допускается с согласия субъекта персональных данных (п. 1 ч. 1 ст. 6 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных»).

Операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.

Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным (ст. 7, ч. 1 ст. 9 этого же Федерального закона).

Применительно к рассматриваемому случаю авторизация пользователей сервиса «Яндекс.Еда» осуществляется по номеру телефона; персональные данные пользователей сервиса обрабатываются для исполнения договора, стороной которого является субъект персональных данных.

В п. 3.6 Пользовательского соглашения сервиса «Яндекс.Еда» указано, что пользователь подтверждает своё согласие с тем, что персональная информация, которую пользователь предоставляет Яндексу при использовании сервиса, в том числе при оформлении заказа, может быть передана Яндексом ресторану и/или доставщику, с которым пользователь заключает договор в результате оформления заказа, для целей исполнения рестораном и/или доставщиком указанного договора с пользователем. Пользователь соглашается с тем, что Яндекс и ООО «ЯНДЕКС» вправе хранить персональную информацию пользователя, а также персональную информацию указанного пользователем получателя заказа не менее трёх лет с даты исполнения соответствующего заказа рестораном и/или доставщиком.

Информация об утечке в сеть «Интернет» персональных данных пользователей сервиса «Яндекс.Еда», а именно: фамилий, имён и отчеств, номерах телефонов, адресах регистрации, сведений о сделанных заказах, была опубликована на официальном сайте ответчика 01 марта 2022 года (https://yandex.ru/company/services_news/2022/01-03-2022).

В тот же день в интернет-портале «Российская Газета» была опубликована статья о том, что служба безопасности «Яндекс.Еда» выявила утечку телефонных номеров и информации о заказах своих пользователей (https://rg.ru/2022/03/01/iandekseda-soobshchila-ob-utechke-informacii-polzovatelej.html).

01 марта 2022 года и 02 марта 2022 года ответчик проинформировал пользователей об утечке информации, разместив на странице своего сайта статью «Служба безопасности Яндекс Еды сообщила об утечке информации».

Таким образом, утечка данных с сервиса «Яндекс.Еда» является общеизвестным фактом, не требующим доказывания в силу положений ч. 1 ст. 61 ГПК РФ.

С целью установления юридически значимых для дела обстоятельств судебной коллегией в соответствии с абз. 2 ч. 1 ст. 327.1 ГПК РФ и п. 42 постановления Пленума Верховного Суда Российской Федерации от 22 июня 2021 года № 16 «О применении судами норм гражданского процессуального законодательства, регламентирующих производство в суде апелляционной инстанции» были истребованы и приняты в качестве дополнительных (новых) доказательств надлежаще заверенные копии: постановления мирового судьи судебного участка № 101 района Замоскворечье города Москвы от 21 апреля 2022 года по делу № 5-413/2022 о признании ООО «Яндекс.Еда» виновным в совершении административного правонарушения, предусмотренного ч. 1 ст. 13.11 КоАП РФ; решения судьи Замоскворецкого районного суда города Москвы от 08 июня 2022 года, которым данное постановление оставлено без изменения.

Ответственность по ч. 1 ст. 13.11 КоАП РФ наступает за обработку персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработку персональных данных, несовместимую с целями сбора персональных данных, за исключением случаев, предусмотренных ч. 2 настоящей статьи, если эти действия не содержат уголовно наказуемого деяния.

Как следует из вышеупомянутого постановления, ООО «Яндекс.Еда» осуществляет свою деятельность с нарушением требований законодательства в сфере связи, информационных технологий и массовых коммуникаций, а именно: в результате недобросовестных действий сотрудника ООО «Яндекс.Еда» в сеть попала база заказов, содержащая данные о пользователях, содержащие, в том числе, их персональные данные: имя, адрес заказа (адрес места жительства), номер телефона, сведения о заказе пользователя. Данные нарушения выявлены в ходе мониторинга электронных СМИ Роскомнадзором 01 марта 2022 года.

