Судебная практика по делам об административных штрафах Роскомнадзора

[организация]

Анализ судебной практики по административным делам, связанным с нарушениями в сфере обработки персональных данных и непредставлением информации в [организация], а также по гражданским искам против [организация], показывает следующее.

Общая позиция судов сводится к строгому применению законодательства о персональных данных. В большинстве рассмотренных дел суды подтверждают законность привлечения компаний и должностных лиц к административной ответственности за нарушение установленного порядка работы с персональными данными (ст. 13.11 КоАП РФ) и за непредставление сведений в [организация] по его запросу (ст. 19.7 КоАП РФ).

Ключевые факторы, влияющие на исход дела, включают:

• Соблюдение процедур обработки персональных данных: наличие согласия субъекта [организация], соблюдение конфиденциальности, обеспечение безопасности данных.
• Предоставление информации в [организация]: своевременность и полнота предоставления запрашиваемых сведений.
• Наличие вины: суды анализируют, были ли приняты все зависящие от лица меры по соблюдению требований законодательства.
• Малозначительность правонарушения: в редких случаях, при отсутствии существенной угрозы охраняемым общественным отношениям и причинения вреда, суды могут признать правонарушение малозначительным и ограничиться устным замечанием.

Статистика проанализированных релевантных дел: Из 20 проанализированных дел:

• 2 дела (10%) были удовлетворены в пользу компаний/граждан (постановления отменены или удовлетворены исковые требования).
• 18 дел (90%) были удовлетворены в пользу [организация] или других истцов, либо жалобы оставлены без удовлетворения (наложены штрафы, вынесены предупреждения, отказано в требованиях).

Таким образом, процент удовлетворенности административных дел для компаний против [организация] незначителен, что указывает на высокую вероятность привлечения к ответственности при выявлении нарушений.

1. ПРАВОВЫЕ ОСНОВАНИЯ

Основными нормативными актами, регулирующими рассматриваемые правоотношения, являются:

• Федеральный закон от 27.07.2006 № 152-ФЗ "О персональных данных" (ФЗ-152): определяет принципы и условия обработки персональных данных, права субъектов [организация] и обязанности операторов.
• Кодекс Российской Федерации об административных правонарушениях (КоАП РФ):
  • Статья 13.11 КоАП РФ: Нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных). Санкцией статьи предусмотрено наказание в виде предупреждения или административного штрафа.
  • Статья 19.7 КоАП РФ: Непредставление или несвоевременное представление в государственный орган (должностному лицу) сведений (информации), представление которых предусмотрено законом и необходимо для осуществления этим органом (должностным лицом) его законной деятельности, а равно представление в государственный орган (должностному лицу) таких сведений (информации) в неполном объеме или в искаженном виде.
• Федеральный закон от 27.07.2006 № 149-ФЗ "Об информации, информационных технологиях и о защите информации" (в части ограничения доступа к информации, обрабатываемой с нарушением законодательства о персональных данных).
• Постановления Правительства РФ, регулирующие особенности обработки персональных данных (например, Постановление Правительства РФ от 15 сентября 2008 года № 687 "Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации").

Толкование норм судами: Суды последовательно придерживаются следующих подходов:

• Определения персональных данных: Любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу.
• Согласие субъекта ПДн: Обработка персональных данных по общему правилу допускается только с согласия субъекта, за исключением случаев, прямо предусмотренных федеральным законом (например, для исполнения договора, стороной которого является субъект [организация], или в рамках трудовых отношений).
• Обязанности оператора: Оператор обязан принимать необходимые правовые, организационные и технические меры для защиты персональных данных, а также информировать [организация] о своем намерении осуществлять обработку [организация] и предоставлять информацию по запросам уполномоченного органа.
• Формальный состав правонарушений: Состав административных правонарушений по ст. 13.11 и 19.7 КоАП РФ часто является формальным, то есть для привлечения к ответственности достаточно самого факта нарушения порядка или непредставления информации, без наступления существенных последствий.

2. АНАЛИЗ СУДЕБНОЙ ПРАКТИКИ

2.1. Дела с положительным исходом (для компаний/граждан)

Лишь небольшая часть дел заканчивается в пользу привлекаемой стороны. Основания для такого исхода чаще всего связаны с отсутствием состава правонарушения или его малозначительностью.

