Class Action Lab

Несколько анонсов о предстоящих мероприятиях

Cегодня в отеле Националь дан старт мощной 2-дневной конференции по страхованию и перестрахованию.

Среди спикеров: представители РНПК, БНПК, Ингосстрах, Сбербанк Страхование, СК Пари и других страховых компаний и страховых брокеров.

В фокусе обсуждения – российский страховой рынок: итоги 2024 и прогноз на 2025. Значительное внимание направлено на страхование грузов, террористических и БПЛА рисков, урегулирование крупных убытков. Это интересно!

Я выступлю завтра, 16 апреля, в пленарной сессии. Поговорим о страховании имущества на приграничной территории в связи с обстрелами – уже касался этой темы, но есть еще о чем сказать. Обсудим новую практику после дела Лафид и позиции страховщиков.

#анонс

Дела идут своим чередом...

Судебное заседание по делу «ПИК-Комфорт» – на 15 мая. И очередное предварительное заседание по делу «Полиметалл» назначено на 15 мая. Кучно вышло, учитывая что дело Сибура в ту же дату.

Upd. Предложение ЮВ в комментариях поддерживаю:) Еще одно дело 15 мая слушается – «Умный ритейл» (бренд «Самокат»).

#кейс

Провели семинар об ответственности за утечки ПД. Хорошая аудитория –юристы, DPO, сотрудники ИБ из крупных компаний.

▪️Посмотрели на данные об утечках в мировом масштабе. Знаете, что Россия в прошлом году на 2-м месте в мире по утечкам ПД (после США)?

▪️Очень много обсуждали изменения в КоАП: размеры штрафов, зависимость штрафа от объема утечки и типа данных, новые составы, отягчающие и смягчающие обстоятельства, изменение компетентного суда для таких споров и пр.

▪️Рассказали наши наблюдения за судебной практикой последних нескольких лет, которую мы тотально проанализировали и взяли на карандаш все значимые аргументы операторов.

▪️Коснулись и УК – в части новой ст.272.1. Я, конечно, не специалист в этой теме, но, кажется, там тоже будет где развернуться.

▪️Затронули (правда, бегло) и гражданско-правовую ответственность. Посмотрели что в России с индивидуальными и групповыми исками. Показали отдельные яркие примеры из зарубежной практики.

Мне нравится офлайн. Но многие писали и просили онлайн. Что ж, как-нибудь будет и онлайн.

#обзор

⚡️Заседание по делу «РСХБ-Страхование жизни» назначено в Мосгорсуде на 12 мая.

#кейс

Инсайты в духе репортажной хроники с одной конференции о персональных данных.

Мне вот несколько особенно понравились. "Утечка данных – это не «если», а «когда»" – согласны?

Или вот это – "персданные – это радиоактивный элемент". Может будет и так. Зависит от того, как изменения КоАП применять на практике будут. Я вижу зоны роста административного права и процесса доказывания по таким делам. Вот и обсудим на нашем семинаре уже в этот четверг.

#обзор

Дело Сибур

Нет сомнений, позиция ВС по этому делу станет весьма значимой для последующей практики в вопросе разграничения компетенции между АС и СОЮ по групповым искам и не только. А вот какой именно вектор задаст ВС пока всё же вопрос.

Во всяком случае в определении о передаче нет того, что желают найти там коллеги:

Е.Е. Борисова ... указала, что такой спор должен рассмотреть арбитражный суд

В определении иначе – "Доводы заслуживают внимания". Опять же, какой спор? Возможны ведь разные варианты. В общем неповерхностно нужно.

Само по себе то, что Экономколлегия рассмотрит вопросы группового иска должно подстигнуть развитие групповых исков в науке и практике. Дело уже вызывало бурную дискуссию – высказались С.Будылин, А.Акужинов (тут правда про другой вопрос из дела, не связанный с групповыми исками, но тоже очень важный) и А.Султанов. Я, конечно, тоже скажу свои 5 копеек, но позже и обьемно.

Кстати, вы уже подписались на канал AMICUS CURIAE brief? Не реклама, полезно, много уважаемых лиц.

#кейс

Задаюсь тем же вопросом…

⚡️ Жалоба будет рассмотрена СКЭС ВС.

Upd. Заседание назначено на 15 мая.

#кейс

Ещё один материал о спорах в связи с утечками данных вышел на Ведомостях.

В этой колонке коснулся нескольких вопросов, которые операторы должны будут ставить в споре с ещё пущей активностью:
▪️ кому принадлежит утекшая база данных
▪️каков размер утечки
▪️когда произошла утечка

Напишите, если нет доступа, поделюсь.

