САНКТ-ПЕТЕРБУРГСКИЙ ГОРОДСКОЙ СУД

АПЕЛЛЯЦИОННОЕ ОПРЕДЕЛЕНИЕ

Судебная коллегия по гражданским делам Санкт-Петербургского городского суда в составе:

рассмотрела в открытом судебном заседании апелляционную жалобу Шацкого Александра Сергеевича на решение Куйбышевского районного суда Санкт-Петербурга от 28 ноября 2022 года по гражданскому делу № 2-3206/2022 по иску Шацкого Александра Сергеевича к Обществу с ограниченной ответственностью «Яндекс.Еда» (далее - ООО «Яндекс.Еда») о защите прав субъекта персональных данных, взыскании компенсации морального вреда, судебных расходов.

Заслушав доклад судьи Савельевой Т.Ю., объяснения истца Шацкого А.С., его представителя Орлова В.А., действующего на основании доверенности, поддержавших доводы апелляционной жалобы, представителя ответчика Юрьева С.В., действующего на основании доверенности, возражавшего относительно удовлетворения апелляционной жалобы, изучив материалы дела, обсудив доводы апелляционной жалобы, судебная коллегия по гражданским делам Санкт-Петербургского городского суда

УСТАНОВИЛА:

Шацкий А.С. обратился в суд с иском к ООО «Яндекс.Еда» о защите прав субъекта персональных данных, взыскании компенсации морального вреда в размере 50 000 руб., почтовых расходов и расходов по оплате государственной пошлины, указав на то, что он предоставил ответчику свои персональные данные, присоединившись к пользовательскому соглашению сервиса по заказу товаров и доставки «Яндекс.Еда»; 01 марта 2022 года из статьи интернет-портала «Российская Газета» ему стало известно о факте утечки информации пользователей сервиса «Яндекс.Еда», выразившегося в размещении в свободном доступе в информационно-телекоммуникационной сети «Интернет» на сайте <...> фамилии, имени и отчества истца, адреса доставки, номера телефона, даты, времени, стоимости и ассортимента заказанных товаров, о чём было сообщено официально, тем самым ответчик нарушил его личные неимущественные права, а именно право на неприкосновенность частной, личной и семейной жизни, семейную тайну, причинив ему нравственные страдания.

Решением Куйбышевского районного суда Санкт-Петербурга от 28 ноября 2022 года исковые требования оставлены без удовлетворения.

Не согласившись с таким решением, истец подал апелляционную жалобу, в которой просит его отменить и принять новое решение, ссылаясь на недоказанность выводов суда первой инстанции, их несоответствие фактическим обстоятельствам дела и на неправильное применение норм материального и процессуального права.

Ознакомившись с материалами дела, обсудив доводы апелляционной жалобы, проверив в порядке ч. 1 ст. 327.1 ГПК РФ, п. 46 постановления Пленума Верховного Суда Российской Федерации от 22 июня 2021 года № 16 «О применении судами норм гражданского процессуального законодательства, регламентирующих производство в суде апелляционной инстанции» законность и обоснованность решения суда в пределах доводов апелляционной жалобы, судебная коллегия приходит к следующему.

Как установлено судом первой инстанции, Шацкий А.С. являлся получателем услуг по доставке товаров и продуктов питания, предоставляемых ООО «Яндекс.Еда», что подтверждается чеками и не оспаривается ответчиком.

01 марта 2022 года в информационных ресурсах была размещена информация о выявлении службой безопасности ООО «Яндекс.Еда» утечки телефонных номеров, сведений о пользователях и их заказах.

По заявлению ООО «Яндекс.Еда» от 28 февраля 2022 года о совершении преступления, выразившегося в неправомерном, умышленном, совершённом в корыстных целях доступе неустановленных лиц к охраняемой компьютерной информации конфиденциального характера (персональные данные) и последующем распространении этих сведений в информационно-телекоммуникационной сети «Интернет», 23 марта 2022 года ГСУ СК РФ было возбуждено уголовное дело № 122202007703000203 по признакам преступлений, предусмотренных ч. 1 ст. 137 («Нарушение неприкосновенности частной жизни»), ч. 3 ст. 272 («Неправомерный доступ к компьютерной информации») и ч. 2 ст. 273 УК РФ («Создание, использование и распространение вредоносных компьютерных программ»).