Согласно решению судьи Замоскворецкого районного суда города Москвы от 08 июня 2022 года в ходе рассмотрения дела об административном правонарушении судом установлено, что у ООО «Яндекс.Еда» имелась реальная возможность обеспечить выполнение требований действующего законодательства, однако в результате недобросовестных действий сотрудника организации в сеть «Интернет» попала база заказов, содержащая данные о пользователях и заказах с июля 2021 года по 04 февраля 2022 года.

Сам факт утечки персональных данных пользователей сервиса является обработкой персональных данных, что и образует состав административного правонарушения по ч. 1 ст. 13.11 КоАП РФ.

В соответствии с ч. 4 ст. 61 ГПК РФ вступивший в законную силу приговор суда по уголовному делу обязателен для суда, рассматривающего дело о гражданско-правовых последствиях действий лица, в отношении которого вынесен приговор суда, по вопросам, имели ли место эти действия и совершены ли они данным лицом.

При таком положении указанными судебными постановлениями, являющими доказательствами по делу, установлены факт совершения ответчиком административного правонарушения и его вина в утечке персональных данных (обработке персональных данных) пользователей сервиса по доставке товаров и продуктов питания.

В то же время в рамках настоящего дела, исходя из распределённого между сторонами бремени доказывания (ст. 56 ГПК РФ), для установления факта распространения ответчиком своих персональных данных истцы должны доказать, что данные, во-первых, позволяют их идентифицировать как конкретных лиц, а, во-вторых, им принадлежат.

Обращаясь в суд за защитой нарушенных прав, истцы представили скриншоты страницы сайта https://saverudata.org/map/, из которых усматривается, что по состоянию на 09 декабря 2022 года в открытом доступе содержалась информация, которая в совокупности позволяет отнести указанные сведения конкретно к истцам: имя - Мария, фамилия - Шпынова, телефон - №..., адрес электронной почты - <...>, адрес заказов: <адрес>; имя - Алексей, имя в СДЭК - Кулаков Алексей Александрович, телефон - №..., адрес электронной почты - <...>, адрес заказов: <адрес> (л.д. 135-136)).

Принадлежность указанных номеров телефонов истцам не оспаривается; мобильный номер телефона в связке с именем позволяет идентифицировать истцов как граждан с соответствующим именем, вследствие чего любое лицо в диалоге с истцами по телефону может обратиться к ним по имени.

Адрес места жительства истцов (адрес заказчиков): <адрес>, и <адрес>, представляют собой один и тот же адрес, различие в написании которого вызвано различным отображением одного и того же адреса на картографических сервисах.

Совокупность собранных по делу доказательств достоверно свидетельствует о наличии между истцами и ответчиком договорных отношений, факте распространения ответчиком информации из базы данных пользователей сервиса «Яндекс.Еда», характере данной информации и её связь с истцами. При этом дата изготовления скриншотов страницы сайта https://saverudata.org/map/ правового значения не имеет.

Ответчиком не представлено доказательств, опровергающих совпадение информации, содержащейся в сети «Интернет», и информации, содержащейся в базе данных о клиентах ответчика.

Ссылаясь на недопустимость представленных истцами доказательств (скриншотов), ответчик не заявлял о фальсификации этих документов и не отрицал факт наличия персональных данных истцов на интернет-портале.

Согласно разъяснениям, изложенным в абз. 2 п. 55 постановления Пленума Верховного Суда Российской Федерации от 23 апреля 2019 года № 10 «О применении части четвертой Гражданского кодекса Российской Федерации», допустимыми доказательствами являются, в том числе сделанные и заверенные лицами, участвующими в деле, распечатки материалов, размещенных в информационно-телекоммуникационной сети (скриншот), с указанием адреса интернет-страницы, с которой сделана распечатка, а также точного времени ее получения. Такие распечатки подлежат оценке судом при рассмотрении дела наравне с прочими доказательствами (ст. 67 ГПК РФ).