• Дело № 12-464/11 (Находкинский городской суд, 28.09.2011) [https://reputation.su/sudrf/30967075]: Мировой судья признал [ФИО] (председателя [организация]) виновным по ст. 13.11 КоАП РФ за отсутствие регистрации в качестве оператора по обработке персональных данных и наложил штраф. Однако, Находкинский городской суд отменил это постановление, признав правонарушение малозначительным (ст. 2.9 КоАП РФ) и ограничившись устным замечанием. Суд учел, что действия [ФИО] не носили умышленного характера, не причинили существенного вреда, и [организация] уже зарегистрировало себя в [организация] как оператор.
• Дело № А17-5761/2010 ([организация] Ивановской области, 06.04.2011) [https://reputation.su/sudrf/29045576]: Арбитражный суд Ивановской области частично удовлетворил заявление [организация], признав незаконным и отменив предписание [организация]. Суд установил, что передача персональных данных осуществлялась учреждением с целью исполнения своих обязательств по подаче тепловой энергии, и такие действия не нарушают конфиденциальность персональных данных и соответствуют ст. 6 Закона о персональных данных.
• Дело № 2-341/2023 (Октябрьский районный суд г. Мурманска, 26.10.2022) [https://reputation.su/sudrf/226173536]: Суд частично удовлетворил исковые требования гражданина [ФИО] к [ФИО] (владельцу интернет-ресурса), признав незаконными действия [ФИО] по сбору, хранению и размещению персональных данных [ФИО] на интернет-ресурсе без его согласия. При этом судом было отказано в признании незаконными действий [организация], поскольку уполномоченный орган не имел законных оснований для внесения сайта в реестр нарушителей прав субъектов персональных данных без вступившего в силу судебного акта. Данное решение суда является основанием для включения спорного интернет-ресурса в реестр нарушителей прав субъектов персональных данных.
• Дело № 0 (Судебный участок №69 Хабаровского района, 14.03.2012) [https://reputation.su/sudrf/1120726]: Производство по делу об административном правонарушении в отношении [организация] по ст. 19.7 КоАП РФ прекращено в связи с отсутствием состава административного правонарушения. Суд установил, что компания своевременно предоставила сведения в [организация].
• Дело № А43-14745/2012 ([организация] Нижегородской области, 25.06.2012) [https://reputation.su/sudrf/64663032]: Арбитражный суд освободил [организация]» от административной ответственности по ч. 2 ст. 14.1 КоАП РФ (осуществление предпринимательской деятельности без лицензии) за малозначительностью, ограничившись устным замечанием. Суд учел, что все документы для получения лицензии уже были поданы до составления протокола, и нарушение не создало существенной угрозы.
• Дело № bb723e48-e282-8f76-b593-b0f5ce183a71 (Хабаровский районный суд Хабаровского края, 11.04.2019) [https://reputation.su/sudrf/231347498]: Суд частично удовлетворил исковые требования [ФИО], признав незаконными действия [организация]» по обработке персональных данных, взыскав компенсацию морального вреда. Действия [организация] в данном деле не были предметом оспаривания, однако установленный им факт нарушения административным органом подтвердил суду позицию истца.

2.2. Дела с отрицательным исходом (для компаний/граждан)

Абсолютное большинство дел заканчиваются привлечением к административной ответственности.

