Персональные данные All year round

#отделка_дров
В процессе собесов с молодежью и разборов тестовых пришла идея коучинга по ПД.
Для тех, у кого не хватает компетенций и собственного опыта
Как думаете, надо?

Все ещё ищу помощника :)
Пока помощник не найдется, времени на канал, увы, нет :(((

#этот_день_в_истории_штрафов #утечки
3 июня
3 июня 2026 г
Спб. Утечка у ООО "Фудлайв". Компании принадлежит сайт Dietology.live, посвященный вопросам контроля веса и питания (кстати, сайт позиционирует себя как проект того самого Fitstars, который в ТГ рекламируется из каждого утюга). В Политике обработки ПД ООО "Фудлайв" указывает, что доступ к ИСПДн "осуществляется по логину и паролю с обязательной двухфакторной аутентификацией. Все действия с данными регистрируются. Запрещён несанкционированный экспорт и выгрузка данных без согласования". Тем не менее, в июне 2025 г. "в результате компрометации пароля от аккаунта ООО «ФудЛайв» в программе «YClients»" произошла несанкционированная выгрузка ПД клиентов компании: ФИО, номер телефона, адрес эл. почты. Расследование инцидента, проведенное компанией, показало, что после входа в систему CRM злоумышленники собрали данные через парсинг интерфейса, либо запросы к API. Позже полученные данные были размещены в ТГ-канале. Количество затронутых субъектов - около 20 тысяч. АС г. Санкт-Петербурга привлек ООО "Фудлайв" к ответственности по ч. 13 ст. 13.11 КоАП РФ, как обычно, назначив предупреждение. Потому что штрафы вводились не для того, чтобы их применять. Как и в других делах по утечкам, тут видим объективное вменение: оператор не предоставил доказательства "невозможности соблюдения Обществом требований законодательства в силу чрезвычайных событий и обстоятельств, которые оно не могло предвидеть и предотвратить, равно как и доказательства принятия необходимых и своевременных мер, направленных на недопущение правонарушения при соблюдении той степени заботливости и осмотрительности, которая от него требовалась" - стандартная фраза, кочующая из решения в решение.
Важный факт: дата правонарушения - не дата распространения ПД, а дата первого факта неправомерной передачи (т.е. по сути - момент доступа злоумышленников к базе), в данном случае 05.06.2026 г.
Забавный факт: дело об АП изрядно попутешествовало. В сентябре РКН направил материалы в АС СПб, но суд возвратил заявление. В октябре РКН обратился в Октябрьский районный суд СПб (почему?! подсудность все еще арбитражная), Октябрьский районный передал в Петроградский районный, который передал в Куйбышевский районный (чего они его пинают по районам, подсудность - арбитражная...), который передал в дом, который построил Джек в АС СПб - где дело, наконец, и было рассмотрено.
Решение АС г. Санкт-Петербурга и Ленинградской области по делу № А56-46276/2026

Админ этим вечером

В этом году 20 лет со дня принятия Федерального закона "О персональных данных".

Lukash & Partners, Безопасность 360 и Авито организовали конференцию к юбилею: 20 лет закону о персональных данных.

Приглашаю Вас 2 июля 2026 года встретиться вживую, подвести итоги, оценить его развитие, а главное, погрузиться в экспертизу ведущих практиков страны.

Я выступаю программным директором, где отдаю приоритет высокой экспертизе и практической пользе для операторов персональных данных.

Программа состоит из нескольких секций:

🔹Тенденции развития законодательства о персональных данных (секция с участием представителей органов власти)
🔹Аудит процессов обработки персональных данных (делимся опытом)
🔹Защита персональных данных в ИСПДн (технический аспект)
🔹Персональные данные в бизнес-процессах (юридический аспект)
🔹Круглый стол экспертов "Privacy Club"

Privacy Club - это интерактивная дискуссия, которую раньше организовывали в ограниченном кругу на площадке ВТБ. На этой конференции в ней смогут принять участие все участники и спикеры.

Регистрация: Программа и регистрация по ссылке.
Дата: 2 июля 2026 года.
Место: Москва, Новотель, ул. Киевская, 2.

Конференция платная, но организаторы постарались стоимость сделать минимальной и добавили скидки при ранней регистрации.

