Персональные данные All year round

19 октября выступаю на Евразийском конгрессе по защите данных. Рассказывать буду про судебную практику. Дали 30 минут. С одной стороны, для конференции это прямо много. С другой, все не воткнешь,встаёт вопрос, что выбрать :)))

#не_только_штрафы #моральный_вред #на_что_жалуетесь
6 октября
6 октября 2026 г
Пропасть не дадут. 10 декабря 2024 г. некто Т. ушел из дома и не вернулся. На следующий день его сестра Ч. обратилась в полицию с заявлением о пропаже человека. Межмуниципальный отдел полиции распространил "ориентировку" на пропавшего. Через какое-то время Т. нашелся и обратился в прокуратуру с жалобой на нарушение ФЗ "О персональных данных". Прокуратура жалобу рассмотрела и отказала в возбуждении дела об АП по ч. 2 ст. 13.11 КоАП РФ (интересно, почему ч. 2, а не ч. 1). Тогда Т. обратился в суд с иском к межмуниципальному отделу полиции с требованием: 1) дать опровержение в СМИ ложных сведений об его исчезновении; 2) выплатить компенсацию морального вреда в сумме 20.000 руб. Суд истцу отказал.
Представляет интерес не столько сам факт отказа, сколько аргументация суда. Районный суд рассмотрел иск не в контексте распространения ПД, а - довольно неожиданно - в контексте распространения информации, порочащей честь и достоинство гражданина, и разумеется, пришел к выводу, что "ориентировка" не содержала порочащих сведений, соответственно, компенсировать моральный вред оснований нет.
Решение Минусинского городского суда Красноярского края от 06.10.2025 № 2-1517/2025

Мертвые души. Г. работает вахтовым методом, заключает трудовые договоры на время работы и расторгает по окончании вахты. В какой-то момент при попытке заключить очередной договор Г. с изумлением обнаружил, что уже работает грузчиком в ООО "Альт". При этом никакой работы не выполняет (ну и ладно) и зарплату не получает (а это уже обидно). Г. попытался с помощью трудинспекции и прокуратуры избавиться от нежданного работодателя и соответствующей записи в электронной трудовой книжке, но безуспешно. Г решил, что его персональные данные "утекли" и в результате ООО "Альт" виртуально приняло его на работу "либо в качестве учета "мертвых душ" и получения заработной платы за него, либо в целях предоставления в кредитную организацию недостоверных сведений о количестве трудоустроенных лиц" - и обратился в суд. Г. просил: 1) признать отсутствие факта трудовых отношений между ним и ООО "Альт"; 2) признать недействительной соответствующую запись в электронной трудовой книжке. Требования истца были удовлетворены. Интересно, что ОСФР по Свердловской области по непонятным мне основаниям возражало против удовлетворения требований Г., тем не менее суд счел, что 5000 руб. взносов во внебюджетные фонды, которые ООО "Альт" уплачивало за виртуального грузчика, не являются достаточным доказательством наличия трудовых отношений.
Решение Белорецкого межрайонного суда Республики Башкортостан от 06.10.2025 № 2-1965/2025

#не_только_штрафы #убытки #моральный_вред
2 октября
2 октября 2025 г
Опечатка. В июне 2023 г. МВД России выдало загранпаспорт несовершеннолетнему М. В отчестве была допущена опечатка - пропущена буква "е", получилось "Алексевич" вместо "Алексеевич". Некоторое время опечатку не замечали, и ребенок без проблем выезжал за пределы РФ по этому паспорту.
В феврале 2025 г. бдительный таможенник в Домодедово увидел опечатку, паспорт изъяли, посадочный талон тоже - и в результате вся семья не смогла вылететь на отдых.
Турагентство вернуло стоимость тура, за исключением фактически понесенных расходов, но семья все равно понесла убытки, но самое главное - внезапно сорвался семейный отдых.
Пострадавшие обратились в суд с иском к МВД о компенсации убытков, морального вреда, взыскании штрафа и возмещении судебных расходов.
Иск был удовлетворен частично. И требуемые истцами, и взысканные судом суммы "обезличены", сколько истцы хотели и сколько суд взыскал, мы не узнаем, увы
Интересный факт 1: суд признал, что МВД несёт ответственность за опечатку, хотя при выдаче паспорта получатель проверяет, все ли верно заполнено.
Интересный факт 2: истцы просили взыскать штраф за нарушение прав потребителей - в этом, конечно, отказано, т.к. ЗоЗПП не применим.
Интересный факт 3: истцы просили ещё и пошлину за паспорт вернуть - суд отказал с обоснованием "это убытки", т.е. покрывается той суммой, которую суд присудил как убытки

