Оспаривание штрафов за нарушения при обработке персональных данных: ст. 13.11 КоАП РФ

[организация]

Анализ судебной практики по административным делам, связанным с нарушениями в сфере обработки персональных данных, показал, что процент удовлетворения требований компаний об отмене штрафов [организация] невысок. Чаще всего суды подтверждают законность наложения штрафов, однако есть случаи, когда административные производства прекращаются из-за малозначительности правонарушения или отсутствия состава административного правонарушения.

Ключевые факторы, влияющие на успех компаний (неналожение штрафа) включают:

• Малозначительность правонарушения: Если нарушение не повлекло существенного вреда и было устранено добровольно.
• Отсутствие состава административного правонарушения: Несоблюдение формальных требований, когда обработка персональных данных осуществлялась в соответствии с законом, например, на основе общедоступных источников (реестров) или в рамках исполнения государственно-властных или муниципальных функций.
• Процессуальные нарушения со стороны надзорного органа: Например, неполная проверка обстоятельств дела.

Статистика проанализированных релевантных дел:

Из 20 проанализированных дел:

• Положительный исход для компаний (отмена штрафа или отказ в удовлетворении требований [организация]): 4 дела (20%)
  • 2 дела (10%) были прекращены в связи с малозначительностью правонарушения.
  • 1 дело (5%) было прекращено за отсутствием состава административного правонарушения.
  • 1 дело (5%) связано с отменой определения [организация] об отказе в возбуждении дела (не в пользу компании, но и не штраф).
• Отрицательный исход для компаний (наложение штрафа или признание действий/бездействия [организация] законными): 11 дел (55%)
• Частичное удовлетворение требований компаний: 1 дело (5%)
• Добровольное исполнение требований [организация] (прекращение дела): 1 дело (5%)
• Назначено судебное заседание: 2 дела (10%)
• Перерыв в заседании: 1 дело (5%)

Следует отметить, что данная статистика основана на ограниченной выборке и не может отражать общую картину по всем административным делам.

1. ПРАВОВЫЕ ОСНОВАНИЯ

Основным нормативным актом, регулирующим отношения, связанные с обработкой персональных данных, является Федеральный закон от 27.07.2006 № 152-ФЗ "О персональных данных" (далее - ФЗ № 152-ФЗ).

Статья 13.11 КоАП РФ устанавливает административную ответственность за нарушение законодательства Российской Федерации в области персональных данных. Конкретные части статьи 13.11 КоАП РФ, применявшиеся в делах:

• Часть 1 ст. 13.11 КоАП РФ: Нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных). (Пример: Дело № 12-25/2022, Ленинский районный суд г. Иваново)
• Часть 3 ст. 13.11 КоАП РФ: Невыполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по опубликованию или обеспечению иным образом неограниченного доступа к документу, определяющему политику оператора в отношении обработки персональных данных, или сведениям о реализуемых требованиях к защите персональных данных. (Пример: Дело № 5-1179/2019, Судебный участок № 4 Ломоносовского судебного района г. Архангельска)

Также в судебных актах упоминаются:

• Статья 19.7 КоАП РФ: Непредставление или несвоевременное представление в государственный орган (должностному лицу) сведений (информации), представление которых предусмотрено законом и необходимо для осуществления этим органом (должностным лицом) его законной деятельности, а равно представление в государственный орган (должностному лицу) таких сведений (информации) в неполном объеме или в искаженном виде. (Пример: Дело № 5-106/9-2012, Судебный участок № 9 Индустриального района г. Хабаровска)
• Федеральный закон от 02.05.2006 № 59-ФЗ "О порядке рассмотрения обращений граждан Российской Федерации".
• Постановление Правительства РФ от 16.03.2009 № 228 "О [организация]" (Положение о [организация]), определяющее функции и полномочия [организация].

Толкование норм судами:

• Суды исходят из того, что оператор персональных данных обязан уведомить [ФИО] о своем намерении осуществлять обработку персональных данных, за исключением случаев, прямо предусмотренных законом (например, обработка персональных данных своих работников, или если данные получены в связи с заключением договора и не распространяются). (Дело № 12-349/2017, Сызранский городской суд Самарской области)
• Малозначительность правонарушения (ст. 2.9 КоАП РФ) может быть основанием для освобождения от административной ответственности и ограничения устным замечанием, если нарушение не повлекло существенного вреда и было устранено. (Дело № 12-464/11, Находкинский городской суд Приморского края).
• [ФИО] как уполномоченный орган обязан рассматривать жалобы и обращения граждан по вопросам, связанным с обработкой персональных данных, и принимать решения по результатам их рассмотрения. (Дело № 02а-0746/2023, Преображенский районный суд)
• Суды также рассматривают вопрос о соблюдении процессуальных требований при составлении протоколов и вынесении постановлений. Существенные нарушения процессуальных требований могут привести к отмене постановления (Дело № 12-25/2022, Ленинский районный суд г. Иваново).