Верховный суд требует сообщать об использовании ИИ

Верховный суд России впервые прямо зафиксировал важное правило для участников гражданского процесса: если сторона представляет суду сведения о фактах, полученные с использованием искусственного интеллекта, она должна сообщить об этом суду.

📄 Речь идёт о Постановлении Пленума ВС от 21 мая 2026 года № 15. В нём Верховный суд напоминает базовый принцип: суд может устанавливать обстоятельства дела только на основании доказательств, предусмотренных законом. Это объяснения сторон, показания свидетелей, письменные и вещественные доказательства, аудио- и видеозаписи, заключения экспертов и другие допустимые доказательства по ГПК.

📢 На этом фоне ИИ не становится отдельным видом доказательства. Нейросеть сама по себе не превращает информацию в юридически значимый факт. Но если с её помощью были получены, обработаны или сформированы сведения, которые затем подаются в суд, об этом нужно прямо сообщить.

🧩Таким образом, Верховный суд начинает постепенно встраивать ИИ в процессуальные правила. Но пока очень осторожно, через обязанность раскрывать его использование там, где это может повлиять на установление фактов по делу.

Интересное

Моя презентация с вебинара для RPPA по практике по ст 13.11. Занимательная статистика и интересные кейсы. Enjoy!

#этот_день_в_истории_штрафов #утечки
26 мая
26 мая 2026 г.
Опубликована резолютивная часть решения АС Хакасии по делу об утечке в очередном Орион Телекоме.
Long story short: переквалификация на ч. 1 ст. 13.11 КоАП РФ, наказание - предупреждение.
Главная интрига: откуда переквалификация?
Орион представил суду новый отчет "Бизона" - отчет об анализе файлов от 16.10.2025 (прямо сразу становится интересно, если этот отчет об анализе файлов был в распоряжении Орионов еще на старте рассмотрения дел, от чего же другие компании его не показали?) , в котором указывается, что "при сопоставлении файлов с персональными данными, имеющихся у общества, и персональных данных, которые незаконно раскрыты неопределенному кругу лиц, установлено, что третье (неустановленное) лицо получило доступ к этим данным 24.05.2025" - то есть до вступления в силу ч. 13 ст. 13.11 КоАП РФ. Интересно, что отчет Бизона №1 (о расследовании инцидента) указывает, что самая ранняя активность на серверах Ориона зафиксирована 30.05.2025. АС Хакасии тут противоречий не увидел. Неустановленное лицо неустановленным способом, не оставив следов, получило доступ к данным 24.05.2026, а потом кто-то залез 30.05 - и наследил. Действительно, что может быть более правдоподобным. Позвольте, зашел с козырей РКН, но распространили данные супостаты 29.07.2025, то есть когда ч. 13 ст. 13.11 КоАП уже действовала. Дальше сложное, юридическое. АС Хакасии решил, что, во-первых, правонарушение по ч. 13 считается оконченным в момент наступления любого из последствий, предусмотренных диспозицей статьи, включая доступ. В конкретном случае правонарушение Ориона состояло в том, что по их безалаберности злоумышленники получили доступ к данным - и было завершено в момент получения доступа, т.е., если верить второму отчету "Бизона", 24.05.2025. Во-вторых, дальнейшее распространение данных происходило уже без участия Ориона, соответственно, за распространение Орион ответственность нести не может - не они же распространяли. Таким образом, по мнению АС Хакасии, Орион свое правонарушение совершил до вступления ч. 13 ст 13.11 КоАП РФ в силу, соответственно, следует отпустить их с Богом переквалифицировать все это на ч. 1 ст. 13.11 КоАП РФ. Все это очень интересно и поучительно, но на судьбу Ориона никак не повлияло - все равно предупреждение. Стоило ли огород городить
На этом фоне, конечно, очень жаль, что дела по ст 13.11 КоАП РФ вернулись к мировым. От мирового судьи развернутых аргументированных решений можно не ждать - не тот уровень, не те ресурсы...
Решение АС Республики Хакасия по делу N°А74-10378/2025

Верховный суд обобщит судебную практику по делам связанным с ИИ ⚖️

Верховный суд РФ начинает масштабное изучение судебной практики, связанной с применением искусственного интеллекта. Соответствующее поручение дал председатель ВС Игорь Краснов. Анализ затронет все виды судопроизводства.

Главная задача - понять, с какими правовыми проблемами уже сталкиваются суды при рассмотрении дел, где фигурируют ИИ-системы, нейросети, дипфейки и сформированные ИИ материалы.