Постановлением следователя ГСУ СК РФ от 12 августа 2022 года ООО «Яндекс.Еда» было признано потерпевшим по данному уголовному делу.

Из указанного постановления следует, что не позднее 23 марта 2022 года неустановленные лица, действуя группой лиц по предварительному сговору, используя технические устройства и компьютерные программы, заведомо предназначенные для несанкционированного копирования компьютерной информации и нейтрализации средств защиты компьютерной информации, совершили DDos-атаки на сервис «Яндекс.Еда», после чего, осуществив неправомерный доступ к охраняемой компьютерной информации, в этот же день распространили в информационно-телекоммуникационной сети «Интернет» на странице, расположенной по веб-адресу: <...>, незаконно полученные сведения о частной жизни пользователей сервиса «Яндекс.Еда», доступные неопределённому кругу лиц, чем причинили вред деловой репутации ООО «Яндекс.Еда».

Истец при проверке сведений, имеющихся о нём в открытом доступе в информационно-телекоммуникационной сети «Интернет», обнаружил, что на сайте <...> размещена информация о его фамилии, имени, отчестве, номере телефона, адресах, времени, датах доставки, цене и ассортименте товаров.

Решением Таганского районного суда города Москвы от 10 марта 2022 года доступ к указанному сайту был ограничен в соответствии со ст. 15.5 Федерального закона от 27 июля 2006 года № 149-ФЗ «Об информации, информационных технологиях и защите информации», что подтверждается сведениями с официального сайта <...>.

Во исполнение требований, предусмотренных ст. 19 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных» и постановлением Правительства Российской Федерации от 01 ноября 2012 года № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных», в части определения угроз безопасности данных при их обработке в информационных системах персональных данных, ООО «Яндекс.Еда» внедрены модели (матрицы) угроз безопасности - Реестр рисков, с последним действующим обновлением 13 октября 2021 года, Регламент управления уязвимости сервиса «Яндекс.Еда» с последним действующим обновлением 23 июня 2021 года.

В порядке применения организационных, технических мер по обеспечению безопасности персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищённости персональных данных, ООО «Яндекс.Еда» утверждена и обновляется Политика информационной безопасности сервиса «Яндекс.Еда», в июне 2018 года ответчиком получен сертификат соответствия требованиям международного стандарта безопасности PCI DSS.

Кроме того, ответчиком внедрены: Регламент управления изменениями в сервисе «Яндекс.Еда» (набор практик, направленных на повышение безопасности разрабатываемых систем), предусматривающий внутренний аудит всех новых продуктов со стороны службы информационной безопасности, Регламент управления информационными рисками в сервисе, утверждённый в ноябре 2021 года; утверждены План реагирования на инциденты и Регламент управления инцидентами информационной безопасности сервиса «Яндекс.Еда», внедрена модель нарушителя сервисов «Яндекс»; утверждён и введён в действие Регламент повышения осведомленности работников сервиса в области информационной безопасности, на основе которого реализуются программы регулярного обучения основам информационной безопасности для всех сотрудников, имеющих доступ к персональным данным, а также осуществляется контроль за соблюдением требований информационной безопасности.

В октябре 2018 года ответчиком утверждена и внедрена Политика использования приватных данных пользователей, предусматривающая учёт всех действий, совершаемых с персональными данными пользователей и строгое ограничение доступа к ним.

Разрешая возникший между сторонами спор, суд первой инстанции оценил собранные по делу доказательства, руководствовался положениями ст. 23 Конституции Российской Федерации, ст. 150, 151 ГК РФ, ст. 3, 7, 19, 24 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных», ст. 16 Федерального закона от 27 июля 2006 года № 149-ФЗ «Об информации, информационных технологиях и защите информации», постановлением Правительства Российской Федерации от 01 ноября 2012 года № 1119 и не нашёл оснований для удовлетворения заявленных требований, поскольку истец не подтвердил факт распространения его персональных данных вследствие виновных действий (бездействия) ответчика.

