Пользователь восстановила доступ к своему банковскому счету (аккаунту в банке) через службу поддержки, используя старый номер телефона. В результате она получила новый пароль для входа в банковское приложение или интернет-банк. Однако другой сервис (например, маркетплейс, инвестиционная платформа или онлайн-кошелек), который ранее был привязан к этому банковскому аккаунту (например, для автоматических платежей или входа через банк), перестал её узнавать. При попытке войти в личный кабинет этого сервиса система выдаёт ошибку «пользователь не найден».
Юридически значимые обстоятельства: между пользователем и сервисом существовали договорные отношения (например, договор присоединения к правилам сервиса), которые предполагали возможность идентификации пользователя через связку «логин/пароль» или через аутентификацию с помощью банковских данных. Восстановление доступа к банковскому аккаунту — это отдельный юридический факт, который не автоматически восстанавливает доступ к привязанным сервисам. Банк, изменив пароль и подтвердив личность по старому номеру, не обязан уведомлять третьи сервисы об этом (если иное не предусмотрено договором с пользователем или соглашением между банком и сервисом).
Проблема пользователя связана с тем, что сервис продолжает «видеть» старые аутентификационные данные (которые могли измениться или быть аннулированы при восстановлении аккаунта в банке). Ошибка «пользователь не найден» может означать, что в базе сервиса профиль пользователя либо заблокирован (из-за подозрительной активности), либо деактивирован (например, из-за долгого неиспользования), либо произошла рассинхронизация идентификаторов (например, сервис привязывался к конкретному номеру телефона или email, а при восстановлении в банке эти данные могли быть изменены или подтверждены иначе).
Также юридически значимо, что выписка по счету содержит старую почту и номер телефона. Это подтверждает, что на момент восстановления аккаунта в банке эти данные сохранялись, но сервис может не принимать их, если пользователь не прошёл процедуру «восстановления доступа» непосредственно в самом сервисе. Возможно, сервис требует отдельного подтверждения личности (например, через утерянный пароль или по номеру договора), и его внутренние правила не предусматривают автоматического «переноса» нового пароля из банка.
Таким образом, затронуты правоотношения, вытекающие из договора оказания услуг между пользователем и сторонним сервисом, а также из договора банковского счёта (или договора дистанционного банковского обслуживания). Ключевой вопрос: на ком лежит обязанность обеспечить восстановление доступа и были ли надлежащим образом исполнены обязательства со стороны сервиса по идентификации пользователя после изменения данных в банке.
Восстановление доступа к банковскому аккаунту и последующая невозможность войти в сторонний сервис, ранее привязанный к этому аккаунту, порождает вопросы о правовой природе отношений с каждой из организаций и об объёме их обязанностей в части обеспечения доступа к электронным сервисам.
Прежде всего, отношения между пользователем и банком, а также между пользователем и сторонним сервисом, по общему правилу, регулируются нормами о договоре возмездного оказания услуг. Согласно ст. 779 ГК РФ, применимой к услугам связи, информационным, консультационным и иным услугам, исполнитель обязуется оказать услуги по заданию заказчика. В банковской сфере это открытие и ведение счёта, дистанционное обслуживание; в стороннем сервисе — предоставление функционала личного кабинета. Факт восстановления аккаунта в банке по старому номеру телефона и получения нового пароля подтверждает, что банк надлежащим образом исполнил свои обязательства по восстановлению доступа к его собственному сервису. Однако банк не несёт обязанности автоматически уведомлять сторонний сервис об изменении учётных данных пользователя, так как это разные независимые операторы. В предоставленном контексте норма, прямо обязывающая банк информировать привязанные сервисы, отсутствует; такой порядок мог бы быть установлен пользовательским соглашением банка, но по условиям задачи не раскрыт.
- По договору возмездного оказания услуг исполнитель обязуется по заданию заказчика оказать услуги (совершить определенные действия или осуществить определенную деятельность), а заказчик обязуется оплатить эти услуги.
