Роскомнадзор – это главный регулятор в сфере персональных данных, но при изучении судебной практики можно заметить, что значительная часть правоприменения приходится на органы прокуратуры. Более того, в некоторых сферах (например, в образовании) прокуратура действует даже активнее, чем Роскомнадзор. Что стоит знать про прокуратуру в контексте надзора за обработкой персональных данных:
⚫️Широкие полномочия для проверок и возбуждения административных дел
Прокурорский надзор не подпадает под действие Федерального закона № 248-ФЗ, поэтому прокуратура не ограничена мораторием на осуществление проверок и основаниями для их проведения. При осуществлении надзора прокуратура может возбудить дело по любой статье КоАП (ст. 28.4 КоАП РФ), и для этого не нужно проводить надзорные мероприятия по правилам, действующим для Роскомнадзора (например, ч. 3.1, 3.5 ст. 28.1 КоАП).
⚫️Широкие процессуальные полномочия в части подачи исков
Прокуратура может подать иск в защиту прав отдельного субъекта или неопределённого круга лиц (ст. 45 ГПК РФ). У Роскомнадзора тоже есть похожее право (п. 5 ч. 3 ст. 23 152-ФЗ), но пользуется он им достаточно редко, а прокуратура – наоборот, активно.
Показательный пример: в августе 2024 года прокуратура Судиславского района подала 19 (!) однотипных исков к школам и детским садам с требованием разработать и утвердить локальный акт о порядке хранения и использования персональных данных (пример 1, пример 2). Все иски были удовлетворены, и суд обязал учреждения разработать документы к 1 октября 2024 года. Интересно, что выводы прокурора и судов во всех делах были обоснованы ссылками исключительно на статью 87 ТК РФ.
⚫️«Особые» подходы
Иногда подходы прокуратуры к применению 152-ФЗ заметно отличаются от позиций Роскомнадзора. Ниже можно посмотреть несколько примеров из практики (по клику на заголовки доступны тексты решений).
- Ошибочное применение ч. 4 ст. 9 152-ФЗ (чаще встречается в делах с участием прокуратуры, хотя могут иметь место и в практике Роскомнадзора)
Дело на 300 тыс. рублей
Прокурор усмотрел признаки состава правонарушения по ч. 2 ст. 13.11 КоАП РФ в том, что общество предоставляло в ИФНС налоговую отчетность, содержащую ФИО, дату рождения, паспортные данные, ИНН, СНИЛС нескольких физических лиц. Эти лица в трудовых отношениях с обществом никогда не состояли. На общество был наложен штраф в размере 300 000 р.
Письменное согласие для договора хранения
Прокурор установил, что при заключении договоров хранения с физическими лицами ИП не получает согласия на обработку персональных данных по форме ч. 4 ст. 9 152-ФЗ. Суд привлек ИП к административной ответственности, поскольку условия договора предполагали наличие у ИП права уступки прав требования третьим лицам и, как следствие, допускали передачу персональных данных контрагентов третьим лицам. Такая передача является обработкой, для которой в силу статей 7, 9 152-ФЗ требуется согласие, которое должно соответствовать требованиям ч. 4 ст. 9 152-ФЗ.
Аналогичное дело – см. тут.
- Последствия неподачи уведомления об обработке персональных данных в Роскомнадзор
Ранее в посте про подачу уведомления об обработке персональных данных мы писали, что Роскомнадзор до возбуждения административного производства обычно направлял запрос о необходимости подать уведомление. Если и после этого запроса оператор не подавал уведомление или нарушал срок, указанный в запросе, то оператора привлекали к ответственности. В отличие от Роскомнадзора, прокуратура обычно сразу выносила постановление о возбуждении дела и передавала его в суд без предварительных запросов оператору (см. пример 1, пример 2).
Если у вас есть ещё примеры подобных расхождений или иных интересных дел с участием прокуратуры, делитесь в комментариях или присылайте @good_ks. Возможно, они заслуживают отдельной публикации!