Ответственность владельца сайта за распространение персональных данных третьих лиц

РЕЗЮМЕ

Владелец сайта в российской судебной практике квалифицируется как оператор персональных данных (ПДн), который несет ответственность за соблюдение прав субъектов данных на своем ресурсе, даже если незаконное размещение ПДн было осуществлено третьими лицами (пользователями). Суды исходят из того, что администратор домена самостоятельно определяет порядок использования сайта и, следовательно, обязан пресекать нарушения, связанные с незаконным сбором и распространением конфиденциальной информации. В случае выявления нарушений владелец сайта подвергается риску привлечения к административной ответственности (ст. 13.11 КоАП РФ), а также обязан исполнить предписания о блокировке интернет-страниц, содержащих ПДн без согласия субъекта. Статистика проанализированных дел: 8 дел из СОЮ, 2 дела из арбитражной практики. Общая тенденция: суды последовательно встают на сторону субъектов персональных данных и Роскомнадзора, требуя от владельцев ресурсов удаления незаконных данных.

1. ПОЗИЦИЯ ВЕРХОВНОГО СУДА

В рамках проведенного поиска по базам данных ВС РФ специализированных постановлений Пленума или обзоров судебной практики, посвященных именно ответственности владельцев сайтов за действия пользователей в контексте ФЗ-152, зафиксировано не было. Суды при рассмотрении дел ориентируются на нормы Конституции РФ (ст. 23 — право на неприкосновенность частной жизни) и федеральное законодательство (ФЗ-152 «О персональных данных», ФЗ-149 «Об информации...»).

2. ПРАВОВЫЕ ОСНОВАНИЯ

• ФЗ-152 «О персональных данных»: Статьи 3, 6, 7, 9, 10.1 обязывают оператора не распространять ПДн без согласия субъекта. Субъект данных имеет право требовать от оператора уточнения, блокировки или уничтожения данных (ст. 14, 21).
• ФЗ-149 «Об информации, информационных технологиях и о защите информации»: Статья 15.5 устанавливает механизм внесения ресурсов в «Реестр нарушителей прав субъектов персональных данных» на основании вступившего в силу судебного акта.
• КАС РФ (ст. 265.1–265.5): Процессуальный порядок рассмотрения дел о признании информации, обрабатываемой с нарушением законодательства о ПДн, запрещенной к распространению.
• КоАП РФ (ч. 2 ст. 13.11): Административная ответственность за обработку ПДн с нарушением требований к составу сведений в согласии или при отсутствии согласия в предусмотренных законом случаях.

3. АНАЛИЗ СУДЕБНОЙ ПРАКТИКИ

3.1. Дела с положительным иском (удовлетворенные Роскомнадзором/субъектом данных)

В этих делах суды признали действия владельцев сайтов незаконными или обязали их ограничить доступ к контенту:

• 2-2332/2022 — Заводский районный суд г. Кемерово: удовлетворен иск Роскомнадзора к Automattic Inc. о признании информации о лице запрещенной.
• 33-46651/2022 — Мосгорсуд: оставлено в силе решение против [ФИО] (YouTube), признавшее размещение видео с персональными данными незаконным.
• 2-2605/2022 — Октябрьский районный суд г. Томска: иск Роскомнадзора к регистратору доменов удовлетворен, информация признана запрещенной.
• 2-2491/2022 — Октябрьский районный суд г. Томска: удовлетворен иск против Cloudflare, Inc. о признании деятельности сайта незаконной.
• 2а-2824/2023 — Ленинский районный суд г. Перми: удовлетворен иск к [ФИО]. о признании информации на сайте незаконной.
• 2-341/2023 — Октябрьский районный суд г. Мурманска: действия администратора сайта признаны незаконными, информация — нарушающей ФЗ-152.
• А40-182660/2025 — АС города Москвы: [организация] привлечено к административной ответственности по ч. 2 ст. 13.11 КоАП РФ.

3.2. Дела с отрицательным или неоднозначным исходом

• 33-8413/2024 — Верховный Суд Республики Коми: истцу отказано в иске к [организация]. Суд счел, что фото госномера на улице не является ПДн и не нарушает частные права владельца авто, так как сведения получены из открытых баз ГИБДД.
• А57-13625/2021 — АС Саратовской области: [организация] отказано в иске об исключении из реестра операторов, суд подтвердил полномочия Роскомнадзора.
• А14-2054/2023 — АС Центрального округа: клинике отказано в оспаривании предписания Роскомнадзора о прекращении передачи ПДн клиента юридической компании без согласия субъекта.

3.3. Ключевые факторы успеха

Положительный исход зависит от:

1. Доказанности нарушения: Наличия зафиксированных протоколов осмотра сайта (скриншотов), подтверждающих публикацию ФИО, фото, адресов и других данных, позволяющих идентифицировать лицо.
2. Отсутствия согласия: Отсутствия у оператора (владельца) документальных доказательств письменного согласия субъекта на распространение данных.
3. Публичности информации: Если информация получена не из общедоступных источников и/или не является общественно значимой (как в деле против [организация]), шансы на удовлетворение требований выше.

4. ПРАКТИЧЕСКИЕ РЕКОМЕНДАЦИИ

1. Автоматизация: Внедрить на сайте кнопку для подачи заявлений субъектами ПДн (отзыв согласия/удаление данных).
2. Модерация: Регулярно модерировать пользовательский контент на предмет содержания личных данных (телефоны, фото).
3. Документация: Обеспечить корректное оформления «Политики конфиденциальности» с указанием всех целей обработки данных, чтобы избежать предписаний по ч. 2 ст. 13.11 КоАП РФ.

5. Таблица ссылок