Решение Замоскворецкого районного суда г. Москвы от 02.10.26 по делу N 2-2815/2025

Моя преза с BIS SUMMIT. Я выступала в самом конце секции и мне осталось минут 9-10... А я ещё думала, что преза слишком короткая :))))

#этот_день_в_истории_штрафов
25 сентября
25 сентября 2025 г
Как пример к сегодняшнему моему выступлению про рассмотрение запросов - кейс о том, как можно от души накосячить при рассмотрении запроса субъекта ПД

25.02.2026 г. Псковский перинатальный центр расторг трудовой договор с гражданкой К. На следующий день комиссия перинатального центра составила акт о прекращении обработки персональных данных К. Судя по этому нетривиальному действию администрация что-то подозревала.
12.05.2026 перинатальный центр получил и зарегистрировал запрос от К., который "содержал ряд вопросов, касающихся ч. 7 ст. 14 ФЗ "О персональных данных"". Ответ на запрос заявительница не получила и обратилась в РКН.
Перинатальный центр пояснил, что а) ответ был направлен, но доказательства отправки почему-то не сохранились, лицо, которое отправило ответ, уволилось, и вообще у них пожар, потоп и звезда Полынь; б) позже поступил запрос третьего лица об уничтожении данных, оба запроса рассматривались вместе, ответ был совмещён и направлен 06.06.2025 (я не поняла, причем тут третье лицо, но АС не поленился разъяснить, что запросы про разное, и рассматривать их надо было по отдельности); в) поскольку обработка ПД заявительницы уже была прекращена, то запрос рассматривался по закону об обращениях граждан, а там срок - месяц; г) должностное лицо перинатального центра уже привлечено мировым судьей к административной ответственности за не направление ответа - тут АС отметил, что мировой судья рассматривал кейс с другим обращением К, поэтому не считается не имеет юридического значения в данном деле.
Перинатальный центр был оштрафован на 40.000 руб по ч.4 ст. 13.11 КоАП РФ

Решение АС Псковской области от 25.09.2026 по делу N А52-3592/2025

Завтра админа можно будет увидеть и послушать на BIS SUMMIT 2026. Выступаю на секции "Киберинциденты в практике судов", рассказываю, как ни странно, не про
киберинциденты как таковые, а про рассмотрение обращений субъектов и - если успею - РКН. Регистрация офлайн уже закрыта, но можно будет онлайн посмотреть

Персональные данные All year round pinned «#кто_тут Количество подписчиков постепенно подползает к 500. Пора в очередной раз представиться. Меня зовут Ольга Шаповалова. Я фактический DPO в карше. Персональными данными занимаюсь с 2009 г, исследованием судебной практики, кажется, с 2004. Люблю выступать…»

#кто_тут
Количество подписчиков постепенно подползает к 500.
Пора в очередной раз представиться.
Меня зовут Ольга Шаповалова. Я фактический DPO в карше.
Персональными данными занимаюсь с 2009 г, исследованием судебной практики, кажется, с 2004.
Люблю выступать публично (трындеть - не мешки ворочать), у меня это хорошо получается. По крайней мере, со мной не скучно.
Время от времени обучаю людей, мне это нравится, людям тоже :)))
Канал веду забавы ради в основном
Написала пару статей на Хабр (habr.com/ru/users/Angry_DPO)
Иногда бываю в Линке https://ru.linkedin.com/in/olga-shapovalova-828049114
Расскажите о себе в комментариях, пожалуйста :)
Мне любопытно, кто меня читает.

#ПД_в_МХК #картинка_месяца #сентябрь
И. Билибин "DPO приступает к аудиту процессов"