#публикация #утечки

10 апреля встретимся и поговорим об утечках ПД, а пока моя небольшая колонка на РБК Pro.

В материале: громкие случаи утечек в России и за рубежом, отрасли – лидеры по утечкам, изменение размеров административных штрафов и компетентного суда по рассмотрению таких споров.

Если нет подписки, напишите мне в лс, поделюсь.

#публикация #утечки

Тема утечек персональных данных вообще и споров в связи с утечками в частности – станет новым чёрным!

В нашей стране сильный крен сделан в публичную ответственность – уголовную (только-только введен новый состав в УК) и административную (в КоАП внесены глобальные изменения). Это повлечет изменения в подходах прежде всего крупнейших операторов данных – и в части комплаенса, и инфобеза, и судебных споров.

Конечно, есть и гражданско-правовая ответственность, но перспективы здесь будут только у групповых исков. Пока с ними по теме утечек было кисло, но все течет...

Мы проанализировали огромный пласт дел по утечкам, есть что сказать и показать. Начнем с семинара (хотя нет, начали-то уже в феврале на конференции ОКЮР) и серии публикаций. Скоро все выйдут.

Приходите, обменяемся наблюдениями, опытом и видением что с этим делать.

📌 10 апреля. Берлинский дом. Регистрация по ссылке. Количество мест ограничено.

#анонс #утечки

Пишут, что завершился групповой спор между Google и частными компаниями (в США).

Спор длился 14 лет и был связан с Google Ads. Истцы утверждали, что ответчик нарушил закон о недобросовестной конкуренции, вводя рекламодателей в заблуждение относительно мест, где он будет показывать их рекламу.

Примечательны несколько моментов:
▪️ спор закончился мировым соглашением после раскрытия доказательств (discovery) – за 14 лет смогли подобраться только к этой стадии,
▪️объем материалов дела – 915 тысяч страниц. На секундочку, это ~ 6,1 тыс. томов!
▪️ по мировому соглашению ответчик должен выплатить $100 млн.

Такие вот немелкие дела.

#новости #кейс

Сегодняшний день оказался богат на новости об утечках персональных данных.

Binance и Gemini

Криптобиржи регулярно подвергаются хакерским атакам. Недавний пример – хакеры украли с криптобиржи Bybit $1,5 млрд.

Пишут, что у криптобирж Binance и Gemini похищены данные 200+ тыс. пользователей.

Gemini комментариев пока не дает. Binance утечку отрицает и утверждает, что информация не была украдена с биржи, а собрана хакерами у пользователей с помощью вредоносного ПО. Любопытная вариация аргумента оператора "база данных не моя", не правда ли? Будем следить за развитием этого сюжета.

Роутеры Keenetic

В результате этой уязвимости в открытый доступ попали данные 1 млн пользователей, большая часть из которых – россияне. Это обусловлено тем, что Россия – основной рынок для гонконгской Keenetic.

Хотя в компании утверждают, что "риски совершения мошеннических действий в отношении пострадавших пользователей минимальны", эксперты по информационной безопасности придерживаются иного мнения:

Специалисты Cybernews установили, что в представленных анонимом наборах данных содержался широкий набор информации о пользователях: от паролей Wi-Fi и конфигураций маршрутизаторов до подробных сведений из журналов событий. Обладая конфиденциальными ключами из скомпрометированной базы, злоумышленники могут проникать как в домашние, так и корпоративные сети, отслеживать и перехватывать трафик, а также компрометировать дополнительные устройства.

Если у вас роутер Keenetic, имеет смысл обновить на нем пароли.

Этот кейс может быть интересен с точки зрения состава похищенных данных и их квалификации в качестве персональных данных.

#сорока_на_хвосте_принесла

За заключительной сессией об искусственном интеллекте пристально следил мой коллега-технолитигатор. Вот что подмечено.

Возможные сценарии применения ИИ:
– использование генеративных чат-ботов, создающих новую информацию: изображения, текст или код,
– прикладное использование ИИ для эмуляции человеческого поведения,
– машинное обучение.

Отмечены ключевые тенденции:
– регулирование ИИ обретает глобальный характер,
– подход США к регулированию ИИ демонстрирует все более четкие очертания,
– отраслевые законы могут применяться к ИИ.

Спикеры обсудили 2 дела по искам Федеральной торговой комиссии о недобросовестной рекламе.