2. АНАЛИЗ СУДЕБНОЙ ПРАКТИКИ

2.1. Дела с положительным исходом (для компаний)

• Дело № 12-464/11 от 28.09.2011, Находкинский городской суд Приморского края.

  • Обстоятельства: Председатель [организация] [ФИО] был привлечен к административной ответственности по ст. 13.11 КоАП РФ за сбор и обработку персональных данных членов ГСК без регистрации в [организация].
  • Исход: Суд отменил постановление мирового судьи и прекратил производство по делу, признав правонарушение малозначительным. Суд учел, что действия [ФИО] не носили умышленного характера, не причинили вреда и правонарушение было устранено (ГСК зарегистрировалось в [организация]).
  • Ключевой фактор: Малозначительность правонарушения и отсутствие существенного вреда.

• Дело № 5-30/2013 от 31.01.2013, Судебный участок № 19 Центрального района г. Читы.

  • Обстоятельства: Администрация муниципального района «Читинский район» была привлечена по ст. 13.11 КоАП РФ за обработку персональных данных индивидуальных предпринимателей без уведомления [организация] и без получения согласия субъектов, при формировании ежегодного плана проверок.
  • Исход: Производство по делу прекращено за отсутствием состава административного правонарушения. Суд пришел к выводу, что [организация] использовала сведения из Единого государственного реестра индивидуальных предпринимателей (федеральный информационный ресурс), и такие действия не требуют уведомления [организация] или согласия субъектов в силу закона.
  • Ключевой фактор: Отсутствие состава административного правонарушения, так как действия оператора соответствовали закону.

• Дело № 5-106/9-2012 от 21.03.2012, Судебный участок № 9 Индустриального района г. Хабаровска.

  • Обстоятельства: [организация] привлекалось по ст. 19.7 КоАП РФ за непредоставление информации в [организация] по Хабаровскому краю и Еврейской автономной области.
  • Исход: Производство по делу прекращено, а [организация] освобождено от административной ответственности в связи с малозначительностью правонарушения и ограничением устным замечанием. Суд учел, что уведомление в [[организация]] фактически поступило к моменту рассмотрения дела, и общество ранее не привлекалось к ответственности.
  • Ключевой фактор: Малозначительность правонарушения и устранение нарушения до рассмотрения дела.

• Дело № 12-25/2022 (12-325/2021;) от 01.12.2021, Ленинский районный суд г. Иваново.

  • Обстоятельства: ФИО7 (гражданин) обжаловал определение [организация] об отказе в возбуждении дела об административном правонарушении в отношении [ФИО] по ч. 1 ст. 13.11 КоАП РФ (неправомерная обработка персональных данных).
  • Исход: Жалоба ФИО7 удовлетворена, определение [организация] отменено, дело возвращено на новое рассмотрение. Суд установил, что [ФИО] не проверил должным образом доводы гражданина о неправомерной обработке данных (не удаление и необезличивание биометрических данных после достижения цели обработки).
  • Ключевой фактор: Существенное процессуальное нарушение со стороны [организация] (неполнота проверки).

• Дело № 2-1066/2011 от 14.01.2011, Басманный районный суд Москвы.

  • Обстоятельства: [ФИО], информационных технологий и массовых коммуникаций ([ФИО]) обратилась в суд с иском к [организация]» о признании действий по обработке персональных данных граждан РФ нарушающими права неопределенного круга лиц и обязании удалить персональные данные.
  • Исход: Производство по делу прекращено в связи с отказом истца ([организация]) от иска по причине добровольного исполнения ответчиком требований [организация].
  • Ключевой фактор: Добровольное устранение нарушения ответчиком до рассмотрения дела.

2.2. Дела с отрицательным исходом (для компаний)

• Дело № 02-1613/2022 от 26.04.2022, Таганский районный суд Москвы.

  • Обстоятельства: [ФИО] обратился с иском к [организация] об удалении общедоступной информации, содержащей его персональные данные, из реестра [организация] после прекращения деятельности сетевого издания.
  • Исход: Исковые требования оставлены без удовлетворения. Суд указал, что размещение сведений об учредителе [организация] является законодательно предусмотренной обязанностью [организация], а действующее законодательство не предусматривает исключение таких сведений из реестра только на основании прекращения деятельности [организация]. Обработка данных осуществлялась [организация] в рамках исполнения возложенных на него функций и полномочий.
  • Причина отказа: Действия [организация] не противоречили закону, истец основывал свои требования на ошибочном толковании норм материального права.

• Дело № 02а-0177/2023 от 15.03.2023, Таганский районный суд Москвы; Дело № 33а-2392/2024 от 09.02.2024, Московский городской суд (то же дело в апелляционной инстанции).

  • Обстоятельства: [ФИО] просила суд признать незаконным бездействие [организация], выразившееся в отказе рассмотреть по существу заявление о привлечении к ответственности неизвестных лиц за незаконное использование ее персональных данных в [организация].
  • Исход: Отказано в удовлетворении требований. Суд пришел к выводу, что обращение рассмотрено в установленном порядке, дан ответ по существу, вынесено определение об отказе в возбуждении дела об административном правонарушении, оспариваемого бездействия не допущено. В апелляции решение оставлено без изменения.
  • Причина отказа: Действия [организация] признаны законными, отсутствовало реальное бездействие.