Информационное сообщение о произошедшей утечке данных клиентов ООО «Яндекс.Еда» без указания конкретных лиц, а также само по себе появление в информационных ресурсах сведений об истце, как о пользователе услуг сервиса «Яндекс.Еда», не свидетельствуют о том, что ответчиком совершены незаконные действия, направленные на нарушение прав истца.

Скриншот страницы сайта <...>, который истец приобщил к материалам дела в подтверждение факта распространения ответчиком сведений о его персональных данных (л.д. 15), не содержит информации, позволяющей отнести данный интернет-ресурс к ведению ответчика, и о том, что источником информации, размещённой на этом сайте, являлось именно ООО «Яндекс.Еда».

К тому же это доказательство противоречит принципу допустимости, так как получено в августе 2022 года, то есть после блокировки данного сайта в установленном законом порядке, и без участия нотариуса.

Суд первой инстанции принял во внимание представленные ответчиком доказательства, указывающие на то, что им, как оператором и обладателем информации о персональных данных пользователей, в целях защиты этой информации предприняты конкретные меры в порядке, соответствующем действующему законодательству, и то, что по факту совершения неустановленными лицами преступных действий, следствием которых явился неправомерный доступ к базам данных клиентов, ответчик признан потерпевшим, что в отсутствие каких-либо сведений о неосторожности самого потерпевшего указывает на недоказанность факта распространения ответчиком ограниченной к доступу информации либо на не соблюдение с его стороны соответствующих регламентов безопасности.

Доказательства, свидетельствующие о том, что принятые ответчиком меры безопасности не соответствуют законодательству, противоречат техническим правилам и не обеспечиваются (не поддерживаются) техническими ресурсами, недостаточны и неэффективны, отсутствуют.

Вместе с тем, исходя из основания и предмета иска, а также совокупности имеющихся в деле документов, судебная коллегия не может согласиться с приведёнными выводами в силу следующего.

Согласно п. 1 ст. 150 ГК РФ жизнь и здоровье, достоинство личности, личная неприкосновенность, честь и доброе имя, деловая репутация, неприкосновенность частной жизни, личная и семейная тайна, право свободного передвижения, выбора места пребывания и жительства, право на имя, право авторства, иные личные неимущественные права и другие нематериальные блага, принадлежащие гражданину от рождения или в силу закона, неотчуждаемы и непередаваемы иным способом.

Отношения, связанные с обработкой персональных данных физических лиц, а также с обеспечением защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну регулируются Федеральным законом от 27 июля 2006 года № 152-ФЗ «О персональных данных».

В соответствии со ст. 3 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных» персональные данные - любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).

Обработкой персональных данных является любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Под распространением персональных данных понимаются действия, направленные на раскрытие персональных данных неопределённому кругу лиц.

Предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определённому кругу лиц;

Целью настоящего Федерального закона является обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты на неприкосновенность частной жизни, личную и семейную тайну.

Конституция Российской Федерации гарантирует каждому право на неприкосновенность частной жизни, личную и семейную тайну (ч. 1 ст. 23), и запрещает сбор, хранение, использование и распространение информации о частной жизни лица без его согласия (ч. 1 ст. 24).

Не подлежат разглашению только сведения медицинского, интимного характера и другая информация, касающаяся исключительно данного человека и способная в случае придания ей гласности нанести человеку или его семье моральный ущерб.

Указом Президента Российской Федерации от 06 марта 1997 года № 188 утверждён Перечень сведений конфиденциального характера, в п. 1 которого закреплено, что к таким сведениям относятся сведения о фактах, событиях и обстоятельствах частной жизни гражданина, позволяющие идентифицировать его личность (персональные данные), за исключением сведений, подлежащих распространению в средствах массовой информации в установленных федеральными законами случаях.

