Судебная практика по защите персональных данных и ст. 13.11 КоАП РФ в 2025 году

[организация]

Анализ судебной практики судов общей юрисдикции Российской Федерации за конец 2024 - 2025 год и предыдущие периоды (2011-2023) по вопросам, связанным с персональными данными, демонстрирует растущее внимание судов к соблюдению законодательства в этой сфере, в частности Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных».

Общая позиция судов заключается в строгом толковании и применении норм, регулирующих обработку и защиту персональных данных. Основные нарушения, выявляемые в судебной практике, включают:

• Неправомерная обработка персональных данных: сбор, хранение, использование или распространение данных без согласия субъекта или без законных оснований (ст. 13.11 КоАП РФ).
• Утечки персональных данных: несоблюдение операторами требований по защите данных, приводящее к публичному распространению информации и причинению морального вреда субъектам.
• Несоблюдение требований к форме согласия: отсутствие надлежащим образом оформленных согласий на обработку, включая согласие на обработку биометрических данных.
• Избыточная обработка данных: сбор и хранение персональных данных, несовместимых с заявленными целями их обработки.
• Невыполнение обязанностей оператора: отсутствие уведомления уполномоченного органа, локальных актов о порядке обработки данных, а также отсутствие определения мест хранения материальных носителей.

Ключевые факторы в судебной практике:

1. Наличие согласия субъекта: обработка персональных данных в большинстве случаев требует конкретного, информированного и сознательного согласия субъекта.
2. Цели обработки данных: данные должны обрабатываться для конкретных, заранее определенных и законных целей, без избыточности.
3. Обязанности оператора: на оператора возлагается бремя доказывания получения согласия и соблюдения всех требований законодательства о персональных данных.
4. Компенсация морального вреда: в случае нарушения прав субъекта данных, моральный вред подлежит возмещению, независимо от возмещения имущественного вреда.

Статистика проанализированных релевантных дел:

• Административные дела по ст. 13.11 КоАП РФ: 10 дел, в которых организации и должностные лица привлекались к административной ответственности. В большинстве случаев назначалось наказание в виде предупреждения или административного штрафа.
• Гражданские дела о компенсации морального вреда за утечку данных: 3 дела. В этих делах суды частично удовлетворяли иски истцов, взыскивая компенсацию морального вреда.
• Дела с упоминанием "персональных данных 2025": 6 дел, из которых лишь 2 были релевантны контексту обработки и защиты персональных данных, остальные касались упоминания персональных данных в общем контексте судебных материалов (например, для идентификации участников) или других статей КоАП РФ.

1. ПРАВОВЫЕ ОСНОВАНИЯ

Основным нормативно-правовым актом, регулирующим отношения в сфере персональных данных, является Федеральный закон от 27 июля 2006 года № 152-ФЗ «О персональных данных» (далее – Закон № 152-ФЗ).

Применение статей Закона № 152-ФЗ:

• Статья 3 (понятия): Суды активно используют определения "персональные данные" (любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу), "оператор" (государственный орган, юридическое или физическое лицо, организующее обработку персональных данных), "обработка персональных данных" (любое действие или совокупность действий с персональными данными, включая сбор, хранение, использование, распространение), "распространение персональных данных" (действия, направленные на раскрытие данных неопределенному кругу лиц), "предоставление персональных данных" (действия, направленные на раскрытие данных определенному кругу лиц).
• Статья 5 (принципы обработки): Обработка персональных данных должна осуществляться на законной и справедливой основе, ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка данных, несовместимая с целями сбора, а также избыточная по отношению к заявленным целям.
• Статья 6 (условия обработки): Обработка персональных данных осуществляется с согласия субъекта персональных данных, если иное не предусмотрено законом.
• Статья 7 (конфиденциальность): Операторы и лица, получившие доступ к персональным данным, обязаны не раскрывать их третьим лицам и не распространять без согласия субъекта, если иное не предусмотрено федеральным законом.
• Статья 9 (согласие субъекта): Согласие на обработку персональных данных должно быть конкретным, информированным и сознательным. В случаях, предусмотренных федеральным законом, обработка данных осуществляется только с согласия в письменной форме. Бремя доказывания получения согласия возлагается на оператора.
• Статья 10 (специальные категории данных): Обработка специальных категорий персональных данных (расовая, национальная принадлежность, состояние здоровья) допускается только с согласия субъекта в письменной форме, за исключением предусмотренных Законом случаев.
• Статья 18.1 (меры по обеспечению выполнения обязанностей оператора): Оператор обязан принимать необходимые и достаточные меры для обеспечения выполнения обязанностей, предусмотренных Законом № 152-ФЗ.
• Статья 21 (уничтожение данных): Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено законом.
• Статья 22 (уведомление уполномоченного органа): Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных ([организация]) о своем намерении осуществлять обработку.
• Статья 24 (ответственность): Лица, виновные в нарушении требований Закона № 152-ФЗ, несут ответственность, предусмотренную законодательством РФ. Моральный вред, причиненный субъекту данных вследствие нарушения его прав, подлежит возмещению.