• Дело № 5-142/2013 (Сергиево-Посадский судебный район, 14.05.2013) [https://reputation.su/sudrf/76186147]: Гражданка ФИО3 (администратор домена) признана виновной по ст. 13.11 КоАП РФ за размещение персональных данных без согласия, назначен штраф 300 рублей. Суд отклонил доводы о прекращении доступа к информации, указав, что это не освобождает от ответственности.
• Дело № 5-274/2012 (Судебный участок № 2 Центрального района, 23.04.2012) [https://reputation.su/sudrf/72222171]: [организация] привлечено к ответственности по ст. 19.7 КоАП РФ за непредставление уведомления об обработке персональных данных. Штраф 3000 рублей. Суд отклонил доводы о непонимании запроса [организация].
• Дело № 5-413/2016 (Судебный участок № 1 Березовского судебного района, 24.08.2016) [https://reputation.su/sudrf/98409277]: [организация]» оштрафовано по ст. 19.7 КоАП РФ за непредставление сведений в [организация]. Штраф 3000 рублей.
• Дело № 0 (Судебный участок №25 Центрального района г. Хабаровска, 25.04.2011) [https://reputation.su/sudrf/42112047]: [организация] привлечено к ответственности по ст. 19.7 КоАП РФ за несвоевременное предоставление уведомления об обработке персональных данных. Штраф 3000 рублей. Доводы о технических проблемах и обработке данных только своих сотрудников не приняты.
• Дело № 02-1613/2022 (Таганский районный суд Москвы, 26.04.2022) [https://reputation.su/sudrf/262462511]: Истцу [ФИО] отказано в удовлетворении требований к [организация] об удалении персональных данных (ФИО, адрес) из реестра [организация]. Суд посчитал, что размещение сведений об учредителе [организация] является законодательно предусмотренной обязанностью [организация].
• Дело № 4-66/2020 (Судебный участок № 2 Северодвинского судебного района, 18.02.2020) [https://reputation.su/sudrf/85069860]: [организация] оштрафовано по ст. 19.7 КоАП РФ за непредставление сведений о месте нахождения базы данных. Штраф 3000 рублей. Суд отклонил довод о малозначительности.
• Дело № 5-1479/2012 (Судебный участок № 2 Центрального района, 20.12.2012) [https://reputation.su/sudrf/16897789]: [организация] оштрафовано по ст. 19.7 КоАП РФ за непредставление уведомления. Штраф 3000 рублей.
• Дело № fee695ba-26e4-86c4-f953-b7d11e836060 (Судебный участок № 1 Каменского района Алтайского края, 19.09.2017) [https://reputation.su/sudrf/81952329]: Директор [организация] [ФИО] признан виновным по ч. 1 ст. 13.11 КоАП РФ за ненаправление уведомления в [организация]. Штраф 5000 рублей.
• Дело № eeaedcaf-ce34-3eff-857c-bb1cc7c49591 (Судебный участок Мамонтовского района Алтайского края, 11.04.2017) [https://reputation.su/sudrf/93755947]: Заведующая [организация] детский сад «<АДРЕС>» [ФИО] привлечена к ответственности по ст. 13.11 КоАП РФ (предупреждение) за непредставление уведомления об обработке персональных данных.
• Дело № 973bc4a5-16cd-9479-2b0f-5bbdd076ce62 (Судебный участок Мамонтовского района Алтайского края, 12.04.2017) [https://reputation.su/sudrf/93677748]: Директор МКОУ «<НОМЕР> СОШ» [ФИО] привлечена к ответственности по ст. 13.11 КоАП РФ (предупреждение) за непредставление уведомления об обработке персональных данных.
• Дело № 633007db-cc7e-4213-2574-b3a408c305a1 (Судебный участок №30 Самарской области, 09.08.2012) [https://reputation.su/sudrf/55152739]: [организация] оштрафовано по ст. 13.11 КоАП РФ за нарушение порядка предоставления информации о персональных данных. Штраф 5000 рублей.
• Дело № 8c978f91-bd6c-d0a0-af4f-75f25d394d3c (Судебный участок № 6 Свердловского судебного района, 15.02.2017) [https://reputation.su/sudrf/83178061]: Директор ОГБПОУ «<[организация]>» [ФИО] привлечена к ответственности по ст. 13.11 КоАП РФ (предупреждение) за множественные нарушения порядка обработки персональных данных.
• Дело № d4bcd3a4-ade8-cefa-cb3a-565d2de60e73 (Судебный участок № 6 Свердловского судебного района, 26.04.2017) [https://reputation.su/sudrf/97344487]: [организация] привлечено к ответственности по ст. 13.11 КоАП РФ (предупреждение) за множественные нарушения порядка обработки персональных данных.
• Дело № 16ffa980-df91-a52a-1e9f-8f9b5311c3fd (Судебный участок № 6 Свердловского судебного района, 15.02.2017) [https://reputation.su/sudrf/79558215]: ОГБПОУ «<[организация]>» привлечено к ответственности по ст. 13.11 КоАП РФ (предупреждение) за множественные нарушения порядка обработки персональных данных.
• Дело № 450b32fa-46ee-9b40-6fd8-22252e3061ec (Судебный участок № 1 Северодвинского судебного района, 18.05.2017) [https://reputation.su/sudrf/82166964]: [организация] привлечено к ответственности по ст. 13.11 КоАП РФ (предупреждение) за нарушение установленного порядка сбора, хранения и использования персональных данных работников (отсутствие ответственного, локальных актов, ознакомления работников).
