Персональные данные пользователей соцсетей – это ценный актив, который можно использовать в коммерческих целях. Могут ли это делать третьи лица без разрешения самой соцсети, решали суды в деле «Вконтакте» против стартапа из «Сколкова» Double Data (ООО «Дабл») № А40-18827/17.
В этом деле суды впервые столкнулись с вопросом о принадлежности больших массивов пользовательских данных. Они могут разрешить или запретить третьим лицам собирать информацию без разрешения агрегатора. Оба решения могут нанести вред развитию технологии "больших данных", поэтому важно найти баланс интересов всех заинтересованных лиц, включая пользователей.
Если дать третьим лицам собирать информацию без разрешения – это демотивирует агрегаторы накапливать данные, а если запретить – затруднит доступ новых компаний к массивам старых участников рынка, говорит Грибанов.
Заявление в полицию и поисковый робот-браузер
Поводом для иска «Вконтакте» стали услуги Double Data по оценке кредитоспособности потенциальных и реальных заемщиков, зарегистрированных «Вконтакте». В числе данных были сведения о месте работы и учебы, сведения о частоте посещения страницы и типе устройства, которое используется для входа в соцсеть. Один из клиентов Double Data «Национальное бюро кредитных историй» («НБКИ») получало уже «готовый продукт» и оказывало услуги банкам. Одному из пользователей это не понравилось, и он даже написал заявление в полицию после того, как узнал, что его данные из соцсети отображаются на сайте «НБКИ». Правоохранители отказали ему в возбуждении дела по ст. 272 УК («Неправомерный доступ к компьютерной информации»). Ответчик позже заявил, что считает это заявление подложным.
В суде «Вконтакте» требовало признать незаконным сбор и использование этих данных, а также уничтожить ту информацию, что уже была получена. Оно настаивало, что имеет исключительное право изготовителя базы данных пользователей соцсети (ст. 1333 ГК) и может им распоряжаться, в том числе разрешать или запрещать третьим лицам ее использование. «Дабл», в свою очередь, заявлял, что его «поисковый робот» работает аналогично Yandex или Google, собирая лишь доступную информацию, которую отображают браузеры. Он апеллировал к правилам пользования сайтом. В них значится, что администрация сайта не наполняет персональные страницы пользователей, а сами они соглашаются с тем, что их данные могут быть доступны другим пользователям Интернета. Ответчик подчеркивал, что не получал доступа к каким-либо закрытым базам истца.
Вторым ответчиком по иску «Вконтакте» было «НБКИ». Бюро решило не дожидаться исхода дела и заключило мировое соглашение, в котором, «не оценивая исковые требования», обязалось не использовать данные из соцсети без разрешения истца.
Оценка судов и кассационная жалоба
Суды разошлись в оценке действий Double Data. Арбитражный суд Москвы отклонил иск «Вконтакте»: по его мнению, истец не доказал, что ответчик проникал в закрытую базу данных и копировал оттуда какие-либо сведения. Иного мнения оказался 9-й Арбитражный апелляционный суд, который принял решение в пользу «Вконтакте». Он пришел к выводу, что ответчик собирал данные и нарушал исключительные права соцсети как изготовителя базы данных пользователей. Апелляция отвергла довод ответчика о том, что базу данных создали сами пользователи: надо учитывать затраты «Вконтакте» на серверы, кабельные системы и прочее оборудование, зарплату сотрудникам, выплаты по внешним контрактам и так далее. «Само по себе количество зарегистрированных карточек пользователей указывает на существенность затрат», – подчеркнула «тройка» под председательством Андрея Трубицына. Кроме того, она процитировала положения «Правил защиты информации о пользователях», по которым «Вконтакте» обязалось защищать персональные данные людей от неправомерного или случайного доступа. Единственное требование «Вконтакте», которое апелляция не удовлетворила, касалось уничтожения всей собранной информации. Суд решил, что это будет сложно исполнить, потому что истец не указал, что это за данные, на каких носителях они записаны и где располагаются такие носители.