При этом понятия «частная жизнь» и «право на неприкосновенность частной жизни» в законодательстве чётко не определено, однако, как следует из правовой позиции Конституционного Суда Российской Федерации, выраженной в определении № 248-О от 09 июня 2005 года, в системе действующего законодательства под правом на неприкосновенность частной жизни понимается предоставленная человеку и гарантированная государством возможность контролировать информацию о самом себе, препятствовать разглашению сведений личного, интимного характера, в связи с чем в понятие «частная жизнь» включается та область жизнедеятельности человека, которая относится к отдельному лицу, касается только его и не подлежит контролю со стороны общества и государства, если она носит не противоправный характер.

Следовательно, информация о частной жизни отражает личностно выделенную деятельность, связанную с неофициальным, неформальным межличностным общением, включая общение с семьей, родственниками, друзьями, коллегами, а также значимые для лица действия и решения, в том числе опирающиеся на правовой и материальный статус, но в то же время безразличные с точки зрения общества и государства.

По общему правилу, обработка персональных данных допускается с согласия субъекта персональных данных (п. 1 ч. 1 ст. 6 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных»).

Операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.

Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным (ст. 7, ч. 1 ст. 9 этого же Федерального закона).

Применительно к рассматриваемому случаю авторизация пользователей сервиса «Яндекс.Еда» осуществляется по номеру телефона; персональные данные пользователей сервиса обрабатываются для исполнения договора, стороной которого является субъект персональных данных.

В п. 3.6 Пользовательского соглашения сервиса «Яндекс.Еда» указано, что пользователь подтверждает своё согласие с тем, что персональная информация, которую пользователь предоставляет Яндексу при использовании сервиса, в том числе при оформлении заказа, может быть передана Яндексом ресторану и/или доставщику, с которым пользователь заключает договор в результате оформления заказа, для целей исполнения рестораном и/или доставщиком указанного договора с пользователем. Пользователь соглашается с тем, что Яндекс и ООО «ЯНДЕКС» вправе хранить персональную информацию пользователя, а также персональную информацию указанного пользователем получателя заказа не менее трёх лет с даты исполнения соответствующего заказа рестораном и/или доставщиком (л.д. 10-оборотная сторона).

Информация об утечке в сеть «Интернет» персональных данных пользователей сервиса «Яндекс.Еда», а именно: ФИО, номера телефонов, адреса регистрации, сведений о сделанных заказах, была опубликована на официальном сайте ответчика 01 марта 2022 года (<...>).

В тот же день в интернет-портале «Российская Газета» была опубликована статья о том, что служба безопасности «Яндекс.Еда» выявила утечку телефонных номеров и информации о заказах своих пользователей (<...>) (л.д. 16).

01 марта 2022 года и 02 марта 2022 года ответчик проинформировал пользователей об утечке информации, разместив на странице своего сайта статью «Служба безопасности Яндекс Еды сообщила об утечке информации» (л.д. 44-оборотная сторона).

Скриншот веб-страницы раздела «Новости Яндекса / 2022», содержащий текст названной статьи, принят судебной коллегией в качестве дополнительного (нового) доказательства по делу (л.д. 222).

Таким образом, утечка данных с сервиса «Яндекс.Еда» является общеизвестным фактом, не требующим доказывания в силу положений ч. 1 ст. 61 ГПК РФ.

С целью установления юридически значимых для дела обстоятельств судебной коллегией в соответствии с абз. 2 ч. 1 ст. 327.1 ГПК РФ и п. 42 постановления Пленума Верховного Суда Российской Федерации от 22 июня 2021 года № 16 «О применении судами норм гражданского процессуального законодательства, регламентирующих производство в суде апелляционной инстанции» были истребованы и приняты в качестве дополнительных (новых) доказательств надлежаще заверенные копии: постановления мирового судьи судебного участка № 101 района Замоскворечье города Москвы от 21 апреля 2022 года по делу № 5-413/2022 о признании ООО «Яндекс.Еда» виновным в совершении административного правонарушения, предусмотренного ч. 1 ст. 13.11 КоАП РФ; решения судьи Замоскворецкого районного суда города Москвы от 08 июня 2022 года, которым данное постановление оставлено без изменения (л.д. 223-227).

