Определение суда апелляционной инстанции

Судья: фио

Дело № 33-21547/23

УИД: 55RS0006-01-2022-002936-73

АПЕЛЛЯЦИОННОЕ ОПРЕДЕЛЕНИЕ

6 июня 2023 г. адрес

Судебная коллегия по гражданским делам Московского городского суда в составе председательствующего Вишняковой Н.Е.,

судей фио, фио,

при помощнике Марянян К.Л.,

рассмотрев в открытом судебном заседании по докладу судьи фио

гражданское дело № 2-6056/22 по апелляционной жалобе ООО «Яндекс.Еда»

на решение Замоскворецкого районного суда адрес от 9 ноября 2022 г., которым постановлено:

взыскать с ООО «Яндекс.Еда» (ИНН 9705114405) в пользу Бубловой Анастасии Сергеевны (паспортные данные) компенсацию морального вреда в размере сумма, почтовые расходы сумма

Взыскать с ООО «Яндекс.Еда» (ИНН 9705114405) в бюджет адрес государственную пошлину в размере сумма,

УСТАНОВИЛА:

Истец фио обратилась в суд с иском к ответчику ООО «Яндекс.Еда» о взыскании компенсации морального вреда, мотивировав свои требования тем, что между нею и ответчиком было заключено Пользовательское соглашение сервиса «Яндекс.Еда», в рамках которого истцом передавались ее персональные данные ответчику, а именно: имя, электронная почта, номер телефона и адрес доставки. 05.11.2021 г., 23.11.2021 г., 28.11.2021 г., 14.12.2021 г. и 29.01.2022 г. истец воспользовался сервисом доставки еды. 01.03.2022 г. на официальном сайте ответчика в сети Интернет размещена информация о факте утечки информации о пользователях сервиса в результате недобросовестных действий одного из сотрудников. 02.03.2022 г. на электронную почту истца пришло письмо от ответчика, в котором оператор сообщает об утечке информации и принятии мер по предотвращению распространения персональных данных истца. 22.03.2022 г. на сайте https://saverudata.org/map/ в сети Интернет появилась карта с данными клиентов «Яндекс.Еда», которая содержала их персональные данные, в том числе, сведения о суммах заказов. Истец обнаружила свои персональные данные в открытом доступе в сети Интернет. Истец указывает, что в результате противоправных действий ответчика претерпела нравственные страдания, что привело к сильному стрессу, просит взыскать с ответчика компенсацию морального вреда в размере сумма

Истец в судебное заседание не явился, о времени и месте рассмотрения дела извещен надлежащим образом, просил рассмотреть дело в его отсутствие.

Представитель ответчика ООО «Яндекс.Еда» в судебное заседание явилась, поддержала письменные возражения на иск, просила в удовлетворении требований отказать, ссылаясь на то, что доказательств причинения истцу морального вреда не представлено, равно как и доказательств распространения персональных данных истца в сети Интернет, а также отсутствует причинно-следственная связь между действиями (бездействием) ответчика и причиненным истцу вредом, также заявила, что представленный истцом скриншот является недопустимым доказательством по делу.

Представитель третьего лица Роскомнадзора в судебное заседание не явился, представил ходатайство о рассмотрении дела в отсутствие третьего лица, указал, что Управлением Роскомнадзора по ЦФО составлен протокол об административном правонарушении по ч.1 ст.13.11 КоАП РФ в отношении ООО «Яндекс.Еда», по результатам рассмотрения которого 21.04.2022 г. мировым судьей судебного участка №101 адрес вынесено решение о признании ООО «Яндекс.Еда» виновным в совершении административного правонарушения, предусмотренного ч.1 ст.13.11 КоАП РФ.

На основании ст. 167 ГПК РФ дело рассмотрел в отсутствие истца.

Судом постановлено вышеуказанное решение, с которым не согласился ответчик ООО «Яндекс.Еда» по доводам апелляционной жалобы.

Представитель ответчика по доверенности фио в судебное заседание явился, доводы апелляционной жалобы поддержал.