#не_только_штрафы #утечки
22 сентября
22 сентября 2025 г
Чем докажешь, или история о моральном вреде. В мае 2022г произошла утечка персональных данных клиентов ООО "Лаборатория Гемотест". По сообщениям СМИ, утекло около 300 ГБ данных. В июле 2022 г лаборатория была привлечена к административной ответственности по ч. 1 ст. 13.11 КоАП РФ со штрафом 60.000 руб.
Сегодняшняя история - о безуспешной попытке клиентки "Гемотеста" взыскать компенсацию морального вреда в связи с утечкой ее данных. С помощью сервисов мониторинга утечек клиентка обнаружила в открытом доступе результаты своих анализов и обратилась в суд с иском к ООО "Лаборатория Гемотест" о компенсации морального вреда. Суд первой инстанции пришел к выводу, что: 1) истица не доказала, что данные изъяты злоумышленниками именно из базы "Гемотеста", а не из "какого либо другого источника из числа многочисленных взломанных баз данных"(О_О); 2) отсутствуют доказательства вины ответчика в распространении персональных данных истицы; 3) отсутствуют доказательства наличия причинно-следственной связи между действиями (бездействием) ответчика и причиненным моральным вредом - в удовлетворении требования было отказано. Судебная коллегия по гражданским делам Мосгорсуда решение суда первой инстанции полностью поддержала.
Как видим, на ИБ можно особо не тратиться сама по себе утечка (даже с привлечением оператора к административной ответственности) существенными расходами на компенсации пострадавшим не грозит.
Интересно, пришлось ли ответчику доказывать, что "другой источник из числа многочисленных взломанных баз данных" действительно существует и содержит именно данные об анализах их клиентки? Думаю, вряд ли. Отсюда выстроилась цепочка: клиент не доказал, что данные получены именно от Гемотеста, значит, несмотря даже на наличие решения о привлечении к административной ответственности, в отношении конкретного субъекта не доказано, что данные распространены по вине ответчика.
Забавный факт №1: Получается несколько абсурдная ситуация при которой сам по себе факт утечки и вина оператора доказаны (раз оштрафовали), но они доказаны вообще, с точки зрения Вечности. А в отношении каждого отдельного клиента - извините, нет. Разумеется, доказать, что нигде во вселенной не существует вторая точно такая же база, поэтому источником данных может быть только оператор - нереально.
Забавный факт № 2: При рассмотрении утечек с точки зрения ст. 13.11 КоАП РФ принадлежность утекшей базы доказывается путем простого сравнения утекших данных с данными оператора. И как показывает кейс Юкидс, для признания базы в сотни тысяч строк принадлежащей оператору достаточно нескольких десятков совпадений.
Апелляционное определение Московского городского суда от 22.09.2025 по делу № 33-43614/2025

#этот_день_в_истории_штрафов
8 сентября
8 сентября 2025 г
Трансграничная передача. Довольно редкий кейс, в котором предметом рассмотрения стала трансграничная передача персональных данных. Причем нормальная такая передача, а не google analytics какой-нибудь.
Районная прокуратура (что примечательно, не РКН), руководствуясь решением коллегии прокуратуры Республики Башкортостан и поручениями прокуратуры г. Уфы провела проверку исполнения законодательства о противодействии экстремизму и персональных данных (интересное сочетание) директором образовательного агентства "Инкорт". Проверка установила, что агентство организует поездки детей за рубеж, в частности, в Великобританию, а уведомление о трансграничной передаче ПД в РКН направлено не было. Работники прокуратуры обследовали почтовый ящик агентства и убедились, что 20.06.2025 г персональные данные 9 несовершеннолетних были отправлены представителю учебного центра Elac в Великобританию. Датой совершения правонарушения прокуратура сочла день отправки данных (в данном кейсе отсутствие уведомления не рассматривается как длящееся правонарушение). АС Республики Башкортостан привлек директора образовательного агентства к ответственности по ч. 10 ст. 13.11 КоАП РФ, но ограничился предупреждением.
Интересный факт: если вам, как и мне, вдруг интересно, какая связь между экстремизмом и персональными данными, суд любезно прояснил этот момент. В соответствии с п. 36 Стратегии противодействия экстремизму в РФ, задачами государственной политики в сфере противодействия экстремизму в области правоохранительной деятельности (грамматическая конструкция не для слабых духом, конечно) является осуществление учета лиц, выехавших за пределы РФ для прохождения обучения в учебных центрах недружественных государств, в деятельности которых имеются признаки экстремизма.
Решение АС Республики Башкортостан от 08.09.2025 по делу № А07-27941/2025

#на_что_жалуетесь
Борец с пропускным режимом. Некий гражданин И. обратился в Управление РКН по Уральскому федеральному округу с жалобой на ЧОП в связи с тем, что охранник на входе в здание, в котором располагается архив административных органов Свердловской области, требует документы, удостоверяющие личность, и записывает данные в журнал. А без предъявления документов, что характерно, внутрь не пускает. Управление РКН по УФО в возбуждении дела об административном правонарушении отказало. Недовольный гражданин обратился в АС Свердловской области с требованием признать определение, вынесенное Управлением РКН по УФО, незаконным.
АС Свердловской области оценил ведение журналов пропускного режима, представленных ЧОП, на соответствие требованиям Постановления Правительства РФ № 687 и нашел, что все ок. Суд отдельно отметил, что объем обрабатываемых данных: фамилия, документ, время прихода, время ухода, наименование гос.органа, дата - соответствует целям обработки. В признании определения об отказе в возбуждении АП незаконным было отказано.
Забавный момент: в решении суда описана попытка гражданина И. прорваться в архив без предъявления документов: отказавшись предъявить паспорт, он "совершил самовольный проход за линию турникета на охраняемую территорию, чем нарушил пропускной режим" (обожаю этот слог) Охранник нажал тревожную кнопку для вызова группы быстрого реагирования, после чего нарушитель вернулся за турникет.
Решение АС Свердловской области от 01.06.2026 по делу № А60-7872/2025