— Гражданский кодекс Российской Федерации (часть вторая), ст. 779
Пользователь вправе требовать от банка достоверной и полной информации о порядке оказания услуг, в том числе о последствиях восстановления доступа для привязанных сторонних сервисов. Статья 8 Закона Российской Федерации «О защите прав потребителей» закрепляет право потребителя на получение необходимой и достоверной информации об исполнителе и предоставляемых услугах. Если банк при процедуре восстановления не разъяснил, что новый пароль не синхронизируется со сторонним сервисом и потребуется отдельное обращение в этот сервис, это может рассматриваться как ненадлежащее информирование. Пользователь мог обоснованно полагать, что восстановление в банке автоматически восстановит доступ к связанному сервису, особенно если ранее они были привязаны.
- Потребитель вправе потребовать предоставления необходимой и достоверной информации об изготовителе (исполнителе, продавце), режиме его работы и реализуемых им товарах (работах, услугах).
— Закон Российской Федерации от 07.02.1992 № 2300-1 «О защите прав потребителей», ст. 8
С точки зрения обработки персональных данных, банк и сторонний сервис являются самостоятельными операторами. При восстановлении аккаунта банк обработал персональные данные пользователя (номер телефона, старый адрес электронной почты, сведения из выписки) на основании согласия, данного ранее. В силу ст. 9 Федерального закона «О персональных данных» согласие должно быть конкретным и информированным, однако оно не предполагает, что банк вправе передавать новые учётные данные стороннему сервису без отдельного согласия пользователя. Напротив, ст. 7 этого же Закона обязывает операторов не раскрывать персональные данные третьим лицам без согласия субъекта. Следовательно, банк правомерно не передал новый пароль или новый логин стороннему сервису — это было бы нарушением конфиденциальности.
Операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 7
- Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным.
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 9
Ошибка «пользователь не найден» в стороннем сервисе сама по себе не является нарушением прав пользователя, если сервис не может идентифицировать его из-за несовпадения аутентификационных данных. Пользователь не утратил права на доступ к своему профилю в этом сервисе, но утратил возможность войти с использованием старых реквизитов. Отказ сервиса в доступе при отсутствии валидных данных аутентификации является стандартной мерой безопасности и не образует состава нарушения при условии, что сервис предоставляет процедуру восстановления доступа. В предоставленном контексте отсутствуют нормы, прямо возлагающие на сторонний сервис обязанность обеспечить вход при изменении данных в банке, поэтому пользователю необходимо обратиться в поддержку сервиса с документами, подтверждающими личность (например, с той же выпиской, где указаны старая почта и номер).
Если же пользовательское соглашение стороннего сервиса содержит условия, которые фактически лишают его возможности восстановить доступ при изменении данных в привязанном банке, такие условия могут быть оспорены как недопустимые в силу ст. 16 Закона о защите прав потребителей. В ней указано, что недопустимые условия договора, ущемляющие права потребителя, ничтожны. При этом бремя доказывания того, что условие не ущемляет права, лежит на исполнителе. Однако для вывода о ничтожности необходимо изучить конкретные положения оферты сервиса.
Недопустимыми условиями договора, ущемляющими права потребителя, являются условия, которые нарушают правила, установленные международными договорами Российской Федерации, настоящим Законом, законами и принимаемыми в соответствии с ними иными нормативными правовыми актами Российской Федерации, регулирующими отношения в области защиты прав потребителей. Недопустимые условия договора, ущемляющие права потребителя, ничтожны.
— Закон Российской Федерации от 07.02.1992 № 2300-1 «О защите прав потребителей», ст. 16
Если же в результате неправомерных действий банка или стороннего сервиса пользователю причинены убытки (например, он понёс расходы на восстановление доступа или утратил денежные средства из-за невозможности воспользоваться сервисом), он вправе требовать их возмещения на основании ст. 15 ГК РФ. В данной ситуации, исходя из описанных фактов, убытки пока не усматриваются, однако возможность их взыскания сохраняется при наличии доказательств вины и причинно-следственной связи.
- Лицо, право которого нарушено, может требовать полного возмещения причиненных ему убытков, если законом или договором не предусмотрено возмещение убытков в меньшем размере.
— Гражданский кодекс Российской Федерации (часть первая), ст. 15
Таким образом, пользователю для восстановления доступа к стороннему сервису следует обратиться в его службу поддержки, предоставив выписку из банка и документы, удостоверяющие личность. При отказе сервиса в восстановлении без разумных оснований либо при наличии в его договоре ущемляющих условий возможно применение как потребительского законодательства, так и норм о персональных данных.