Ответственность по ч. 1 ст. 13.11 КоАП РФ наступает за обработку персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработку персональных данных, несовместимую с целями сбора персональных данных, за исключением случаев, предусмотренных ч. 2 настоящей статьи, если эти действия не содержат уголовно наказуемого деяния.

Как следует из вышеупомянутого постановления, ООО «Яндекс.Еда» осуществляет свою деятельность с нарушением требований законодательства в сфере связи, информационных технологий и массовых коммуникаций, а именно: в результате недобросовестных действий сотрудника ООО «Яндекс.Еда» в сеть попала база заказов, содержащая данные о пользователях, содержащие, в том числе, их персональные данные: имя, адрес заказа (адрес места жительства), номер телефона, сведения о заказе пользователя. Данные нарушения выявлены в ходе мониторинга электронных СМИ Роскомнадзором 01 марта 2022 года.

Как указано в решении судьи Замоскворецкого районного суда города Москвы от 08 июня 2022 года, в ходе рассмотрения дела об административном правонарушении судом установлено, что у ООО «Яндекс.Еда» имелась реальная возможность обеспечить выполнение требований действующего законодательства, однако в результате недобросовестных действий сотрудника организации в сеть «Интернет» попала база заказов, содержащая данные о пользователях и заказах с июля 2021 года по 04 февраля 2022 года (л.д. 226 - оборот).

Сам факт утечки персональных данных пользователей сервиса является обработкой персональных данных, что и образует состав административного правонарушения по ч. 1 ст. 13.11 КоАП РФ.

В силу части 4 статьи 61 ГПК РФ вступивший в законную силу приговор суда по уголовному делу обязателен для суда, рассматривающего дело о гражданско-правовых последствиях действий лица, в отношении которого вынесен приговор суда, по вопросам, имели ли место эти действия и совершены ли они данным лицом.

При таком положении указанными судебными постановлениями, являющими доказательствами по настоящему делу, установлены факт совершения ответчиком административного правонарушения и вина ООО «Яндекс.Еда» в утечке персональных данных (обработке персональных данных) пользователей сервиса по доставке товаров и продуктов питания.

В то же время в рамках настоящего дела, исходя из распределённого между сторонами бремени доказывания (ст. 56 ГПК РФ), для установления факта распространения ответчиком своих персональных данных истец должен доказать, что данные, во-первых, позволяют идентифицировать его как конкретное лицо, а, во-вторых, ему принадлежат.

Обращаясь в суд за защитой нарушенных прав, истец представил скриншот страницы <...> (л.д. 15), из которого усматривается, что по состоянию на 03 августа 2022 года в открытом доступе содержалась информация, которая в совокупности позволяет отнести указанные сведения конкретно к истцу: имя - Александр, фамилия - Шацкий, телефон - №..., адрес электронной почты - <...>, адрес заказа/адрес регистрации - <адрес>).

Принадлежность номера телефона №... истцу подтверждается скриншотом страницы его аккаунта на официальном сайте оператора «МегаФон» (л.д. 101). Мобильный номер телефона в связке с именем позволяет идентифицировать истца как гражданина с соответствующим именем, вследствие чего любое лицо в диалоге с истцом по телефону может обратиться к нему по имени.

Адрес места жительства истца: <адрес>, и адрес <адрес> представляет собой один и тот же адрес, различие в написании которого вызвано различным отображением одного и того же адреса на картографических сервисах (л.д. 100).

Адрес заказа <адрес> имеет отношение к истцу ввиду наличия у него в собственности объекта недвижимости по указанному адресу согласно выписке из ЕГРП (л.д. 106-107).

Наряду с этим, истцом были представлены скриншоты электронных писем/кассовых чеков от сервиса «Яндекс.Еда», которые подтверждают факт его обращения к ответчику для оказания соответствующих услуг и факт их оплаты (л.д. 98-99, 102-105).

Совокупность собранных по делу доказательств достоверно свидетельствует о наличии между истцом и ответчиком договорных отношений, факте распространения ответчиком информации из базы данных пользователей сервиса «Яндекс.Еда», характере данной информации и её связь с истцом. При этом дата изготовления скриншота (03 августа 2022 года) правового значения не имеет.

