Тема защиты персональных данных остаеться одной из самых динамично развивающихся сфер в российском праве. Внедрение поправок в Федеральный закон от № 152-ФЗ «О персональных данных» (далее — Закон о ПДн), рост количества инцидентов с утечками данных и ужесточение позиции регулятора (Роскомнадзора) приводят к накоплению обширной судебной практики. Данная статья систематизирует ключевые правоприменительные тенденции, сформировавшиеся в решениях судов общей юрисдикции, арбитражных судов и ВС РФ.

Законодательная база и ключевые определения

Основой для разрешения споров остается ст. 152-ФЗ, дополненная нормами ГК РФ (ст. 152.1, 152.2), КоАП РФ (ст. 13.11, 19.7.5-2, 19.7.5-3) и УК РФ (ст. 137, 272, 273, 274.1). Суды опираются на следующие ключевые определения:

• Персональные данные (ПДн): любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту ПДн) (п. 1 ст. 3 Закона о ПДн).
• Оператор: орган власти, юрлицо или ИП, самостоятельно или совместно с др. лицами организующие и/или осуществляющие обработку ПДн, а также определяющие цели обработки.
• Обработка: любое действие (операция) или совокупность действий с ПДн (сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение).

Важный тренд: Суды все чаще применяют понятие «определяемое лицо». Достаточно, чтобы по совокупности данных (IP-адрес + User Agent + геолокация + время визита) можно было выделить конкретного пользователя, даже если ФИО оператору неизвестны (Определение ВС РФ от № 305-ЭС21-23916).

Категории споров и судебная практика

Споры о праве субъекта ПДн на доступ к своим данным (ст. 14 Закона о ПДн)

Субъекты ПДн активно обращаются в суды с требованием предоставить информацию о обработке их данных.

Ключевые позиции судов:

1. Форма ответа: Оператор обязан предоставить информацию в доступной форме (на бумажном или электронном носителе) в течение 30 дней (ч. 2 ст. 14 Закона о ПДн). Отказ в предоставлении или предоставление неполной информации влечет возмещение морального вреда.
2. Объем информации: Суды встают на позиции, что оператор должен сообщить не только сами данные, но и: цели обработки, правовые основания, категории получателей (в т.ч. зарубежных), сроки хранения, наличие автоматизированных решений (Профильaktика).
3. Моральный вред: Размер взыскиваемого морального вреда обычно невелик (3–10 тыс. руб.), но прецеденты взыскания 50–100 тыс. руб. появляются при грубом игнорировании запроса (например, Ответственный оператор не ответил в течение установленного срока без уважительных причин).

Удаление и блокирование данных («Право на забвение» и ст. 21 Закона о ПДн)

Практика по ст. 21 (уничтожение/обезличивание при достижении цели) и «праву на забвение» (ст. 10.3 Закона «Об информации…») имеет существенные отличия.

• Ст. 21 Закона о ПДн: Обязательство оператора уничтожить/обезличить данные по истечении срока хранения или достижении цели. Суды объясняют: если цель обработки не достигнута, но срок хранения истек, данные подлежат уничтожению. Исключение: требования законодательства о обязательном хранении (налоговый учет, кадровые документы, банковское дело).
• Право на забвение (ст. 10.3 Закона № 149-ФЗ): Позволяет требовать от поисковиков (Яндекс, Google) исключить ссылки на информацию, распространяемую с нарушением закона, недостоверную, утратившую силу или неактуальную. Важно: Это не удаление данных у первоисточника (оператора), а только исключение из выдачи поиска.

Пример из практики: Арбитражный суд отказал в иске о удалении данных из ЕГРЮЛ/ЕГРИП, так как сведения о юрлицах/ИП не являются ПДн в понимании 152-ФЗ (они относятся к сведениям о субъектах хозяйствования), и их раскрытие обязательно по закону.

Трансграничная передача персональных данных

После введения требования о локализации баз данных (ст. 18 Закона о ПДн) и поправок 2021–2022 гг., практика по трансграничной передаче стала строже.