1️⃣Evolv среди прочего производит устройства, которые детектируют оружие. Продукт востребован в больницах, школах, стадионах и т.п. Он заявлял о том, что использует ИИ и детектирует оружие с очень высокой долей вероятности, при этом проверяемому не нужно даже доставать вещи из сумки/карманов.

В результате проверки выяснилось, что:
– Evolv преувеличил использование ИИ в своем продукте,
– не проводил никаких исследований, позволяющих утверждать, что у них высокое качество, поэтому доставать вещи из сумок/карманов все-таки приходилось.

По итогам разбирательства с ФТК заключено мировое соглашение, по которому Evolv предоставил право своим клиентам отказаться от договоров. Однако Evolv своей вины не признал.

2️⃣Rytr с помощью LLM (это не степень образования, если что😉) генерирует описание товара по запросу пользователя. Фактически продукт использовался для того, чтобы генерировать поддельные отзывы на товары. Примечательно, что некоторые пользователи генерировали десятки тысяч таких ложных описаний! Кроме того, при генерации описания товара LLM галлюцинировала и выдавала несуществующие факты.

В результате соглашения с ФТК Rytr отказались от развития своего продукта по генерации отзывов.

Интересно все это. Ну а нам пока со своими вопросами нужно разобраться.

#обзор

В рамках третей сессии говорили о рисках использования скрытых сервисов при сборе персональных данных. Сбор данных без запроса ясно и однозначно выраженного согласия на их обработку может привести к предъявлению исковых требований к компании.

Спикеры обратили внимание на то, что персональные данные регулируются каждым штатом по-разному, в связи с этим на территории США сейчас действует 50 законов о персональных данных.

Пул используемых технологий постоянно расширяется, в связи с чем возрастает и роль экспертов. Вывод экспертов относительно характера используемых технологий может влиять на оценку однородности группы – особенно, если технология сложная, а персональные данные собирали разными способами.

Количество членов группы в таких групповых исков, как правило, больше, чем в среднем по другим категориям групповых исков. Это обусловлено тем, что условная соц.сеть Ф. доступна на всей территории страны, и чтобы оказаться пострадавшим, достаточно быть зарегистрированным на сайте или просто его посетить.

Что делать ответчику при возникновении подобных требований? Наиболее популярен здесь motion to dismiss – суть в том, что если суд до исследования доказательств придет к выводу, что иск заведомо не обоснован, он вправе его отклонить.

Как правило, ответчику нужно оценить технологию (подтвердить, какие технологии были использованы, цели использования и образ действия). Собрать информацию (договоры с поставщиками, утвержденные технологии сбора данных, политики сбора данных). Рассмотреть условия пользовательских соглашений, политики конфиденциальности и иные условия, сопряженные с раскрытием информации.

Пс. Ну а в России тема персональных данных вскоре засияет особым цветом. На следующей неделе сделаю несколько анонсов в этом отношении. Следите за новостями.

#обзор #утечки

В следующей сессии спикеры обсуждали тенденции к расширению антимонопольных споров. Возникает проблема размывания границ между антимонопольными требованиями и требованиями из нарушения правил законодательства о труде, защите окружающей среды и защите прав потребителей.

Характерный пример – дело Rodriguez v. Dow. Chem. Co. et al. (2024). В рамках этого дела заявители предъявили требования к группе ответчиков – крупнейших нефтехимических компаний. Предположительно ответчики вступили в сговор для распространения ложной информации относительно переработки пластиковых изделий с целью сформировать представление об их безопасности. В результате спрос на пластик был искусственным образом повышен.

Групповой иск был подан на основании Акта Шермана о нарушении требований антимонопольного законодательства. Однако связь между потребителями и производителями пластика не является прямой, так как последние поставляют материал изготовителям пластиковых изделий, а не потребителям напрямую. Поэтому основания предъявления требований со стороны потребителей спорны. Проблема, строго говоря, не нова, писал о ней в своей статье в нашей книге. Но, видимо, вопрос в последних делах играет новыми красками.

Стратегия защиты ответчика – переквалификация требований в отношения, регулируемые законодательстве о защите прав потребителей. Вместе с тем, исходя из существующей практики, заявленные требования не могут быть сертифицированы, поскольку не выполняется критерий общности. Отношения с потребителями регулируются законами различных штатов – в силу разницы между применимыми нормами общности требований нет.

Как отметила партнёр K&S, вероятность сертификации группы может зависеть от применимой антимонопольной теории: per se или rule of reason.

#обзор