Иные лица, участвующие в деле, в судебное заседание коллегии не явились, о времени и месте рассмотрения дела извещены надлежащим образом, что подтверждается отчетами об отслеживании отправления с почтовым идентификатором. Кроме того, информация о слушании дела является общедоступной, содержится на сайте Московского городского суда, в связи с чем, судебная коллегия сочла возможным рассмотреть дело в их отсутствие в порядке ст. 167 ГПК РФ.

Проверив материалы дела, обсудив доводы апелляционной жалобы, выслушав представителя ответчика, судебная коллегия приходит к выводу о том, что не имеется оснований для отмены решения суда, постановленного в соответствии с фактическими обстоятельствами дела и требованиями действующего законодательства.

В соответствии с ч. 1 ст. 23 Конституции РФ каждый имеет право на неприкосновенность частной жизни, личную и семейную тайны, защиту своей чести и доброго имени.

В силу ч. 1 ст. 24 Конституции РФ сбор, хранение, использование и распространение информации о частной жизни лица без его согласия не допускается.

Отношения, связанные с обработкой персональных данных физических лиц, а также с обеспечением защиты: прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну регулируются Федеральным законом № 152-ФЗ «О персональных данных».

Согласно ст. 3 Закона под персональными данными понимается любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных). Обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

В соответствии с п. 5 ст. 3 Федерального закона № 152-ФЗ «О персональных данных» под распространением персональных данных понимаются действия, направленные на раскрытие персональных данных неопределенному кругу лиц.

В соответствии с п. 6 ст. 3 указанного Федерального закона под предоставлением персональных данных понимаются действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.

Согласно н. 1 ч. 1 ст. 6 ФЗ «О персональных данных» обработка персональных данных должна осуществляться с соблюдением принципов и правил, предусмотренных настоящим Федеральным законом. Обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных.

В соответствии с частью 2 статьи 24 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных, установленных настоящим Федеральным законом, а также требований к защите персональных данных, установленных в соответствии с настоящим Федеральным законом, подлежит возмещению в соответствии с законодательством Российской Федерации. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков.

В соответствии с частью 1 статьи 150 ГК РФ жизнь и здоровье, достоинство личности, личная неприкосновенность, честь и доброе имя, деловая репутация, неприкосновенность частной жизни, личная и семейная тайна, право свободного передвижения, выбора места пребывания и жительства, право на имя, право авторства, иные личные неимущественные права и другие нематериальные блага, принадлежащие гражданину от рождения или в силу закона, неотчуждаемы и непередаваемы иным способом.

Согласно ст. 151 ГК РФ, если гражданину причинен моральный вред (физические или нравственные страдания) действиями, нарушающими его личные неимущественные права, либо посягающими на принадлежащие гражданину другие нематериальные блага, а также в других случаях, предусмотренных законом, суд может возложить на нарушителя обязанность денежной компенсации указанного вреда. При определении размера компенсации морального вреда суд принимает во внимание степень вины нарушителя и иные заслуживающие внимания обстоятельства. Суд должен также учитывать степень физических и нравственных страданий, связанных с индивидуальными особенностями лица, которому причинен вред.

Судом установлено и из материалов дела следует, что истец является пользователем сервиса «Яндекс.Еда». Данное обстоятельство ответчиком не оспорено.

Авторизация пользователей сервиса осуществляется по номеру телефона. Персональные данные пользователей сервиса обрабатываются для исполнения договора, стороной которого является субъект персональных данных.

В соответствии с пунктом 3.6 Пользовательского соглашения сервиса «Яндекс.Еда» пользователь соглашается с тем, что ООО «Яндекс.Еда» вправе хранить персональную информацию пользователя не менее трех лет с даты исполнения рестораном и/или доставщиком соответствующего заказа, оформленного с использованием сервиса «Яндекс.Еда».