Особое внимание планируется уделить гражданско-правовым спорам. В частности, суды должны изучить дела о возмещении вреда, причиненного решениями ИИ. Один из ключевых вопросов здесь - кто должен отвечать за такие последствия.

Отдельное направление связано с защитой чести, достоинства и деловой репутации. Верховный суд проанализирует дела о распространении порочащих сведений, созданных с помощью ИИ, включая дипфейки.

Еще один блок касается интеллектуальной собственности. В фокусе будут споры об использовании произведений при обучении больших языковых моделей и других ИИ-систем без согласия правообладателей. Для судов это один из наиболее сложных вопросов: нужно определить, где проходит граница между допустимой технологической обработкой данных и нарушением авторских прав.

В административных делах Верховный суд намерен изучить практику оспаривания решений органов власти, если они были приняты с учетом рекомендаций или выводов ИИ. Также в анализ войдут дела, связанные с фиксацией правонарушений системами видеоаналитики и распознавания лиц.

Уголовно-правовой блок будет посвящен преступлениям, совершенным с использованием новых технологий. Речь, в частности, идет о мошеннических схемах с чат-ботами, применении дипфейков и иных способах имитации личности или введения потерпевших в заблуждение.

Кроме того, суды должны оценить, как в процессе используются документы, заключения и иные материалы, сформированные искусственным интеллектом. Верховный суд также изучит случаи, когда участники процесса обжаловали судебные акты, утверждая, что судья использовал ИИ-инструменты при их подготовке или вынесении.

По итогам этой работы Верховный суд сможет, при необходимости, дать разъяснения для нижестоящих инстанций, чтобы сформировать единообразный подход к таким спорам. Если практика покажет пробелы или противоречия в действующем регулировании, Верховный суд сможет выступить с инициативой о корректировке законодательства.

Не совсем наша тема, но интересное

#отделка_дров
Кто хочет со мной работать?
Ищу юного или не очень падавана себе в помощники.
Место действия: Москва
Задачи:
- отвечать на запросы субъектов ПД;
- согласовывать договоры с КА в части ПД;
- консультировать другие подразделения;
- разрабатывать формы/шаблоны;
- разное.
Требования:
- мозги собственные, а не заёмные (ИИ в ПД пока ни оч);
- высшее юридическое, или хотя бы законченный бакалавриат, ВУЗ из большой тройки: МГУ, МГИМО, ВШЭ - будет преимуществом;
- грамотная письменная речь;
- знание ФЗ-152 и хотя бы общее представление о практике его применения;
- опыт 1-2 года в сфере ПД; если опыта нет, но хочется, тоже можно попробовать.
Условия:
- аккредитованная IT-компания;
- гибрид;
- подчинение мне;
- обучение за счёт работодателя;
- ДМС и плюшки;
- з/п в рынке по итогам собеседования.

Резюме в ЛС @O_Sha13
Шер, лайк, репост.

#этот_день_в_истории_штрафов
21 мая
21 мая 2026 г.
АС Республики Хакасия вынес решение по последнему делу Орион Телекома. Очередная компания группы была привлечена к ответственности по ч. 13 ст. 13.12 КоАП РФ. Наказание - предупреждение.
Штош... Пароли можно не менять годами - и ничего не будет, даже за масштабную утечку.

Решение АС Республики Хакасия по делу N°А74-10378/2025

#день_удивительных_открытий
Внезапно (не спрашивайте) стало любопытно, кого в этом году РКН оштрафовал за локализацию. Про издателей компьютерных игр все слышали. А вот вам сюрприз: 6 из 10 иностранцев, оштрафованных по ч. 9 в этом году - организации, связанные с дайвингом/фридайвингом. Обучение, снаряжение, сертификация и т.д...
Прямо интересно, как РКН выбирает жертвы... Почему вдруг дайвинг?