Кодекс Российской Федерации об административных правонарушениях (КоАП РФ):

• Статья 13.11 КоАП РФ (Нарушение законодательства Российской Федерации в области персональных данных): Является основным основанием для привлечения к административной ответственности за нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных). Это включает обработку данных без согласия, обработку избыточных данных, несоблюдение требований к защите данных.

Гражданский кодекс Российской Федерации (ГК РФ):

• Статья 150 ГК РФ (Нематериальные блага): Личная неприкосновенность, неприкосновенность частной жизни, личная и семейная тайна относятся к нематериальным благам, принадлежащим гражданину от рождения, и подлежат защите.
• Статья 151 ГК РФ (Компенсация морального вреда): Суд может возложить на нарушителя обязанность денежной компенсации морального вреда (физических или нравственных страданий), причиненного действиями, нарушающими личные неимущественные права или посягающими на нематериальные блага.
• Статья 1100 ГК РФ: Компенсация морального вреда осуществляется независимо от вины причинителя вреда в случаях, когда вред причинен распространением сведений, порочащих честь, достоинство и деловую репутацию, а также в иных случаях, предусмотренных законом.

Постановления Пленума Верховного Суда РФ:

• Постановление Пленума Верховного Суда РФ от 19 декабря 2003 г. № 23 «О судебном решении»: Разъясняет требования к законности и обоснованности судебного решения.
• Постановление Пленума Верховного Суда РФ от 20 декабря 1994 г. № 10 «Некоторые вопросы применения законодательства о компенсации морального вреда»: Определяет понятие морального вреда и критерии его компенсации.

2. АНАЛИЗ СУДЕБНОЙ ПРАКТИКИ

2.1. Дела с положительным исходом

Большинство дел с положительным исходом для истцов или административного органа связаны с нарушениями Федерального закона № 152-ФЗ.

• Компенсация морального вреда за утечку персональных данных:

  • Московский городской суд (Дело № 33-13427/23, 28.03.2023): Суд удовлетворил иск [ФИО] к [организация] о взыскании компенсации морального вреда в размере 5000 рублей. Суд установил, что не был обеспечен необходимый уровень защищенности персональных данных, что привело к их разглашению. Отмечено, что утечка данных является общеизвестным фактом, а оператор обязан обеспечить конфиденциальность. https://reputation.su/sudrf/200554490
  • Московский городской суд (Дело № 33-21547/23, 06.06.2023): Иск [ФИО] к [организация] о взыскании компенсации морального вреда в размере 5000 рублей был удовлетворен. Суд подтвердил утечку данных и виновность ответчика в нарушении законодательства о персональных данных, указав, что обязанность оператора сохранять конфиденциальность клиентов возложена на него в силу закона. https://reputation.su/sudrf/175201311
  • Дзержинский городской суд Нижегородской области (Дело № 2-840/2024, 11.03.2024): Иск [ФИО] к [организация] о компенсации морального вреда за утечку персональных данных удовлетворен частично, взыскано 10 000 рублей. Суд признал факт нарушения ответчиком требований о защите персональных данных, повлекший распространение данных истца. https://reputation.su/sudrf/218114147

• Привлечение к административной ответственности по ст. 13.11 КоАП РФ:

  • Судебный участок № 1 Ненецкого автономного округа (Дело № 4-342/17, 08.06.2017): Должностное лицо [организация] [ФИО] признан виновным в нарушении порядка обработки персональных данных (размещение в открытом доступе на официальном сайте учреждения данных учащихся без согласия) и ему вынесено предупреждение. https://reputation.su/sudrf/98095774
  • Судебный участок № 1 Ненецкого автономного округа (Дело № 4-343/17, 08.06.2017): Директор [организация] [ФИО] признана виновной в аналогичном правонарушении (размещение фотографий и ФИО учащихся на сайте без письменного согласия) и получила предупреждение. Суд подчеркнул, что изображение человека относится к биометрическим данным, требующим письменного согласия. https://reputation.su/sudrf/89687504
  • Судебный участок № 1 Соломбальского судебного района г. Архангельска (Дело № 5-25/2019, 24.01.2019): [организация] признано виновным в обработке персональных данных кандидатов на вакантные должности без согласия субъектов и получило предупреждение. https://reputation.su/sudrf/81183027
  • Судебный участок № 33 Нейского судебного района (Дело № 5-301/2016, 01.07.2016): Должностное лицо [ФИО] признана виновной в ненадлежащем оформлении согласий законных представителей на обработку персональных данных воспитанников (отсутствие наименования оператора, цели обработки, способа отзыва согласия) и получила предупреждение. https://reputation.su/sudrf/215958309
  • Судебный участок № 49 Самарского судебного района г. Самары (Дело № 5-264/2017, 12.07.2017): Председатель [организация] [ФИО] привлечена к административной ответственности по ст. 13.11 КоАП РФ за некорректно оформленные согласия на обработку персональных данных (отсутствие определенной цели, обязательных сведений) и получила предупреждение. https://reputation.su/sudrf/217183830
  • Судебный участок № 15 Димитровского судебного района города Костромы (Дело № 5-545/2017, 05.06.2017): [организация] признано виновным в нарушениях по ст. 13.11 КоАП РФ (невыполнение требований по уничтожению данных после достижения целей обработки, обработка избыточных данных из трудовых книжек, отсутствие информирования работников о правилах обработки данных без автоматизации, отсутствие утвержденных мест хранения материальных носителей) и получило предупреждение. https://reputation.su/sudrf/85424378
  • Судебный участок № 3 г.Каменск-Шахтинского Ростовской области (Дело № 5-292/2012, 16.08.2012): [организация] признано виновным в многочисленных нарушениях законодательства о персональных данных, включая необоснованное истребование копий паспортов и военных билетов, обработку данных о национальности без согласия, передачу данных абонентов третьему лицу без законных оснований, отсутствие локальных актов, и оштрафовано на 5000 рублей. https://reputation.su/sudrf/70087019

2.2. Дела с отрицательным исходом

• Останкинский районный суд (Дело № 02-1283/2020, 20.02.2020): Истец [ФИО] отказано в удовлетворении требований к [организация] о компенсации морального вреда за утечку персональных данных. Суд отказал в иске, указав на отсутствие доказательств распространения персональных данных именно ответчиком. https://reputation.su/sudrf/183450215
• Абаканский городской суд (Дело № 2-936/2017, 07.02.2017): Отказано в удовлетворении исковых требований [ФИО] к [организация] о защите персональных данных и взыскании компенсации морального вреда. Истец не представил доказательств того, что ответчик каким-либо способом осуществлял обработку его персональных данных, а представленная детализация звонков не подтверждала нарушения. https://reputation.su/sudrf/27257242

2.3. Ключевые факторы успеха

• Наличие доказательств: Для успешного исхода дела необходимо представить суду неопровержимые доказательства нарушения законодательства о персональных данных. Это могут быть скриншоты, официальные уведомления об утечке, акты проверок [организация], протоколы об административных правонарушениях.
• Причинно-следственная связь: Должна быть четко установлена причинно-следственная связь между действиями (бездействием) оператора и наступившими негативными последствиями (например, утечкой данных, причинением морального вреда).
• Соблюдение процедур: Операторам необходимо тщательно соблюдать все процедурные требования по обработке персональных данных, включая получение согласий, разработку локальных актов, уведомление уполномоченного органа, а также уничтожение данных по истечении срока обработки.
• Оперативное реагирование на утечки: В случае утечки данных, своевременное уведомление пользователей и принятие мер по минимизации последствий может быть учтено судом.
• Биометрические данные: Размещение биометрических персональных данных (например, фотографий) требует особого внимания и обязательного письменного согласия субъекта.
• Доказательство морального вреда: Истцам, требующим компенсацию морального вреда, необходимо убедительно доказать факт и степень нравственных или физических страданий.
• Локальные акты: Наличие и соблюдение внутренних правил и положений по обработке персональных данных, а также информирование сотрудников о них, является важным фактором для операторов.

3. ПРАКТИЧЕСКИЕ РЕКОМЕНДАЦИИ

На основе анализа судебной практики можно дать следующие практические рекомендации:

• Для операторов персональных данных (организаций и должностных лиц):

  • Строго соблюдайте Закон № 152-ФЗ: Перед началом обработки персональных данных убедитесь в наличии законных оснований, в первую очередь — надлежащим образом оформленного согласия субъекта.
  • Разработайте и утвердите локальные акты: У вас должны быть утвержденные политики, положения и инструкции по обработке персональных данных, соответствующие требованиям законодательства. Эти документы должны определять цели обработки, категории обрабатываемых данных, сроки хранения, а также порядок взаимодействия с субъектами персональных данных.
  • Получайте письменное согласие: Особенно для специальных категорий персональных данных (например, состояние здоровья, сведения о национальности, фотографии) и биометрических данных, письменное согласие субъекта является обязательным. В форме согласия должны быть указаны все необходимые сведения (наименование оператора, цель обработки, перечень данных, срок действия, способ отзыва).
  • Избегайте избыточности: Обрабатывайте только те персональные данные, которые необходимы для достижения заявленных целей. Не запрашивайте и не храните излишнюю информацию (например, копии документов, содержащие чувствительную информацию, если это не требуется законом).
  • Уведомляйте [организация]: Обязательно уведомите [организация] о своем намерении осуществлять обработку персональных данных.
  • Обеспечьте безопасность данных: Принимайте все необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения. Регулярно проводите внутренний контроль.
  • Уничтожайте данные своевременно: По достижении целей обработки персональные данные должны быть уничтожены или обезличены в установленные сроки.
  • Обучайте сотрудников: Обеспечьте информирование сотрудников, осуществляющих обработку персональных данных, об особенностях и правилах такой обработки.
  • Реагируйте на запросы субъектов: Оперативно и полно отвечайте на запросы субъектов персональных данных об информации, касающейся их данных, а также на требования об отзыве согласия или прекращении обработки.

• Для субъектов персональных данных (физических лиц):

  • Будьте внимательны при даче согласия: Внимательно читайте согласие на обработку персональных данных, прежде чем его подписывать. Убедитесь, что вы понимаете, какие данные, для каких целей и кем будут обрабатываться.
  • Проверяйте информацию о себе в открытых источниках: Если вы обнаружили свои персональные данные в открытом доступе без вашего согласия, незамедлительно свяжитесь с оператором, требуйте удаления данных и прекращения их обработки.
  • Фиксируйте нарушения: Сохраняйте все доказательства нарушения ваших прав (скриншоты, переписку, уведомления об утечках). Это будет полезно при обращении в [организация] или суд.
  • Обращайтесь в [организация]: В случае нарушения ваших прав, вы можете обратиться с жалобой в уполномоченный орган по защите прав субъектов персональных данных – [организация].
  • Защищайте свои права в суде: Если ваши права были нарушены, вы имеете право обратиться в суд с иском о защите персональных данных, требованием прекратить их обработку и взыскании компенсации морального вреда.

4. Таблица ссылок