• Дело № 609f954f-bc98-b05b-a40e-b77cc4ae64a3 (Судебный участок № 124 Безенчукского судебного района, 03.05.2017) [https://reputation.su/sudrf/94011063]: Управляющий директор [организация] [ФИО] оштрафован по ст. 13.11 КоАП РФ (500 рублей) за несоблюдение требований [организация] (неуведомление [организация], отсутствие политики обработки ПДн).
• Дело № 94ac6c7b-02a0-8607-fea4-245d8a90773a (Судебный участок № 9 Северодвинского судебного района, 21.06.2017) [https://reputation.su/sudrf/80318873]: [организация] привлечено к ответственности по ст. 13.11 КоАП РФ (предупреждение) за нарушение порядка работы с персональными данными (отсутствие ответственного, локальных актов, внутреннего контроля).
• Дело № 6b85ee87-a556-7c82-f46a-986cb12d476d (Судебный участок № 12 Калужского судебного района, 23.06.2015) [https://reputation.su/sudrf/99361707]: [организация] Калужской области «Автовокзал «Калуга» привлечено к ответственности по ст. 13.11 КоАП РФ (предупреждение) за нарушения в согласии на обработку [организация], отсутствие указания обязанностей третьего лица, обрабатывающего [организация].
• Дело № 5280cc30-8c63-825c-b3ad-fab1159334cc (Судебный участок № 8 Ленинского судебного района г. Костромы, 01.08.2017) [https://reputation.su/sudrf/95182586]: МБУДО г. Костромы «Детско-юношеская спортивная школа № 2» привлечено к ответственности по ст. 13.11 КоАП РФ (предупреждение) за отсутствие оценки вреда, внутреннего контроля, ознакомления сотрудников с законодательством, отсутствие политики обработки ПДн на сайте.
• Дело № 5-528/11 (Судебный участок № 247 Симоновского судебного района, 13.12.2011) [https://reputation.su/sudrf/48213621]: [организация]» оштрафован по ст. 19.7 КоАП РФ (3000 рублей) за непредставление в полном объеме запрашиваемых Роскомнадзором сведений.
• Дело № fa1ebb13-4f5e-899d-bba7-ebdbfd20d4ab (Биробиджанский районный суд, 15.10.2012) [https://reputation.su/sudrf/72406539]: Постановление мирового судьи о привлечении [организация] к административной ответственности по ст. 19.7 КоАП РФ (штраф 3000 рублей) оставлено без изменения. Доводы о вине должностного лица отклонены.
• Дело № 5fd483dd-951d-f946-979f-17ac62e595e3 ([организация] Тверской области, 16.05.2012) [https://reputation.su/sudrf/7268345]: [организация] привлечено к административной ответственности (предупреждение) за нарушения лицензионных условий в области связи.
• Дело № 7b41991d-58ba-eee6-7b14-4b21ea36741d (АС Тверской области, 20.06.2011) [https://reputation.su/sudrf/23067276]: [организация] привлечено к административной ответственности (предупреждение) за непредставление сведений о базе расчетов обязательных отчислений.
• Дело № 6ddb2a78-847e-3ff5-1d25-d8dd5c67729a (Судебный участок № 24 г. Череповца, 24.05.2021) [https://reputation.su/sudrf/149661490]: [организация] привлечено к ответственности по ст. 19.7 КоАП РФ (предупреждение) за непредставление сведений по запросу [организация].
• Дело № f720b23a-28d8-d799-71a4-ba1e62bacfa6 (Судебный участок № 24 г. Череповца, 24.05.2021) [https://reputation.su/sudrf/149945513]: Аналогичное дело, [организация] привлечено к ответственности по ст. 19.7 КоАП РФ (предупреждение) за непредставление сведений по запросу [организация].
• Дело № 57bdbca7-d88f-6504-f993-153d3743c63a (13 арбитражный апелляционный суд, 14.11.2011) [https://reputation.su/sudrf/6522151]: Апелляционные жалобы [организация] и [организация] оставлены без удовлетворения, при этом суд согласился с выводами, что [организация] нарушило требования статьи 7 ФЗ-152 (по конфиденциальности) и статьи 19 ФЗ-152 (по мерам защиты).
• Дело № 837a55eb-94fc-eeb0-4e91-3219747ca818 (Волгоградский областной суд, 21.06.2022) [https://reputation.su/sudrf/263544095]: Отказано в удовлетворении апелляционной жалобы [ФИО] к [организация] об обязании отозвать и изъять персональные данные и взыскании компенсации морального вреда. Суд первой инстанции и апелляционный суд не усмотрели незаконного распространения персональных данных.
• Дело № ee051646-db78-1cf0-6620-3ea3b6eed8d5 (Костромской областной суд, 31.08.2023) [https://reputation.su/sudrf/232237736]: Апелляционные жалобы ФИО2 и администрации Костромской области оставлены без удовлетворения. Суд частично удовлетворил исковые требования [организация] о взыскании компенсации морального вреда с Костромской области за размещение его персональных данных на портале госорганов. При этом суд отказал в удовлетворении требований к [организация], так как его действия были признаны законными.