Ответчиком не представлено доказательств, опровергающих совпадение информации, содержащейся в сети «Интернет», и информации, содержащейся в базе данных пользователей.

Ссылаясь на недопустимость представленного истцом доказательства (скриншота страницы <...> от 03 августа 2022 года), ответчик не заявлял о фальсификации этого документа и не отрицал факт наличия персональных данных истца на интернет-портале.

Согласно разъяснениям, изложенным в абзаце 2 пункта 55 постановления Пленума Верховного Суда Российской Федерации от 23 апреля 2019 года N 10 «О применении части четвертой Гражданского кодекса Российской Федерации», допустимыми доказательствами являются, в том числе сделанные и заверенные лицами, участвующими в деле, распечатки материалов, размещенных в информационно-телекоммуникационной сети (скриншот), с указанием адреса интернет-страницы, с которой сделана распечатка, а также точного времени ее получения. Такие распечатки подлежат оценке судом при рассмотрении дела наравне с прочими доказательствами (статья 67 Гражданского процессуального кодекса Российской Федерации).

В рассматриваемом случае, приложенные к иску и заверенные истцом в заседании суда апелляционной инстанции 05 сентября 2023 года в качестве доказательств скриншоты профиля в приложении «Яндекс Еда» с персональными данными истца в силу части 1 статьи 71 Гражданского процессуального кодекса Российской Федерации также относится к числу письменных доказательств.

Тот факт, что данные скриншоты получены истцом в августе 2022 года, то есть после блокировки сайта ответчика, не свидетельствует об их недостоверности, доказательств, свидетельствующих о наличии каких-либо искажений или несовпадения информации, содержащейся в сети «Интернет», и информации, имеющейся в базе данных пользователей, ответчиком в нарушение требований статьи 56 Гражданского процессуального кодекса Российской Федерации, в материалы дела не представлено.

Предположение ответчика о возможной утечке персональных данных истца с других сайтов не может быть принято во внимание судебной коллегией ввиду необоснованности.

С учетом изложенного, вопреки доводам ответчика судебная коллегия полагает представленные истцом скриншоты относимыми, допустимыми и достоверными доказательствами по делу.

То обстоятельство, что постановлением следователя ГСУ СК РФ от 12 августа 2022 года ООО «Яндекс.Еда» было признано потерпевшим по уголовному делу № 122202007703000203 по признакам преступлений, предусмотренных ч. 1 ст. 137 («Нарушение неприкосновенности частной жизни»), ч. 3 ст. 272 («Неправомерный доступ к компьютерной информации») и ч. 2 ст. 273 УК РФ («Создание, использование и распространение вредоносных компьютерных программ»), не может служить основанием для отказа истцу в удовлетворении иска, поскольку обязанность ответчика сохранять персональные данные клиентов возложена на него ст. 7 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных»).

В силу указанного закона на администратора домена как оператора возложена обязанность по обеспечению конфиденциальности собираемых и обрабатываемых им персональных данных. Только в том случае, если утечка данных произошла по вине пользователя, оператор освобождается от ответственности, однако таких обстоятельств по данному делу не установлено, стороны на них не ссылались.

Изложенное позволяет прийти к выводу о том, что ответчиком не обеспечен необходимый уровень защиты персональных данных пользователей сервиса, в результате чего персональные данные истца были распространены в сети «Интернет», стали известны неограниченному кругу лиц в отсутствие какого-либо согласия с его стороны.

В соответствии со ст. 17, ч. 2 ст. 24 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных», если субъект персональных данных считает, что оператор осуществляет обработку его персональных данных с нарушением требований настоящего Федерального закона или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке.

Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

Моральный вред, причинённый субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных, установленных настоящим Федеральным законом, а также требований к защите персональных данных, установленных в соответствии с настоящим Федеральным законом, подлежит возмещению в соответствии с законодательством Российской Федерации. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков.