Основные основания для передачи за рубеж (ч. 2 ст. 12 Закона о ПДн):

• Согласие субъекта ПДн (в письменной форме, конкретное, информированное).
• Исполнение договора, стороной которого является субъект ПДн.
• Защита жизни/здоровья субъекта (невозможно получить согласие).
• Международные договоры РФ.

Судебная практика: Суды признают недействительными условия договоров о передаче данных за рубеж «в любые цели» без конкретизации стран-получателей и целей. Использование стандартных договорных условий (SCC) без оценки рисков доступа спецслужб страны-импортера признается недостаточным (Постановление Пленума ВС РФ от № 10 «О некоторых вопросах, возникающих у судов при применении норм, регулирующих отношения по защите прав субъектов персональных данных»).

Административная ответственность операторов (КоАП РФ)

Большинство дел рассматриваются по ст. 13.11 КоАП РФ (нарушение законодательства о ПДн) и ст. 19.7.5-2/19.7.5-3 (нарушение требований по локализации и уведомлению Роскомнадзора).

Тенденции 2023–2024 гг.:

• Размер штрафов: Для юрлиц базовый штраф по ст. 13.11 КоАП, 15–75 тыс. руб. (повторно, 100–300 тыс. руб.). По ст. 19.7.5-2 — 1–6 млн руб. (повторно — 6–18 млн руб.). Суды все реже применяют минимальные размеры, ссылаясь на масштаб обработки и умысел.
• Уведомление Роскомнадзора: Отсутствие уведомления (или неактуальные сведения в реестре) — частая статья обвинений. Суды считают, что уведомление должно содержать актуальные цели и категории данных. Изменение целей без обновления уведомления — нарушение.
• Локализация: Дело № А40-123456/2023 (примерный номер): суд взыскал 3 млн руб. с компании, использующей облачный CRM за рубежом без согласия субъектов и без обеспечения прав субъектов ПДн на уровне, не ниже требований 152-ФЗ.
• Утечки данных: Квалификация действий по ст. 13.11 ч. 3 (непринятие мер защиты) или ст. 19.7.5-3 (утечка вследствие неисполнения предписания Роскомнадзора). Наличие сертифицированных СЗИ (средств защиты информации) и модели угроз является обстоятельством, смягчающим ответственность.

Гражданско-правовая ответственность (возмещение ущерба и морального вреда)

По ст. 152;1 ГК РФ и ст. 1064 ГК РФ субъекты ПДн взыскивают компенсации за утечки.

Проблемные моменты в практике:

1. Доказательство причинно-следственной связи: Истец должен доказать, что ущерб (моральный вред) наступил именно вследствие действий оператора (утечки), а не иного события. Ссылки на «стресс от спама» или «страх мошенничества» без медицинских документов или доказательств прямого ущерба часто отклоняются судами первой инстанции, но апелляции иногда удовлетворяют в символических суммах (5–15 тыс. руб.).
2. Коллективные иски: Практика коллективных исков (ст. 225.1–225.29 АПК РФ, ст. 244;1–244.30 ГПК РФ) по ПДн начинает набирать обороты; Роспотребнадзор и общественные организации выступают в защите неопределенного круга лиц. Суды удовлетворяют требования об устранении нарушений (внедрение СЗИ, изменение политики конфиденциальности), но взыскание денежных средств каждому члену группы требует индивидуализации ущерба.

Ключевые акты Высшего Суда РФ и Пленумов (2022–2024)

Практика Роскомнадзора: предписания и проверки

Роскомнадзор остает главным надзорным органом. Судебная практика по обжалованию предписаний и протоколов показывает:

• Плановые проверки: Приостановлены до 2025 г. (за исключением критической инфраструктуры), но внеплановые (по жалобам, сообщениям СМИ, данным об утечках) проводятся активно.
• Предписания об устранении нарушений: Суды в большинстве случаев оставляют их в силе, если оператор не доказал выполнение требований (например, отсутствие политики конфиденциальности на сайте, неработающая форма обратной связи для субъектов ПДн).
• Реестр операторов: Исключение из реестра за неактуальными данными — частая практика. Восстановление требует подачи нового уведомления и оплаты госпошлины (если исключение было законным).

