Серия судебных дел по жалобам субъектов: выводы для операторов

Мы проанализировали серию арбитражных дел (А68-13378/2024, A68-3697/2025, A68-3650/2025), в которых гражданка судилась с Роскомнадзором. Суть споров: заявительница пожаловалась регулятору на крупный банк (СМС-рассылки, выпуск карт, передача данных), требуя оштрафовать банк. РКН не нашел нарушений и отказал в возбуждении административных дел. Гражданка не согласилась с позицией регулятора и пошла в суд оспаривать отказы в возбуждении дел.

Несколько практических моментов, которые значимы для операторов:

✔️ Неотправленная веб-форма не создает факта обработки, если персональные данные не сохраняются в системах оператора
Заявительница получила СМС с кодом подтверждения заявки на кредитную карту и утверждала, что банк незаконно обрабатывает её данные, так как она заявку не подавала. Суд установил, что если пользователь не подтвердил заявку кодом из СМС, то заявка не сохраняется в системах банка. В логах сайта идентификаторы клиентов не хранятся. Следовательно, событие административного правонарушения отсутствует, так как факт обработки данных конкретного лица не доказан.

❓В договоре стоит прямо указывать на разграничение обязанностей по получению согласия
Банк получил от работодателя персональные данные гражданки для выпуска зарплатной банковской карты. Когда банк попытался вручить карту, гражданка заявила, что не давала банку согласие на обработку данных. После этого она обратилась в РКН с жалобой на наличие в действиях банка признаков состава по ч. 2 ст. 13.11 КоАП РФ (отсутствие письменного согласия). РКН отказал в возбуждении дела, сославшись на договор между банком и работодателем, в котором была гарантия работодателя о том, что он получил все необходимые согласия субъектов на передачу данных банку. Кроме того, РКН не усмотрел причин для получения банком согласия именно в письменной форме – отметим, что необходимость в получении такого согласия работодателем в решении не рассматривалась. Суд с позицией РКН согласился.

❗️Отказ в возбуждении дела: грани обязанностей РКН по мотивировке решения
Гражданка обратилась в РКН с жалобой на банк, который не уничтожил ее персональные данные после отзыва согласия. После изучения жалобы и ответов банка, РКН отказал в возбуждении дела. Суд признал отказ незаконным, поскольку РКН не запросил у банка документы об уничтожении данных. Кроме того, отказ РКН не был должным образом мотивирован: хотя банк указывал, что данные гражданки не были уничтожены в связи с наличием судебных споров (т.е. банк был вправе не прекращать обработку), РКН не сослался на эти обстоятельства в определении об отказе в возбуждении дела.

Вывод: при ответе на запрос регулятора об уничтожении целесообразно сразу прикладывать подтверждающие документы (а лучше проект определения об отказе в возбуждении дела), а также аргументировать причины, по которым оператор вправе продолжить обработку, если это применимо. Это не только снимет вопросы у регулятора, но и снизит риски последующего оспаривания его решения со стороны субъекта.