Написала две статьи на Хабр. Не уверена, что Хабр такая прямо отличная площадка для статей о праве, но вай бы и нот.
Очень хочется писать в хаб "Законодательство в IT", но для этого у меня карма маловата. Надо 15, а есть только 5.
Други, кто на Хабре есть, накидайте мне плюсиков в карму, пожалуйста
Статья номер раз: https://habr.com/ru/articles/1033666/
Статья номер два: https://habr.com/ru/articles/1037102/

#этот_день_в_истории_штрафов #утечки
Оказывается, суд признал 6 компаний группы "Орион Телеком" невиновными в распространении данных пользователей.
Что сказать, сильное заявление :)))
Пять из шести компаний привлечены к административной ответственности, т.е. как раз признаны виновными :)))
В двух случаях назначено предупреждение. Ещё три санкции скрыты завесой тайны, т.к. суд согласился провести заседания в закрытом режиме.
И наконец, шестое дело ещё в процессе - следующее заседание назначено на 21 мая.
Но ничто не мешает оператору объявить себя невинным как младенец :))))
А вы говорите "репутационные риски"...

#этот_день_в_истории_штрафов
15 мая
15 мая 2026 г
Продолжение рассмотрения группы об утечке в Орион Телекоме. На этот раз АС Красноярского края привлек к ответственности по ч. 13 ст. 13.11 ООО "45КА" и ООО "Орион Телеком"*; по ч. 1.1 ст. 13.11 ООО "КрисТелеком", - это известно из карточек дел. Решения суда не опубликованы, даже резолютивная часть - пустая. Какое наказание назначено - неизвестно. Интересно, что все три дела рассматривалось в закрытом судебном заседании по ходатайству привлекаемых к ответственности лиц.
Чего уж там такого секретного, чего общественность не видела уже в предыдущих двух делах по Ориону...

* Это другой Орион, не тот, что в прошлый раз

Решения АС Красноярского края по делам N°N° А33-29369/2025, А33-29658/2025, А33-30636/2025

#этот_день_в_истории_штрафов #утечки
12 мая
12 мая 2026 г
Продолжение истории с утечкой в группе компаний Орион. АС Иркутской области привлек ООО "Орион Телеком" (кстати, в группу входит еще 2 компании с идентичным названием, отличаются только по ОГРН) к ответственности по ч. 13 ст. 13.11 КоАП РФ в связи с утечкой персональных данных 36544 субъектов ПД. АС Иркутской области при вынесении решения опирался на тот же самый отчет Бизона о расследовании инцидента, который фигурировал в деле "Комлайна". АС Иркутской области практически дословно повторяет вывод АС Кемеровской области о небрежном отношении Орион Телекома к требованиям ИБ. Как и в первом деле, в качестве наказания назначено предупреждение. Текст решения содержит указание на то, что управление РКН возражало против предупреждения, но не смогло настоять на штрафе. АС Иркутской области указал, что назначение штрафа не отвечало бы принципу соразмерности и носило бы неоправданно карательный характер - как-то даже не ждешь от российского правосудия на современном этапе его развития таких смелых формулировок.
Интересный факт 1: ООО "Орион Телеком" ссылалось на то, что есть уголовное дело, а значит выводы РКН о "единоличной виновности" Ориона в утечке преждевременны, т.е. повторяло позицию 9ААС, но АС Иркутской области отклонил этот довод
Интересный факт 2: в уведомлении оператора об утечке указано количество скомпрометированных строк: 25065. При этом вменяется Ориону утечка данных 36544 субъектов. Любопытно, почему не бьются цифры
Интересный факт 3: Орион обнаружил утечку 12.06.25, но пытался доказать, что она произошла раньше, до введения в действие ч 13 ст 13.11 КоАП РФ. Но тут им не повезло, т.к. по отчету Бизона, самый ранний скомпрометированный сервер был скомпрометирован 30.05.26 - как нарочно :)
Интересный факт 4: Орион ссылался на то, что РКН должен блокировать ТГ канал украинских хакеров - вот это интересный аргумент: если из России недоступно, то утечки как бы и нет? - но суд счел, что это к делу не относится.

Решение АС Иркутской области по делу № А19-25808/2025

Я ничего не писала про День Победы, поскольку мое восприятие праздника очень отличается от общеобязательного, а разводить ссоры и портить людям праздничное настроение я не хочу. Как бы там ни было, сейчас у соотечественников поводов ни для гордости, ни для радости не избыток. А мертвые - мертвы, и их уж точно ничто не заденет. Случайно наткнулась на пост Гордеевой (признана Минюстом иностранным агентом, если для кого-то это важно), с которым очень солидарна. Поэтому оставлю тут. Думаю, что уж ребенок блокады не вызовет ни чьего осуждения