1 марта 2022 года на официальном сайте ответчика в сети Интернет была опубликована информация о том, что выявлена утечка персональных данных клиентов в сеть Интернет, в результате которой опубликованы личные данные пользователей, а именно: ФИО, номера телефонов, адреса регистрации, информация о сделанных заказах ().

2 марта 2022 года истец получила электронное уведомление от службы поддержки сервиса «Яндекс.Еда» ([email protected]), в котором сообщилось, что Служба информационной безопасности Яндекс Еды выявила внутреннюю утечку данных о заказах в сервисе, в результате которого в сеть Интернет попали номера телефонов клиентов и техническая информация о заказах (л.д. 17-19).

22.03.2022 года на сайте https://saverudata.org/map/ в сети Интернет появилась карта с данными клиентов «Яндекс.Еда», которая содержала их персональные данные, в том числе, сведения о суммах заказов.

Таким образом, утечка данных с сервиса «Яндекс.Еда» является общеизвестным фактом, не требующим доказывания в силу части 1 статьи 61 Гражданского процессуального кодекса Российской Федерации.

23.03.2022 года в отношении ответчика был составлен протокол Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций за нарушение законодательства о персональных данных в связи с их утечкой, которая произошла 01.03.2022 года.

Впоследствии Роскомнадзор ограничил доступ к информационному ресурсу https://saverudata.info на основании ФЗ от 27.07.2006 №149-ФЗ «Об информации, информационных технологиях и о защите информации».

23.03.2022 года ГСУ СК РФ возбуждено уголовное дело в отношении неустановленных лиц по признакам преступлений, предусмотренных ч.1 ст.137, ч.3 ст.272, ч.2 ст.273 УК РФ.

Постановлением от 12.08.2022 года ООО «Яндекс.Еда» признано потерпевшим по данному уголовному делу.

Из постановления следует, что не позднее 23.03.2022 года неустановленные лица, используя технические устройства с доступом в информационно-телекоммуникационную сеть Интернет и компьютерные программы, заведомо предназначенные для несанкционированного копирования компьютерной информации и нейтрализации средств защиты компьютерной информации, совершили DDos-атаки на сервис «Яндекс.Еда», после чего в этот же день распространили в сети Интернет на странице, расположенной по веб-адресу: https://saverudata.org/map/, незаконно полученные сведения о частной жизни пользователей сервиса «Яндекс.Еда», доступные неопределенному кругу лиц, чем причинили вред деловой репутации ООО «Яндекс.Еда».

Статьей 7 Закона о персональных данных предусмотрено, что операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.

Согласно ч. 1 ст. 9 указанного Закона субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, информированным и сознательным. Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. В случае получения согласия на обработку персональных данных от представителя субъекта персональных данных полномочия данного представителя на дачу согласия от имени субъекта персональных данных проверяются оператором.

В соответствии со ст. 17 Федерального закона от 27.07.2006 N 152-ФЗ, если субъект персональных данных считает, что оператор осуществляет обработку его персональных данных с нарушением требований настоящего Федерального закона или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке. Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

Постановлением мирового судьи судебного участка №101 адрес от 21 апреля 2022 г., оставленным без изменения 8 июня 2022 г., ООО «Яндекс.Еда» признано виновным в совершении административного правонарушения, предусмотренного ч.1 ст.13.11 КоАП РФ.

Ответственность по ч. 1 ст. 13.11 КоАП РФ наступает за обработку персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработку персональных данных, несовместимую с целями сбора персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи, если эти действия не содержат уголовно наказуемого деяния.

Как следует из постановления, текст которого размещен на официальном сайте суда, ООО «Яндекс.Еда» осуществляет свою деятельность с нарушением требований законодательства в сфере связи, информационных технологий и массовых коммуникаций, а именно: в результате недобросовестных действий сотрудника ООО «Яндекс.Еда» в сеть попала база заказов, содержащая данные о пользователях, содержащие, в том числе, их персональные данные: имя, адрес заказа (адрес места жительства), номер телефона, сведения о заказе пользователя. Данные нарушения выявлены в ходе мониторинга электронных СМИ Роскомнадзором 01.03.2022 года.