В силу абз. 1 ст. 151 ГК РФ, если гражданину причинён моральный вред (физические или нравственные страдания) действиями, нарушающими его личные неимущественные права, либо посягающими на принадлежащие гражданину другие нематериальные блага, а также в других случаях, предусмотренных законом, суд может возложить на нарушителя обязанность денежной компенсации указанного вреда.

В пункте 25 постановления Пленума Верховного Суда Российской Федерации от 15 ноября 2022 г. N 33 «О практике применения судами норм о компенсации морального вреда» разъяснено, что суду при разрешении спора о компенсации морального вреда, исходя из статей 151, 1101 ГК РФ, устанавливающих общие принципы определения размера такой компенсации, необходимо в совокупности оценить конкретные незаконные действия причинителя вреда, соотнести их с тяжестью причиненных потерпевшему физических и нравственных страданий и индивидуальными особенностями его личности, учесть заслуживающие внимания фактические обстоятельства дела, а также требования разумности и справедливости, соразмерности компенсации последствиям нарушения прав. При этом соответствующие мотивы о размере компенсации морального вреда должны быть приведены в судебном постановлении.

Размер компенсации морального вреда не может быть поставлен в зависимость от размера удовлетворенного иска о возмещении материального вреда, убытков и других имущественных требований.

Из разъяснений в пункте 27 постановления Пленума Верховного Суда Российской Федерации от 15 ноября 2022 г. N 33 "О практике применения судами норм о компенсации морального вреда" следует, что тяжесть причиненных потерпевшему физических и нравственных страданий оценивается судом с учетом заслуживающих внимания фактических обстоятельств дела, к которым могут быть отнесены любые обстоятельства, влияющие на степень и характер таких страданий. При определении размера компенсации морального вреда судам следует принимать во внимание, в частности: существо и значимость тех прав и нематериальных благ потерпевшего, которым причинен вред (например, характер родственных связей между потерпевшим и истцом); характер и степень умаления таких прав и благ (интенсивность, масштаб и длительность неблагоприятного воздействия), которые подлежат оценке с учетом способа причинения вреда (например, причинение вреда здоровью способом, носящим характер истязания, унижение чести и достоинства родителей в присутствии их детей), а также поведение самого потерпевшего при причинении вреда (например, причинение вреда вследствие провокации потерпевшего в отношении причинителя вреда); последствия причинения потерпевшему страданий, определяемые, помимо прочего, видом и степенью тяжести повреждения здоровья, длительностью (продолжительностью) расстройства здоровья, степенью стойкости утраты трудоспособности, необходимостью амбулаторного или стационарного лечения потерпевшего, сохранением либо утратой возможности ведения прежнего образа жизни.

При определении размера компенсации морального вреда суду необходимо устанавливать, допущено причинителем вреда единичное или множественное нарушение прав гражданина или посягательство на принадлежащие ему нематериальные блага.

Согласно пункту 28 того же Постановления под индивидуальными особенностями потерпевшего, влияющими на размер компенсации морального вреда, следует понимать, в частности, его возраст и состояние здоровья, наличие отношений между причинителем вреда и потерпевшим, профессию и род занятий потерпевшего.

В соответствии с пунктом 30 названного Постановления при определении размера компенсации морального вреда судом должны учитываться требования разумности и справедливости (пункт 2 статьи 1101 ГК РФ).

В связи с этим сумма компенсации морального вреда, подлежащая взысканию с ответчика, должна быть соразмерной последствиям нарушения и компенсировать потерпевшему перенесенные им физические или нравственные страдания (статья 151 ГК РФ), устранить эти страдания либо сгладить их остроту.

Судам следует иметь в виду, что вопрос о разумности присуждаемой суммы должен решаться с учетом всех обстоятельств дела, в том числе значимости компенсации относительно обычного уровня жизни и общего уровня доходов граждан, в связи с чем исключается присуждение потерпевшему чрезвычайно малой, незначительной денежной суммы, если только такая сумма не была указана им в исковом заявлении.