• Дело № 12-349/2017 от 11.07.2017, Сызранский городской суд Самарской области.

  • Обстоятельства: [организация] обжаловало постановление мирового судьи о привлечении к административной ответственности по ст. 13.11 КоАП РФ за ненаправление уведомления об обработке персональных данных в [ФИО]. Управляющая компания ссылалась на исключения из обязанности уведомлять.
  • Исход: Постановление мирового судьи оставлено без изменения, жалоба [организация] без удовлетворения. Суд указал, что управляющая компания передает информацию, содержащую персональные данные, в различные органы без согласия субъектов, а также обрабатывает данные членов семей собственников, которые не являются стороной договора. Таким образом, [организация] не подпадало под исключения, предусмотренные ч. 2 ст. 22 ФЗ № 152-ФЗ.
  • Причина отказа: Несоблюдение требований ФЗ № 152-ФЗ, ошибочное толкование компанией положений закона об исключениях из обязанности уведомления.

2.3. Ключевые факторы успеха

Исходя из анализа судебной практики, следующие факторы могут способствовать успешному исходу для компаний в административных делах с [организация] по поводу обработки персональных данных:

1. Малозначительность правонарушения (ст. 2.9 КоАП РФ): Если нарушение носит формальный характер, не повлекло существенного вреда и было оперативно устранено компанией, есть шанс на применение ст. 2.9 КоАП РФ и освобождение от ответственности с вынесением устного замечания.
2. Отсутствие состава административного правонарушения: Если компания может доказать, что ее действия по обработке персональных данных полностью соответствовали требованиям законодательства (например, данные получены из общедоступных источников, обработка необходима для исполнения закона или договора и не выходит за его рамки, и отсутствовала обязанность уведомлять [ФИО] или получать согласие субъекта), дело может быть прекращено за отсутствием состава правонарушения.
3. Процессуальные нарушения со стороны [организация]: Важно внимательно отслеживать соблюдение [организация] всех процессуальных норм при проведении проверок и составлении протоколов. Существенные процессуальные нарушения могут стать основанием для отмены постановления. (Неполнота проверки, нарушение сроков рассмотрения).
4. Добровольное устранение нарушений: Если компания добровольно устранила выявленные нарушения до рассмотрения дела в суде, это может быть учтено судом как смягчающее обстоятельство и в некоторых случаях привести к прекращению производства.
5. Компетентность и пределы полномочий [организация]: Суды строго следят за тем, чтобы [ФИО] действовал в рамках своих полномочий, определенных законодательством. Если [ФИО] выходит за свои полномочия, это может служить основанием для оспаривания его действий.

3. ПРАКТИЧЕСКИЕ РЕКОМЕНДАЦИИ

Для компаний, желающих избежать штрафов за нарушения в области обработки персональных данных, и успешно оспорить решения [организация], рекомендуется следующее:

1. Тщательное изучение и соблюдение ФЗ № 152-ФЗ: Убедитесь, что все процессы обработки персональных данных в вашей компании соответствуют требованиям закона. Это включает получение согласий субъектов, цели обработки, ее правовые основания, а также меры по обеспечению безопасности данных.
2. Регистрация в реестре операторов персональных данных: Если ваша компания обрабатывает персональные данные, и эти действия не подпадают под исчерпывающий перечень исключений, предусмотренных ст. 22 ФЗ № 152-ФЗ, обязательно направьте уведомление в [ФИО].
3. Разработка и публикация политики обработки персональных данных: Каждая компания-оператор обязана определить свою политику в отношении обработки персональных данных и обеспечить к ней неограниченный доступ.
4. Соблюдение процедур при запросах [организация]: В случае получения запроса от [организация] о предоставлении информации, необходимо своевременно и в полном объеме предоставить запрашиваемые сведения в установленные сроки.
5. Оперативное устранение выявленных нарушений: Если [ФИО] выявил нарушения, постарайтесь максимально быстро их устранить. Это может быть учтено судом как смягчающее обстоятельство.
6. Внимательный анализ протоколов и решений [организация]: При оспаривании постановлений или действий [организация], тщательно изучите все документы на предмет возможных процессуальных нарушений со стороны надзорного органа.
7. Привлечение квалифицированных юристов: Защита по таким делам требует глубоких знаний законодательства о персональных данных и административного процесса. Квалифицированный юрист поможет правильно оценить ситуацию, выработать стратегию защиты и оспорить неправомерные действия [организация].
8. Документирование всех действий: Ведите подробный учет всех действий, связанных с обработкой персональных данных, включая получение согласий, изменения в политике, меры по обеспечению безопасности, а также взаимодействие с [организация].

4. Таблица ссылок на релевантные дела