Судом установлены факт совершения административного правонарушения и виновность ООО «Яндекс.Еда» в утечке персональных данных (обработке персональных данных) пользователей сервиса.

В силу ч.4 ст. 61 ГПК РФ вступившее в законную силу постановление суда по делу об административном правонарушении обязательны для суда, рассматривающего дело о гражданско-правовых последствиях действий лица, в отношении которого они вынесены, по вопросам, имели ли место эти действия и совершены ли они данным лицом.

Для установления факта распространения своих персональных данных истец должен доказать, что данные, во-первых, позволяют идентифицировать его как конкретное лицо и, во-вторых, ему принадлежат.

Согласно представленному стороной истца скриншоту следует, что в открытом доступе содержится информация, которая в совокупности позволяет отнести указанные сведения конкретно истцу: имя Анастасия, телефон телефон, адрес: адрес (л.д. 20-21). Указанные данные являются персональными данными истца.

Суд не нашел оснований для признания скриншота недопустимым доказательством. Ответчиком не представлено доказательств, опровергающих совпадение информации, содержащейся в сети Интернет, и информации, содержащейся в базе данных о клиентах ответчика.

При таких обстоятельствах, оценив собранные по делу доказательства в их совокупности, суд пришел к выводу о том, что ответчиком не был обеспечен необходимый уровень защищенности персональных данных пользователей сервиса, в результате чего персональные данные истца были разглашены неограниченному кругу лиц в отсутствие какого-либо согласия истца.

В п. 2 постановления Пленума Верховного Суда РФ № 10 «О некоторых вопросах применения законодательства о компенсации морального вреда» разъяснено, что под моральным вредом понимаются нравственные или физические страдания, причиненные действиями (бездействием), посягающими на принадлежащие гражданину от рождения или в силу закона нематериальные блага (жизнь, здоровье, достоинство личности, деловая репутация, неприкосновенность частной жизни, личная и семейная тайна и т.п.), или нарушающими его личные неимущественные права (право на пользование своим именем, право авторства и другие неимущественные права в соответствии с законами об охране прав на результаты интеллектуальной деятельности) либо нарушающими имущественные права гражданина.

Компенсация морального вреда является частью установленного законом механизма восстановления нарушенного права субъекта персональных данных.

Таким образом, при установлении факта нарушения, у гражданина возникает право на компенсацию морального вреда, причиненного указанным нарушением.

Учитывая изложенное, суд пришел к выводу, что фио имеет право на возмещение морального вреда, поскольку факт нарушения ответчиком норм действующего законодательства РФ в отношении истца как пользователя сервиса «Яндекс.Еда» установлен и подтвержден представленными по делу доказательствами, в результате чего истцу был причинен моральный вред, который подлежит денежной компенсации.

Пунктом 8 постановления Пленума Верховного Суда Российской Федерации № 10 «Некоторые вопросы применения законодательства о компенсации морального вреда» разъясняется, что размер компенсации морального вреда зависит от характера и объема причиненных истцу нравственных или физических страданий, индивидуальных особенностей истца, в том числе его возраст и состояние здоровья, степень вины ответчика, длительного характера неисполнения законных требований, требования разумности и справедливости.

Учитывая характер нарушения прав истца, объем причиненных истцу нравственных страданий, требования разумности и справедливости, суд взыскал компенсацию морального вреда в размере сумма, в остальной части отказано.

В силу ст.ст. 88, 94, 98 ГПК РФ суд взыскал с ответчика в пользу истца почтовые расходы в размере сумма, поскольку данные расходы подтверждены документально, были понесены истцом для защиты нарушенного права.

На основании ст. 103 ГПК РФ, ст. 333.19 НК РФ с ответчика в бюджет адрес взыскана государственная пошлина в размере сумма

Проверив дело с учетом требований ст. 327.1 ГПК РФ, в пределах доводов апелляционной жалобы, судебная коллегия соглашается с выводами суда, поскольку они являются правильными и обоснованными, и не находит оснований для отмены принятого решения.

