Взаимоотношения между пользователем и социальной сетью по поводу доступа к странице регулируются нормами о публичном договоре и договоре присоединения. Согласно статье 426 ГК РФ, социальная сеть, осуществляя деятельность по оказанию услуг связи и обмена информацией, заключает публичный договор с каждым обратившимся пользователем. Это означает, что она не вправе оказывать предпочтение одному лицу перед другим и обязана оказывать услуги на равных условиях. Блокировка страницы пользователя без законного основания может быть расценена как нарушение принципа публичности, особенно если она произведена автоматически, без учета представленных доказательств взлома. Пользователь, заключив такой договор при регистрации, вправе рассчитывать на недискриминационный доступ.
- Публичным договором признается договор, заключенный лицом, осуществляющим предпринимательскую или иную приносящую доход деятельность, и устанавливающий его обязанности по продаже товаров, выполнению работ либо оказанию услуг, которые такое лицо по характеру своей деятельности должно осуществлять в отношении каждого, кто к нему обратится (розничная торговля, перевозка транспортом общего пользования, услуги связи, энергоснабжение, медицинское, гостиничное обслуживание и т.п.). Лицо, осуществляющее предпринимательскую или иную приносящую доход деятельность, не вправе оказывать предпочтение одному лицу перед другим лицом в отношении заключения публичного договора, за исключением случаев, предусмотренных законом или иными правовыми актами.
— Гражданский кодекс РФ, ст. 426
Условия пользовательского соглашения социальной сети, как правило, являются договором присоединения по смыслу статьи 428 ГК РФ. Пользователь принимает их целиком, присоединяясь к стандартной форме. Если блокировка произведена на основании таких условий, которые лишают пользователя возможности восстановить доступ, особенно при наличии доказательств взлома, это может быть признано явно обременительным условием. Пункт 2 названной статьи даёт присоединившейся стороне право требовать расторжения или изменения договора, если он исключает или ограничивает ответственность другой стороны или содержит условия, которые пользователь не принял бы при возможности участвовать в их определении. В данной ситуации автоматические шаблонные ответы без учета скриншотов IP-адресов и уведомления провайдера свидетельствуют о том, что социальная сеть фактически отказывается выполнять свои обязанности по нормальному рассмотрению обращения, что является ограничением прав пользователя.
Статья 428 ГК РФ определяет договор присоединения, условия которого определены одной стороной в стандартных формах и принимаются другой стороной путем присоединения. Пункт 2 предоставляет присоединившейся стороне право требовать расторжения или изменения договора, если он лишает ее прав, обычно предоставляемых по договорам такого вида, исключает или ограничивает ответственность другой стороны или содержит явно обременительные условия, которые она не приняла бы при возможности участвовать в определении условий.
— Гражданский кодекс РФ, ст. 428
Поскольку социальная сеть обрабатывает персональные данные пользователя (логин, пароль, переписку, IP-адреса), её действия в отношении блокировки страницы регулируются Федеральным законом «О персональных данных». Статья 14 этого закона закрепляет право субъекта персональных данных на доступ к его персональным данным, хранящимся у оператора. Пользователь вправе требовать от социальной сети предоставления сведений о том, какие его персональные данные обрабатываются, в том числе о причинах блокировки и о том, на основании каких данных она произведена. Автоматические ответы, не содержащие конкретной информации, нарушают это право.
- Субъект персональных данных имеет право на получение сведений, указанных в части 7 настоящей статьи, за исключением случаев, предусмотренных частью 8 настоящей статьи. Субъект персональных данных вправе требовать от оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.
— Федеральный закон «О персональных данных», ст. 14
Статья 17 того же закона предоставляет пользователю право обжаловать действия или бездействие оператора, в том числе блокировку страницы, в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке. Кроме того, пользователь имеет право на защиту своих прав и законных интересов, включая возмещение убытков и компенсацию морального вреда. Факт получения только шаблонных ответов при наличии скриншотов и уведомления провайдера свидетельствует о бездействии оператора, что может быть обжаловано.
- Если субъект персональных данных считает, что оператор осуществляет обработку его персональных данных с нарушением требований настоящего Федерального закона или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке.
- Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.
— Федеральный закон «О персональных данных», ст. 17
Обязанность социальной сети как оператора принимать меры по обеспечению безопасности персональных данных установлена статьёй 19. Социальная сеть должна защищать данные от неправомерного доступа, в том числе от компьютерных атак. Провайдер уведомил пользователя о подозрительных входах, что может указывать на ненадлежащее выполнение социальной сетью обязанностей по защите аккаунта. Если взлом произошёл из-за недостаточных мер безопасности, это является нарушением статьи 19, и пользователь вправе требовать устранения последствий, включая восстановление доступа.
- Оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.
— Федеральный закон «О персональных данных», ст. 19
Особое значение имеет статья 20, которая устанавливает конкретные сроки и форму ответа оператора на обращение субъекта персональных данных. Оператор обязан сообщить информацию о наличии персональных данных и предоставить возможность ознакомления с ними в течение десяти рабочих дней, а в случае отказа — дать мотивированный ответ в тот же срок. Пользователь обращался с доказательствами взлома, но получал автоматические шаблоны, которые не являются мотивированным ответом по существу. Это прямое нарушение статьи 20, и пользователь может настаивать на получении полноценного ответа в установленный законом срок.
- Оператор обязан сообщить... информацию о наличии персональных данных... а также предоставить возможность ознакомления с этими персональными данными при обращении субъекта персональных данных или его представителя либо в течение десяти рабочих дней с даты получения запроса... 2. В случае отказа... оператор обязан дать в письменной форме мотивированный ответ... в срок, не превышающий десяти рабочих дней...
— Федеральный закон «О персональных данных», ст. 20
Статья 21 обязывает оператора при обращении субъекта, выявившего неправомерную обработку, заблокировать неправомерно обрабатываемые данные на период проверки, а в случае подтверждения неточности — уточнить данные и снять блокировку. Пользователь утверждает, что страница была взломана, то есть его данные (пароль, IP-адреса) могли быть изменены неправомерно. Социальная сеть, получив такое обращение, должна была заблокировать доступ для предполагаемого злоумышленника, а не блокировать страницу самого пользователя. Вместо этого она заблокировала доступ законному владельцу. Если социальная сеть не провела проверку и не уточнила данные, она нарушает статьи 21 и 14.
- В случае выявления неправомерной обработки персональных данных при обращении субъекта персональных данных или его представителя ... оператор обязан осуществить блокирование неправомерно обрабатываемых персональных данных ... с момента такого обращения ... на период проверки. ... 2. В случае подтверждения факта неточности персональных данных оператор ... обязан уточнить персональные данные ... в течение семи рабочих дней со дня представления таких сведений и снять блокирование персональных данных.
— Федеральный закон «О персональных данных», ст. 21
Наконец, статья 24 устанавливает ответственность оператора за нарушение требований закона. Моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, подлежит возмещению независимо от возмещения имущественного вреда. Если пользователь понёс убытки из-за блокировки (например, потеря заказов, клиентов, заработка), он вправе требовать их возмещения, а также компенсации морального вреда за невозможность пользоваться аккаунтом и за игнорирование его обращений.
- Лица, виновные в нарушении требований настоящего Федерального закона, несут предусмотренную законодательством Российской Федерации ответственность.
- Моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных, установленных настоящим Федеральным законом, а также требований к защите персональных данных, установленных в соответствии с настоящим Федеральным законом, подлежит возмещению в соответствии с законодательством Российской Федерации. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков.
— Федеральный закон «О персональных данных», ст. 24