В рассматриваемом случае приложенные к иску скриншоты страницы сайта - профиля в приложении «Яндекс Еда» с персональными данными истцов применительно к ч. 1 ст. 71 ГПК РФ также относятся к числу письменных доказательств.

Тот факт, что данные скриншоты получены истцами после блокировки сайта ответчика, не свидетельствует об их недостоверности, доказательств, свидетельствующих о наличии каких-либо искажений или несовпадения информации, содержащейся в сети «Интернет», и сведений, имеющихся в базе данных пользователей сервиса, ответчиком в нарушение требований ст. 56 ГПК РФ, в материалы дела не представлено.

Предположение ответчика о возможной утечке персональных данных истцов с других сайтов не может быть принято во внимание судебной коллегией ввиду необоснованности.

С учётом изложенного судебная коллегия полагает представленные истцами скриншоты относимыми, допустимыми и достоверными доказательствами по делу.

То обстоятельство, что постановлением следователя ГСУ СК РФ от 12 августа 2022 года ООО «Яндекс.Еда» было признано потерпевшим по уголовному делу № 122202007703000203 по признакам преступлений, предусмотренных ч. 1 ст. 137 («Нарушение неприкосновенности частной жизни»), ч. 3 ст. 272 («Неправомерный доступ к компьютерной информации»), ч. 2 ст. 273 УК РФ («Создание, использование и распространение вредоносных компьютерных программ»), не может служить основанием для отказа истцам в удовлетворении иска, поскольку обязанность ответчика сохранять персональные данные клиентов возложена на него ст. 7 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных».

В силу указанного закона на администратора домена как оператора возложена обязанность по обеспечению конфиденциальности собираемых и обрабатываемых им персональных данных. Только в том случае, если утечка данных произошла по вине пользователя, оператор освобождается от ответственности, однако таких обстоятельств по данному делу не установлено, стороны на них не ссылались.

Названное позволяет прийти к выводу о том, что ответчик не обеспечил необходимый уровень защиты персональных данных пользователей сервиса, в результате чего персональные данные истцов были распространены в сети «Интернет» и стали известны неограниченному кругу лиц в отсутствие какого-либо согласия с их стороны.

Как предусмотрено ст. 17, ч. 2 ст. 24 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных», если субъект персональных данных считает, что оператор осуществляет обработку его персональных данных с нарушением требований настоящего Федерального закона или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке.

Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

Моральный вред, причинённый субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных, установленных настоящим Федеральным законом, а также требований к защите персональных данных, установленных в соответствии с настоящим Федеральным законом, подлежит возмещению в соответствии с законодательством Российской Федерации. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков.

В силу абз. 1 ст. 151 ГК РФ, если гражданину причинён моральный вред (физические или нравственные страдания) действиями, нарушающими его личные неимущественные права, либо посягающими на принадлежащие гражданину другие нематериальные блага, а также в других случаях, предусмотренных законом, суд может возложить на нарушителя обязанность денежной компенсации указанного вреда.

В п. 25 постановления Пленума Верховного Суда Российской Федерации от 15 ноября 2022 года № 33 «О практике применения судами норм о компенсации морального вреда» разъяснено, что суду при разрешении спора о компенсации морального вреда, исходя из ст. 151, 1101 ГК РФ, устанавливающих общие принципы определения размера такой компенсации, необходимо в совокупности оценить конкретные незаконные действия причинителя вреда, соотнести их с тяжестью причиненных потерпевшему физических и нравственных страданий и индивидуальными особенностями его личности, учесть заслуживающие внимания фактические обстоятельства дела, а также требования разумности и справедливости, соразмерности компенсации последствиям нарушения прав. При этом соответствующие мотивы о размере компенсации морального вреда должны быть приведены в судебном постановлении.

Размер компенсации морального вреда не может быть поставлен в зависимость от размера удовлетворенного иска о возмещении материального вреда, убытков и других имущественных требований.