Сегодня утром обнаружила среди подписчиков канала порнобота :) я считаю, это успех :))))

#этот_день_в_истории_штрафов
4 сентября
4 сентября 2025 г
Ошибка Яндекса. Некто обратился в Яндекс с требованием по ч. 7 ст. 14 ФЗ "О персональных данных". Запрос был подписан квалифицированной ЭЦП и направлен на адрес Яндекса, указанный в реестре операторов Роскомнадзора. Ответ заявитель не получил и обратился с жалобой в РКН. В ответ на запрос РКН Яндекс сообщил, что заявитель не предоставил сведения, подтверждающие факт обработки Яндексом его персональных данных. Однако в запросе заявителя был указан адрес электронной почты на яндексе :))) Что, по мнению РКН, уже само по себе в достаточной степени свидетельствует о наличии договора между ООО "Яндекс" и заявителем. Представитель Яндекса в суде вину признал, сослался на ошибку сотрудника и сообщил, что ответ заявителю в итоге направлен. Тем не менее, оператор был привлечен к ответственности по ч. 4 ст. 13.11 КоАП РФ со штрафом 40.000 руб.
Постановление мирового судьи судебного участка № 425 района Хамовники Хамовнического судебного района г. Москвы от 04.09.2025 по делу № 5-945/2025

#на_что_жалуетесь
Бодался теленок с дубом с Верховным судом Чувашской Республики.
Некто (Ш) обратился в Верховный Суд Чувашской республики с просьбой прекратить передачу его персональных данных и сведений о нем и его частной жизни путем удаления с официального сайта ВС ЧР текстов судебных актов по делам, в которых Ш являлся участником процесса.
ВС ЧР, разумеется, отказал. Тогда Ш обратился в Управление РКН по Приволжскому ФО с заявлением о привлечении ВС ЧР к ответственности по ч. 1,2,5,6 и 7 ст. 13.11 КоАП РФ.
По мнению заявителя, при конфликте норм ФЗ-262 "Об обеспечении доступа к информации о деятельности судов в РФ" и норм ФЗ-152 преимущество на стороне ФЗ-152. И вообще "оператор может существовать без обработки его персональных данных".
Управление РКН по ПФО в возбуждении дел об АП отказало в связи с отсутствием состава правонарушения.
Упорный заявитель последовательно обжаловал все 5 отказов в Ленинском рай.суде г. Чебоксары и просил отказы отменить, а дела возвратить на новое рассмотрение.
Думаете, Ш отказали?
А вот и нет! Жалобы Ш были удовлетворены частично. СОЮ отменил все 5 определений об отказе в возбуждении АП, но направлять дела на новое рассмотрение не стал.
Аргументы суда:
1) действие ФЗ-152 не распространяется на отношения, возникающие при распространении информации о деятельности судов;
2) к информации о деятельности судов относятся и тексты судебных актов;
3) федеральные органы исполнительной власти не имеют права осуществлять контроль за обеспечением доступа к информации о деятельности судов;
4) должностное лицо РКН в принципе не имело права разрешать вопрос о возбуждении АП в этом контексте.

Решения Ленинского районного суда г. Чебоксары по делам NN 12-402/2026, 12-403/2026, 12-404/2026, 12-405/2026, 12-406/2026

Новому учебному году - новую рубрику!
Под тэгом #на_что_жалуетесь я буду рассматривать решения судов по жалобам на отказы в возбуждении дела об АП.
Эти дела показывают, на что жалуются субъекты, в них можно найти аргументы, которыми РКН обосновывает отказ в возбуждении АП + иногда это просто смешные кейсы
Первый пост - через несколько минут :)))

#ПД_в_МХК #картинка_месяца #август
Герард ван Хонхорст "Ю. Контемиров отвечает на вопросы К. Литвинова на Дне открытых дверей РКН"

#тележка_опыта
КА: вы должны нам представить согласие, содержащее согласие на передачу согласия третьим лицам...
🤪🤪🤪