Из рассмотренных дел следует, что суды чаще всего встают на сторону [организация], подтверждая вину компаний и должностных лиц в нарушении законодательства о персональных данных.

2.3. Ключевые факторы успеха (для компаний/граждан)

Для компании, чтобы не присудили штраф за обработку персональных данных, ключевыми факторами успеха являются:

1. Отсутствие состава правонарушения: Если будет доказано, что действия компании не нарушают закон или подпадают под исключения из общих правил (например, обработка [организация] в рамках трудовых отношений или исполнения договора без распространения), или требование [организация] было исполнено. (Дело [организация], № 0, Судебный участок №69 Хабаровского района).
2. Малозначительность правонарушения: В случае, когда нарушение формально содержит признаки административного правонарушения, но не представляет существенной угрозы охраняемым общественным отношениям и не причиняет вреда. При этом важно активное устранение последствий нарушения и отсутствие умысла. (Дело [ФИО], № 12-464/11, Находкинский городской суд; Дело Шарангского муниципального предприятия «[организация]», [организация] Нижегородской области).
3. Доказанность факта незаконной обработки ПДн третьим лицом: В гражданских делах, если гражданин доказывает, что его персональные данные обрабатывались без его согласия, суд может обязать прекратить незаконную обработку. (Дело [ФИО], № 2-341/2023, Октябрьский районный суд г. Мурманска).

Причинами отказов в удовлетворении требований об отмене штрафов или иных претензий к [организация] являются:

• Доказанные факты нарушения порядка сбора, хранения, использования или распространения персональных данных.
• Непредставление или неполное представление сведений по запросу [организация].
• Суд не считает доводы компании об отсутствии вины или малозначительности обоснованными.
• Ссылки на технические проблемы, реорганизацию, отсутствие ознакомления сотрудников судами не принимаются в качестве оснований для освобождения от ответственности.
• Отсутствие судебного акта, который являлся бы основанием для действий [организация].

3. ПРАКТИЧЕСКИЕ РЕКОМЕНДАЦИИ

Для компаний, работающих с персональными данными, и стремящихся избежать штрафов [организация], рекомендуется:

1. Строго соблюдать требования ФЗ-152:

   • Получать информированное согласие на обработку персональных данных от субъектов, если иное не предусмотрено законом.
   • Обеспечивать конфиденциальность и безопасность обрабатываемых персональных данных.
   • Назначить ответственного за организацию обработки персональных данных.
   • Разработать и утвердить внутренние локальные акты, определяющие политику обработки персональных данных, процедуры предотвращения и выявления нарушений.
   • Ознакомить работников, непосредственно осуществляющих обработку персональных данных, с законодательством и внутренними актами.
   • Проводить внутренний контроль и аудит соответствия обработки персональных данных требованиям законодательства.
   • Опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему политику обработки персональных данных.

2. Своевременно и полно отвечать на запросы [организация]: Оператор обязан сообщать в уполномоченный орган необходимую информацию в установленные сроки. Непонимание запроса или технические проблемы не являются основанием для освобождения от ответственности.

3. Уведомлять [организация] о намерении обрабатывать персональные данные: Если обработка [организация] не подпадает под исключения, предусмотренные ч.2 ст. 22 ФЗ-152, компания обязана уведомить уполномоченный орган.

4. Разграничивать ответственность с третьими лицами: При поручении обработки персональных данных третьим лицам необходимо четко прописывать в договорах обязанности по соблюдению конфиденциальности и безопасности данных.

5. Доказывать отсутствие вреда и умысла при нарушениях: В случае вынесения протокола об административном правонарушении, следует активно доказывать отсутствие существенной угрозы общественным отношениям, малозначительность совершенного деяния и отсутствие умысла, а также факт устранения нарушений до судебного разбирательства. Однако следует учитывать, что суды редко признают такие правонарушения малозначительными, поскольку состав их является формальным.

6. В случае обжалования действий [организация]: Необходимо иметь вступивший в законную силу судебный акт, подтверждающий незаконность размещения или обработки персональных данных, чтобы [организация] мог принять меры по ограничению доступа к такой информации.

4. Таблица ссылок на релевантные дела