Из разъяснений, приведённых в п. 27 настоящего постановления, следует, что тяжесть причиненных потерпевшему физических и нравственных страданий оценивается судом с учётом заслуживающих внимания фактических обстоятельств дела, к которым могут быть отнесены любые обстоятельства, влияющие на степень и характер таких страданий. При определении размера компенсации морального вреда судам следует принимать во внимание, в частности: существо и значимость тех прав и нематериальных благ потерпевшего, которым причинен вред (например, характер родственных связей между потерпевшим и истцом); характер и степень умаления таких прав и благ (интенсивность, масштаб и длительность неблагоприятного воздействия), которые подлежат оценке с учётом способа причинения вреда (например, причинение вреда здоровью способом, носящим характер истязания, унижение чести и достоинства родителей в присутствии их детей), а также поведение самого потерпевшего при причинении вреда (например, причинение вреда вследствие провокации потерпевшего в отношении причинителя вреда); последствия причинения потерпевшему страданий, определяемые, помимо прочего, видом и степенью тяжести повреждения здоровья, длительностью (продолжительностью) расстройства здоровья, степенью стойкости утраты трудоспособности, необходимостью амбулаторного или стационарного лечения потерпевшего, сохранением либо утратой возможности ведения прежнего образа жизни.

При определении размера компенсации морального вреда суду необходимо устанавливать, допущено причинителем вреда единичное или множественное нарушение прав гражданина или посягательство на принадлежащие ему нематериальные блага.

Согласно п. 28 того же постановления под индивидуальными особенностями потерпевшего, влияющими на размер компенсации морального вреда, следует понимать, в частности, его возраст и состояние здоровья, наличие отношений между причинителем вреда и потерпевшим, профессию и род занятий потерпевшего.

В соответствии с п. 30 названного постановления при определении размера компенсации морального вреда судом должны учитываться требования разумности и справедливости (п. 2 ст. 1101 ГК РФ).

В связи с этим сумма компенсации морального вреда, подлежащая взысканию с ответчика, должна быть соразмерной последствиям нарушения и компенсировать потерпевшему перенесенные им физические или нравственные страдания (ст. 151 ГК РФ), устранить эти страдания либо сгладить их остроту.

Судам следует иметь в виду, что вопрос о разумности присуждаемой суммы должен решаться с учетом всех обстоятельств дела, в том числе значимости компенсации относительно обычного уровня жизни и общего уровня доходов граждан, в связи с чем исключается присуждение потерпевшему чрезвычайно малой, незначительной денежной суммы, если только такая сумма не была указана им в исковом заявлении.

На основании абз. 2 ст. 151, п. 2 ст. 1101 ГК РФ размер компенсации морального вреда определяется судом в зависимости от характера причинённых потерпевшему физических и нравственных страданий, а также степени вины причинителя вреда в случаях, когда вина является основанием возмещения вреда. При определении размера компенсации вреда должны учитываться требования разумности и справедливости.

Характер физических и нравственных страданий оценивается судом с учетом фактических обстоятельств, при которых был причинен моральный вред, и индивидуальных особенностей потерпевшего.

Компенсация морального вреда является частью установленного законом механизма восстановления нарушенного права субъекта персональных данных.

Таким образом, при установлении факта нарушения, у гражданина возникает право на компенсацию морального вреда, причинённого указанным нарушением.

Судебная коллегия полагает, что истцы имеют право на возмещение морального вреда, поскольку факт нарушения ответчиком норм действующего законодательства Российской Федерации в отношении истцов как пользователей сервиса «Яндекс.Еда» установлен и подтверждён представленными по делу доказательствами, в результате чего им был причинён моральный вред, который подлежит денежной компенсации.

В то же время заслуживают внимания и доводы ответчика о том, что заявленный истцами размер компенсации морального вреда (30 000 руб. в пользу каждого) не отвечает требованиям разумности и справедливости, является завышенным, в связи с чем подлежит уменьшению до 10 000 руб. - по 5 000 руб. в пользу каждого из истцов.