Оснований сомневаться в объективности оценки и исследования доказательств не имеется. Мотивы, по которым суд пришел к выводу об удовлетворении исковых требований, а также оценка доказательств, подтверждающих эти выводы, приведены в мотивировочной части решения суда, и считать их неправильными у судебной коллегии оснований не имеется.

Доводы жалобы о том, что при удовлетворении требований суд не учел, что материалами дела не подтверждены факт того, что данные истца попали в открытый доступ именно из базы данных ответчика, что ответчиком нарушены требования Закона о персональных данных, не влекут отмены принятого решения, поскольку письменными материалами дела, находящимися в деле, подтвержден факт распространения ответчиком персональных данных истца. Данное обстоятельство также подтверждено ответчиком в электронном уведомлении от службы поддержки сервиса «Яндекс.Еда» ([email protected]), направленном истцу 2 марта 2022 года, в котором сообщилось, что Служба информационной безопасности Яндекс Еды выявила внутреннюю утечку данных о заказах в сервисе, в результате которого в сеть Интернет попали номера телефонов клиентов и техническая информация о заказах (л.д. 17-19). Утечка персональных данных истца от ответчика свидетельствует о нарушении закона о персональных данных. Обязанность ответчика сохранять персональные данные клиентов возложена на ответчика в силу закона (Ст. 7 ФЗ Закона о персональных данных). Из положений норм закона о персональных данных следует, что на администратора домена, как оператора, возложена обязанность по обеспечению конфиденциальности собираемых и обрабатываемых им персональных данных. Только в том случае, если утечка данных произошла по вине пользователя, то оператор освобождается от ответственности. Таковых сведений ответчик суду не предоставил. При этом использование и распространение персональных данных субъекта осуществляется оператором только с согласия субъекта. Поскольку истец такового согласия не давал, а ответчиком не выполнены требования указанного закона, то суд обоснованно удовлетворил исковые требования и взыскал с ответчика моральный вред.

Доводы жалобы о том, что суд необоснованно взыскал с ответчика в пользу истца компенсацию морального вреда в сумме сумма, указанная сумма является завышенной, являются несостоятельными, поскольку размер компенсации морального вреда определен судом с учетом фактических обстоятельств дела, допущенного ответчиком нарушения, а также нравственных страданий истца. В связи с чем, оснований для уменьшения размера компенсации морального вреда коллегия не находит.

В целом доводы жалобы направлены на переоценку установленных судом обстоятельств и исследованных по делу доказательств, основаны на неправильном толковании норм материального права, сводятся к общему несогласию с выводами суда первой инстанции, а также не содержат фактов, которые не были бы проверены или учтены судом первой инстанции при разрешении спора. Данные доводы повторяют позицию ответчика в суде первой инстанции, являлись предметом проверки суда и получили надлежащую правовую оценку в обжалуемом решении, оснований не согласиться с которой не имеется, в связи с чем признаются судом апелляционной инстанции несостоятельными.

При разрешении спора судом первой инстанции, верно, определены юридически значимые обстоятельства дела, правильно применены нормы материального и процессуального права, собранным по делу доказательствам дана надлежащая правовая оценка, выводы суда в полной мере соответствуют обстоятельствам дела.

Нарушений норм материального и процессуального права судом при принятии решения не допущено, при таких обстоятельствах, судебная коллегия приходит к выводу, что оснований, предусмотренных ст. 330 ГПК РФ для отмены решения суда по доводам апелляционной жалобы, не имеется.

На основании изложенного, руководствуясь ст. ст. 328-329 ГПК РФ, судебная коллегия

ОПРЕДЕЛИЛА:

Решение Замоскворецкого районного суда адрес от 9 ноября 2022 г. - оставить без изменения, апелляционную жалобу ООО «Яндекс.Еда»– без удовлетворения.

Председательствующий:

Судьи: