Судебная практика по спорам о незаконной обработке и защите персональных данных

РЕЗЮМЕ

Представленная судебная практика по вопросам персональных данных охватывает период c 2010 по 2024 год. Данные свидетельствуют о том, что суды общей юрисдикции Российской Федерации активно рассматривают дела, связанные с защитой прав субъектов персональных данных, нарушениями порядка их обработки, а также правонарушениями в этой сфере. Большая часть рассмотренных дел касается гражданских споров и административных правонарушений.

Общая позиция судов:

Суды последовательно применяют положения Федерального закона от 27.07.2006 № 152-ФЗ "О персональных данных" (далее – ФЗ № 152-ФЗ) и статьи Кодекса Российской Федерации об административных правонарушениях (КоАП РФ), регулирующие сферу персональных данных. Ключевым основанием для обработки персональных данных является согласие субъекта, за исключением случаев, прямо предусмотренных федеральным законом (например, для исполнения договора, стороной которого является субъект, или для осуществления определенных государственных функций). Отсутствие или ненадлежащее оформление такого согласия, а также несоблюдение оператором требований к защите и обработке персональных данных, часто приводит к удовлетворению исковых требований или наложению административных взысканий.

Ключевые факторы:

• Согласие субъекта персональных данных: Является основным условием для обработки персональных данных. Согласие должно быть конкретным, информированным, сознательным и в случаях, предусмотренных законом, выражено в письменной форме с указанием всех необходимых сведений (цель обработки, перечень данных, перечень действий и т.д.).
• Обязанности оператора: Оператор обязан принимать необходимые и достаточные меры для обеспечения выполнения требований ФЗ № 152-ФЗ, включая назначение ответственного за обработку персональных данных, издание локальных актов, осуществление внутреннего контроля и обеспечение безопасности данных.
• Исполнение договора: Передача персональных данных третьим лицам без согласия субъекта допускается, если это необходимо для исполнения договора, стороной которого является субъект. Однако, перепродажа долга (цессия) не является основанием для передачи данных коллекторам без прямого согласия.
• Правила обработки: Нарушение порядка сбора, хранения, использования, распространения и уничтожения персональных данных квалифицируется как административное правонарушение по ст. 13.11 КоАП РФ.

Статистика проанализированных релевантных дел (20 дел):

• Положительный исход для заявителя/истца (удовлетворено/частично удовлетворено): 4 дела (20%)
• Отрицательный исход для заявителя/истца (отказано): 12 дел (60%)
• Назначено административное наказание (взыскание штрафа, предупреждение): 4 дела (20%)

Примечание: Поскольку судебная практика на 2025 год еще не сформирована, анализ основан на решениях прошлых лет, которые, тем не менее, иллюстрируют действующие правовые нормы и подходы судов.

1. ПРАВОВЫЕ ОСНОВАНИЯ

Основным нормативно-правовым актом, регулирующим отношения в сфере персональных данных, является Федеральный закон от 27.07.2006 № 152-ФЗ "О персональных данных" (далее – ФЗ № 152-ФЗ). Дополнительно применяются нормы Кодекса Российской Федерации об административных правонарушениях (КоАП РФ), в частности, ст. 13.11 (Нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных)). Также в некоторых случаях могут быть применимы нормы Трудового кодекса РФ (Глава 14) и Гражданского кодекса РФ.

Основные статьи ФЗ № 152-ФЗ и их применение:

• Статья 3. Основные понятия: Определяет, что персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу. Оператор – лицо, организующее и/или осуществляющее обработку персональных данных. Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
• Статьи 5 и 6. Принципы и условия обработки персональных данных: Обработка персональных данных должна осуществляться на законной и справедливой основе. Ключевым условием обработки является согласие субъекта персональных данных (п. 1 ч. 1 ст. 6). Обработка также допускается для исполнения договора, стороной которого является субъект (п. 5 ч. 1 ст. 6), или для осуществления функций, возложенных на оператора законодательством РФ.
• Статья 7. Конфиденциальность персональных данных: Операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта, если иное не предусмотрено федеральным законом.
• Статья 9. Согласие субъекта персональных данных на обработку его персональных данных: Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие должно быть конкретным, информированным и сознательным. В случаях, предусмотренных федеральным законом, обработка персональных данных осуществляется только с согласия в письменной форме, которое должно содержать перечень определенных сведений (ФИО, адрес, паспортные данные, цель обработки, перечень данных, наименование оператора, перечень действий, срок действия и способ отзыва, подпись).
• Статья 10. Специальные категории персональных данных: Обработка специальных категорий персональных данных (расовая, национальная принадлежность, политические взгляды, религиозные или философские убеждения, состояние здоровья, интимная жизнь) не допускается, за исключением случаев, когда субъект дал согласие в письменной форме.
• Статья 14. Права субъекта персональных данных: Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, включая подтверждение факта обработки, правовые основания и цели обработки, используемые способы, наименование и местонахождение оператора, перечень обрабатываемых данных, сроки обработки и хранения, порядок осуществления прав и другую информацию. Оператор обязан предоставить эту информацию в доступной форме и без данных о других субъектах.
• Статья 18. Обязанности оператора при сборе персональных данных: При сборе персональных данных оператор обязан предоставить субъекту информацию, предусмотренную ч. 7 ст. 14 ФЗ № 152-ФЗ.
• Статья 18.1. Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом: Оператор обязан принимать необходимые и достаточные меры, включая назначение ответственного за организацию обработки персональных данных, издание локальных актов, внутренний контроль, оценку вреда, ознакомление работников.
• Статья 19. Меры по обеспечению безопасности персональных данных при их обработке: Оператор обязан принимать правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения.
• Статья 21. Обязанности оператора по устранению нарушений, уточнению, блокированию и уничтожению персональных данных: В случае отзыва согласия на обработку персональных данных оператор обязан прекратить их обработку и уничтожить (если иное не предусмотрено договором или законом).
• Статья 24. Ответственность за нарушение требований настоящего Федерального закона: Лица, виновные в нарушении требований ФЗ № 152-ФЗ, несут гражданскую, уголовную, административную, дисциплинарную и иную ответственность.

Статьи КоАП РФ:

• Ст. 13.11 КоАП РФ "Нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных)": Административное правонарушение, предусматривающее ответственность за нарушение требований к обработке персональных данных, включая обработку без согласия в письменной форме, несоблюдение требований к составу сведений в согласии, невыполнение обязанностей оператора по информированию субъекта, несоблюдение требований к мерам по обеспечению безопасности и другие нарушения.

2. АНАЛИЗ СУДЕБНОЙ ПРАКТИКИ

2.1. Дела с положительным исходом

Суды удовлетворяют требования, когда выявляются нарушения ФЗ № 152-ФЗ со стороны операторов персональных данных.

• Правобережный районный суд г. Липецка (Липецкая область), дело № 2-3144/12 от 20.12.2012: Суд признал незаконным использование персональных данных истицы при регистрации регионального отделения политической партии без её согласия, а также действия партии по указанию её данных в качестве учредителя. Суд также взыскал компенсацию морального вреда. Ключевой фактор: использование персональных данных без согласия субъекта, недостоверные сведения.
• Йошкар-Олинский городской суд Республики Марий Эл, дело № 1-715/2021 от 16.08.2021: Работница салона связи многократно осуществляла неправомерный доступ к охраняемой компьютерной информации (персональным данным абонентов) и незаконное разглашение сведений, составляющих коммерческую тайну, из корыстной заинтересованности. Суд прекратил уголовное дело с назначением судебного штрафа, поскольку обвиняемая впервые совершила преступления средней тяжести, возместила ущерб и загладила вред. Ключевой фактор: нарушение конфиденциальности, неправомерный доступ, разглашение коммерческой тайны. Исход формально положительный для обвиняемой, но дело свидетельствует о серьезных нарушениях в обращении с ПД.
• Ярославский областной суд (Ярославская область), дело № 33-939/2012 от 27.03.2012 (аналогичное дело: Ярославский областной суд (Ярославская область), дело № 33-939/2012 от 05.03.2012): Суд признал незаконными действия банка по передаче персональных данных клиента коллекторскому агентству без его согласия, обязал агентство уничтожить данные и взыскал компенсацию морального вреда с обоих ответчиков. Ключевой фактор: передача персональных данных коллекторам без согласия субъекта. Суд подчеркнул, что поручение обработки ПД не равносильно передаче долга.
• Сысертский районный суд (Свердловская область), дело № 2-526/2012 от 24.09.2012: Суд удовлетворил исковое заявление прокурора, признав незаконными действия Администрации городского округа по обязанию граждан давать согласие на обработку персональных данных при обращении в [организация], за исключением случаев, прямо предусмотренных ФЗ № 152-ФЗ. Суд обязал [организация] прекратить необоснованные требования о даче согласия. Ключевой фактор: необоснованное требование обязательного согласия на обработку ПД при обращении в органы власти, нарушающее право граждан на обращение.

2.2. Дела с отрицательным исходом

В ряде случаев суды отказывают в удовлетворении требований, если истцы не смогли доказать нарушение своих прав, или если действия оператора соответствовали требованиям закона.

• Ленский районный суд (Республика Саха (Якутия)), дело № 2-625/12 от 24.09.2012: Истице отказано в иске к работодателю о признании действий по сокращению должности, взыскании сумм и т.д. В рамках дела истец ссылалась на неправомерные действия работодателя при обработке и защите персональных данных, однако суд не нашел оснований для удовлетворения. Ключевой фактор: недостаточная доказательственная база истца; суд сосредоточился на трудовом споре, а не на вопросах ПД.
• Московский городской суд, дело № 4г-4593/2013 от 30.04.2013: Истцу было отказано в иске к [организация] о нарушении требований закона "О персональных данных" и компенсации морального вреда. Суд установил, что истец сам выложил персональные данные сотрудников компании в сеть [организация]. Ключевой фактор: отсутствие доказательств вины ответчика, факт распространения данных самим истцом.
• Тацинский районный, дело № 2-288/2012 от 24.07.2012: Отказано в удовлетворении исковых требований к [организация] о защите нарушенных прав (обращение касалось незаконной обработки и передачи персональных данных третьему лицу). Суд установил, что персональные данные истца были получены ответчиком законным образом при заключении договора оказания услуг связи, и их использование осуществлялось в целях исполнения договора. Ключевой фактор: наличие договорных отношений, обработка данных в целях исполнения договора. Отсутствие надлежащим образом оформленного запроса на получение информации о ПД.
• Тобольский городской суд Тюменской области, дело № 2-2666/2023 от 12.10.2023: Истцу отказано в удовлетворении требований к [организация]» о признании незаконным бездействия в части не предоставления информации о персональных данных. Суд указал, что ранее по аналогичным требованиям истца уже было вынесено решение, вступившее в законную силу, и истец выбрал неверный способ защиты права. Ключевой фактор: наличие уже вынесенного решения суда по аналогичному предмету спора и неверный способ защиты права.
• Изобильненский районный суд Ставропольского края, дело № 2-1704/14 от 03.10.2014: Отказано в удовлетворении требований заместителя прокурора о признании незаконными действий [организация] по непредставлению программ реабилитации инвалидов, содержащих персональные данные. Суд установил, что ФЗ "О прокуратуре Российской Федерации" не содержит норм, предоставляющих прокуратуре право требовать раскрытия персональных данных без согласия субъектов. Ключевой фактор: отсутствие законных оснований для раскрытия персональных данных без согласия субъекта.
• Богдановичский городской суд Свердловской области, дело № 2-359/2020 от 29.04.2020: Отказано в иске о защите прав субъекта персональных данных и компенсации морального вреда. Истец получил письмо от [организация] с предложением о покупке договора банковского вклада. Суд установил, что истец ранее дал согласие банку на обработку персональных данных. Ключевой фактор: наличие согласия субъекта на обработку персональных данных. Факт привлечения компании к административной ответственности по ст. 13.11 КоАП РФ не создает преюдиции для гражданского иска о моральном вреде.
• Зерноградский районный суд Ростовской области, дело № 2-708/2017 от 18.04.2017: Отказано в иске об обязании прекратить обработку персональных данных и взыскании компенсации морального вреда. Истица являлась поручителем по кредитным договорам. Суд установил, что ввиду неисполнения обязательств по кредитам, банк вправе продолжить обработку персональных данных поручителя без её согласия, поскольку это необходимо для исполнения договора. Ключевой фактор: обработка персональных данных в целях исполнения договора, стороной которого является субъект (поручитель).
• Октябрьский районный суд г. Мурманска (Мурманская область), дело № 2-2795/12 от 07.06.2012: Отказано в иске о признании незаконными действий банка по отказу в отзыве согласия на обработку персональных данных и взыскании морального вреда. Суд установил, что согласие было дано до полного исполнения обязательств по кредитному договору и может быть отозвано только после полного погашения задолженности. Ключевой фактор: действующее согласие на обработку персональных данных до полного исполнения обязательств по договору.
• Михайловский районный суд Волгоградской области, дело № 2-1301/2020 от 15.09.2020: Отказано в иске о признании действий по использованию персональных данных неправомерными и компенсации морального вреда. Истец оспаривал использование его данных для начисления коммунальных платежей. Суд установил, что истец ранее дал письменное согласие на обработку данных для этих целей, и что данные использовались исключительно для исполнения обязанностей по предоставлению жилищно-коммунальных услуг. Ключевой фактор: наличие согласия субъекта на обработку данных, использование данных в целях исполнения услуг.
• Кунцевский районный суд Москвы, дело № 2а-255/17 от 15.09.2017: Отказано в удовлетворении административного иска к руководителю [организация] об оспаривании действий по обработке персональных данных банком и передаче их коллекторскому агентству. Суд установил, что истец ранее дал согласие банку на обработку и передачу данных третьим лицам при заключении кредитного договора, и действия банка были правомерными, так как у истца имелась задолженность. Ключевой фактор: действующее согласие на обработку и передачу персональных данных, наличие задолженности. Действия [организация] не признаны незаконными.

2.3. Ключевые факторы успеха

Исходя из проанализированных дел, ключевыми факторами успеха для субъектов персональных данных (истцов/заявителей) являются:

1. Отсутствие или ненадлежащее оформление согласия: Если оператор осуществляет обработку персональных данных без согласия субъекта, когда такое согласие требуется по закону, или если согласие оформлено с нарушениями требований к его содержанию (Пункт 4 статьи 9 ФЗ № 152-ФЗ).
2. Обработка данных вне целей, для которых было получено согласие/основание: Использование персональных данных для целей, не предусмотренных согласием или законом. Пример: передача данных коллекторам, когда в согласии или договоре это не было явно предусмотрено или не было иного законного основания.
3. Непринятие оператором мер по защите данных: Отсутствие локальных актов, ответственного за обработку данных, несоблюдение требований к безопасности данных (статья 18.1, 19 ФЗ № 152-ФЗ).
4. Избыточность обрабатываемых данных: Обработка персональных данных, которые не соответствуют целям обработки или являются избыточными по отношению к этим целям (Часть 5, статьи 5 ФЗ № 152-ФЗ).
5. Нарушение сроков хранения или уничтожения данных: Несоблюдение оператором сроков хранения персональных данных или отказ в их уничтожении при отсутствии законных оснований для дальнейшей обработки (Часть 7, статьи 5 ФЗ № 152-ФЗ, статья 21 ФЗ № 152-ФЗ).

2.4. Административная ответственность

Судебная практика также демонстрирует активное привлечение операторов персональных данных к административной ответственности по ст. 13.11 КоАП РФ за нарушение установленного порядка обработки персональных данных.

• Судебный участок №4 по г.[ФИО] и Ишимбайскому району Республики Башкортостан, дело № 5-322/2012 от 12.05.2012 (аналогичное дело: Судебный участок №4 по г.[ФИО] и Ишимбайскому району Республики Башкортостан, дело № 5-327/2012 от 14.05.2012): Директор организации привлечен к административной ответственности по ст. 13.11 КоАП РФ за нарушение порядка сбора, хранения, использования информации о гражданах (персональных данных), выразившееся в том, что работники не уведомлены о получении данных от третьих лиц, отсутствует журнал учета персональных данных, не обеспечивается защита данных. Ключевой фактор: непринятие организационных мер по защите персональных данных, отсутствие локальных актов и информирования сотрудников.
• Судебный участок № 13 Калужского судебного района Калужской области, дело № 5-64/2016 от 03.03.2016: [организация] признано виновным по ст. 13.11 КоАП РФ за ряд нарушений: неуведомление уполномоченного органа, несоответствие форм согласия на обработку персональных данных требованиям закона (отсутствие цели обработки, перечня действий, срока действия и способа отзыва), отсутствие политики в отношении обработки персональных данных, отсутствие документов о внутреннем контроле и ознакомлении сотрудников, несоблюдение требований к местам хранения данных и мерам безопасности. Назначено наказание в виде предупреждения. Ключевой фактор: комплексные нарушения требований к обработке и защите персональных данных, их хранению и информированию.
• Судебный участок № 1 Приморского судебного района Архангельской области, дело № 4-209/2016 от 14.04.2016: [организация] привлечено к административной ответственности по ст. 13.11 КоАП РФ за передачу персональных данных работников третьему лицу без их письменного согласия, обработку данных близких родственников без согласия, обработку специальных категорий данных (национальная принадлежность) без письменного согласия, отсутствие ответственного лица, отсутствие политики обработки данных в свободном доступе, несоблюдение раздельного хранения данных и другие нарушения. Назначено предупреждение. Ключевой фактор: передача данных без согласия, обработка специальных категорий данных, отсутствие организационных и технических мер защиты.

3. ПРАКТИЧЕСКИЕ РЕКОМЕНДАЦИИ

На основании анализа судебной практики можно сформулировать следующие практические рекомендации по работе с персональными данными, которые будут актуальны и в 2025 году:

1. Получение согласия: Всегда получайте согласие на обработку персональных данных, если оно не требуется законом. Согласие должно быть конкретным, информированным и сознательным. Для письменного согласия строго соблюдайте требования п. 4 ст. 9 ФЗ № 152-ФЗ, указывая:
   • ФИО, адрес, паспортные данные субъекта.
   • Наименование и адрес оператора.
   • Цель обработки персональных данных.
   • Перечень персональных данных и действий с ними.
   • Общее описание используемых способов обработки.
   • Срок действия согласия и способ его отзыва.
   • Подпись субъекта. Особое внимание уделяйте согласию на обработку специальных категорий персональных данных (расовая, национальная принадлежность, состояние здоровья и т.д.) и биометрических персональных данных – для них требуется письменное согласие.
2. Целевое использование данных: Обрабатывайте персональные данные только для тех целей, для которых они были собраны. Не допускайте избыточности данных.
3. Передача данных третьим лицам: Передача персональных данных третьим лицам (включая коллекторские агентства или другие организации) допускается только с согласия субъекта или на законных основаниях (например, для исполнения договора, стороной которого является субъект). В договоре поручения обработки данных с третьим лицом четко определите перечень действий, цели обработки, обязанности по конфиденциальности и обеспечению безопасности.
4. Локальные акты: Разработайте и утвердите внутренние локальные акты, определяющие политику организации в отношении обработки персональных данных. Обеспечьте их доступность для ознакомления.
5. Назначение ответственного лица: Обязательно назначьте лицо, ответственное за организацию обработки персональных данных. Это лицо должно проходить профессиональную подготовку, его обязанности должны быть четко зафиксированы в должностных инструкциях.
6. Внутренний контроль и безопасность: Регулярно проводите внутренний контроль соответствия обработки персональных данных требованиям законодательства. Принимайте организационные и технические меры по обеспечению безопасности данных (защита от неправомерного доступа, уничтожения, изменения), включая определение угроз безопасности, уровней защищенности, правил доступа. Для автоматизированных систем используйте сертифицированные средства защиты информации.
7. Хранение и уничтожение данных: Определите места хранения материальных носителей персональных данных, обеспечьте раздельное хранение данных, обрабатываемых в различных целях. Соблюдайте сроки хранения персональных данных и своевременно уничтожайте те данные, цели обработки которых достигнуты или в случае отзыва согласия.
8. Информирование субъектов: Проинформируйте лиц, осуществляющих обработку персональных данных (в том числе без использования средств автоматизации), о факте такой обработки, категориях данных, особенностях и правилах обработки.
9. Отказ в предоставлении информации: Если субъект персональных данных запрашивает информацию об обработке его данных, оператор обязан предоставить её в соответствии со ст. 14 ФЗ № 152-ФЗ. Отказ возможен только в случаях, прямо предусмотренных законом (ч. 8 ст. 14 ФЗ № 152-ФЗ).
10. Процессуальное оформление: В случае судебных разбирательств, тщательно готовьте доказательства наличия согласия, соблюдения правил обработки и принятых мер по защите персональных данных, чтобы избежать необоснованных претензий и административной ответственности. Избегайте злоупотребления правом.

4. Таблица ссылок