Определяя размер компенсации морального вреда в указанной сумме, судебная коллегия исходит из фактических обстоятельств дела, при которых истцам причинён моральный вред, степени и характера причинённых истцам нравственных страданий, личности истцов, которые были вынуждены изменить свой привычный образ жизни, осуществлять защиту своих прав в суде, вину причинителя вреда, который не обеспечил защиту персональных данных пользователей сервиса и не предпринял необходимые меры по удовлетворению требования истцов в добровольном порядке.

Также учитывается степень вины ответчика в раскрытии персональных данных истцов, отсутствие заведомо недобросовестных и умышленных действий со стороны ответчика, приведших к утечке персональных данных, отсутствие у ответчика намерения причинить истцам вред, факт признания ответчика потерпевшим в рамках уголовного дела по признакам преступлений, предусмотренных ч. 1 ст. 137, ч. 3 ст. 272 и ч. 2 ст. 273 УК РФ, а также отсутствие тяжелых последствий у истцов вследствие действий ответчика.

При изложенных обстоятельствах оснований для взыскания компенсации морального вреда в заявленном истцами размере не имеется.

Согласно абз. 1 преамбулы к Закону Российской Федерации от 07 февраля 1992 года № 2300-1 «О защите прав потребителей» данный Закон регулирует отношения, возникающие между потребителями и изготовителями, исполнителями, импортерами, продавцами.

Потребителем, как указано в абз. 3 преамбулы, признается гражданин, имеющий намерение заказать или приобрести либо заказывающий, приобретающий или использующий товары (работы, услуги) исключительно для личных, семейных, домашних и иных нужд, не связанных с осуществлением предпринимательской деятельности.

В отличие от общих правил начисления и взыскания неустойки (штрафа, пени) право на присуждение предусмотренного п. 6 ст. 13 настоящего Закона штрафа возникает не в момент нарушения изготовителем (исполнителем, продавцом, уполномоченной организацией или уполномоченным индивидуальным предпринимателем, импортером) обязанности добровольно удовлетворить законные требования потребителя, а в момент удовлетворения судом требований потребителя и присуждения ему денежных сумм.

При этом такой штраф взыскивается судом и без предъявления потребителем иска о его взыскании.

Между тем оснований для возложения на ответчика обязанности выплатить истцам штраф, предусмотренный п. 6 ст. 13 Законом Российской Федерации от 07 февраля 1992 года № 2300-1 «О защите прав потребителей», судебной коллегией не установлено, поскольку нарушение ответчиком прав истцов как субъектов персональных данных не свидетельствует о нарушении их прав как потребителей; защита персональных данных не являлось услугой, которая предоставлялась истцам в рамках пользовательского соглашения сервиса по заказу товаров и доставки; следовательно, возникшие правоотношения указанным Законом не регулируются.

В силу ст. 103 ГПК РФ за частичное удовлетворение требований нематериального характера взысканию с ответчика в доход бюджета Санкт-Петербурга подлежит государственная пошлина в размере 300 руб.

С учётом изложенного обжалуемое решение суда не может быть признано законным и подлежит отмене с принятием по делу нового решения о частичном удовлетворении исковых требований.

Руководствуясь положениями ст. 328-330 ГПК РФ, судебная коллегия по гражданским делам Санкт-Петербургского городского суда

ОПРЕДЕЛИЛА:

Решение Невского районного суда Санкт-Петербурга от 16 марта 2023 года отменить. Принять по делу новое решение.

Исковые требования Кулакова Алексея Александровича, Шпыновой Марии Ильиничны удовлетворить частично.

Взыскать с ООО «Яндекс.Еда» в пользу Кулакова Алексея Александровича компенсацию морального вреда в размере 5 000 руб.

Взыскать с ООО «Яндекс.Еда» в пользу Шпыновой Марии Ильиничны компенсацию морального вреда в размере 5 000 руб.

В удовлетворении иска в остальной части требований отказать.

Взыскать с ООО «Яндекс.Еда» в доход бюджета Санкт-Петербурга государственную пошлину в размере 300 руб.

Председательствующий:

Судьи:

Мотивированное апелляционное определение составлено 18 декабря 2023 года.