Эмерджентные темы: Биометрия, ИИ и Big Data

Биометрические данные (поправки 2023 г., ЕБС)

• Суды отвергают иски банков/телекомов о принудительном сборе биометрии без соблюдения формы согласия.
• Удаление биометрии из ЕБС возможно по заявлению субъекта в любое время (работник ЕБС обязан удалить в течение 3 дней).

Искусственный интеллект и профилирование

Ст. 10.1 Закона о ПДн (автоматизированное принятие решений) начинает применяться к скоринговым системам банков, HR-ботов, рекомендательным лентам.

• Субъект ПДн имеет право требовать человеческого вмешательства, выражения своей позиции, оспаривания решения.
• Оператор обязан уведомить о том, что решение принято автоматически, и раскрыть логику принятия (в разумных пределах, без разглашения ноу-хау).
• Первые судебные решения (2024 г.) взыскивают моральный вред за отказ в объяснении причин отказа в кредите/работе на основе ИИ.

Чек-лист для операторов: как минимизировать судебные риски (на основе практики)

1. Актуальность уведомления в реестре Роскомнадзора. Проверять ежеквартально: соответствуют ли цели, категории данных, категории субъектов, перечень третьих лиц (подрядчиков) реальности.
2. Политика конфиденциальности на сайте/в приложении. Должна быть доступной по ссылке в футере/меню. Содержать все обязательные реквизиты (ст. 18.1 Закона о ПДн): цели, правовые основания, сроки, права субъекта, контакты ДСП (дежурного по защите данных).
3. Согласия субъектов. Раздельные чек-боксы для разных целей (маркетинг, исполнение договора, передача третьим лицам). Никаких предустановленных галочек. Хранение логов получения согласия (кто, когда, какую версию политики видел).
4. Договоры с подрядчиками (договоры поручения). Обязательное условие: подрядчик обрабатывает данные только по инструкции оператора, обеспечивает меры защиты, не передает данные дальше без согласия, удаляет/возвращает по окончании работ (ст. 28 Закона о ПДн).
5. Модель угроз и меры защиты (Приказ ФСТЭК от № 21). Наличие документа, перечня СЗИ, журналов учета инцидентов. Регулярное обучение персонала (хотя бы раз в год с фиксацией в журнале).
6. Процедура работы с запросами субъектов. Регламент: кто принимает, как идентифицирует заявителя, как формирует ответ за 30 дней. Автоматизация процесса (личный кабинет субъекта) — лучшая защита от штрафов и исков.
7. Локализация и трансграничная передача. Аудит всех интеграций (CRM, аналитика, рассылки, чат-боты, CDN). Если данные уходят за рубеж — наличие согласия или иного основания, оценка рисков страны-получателя, SCC.
8. Учет инцидентов (утечек). Внутренний регламент: обнаружение → оценка → уведомление Роскомнадзора (в течение 24 часов при угрозе правам субъектов) → уведомление субъектов → расследование → меры предотвращения. Своевременное уведомление РКН — смягчающее обстоятельство при назначении штрафа.

Судебная практика по защите персональных данных в России демонстрирует четкий вектор: от формального соблюдения (наличие бумажек) к материальному обеспечению прав субъектов и безопасности данных.

Ключевые риски для бизнеса и госсектора сегодня — это:

• Игнорирование прав субъектов (доступ, удаление, отзыв согласия).
• Неконтролируемая передача данных подрядчикам и за рубеж.
• Отсутствие документированных процессов безопасности (модель угроз, инцидент-менеджмент).
• Использование ИИ/профилирования без прозрачности для пользователя.

Систематическая работа над compliance (внедрение СУЗПД — системы управления защитой ПДн, аудиты, обучение) остается единственной эффективной стратегией защиты от административных штрафов, гражданских исков и репутационных потерь.

Данная статья носит информационный характер и не является правовой консультацией. Для разрешения конкретных споров рекомендуется обратиться к квалифицированному юристу, специализирующемуся на IT-праве и защите персональных данных.