Double Data оспорила это решение. Компания в своей жалобе (имеется в редакции) утверждает, что смежные права «В контакте» на базу данных не подлежат защите, потому что она была лишь побочным продуктом в достижении главной цели – создать социальную сеть. А исключительных прав и вовсе не возникает – истец вкладывается в содержание и обслуживание всего сайта, а не конкретно базы данных пользователей. Кроме того, ответчик обвинил истца в злоупотреблении правом: тот пытается присвоить себе персональные данные пользователей и монополизировать гигантские объемы информации.
Компания продолжает заявлять, что извлечение и использование данных не доказано. Но даже если оно имело место, ответчик не извлекал целиком карточки пользователей – только более мелкие элементы, такие как имя и т. д., а это не нарушает прав истца (п. 3 ст. 1335.1 ГК). Программа видит только открытые профили, которые пользователи сами сделали общедоступными, а их немного. Кроме того, как подчеркивает «Дабл», банки, которые используют программу ответчика, получают «прямое согласие заемщика» на поиск информации. Как рассказали Елена Трусова и Евгений Орешин из Bryan Cave Leighton Paisner (Russia) LLP, которые представляют интересы ООО "Дабл", потенциальный заемщик дает согласие на то, чтобы банк проверил информацию о нем в соцсетях. Им оппонируют Андрей Миконин и Алена Бачинская из S&K Vertical. Их доводы Суд по интеллектуальным правам выслушает 22 мая.
О персональных данных пользователей
Суды двух инстанций не обращались к закону о персональных данных, а в решении АСГМ отдельно подчеркивается, что «законность обработки персональных данных не входит в предмет оценки.
Хотя дело связано с интеллектуальными правами, основным спорным «активом» являются именно персональные данные. Отвечает ли деятельность Double Data требованиям закона о персональных данных – большой вопрос.
Требования «Вконтакте» противоречат не только закону, но и воле пользователей. На последнее обстоятельство указывает руководитель практики по интеллектуальной собственности/ информационным технологиям «Качкин и Партнеры» Екатерина Смирнова: «Пользователь сам сделал профиль открытым и согласился с правилами соцсети о том, что его данные доступны третьим лицам».
В 2015 году Роскомнадзор считал, что обработка общедоступных профилей не требует согласия, но сейчас его позиция такова, что на практически любой «набор» персональных данных требуется правовое основание, рассказывает ведущий юрист «Интеллект-С» Михаил Хохолков. В частности, в 2017 году ведомство высказало точку зрения, что пользователь «В контакте» дает согласие на размещение информации, но не на сбор и обработку. Ситуация усугубляется тем, что суды широко понимают «персональные данные» и могут отнести к ним даже техническую информацию, например, cookies, добавляет Али.
О зарубежной практике
Суды других стран нередко разрешают дела, связанные с использованием персональных данных пользователей соцсетей, рассказывает руководитель практики по интеллектуальной собственности/информационным технологиям «Качкин и Партнеры» Екатерина Смирнова. Она приводит в пример недавние разбирательства:
- в 2016 году суд Германии запретил передавать компании Facebook данные пользователей WhatsApp без их согласия (несмотря на то, что мессенджером с 2014 года владеет Facebook);
- в 2018 году Бельгийский суд запретил Facebook собирать персональные данные о пользователях сторонних сайтов, поскольку компания не получает явного согласия пользователей;
- в 2017–2018 годах освещался скандал с компанией Cambridge Analytica, которая собирала и использовала данные пользователей с помощью встроенных средств Facebook, без договора с социальной сетью и получения явного согласия пользователей. Компания собрала данные 50 млн пользователей и смоделировала поведение десятков миллионов американцев, чтобы показывать им релевантную политическую рекламу в интересах штаба Дональда Трампа. 23 марта в лондонском офисе Cambridge Analytica прошли обыски. Дело, скорее всего, дойдет до суда уже в 2018 году, полагает Смирнова.