На основании абз. 2 ст. 151, п. 2 ст. 1101 ГК РФ размер компенсации морального вреда определяется судом в зависимости от характера причинённых потерпевшему физических и нравственных страданий, а также степени вины причинителя вреда в случаях, когда вина является основанием возмещения вреда. При определении размера компенсации вреда должны учитываться требования разумности и справедливости.

Характер физических и нравственных страданий оценивается судом с учетом фактических обстоятельств, при которых был причинен моральный вред, и индивидуальных особенностей потерпевшего.

Компенсация морального вреда является частью установленного законом механизма восстановления нарушенного права субъекта персональных данных.

Таким образом, при установлении факта нарушения, у гражданина возникает право на компенсацию морального вреда, причинённого указанным нарушением.

Судебная коллегия полагает, что истец имеет право на возмещение морального вреда, поскольку факт нарушения ответчиком норм действующего законодательства Российской Федерации в отношении истца как пользователя сервиса «Яндекс.Еда» установлен и подтверждён представленными по делу доказательствами, в результате чего истцу был причинён моральный вред, который подлежит денежной компенсации.

Вместе с тем, коллегия соглашается с доводами ответчика о том, что заявленный истцом в иске размер компенсации морального вреда (50 000 руб.), не отвечает требованиям разумности, является завышенным, в связи с чем полагает возможным снизить его до 5 000 руб.

Определяя размер компенсации морального вреда в указанной сумме, судебная коллегия исходит из фактических обстоятельств дела, при которых истцу причинён моральный вред, степени и характера причинённых истцу нравственных страданий, личности истца, который был вынужден изменить свой привычный образ жизни, осуществлять защиту своих прав в суде, вину причинителя вреда, который не обеспечил защиту персональных данных пользователей сервиса и не предпринял необходимые меры по удовлетворению требования истца в добровольном порядке, а также требований разумности и справедливости.

Устанавливая компенсацию морального вреда в размере 5 000 руб., коллегия принимает во внимание степень вины ответчика в раскрытии персональных данных истца, отсутствие заведомо недобросовестных и умышленных действий со стороны ответчика, приведших к утечке персональных данных, отсутствие у ответчика намерения причинить истцу вред, факт признания ответчика потерпевшим в рамках уголовного дела № 122202007703000203 по признакам преступлений, предусмотренных ч. 1 ст. 137 («Нарушение неприкосновенности частной жизни»), ч. 3 ст. 272 («Неправомерный доступ к компьютерной информации») и ч. 2 ст. 273 УК РФ, а также отсутствие тяжелых последствий у истца вследствие действий ответчика.

При таких обстоятельствах, коллегия не усматривает оснований для взыскания компенсации морального вреда в заявленном истцом размере.

Поскольку истцом были понесены почтовые расходы в размере 70 руб. 80 коп. (л.д. 97), связанные с отправкой ответчику возражений на отзыв на иск и доказательств, и расходы, связанные с уплатой государственной пошлины, в размере 300 руб. (л.д. 7), судебная коллегия, руководствуясь положениями ст. 88, 94, 98, 103 ГПК РФ, ст. 333.19 НК РФ, исходя из результата разрешения спора в суде апелляционной инстанции, считает целесообразным взыскать с ответчика в его пользу соответствующие издержки.

На основании изложенного решение суда первой инстанции не может быть признано законным и подлежит отмене с принятием по делу нового решения о частичном удовлетворении исковых требований.

Руководствуясь положениями ст. 328-330 ГПК РФ, судебная коллегия по гражданским делам Санкт-Петербургского городского суда

ОПРЕДЕЛИЛА:

Решение Куйбышевского районного суда Санкт-Петербурга от 28 ноября 2022 года отменить. Принять по делу новое решение.

Исковые требования Шацкого Александра Сергеевича удовлетворить частично.

Взыскать с ООО «Яндекс.Еда» в пользу Шацкого Александра Сергеевича компенсацию морального вреда в размере 5 000 руб., почтовые расходы в размере 70 руб. 80 коп., расходы по оплате государственной пошлины в размере 300 руб.

В удовлетворении иска в остальной части требований отказать.

Председательствующий:

Судьи:

Мотивированное апелляционное определение составлено 12 сентября 2023 года.