Как Zappos защищает персональные данные потребителей (Часть 2)

Дело: In re: Zappos.com Inc., Customer Data Security Breach Litigation (MDL No. 2357), U.S. District Court, District of Nevada. 

Продолжение. Первую часть читайте здесь.

После совершенной в январе 2012 года хакерской атаки, в попытке защитить себя от коллективных исков от имени 24 миллионов пользователей, Zappos сослалась на обязанность сторон, предусмотренную пользовательским соглашением, передавать любые споры в арбитраж, а не в суд. Однако американский федеральный суд признал данное положение соглашения недействительным из-за его неопределенности и способности вводить пользователей в заблуждение.

В частности, суд указал на то, что арбитражная оговорка была буквально «похоронена» в четырехстраничном договоре об условиях пользования, с содержанием которого пользователи могли ознакомиться, пройдя по неприметной ссылке на сайте компании. По мнению суда, «мы не можем заключить, что истцы когда-либо просматривали, а тем более выражали согласие на данные правила пользования. Правила пользования незаметны, похоронены внизу где-то среди многих других ссылок на каждой странице сайта Zappos.com, при этом сайт не перенаправляет пользователя на условия пользования. Ни один разумный пользователь не додумается нажать на Условия пользования, даже те пользователи, которые утверждали, что они нажимали и полагались на тексты, размещенные в соседних ссылках, таких как «Политика приватности» сайта».

Далее суд осудил Zappos за попытки обязать пользователей использовать арбитраж только на том основании, что они просматривали сайт. Согласно суду, арбитражная оговорка в Условиях пользования якобы обязывает всех пользователей сайта уже на том основании, что они просматривают сайт. «Однако с появлением сети Интернет основные требования к договору не изменились, и соглашения не существует, если не имеет место акцепт, если нет согласия воли сторон, и если отсутствует четко выраженное одобрение условий. Сторона не может согласиться с условиями, о которых она не знает или не была фактически уведомлена, а крайне незаметная гиперссылка, похороненная среди моря ссылок, не является таким уведомлением. Поскольку истцы не выражали согласия с условиями, договор не был заключен, и их нельзя обязать использовать арбитраж», отметил суд.

В последние годы все большее количество американских корпораций включают арбитражные оговорки в свои договоры с конечными пользователями. Таким образом, они практически лишают потребителей возможности подавать коллективные иски в случае нарушения их прав и интересов корпоративной политикой компаний. И хотя до окончательного решения в деле о нарушении защиты персональных данных пользователей сервиса Zappos.com еще далеко, отказ суда принудить пользователей к арбитражу согласно Условиям пользования указывает на то, что арбитражные оговорки не являются автоматическим основанием для отказа в принятии коллективного иска судом к рассмотрению. С признанием судом недействительной арбитражной оговорки, рассмотрение коллективных исков против компании Zappos будет продолжено. На данном этапе дела объединены в один коллективный иск, рассматриваемом в федеральном суде округа Невада (In re: Zappos.com Inc., Customer Data Security Breach Litigation (MDL No. 2357), U.S. District Court, District of Nevada). Требования истцов, среди прочих, включают получение возмещение убытков и обеспечительные меры для пострадавших потребителей, включая выплату компенсации за услуги кредитного мониторинга (защита от мошенничества в сети Интернет) и страхование против «кражи личности».

Комментарий специалистов Юридической компании «Воркуева и Партнеры»

Коллективные (групповые) иски имеют ограниченное применение в российской юридической практике. Сам термин «коллективный иск» признан лишь в правовой теории, а в законодательстве используется понятие дела о защите прав и законных интересов группы лиц. Сегодня этот правовой институт действует лишь в рамках арбитражного процесса, в гражданском судопроизводстве он отсутствует.

В таких сферах как защита прав потребителей, особенно в сети Интернет, возможность подачи коллективных исков могла бы положительно сказаться на качестве предоставляемых товаров/услуг, а также привести к более полноценной защите интересов потребителей. При этом обеспечение безопасности персональных данных в сети Интернет становится все более критичным на фоне роста сектора электронной коммерции в России, когда все большее число товаров/услуг предоставляется исключительно или преимущественно через сеть Интернет.

В июле 2012 года Министерство юстиции РФ предложило дополнить Гражданский процессуальный кодекс РФ отдельной главой 22.2, предусматривающей рассмотрение судами дел о защите прав и законных интересов группы лиц. Согласно проекту Минюста под новую главу подпадут многие категории дел без каких-либо установленных ограничений. К примеру, к таким делам будут отнесены споры о защите прав потребителей, членов садоводческих, огороднических и дачных некоммерческих объединений, членов профсоюзов, а также споры в сферах ЖКХ, долевого строительства, образования, здравоохранения, социального и пенсионного обеспечения. Заявителями коллективных исков смогут стать как отдельные граждане, так и организации при условии удовлетворения нескольких условий:

- многочисленность или неопределенность числа членов группы, затрудняющая разрешение требований потенциальных членов группы в индивидуальном порядке;

- однородность предмета и основания требований членов группы;

- использование всеми членами группы одинакового способа защиты права;

- наличие общего ответчика (соответчиков);

- вероятность того, что рассмотрение исков в индивидуальном порядке приведет к нарушению прав и охраняемых законом интересов других членов группы.

Однако пока неясно, как принятие такого нововведения в гражданском процессе может сказаться на защите персональных данных пользователей различных сервисов и порталов в сети Интернет. Ведь даже в рамках арбитражного процесса, при наличии положения о допустимости коллективных исков, такие иски встречаются исключительно редко. Представляется, что практическому применению этого института в арбитражном судопроизводстве мешает ограничительная формулировка статьи 225.10 Арбитражного процессуального кодекса РФ, которая требует единого спорного правоотношения между участниками для рассмотрения их иска как коллективного. На сегодняшний день в защиту прав и интересов группы граждан в суд могут обращаться органы местного самоуправления, прокуратура, Роспотребнадзор и общества защиты прав потребителей. В настоящее время именно прокурор наделен широким спектром полномочий для профилактики и устранения нарушений российского законодательства о персональных данных, в общем, и в сети Интернет, в частности. К таким полномочиям относится и обращение в суд с заявлением в защиту прав, свобод и законных интересов неопределенного круга лиц.

Однако ввиду отсутствия сформировавшейся правоприменительной практики и новизны данного направления работы, отсутствует постоянный мониторинг этой сферы правоотношений со стороны прокуратуры. При этом количество нарушений законодательства о персональных данных в российском сегменте сети Интернет, а также ущерб, причиняемый такими нарушениями, продолжают расти.