Денис Лукаш | Privacy Expert

На дне открытых дверей заместитель руководителя Роскомнадзора рекомендовал представителям операторского сообщества проходить обучение по персональным данным. Время на записи 0:11:20 - 0:12:30.

У коллег из Безопасность 360 как раз продолжается регистрация на 2-х дневный курс "Обработка персональных данных в организации", где буду я одним из лекторов.

Даты проведения 26-27 августа, можно очно или заочно.

Послезавтра (14 августа) день открытых дверей Роскомнадзора (анонс).
Начало в 13.00 мск.
Прием вопросов закончен, подготовлена ссылка на трансляцию https://vkvideo.ru/live-76229642_456240204

Предоставление управляющей компанией третьим лицам доступа к ПДн собственников многоквартирного дома без надлежащего согласия

Формулировка «иные лица», «иные цели» в согласии на передачу персональных данных в договоре не отвечает требованиям конкретности, информированности и однозначности; компания привлечена к ответственности по ч. 1 ст. 13.11 КоАП за передачу персональных данных без правового основания; кассация снизила штраф со 200 000 до 100 000 рублей, применив правила назначения наказания для субъектов малого предпринимательства (ст. 4.1.2 КоАП РФ)

🔹Суть спора:

Гражданка обратилась в Управление Роскомнадзора по Оренбургской области: УК предоставила третьим лицам доступ к базе пользователей ограждающего устройства, содержащей ПДн собственников многоквартирного дома (ФИО, сведения о праве собственности, абонентские номера), без правового основания.

На основании предоставленных УК данных Управление нарушений не усмотрело и отказало в возбуждении дела. Гражданка обратилась повторно, указав на подлог данных со стороны УК. По повторному обращению Управление направило запросы по всей цепочке лиц, связанных с доступом к базе, и выявило нарушения со стороны УК. Составлен протокол по ч. 1 ст. 13.11 КоАП РФ.

🔹Позиции сторон:

УК: производство должно быть прекращено, поскольку протокол составлен с нарушениями (неизвещение, неверные место, дата, время совершения правонарушения и адрес УК), административный орган вынес два противоположных решения, а запросы направлены без контрольно-надзорного мероприятия и решения о расследовании. УК настаивала: данные передал Совет дома, а согласие собственников закреплено в договоре управления домом. В апелляции просила заменить штраф предупреждением (ст. 4.1.1 КоАП РФ).

Роскомнадзор: УК извещалась по адресу из ЕГРЮЛ, протокол соответствует ч. 2 ст. 28.2 КоАП РФ; два определения вынесены по двум обращениям; запросы - в рамках полномочий по 152-ФЗ. Доступ третьим лицам предоставлен на основании заявки УК, что подтверждено ИП, с которым УК заключен договор на предоставление доступа к ограждающему устройству, а формулировки договора «иные лица», «иные цели» не конкретны, не информированы и не однозначны.

🔹Позиции судов:

Мировой судья

Судья признал УК виновной по ч. 1 ст. 13.11 КоАП РФ и назначил штраф 200 000 рублей.

Апелляция

Доступ к базе предоставлен третьим лицам без правового основания и повлёк распространение ПДн жителей дома без их согласия. Ссылка на условия договора отклонена: формулировка о согласии на передачу и обработку ПДн «иным лицам» не соответствует принципам и требованиям 152-ФЗ, поскольку её буквальное толкование может свидетельствовать о неограниченном круге лиц, имеющих доступ к данным жителей. Довод о передаче данных Советом дома признан противоречащим материалам дела (по ответу ИП доступ предоставлен по заявке УК; регистрация лиц с доступом производилась только по электронным адресам, предоставленным УК). Извещение о составлении протокола признано надлежащим (техническая ошибка в указании года очевидна), место совершения правонарушения определено по юридическому адресу из ЕГРЮЛ, вынесение двух определений правомерно. Оснований для применения ст. 2.9 КоАП РФ (малозначительность) и ст. 4.1.1 КоАП РФ (замена штрафа предупреждением) суд не усмотрел. Постановление оставлено без изменений.

Кассация

Суд согласился с выводами о виновности УК и отсутствии оснований для замены штрафа предупреждением (ст. 4.1.1 КоАП РФ), однако изменил судебные акты в части наказания. Суд указал, что УК с 10.05.2018 состоит в Едином реестре субъектов малого и среднего предпринимательства и отнесена к микропредприятию, что не было учтено ни мировым судьей, ни районным судом. Штраф микропредприятию по правилам ст. 4.1.2 КоАП РФ должен назначаться в размере от половины минимального до половины максимального размера санкции. С учетом этого штраф снижен со 200 000 до 100 000 рублей; в остальной части судебные акты оставлены без изменений.

#практика

Об операторе и обработчике в договорах

В договорах всё чаще стороны искусственно закрепляют, кто оператор, а кто обработчик. И часто это делается не по факту реального процесса, а исходя из соображений удобства и собственного ощущения безопасности.

Понятие оператора чётко прописано в законе. Чтобы считаться оператором, нужно реально соответствовать этим признакам. Статус можно изменить, перестроив бизнес-процесс, но на практике это получается не всегда. Нельзя просто так присвоить себе удобную роль, если фактические отношения говорят об обратном, так как условия договора в этой части не будут соответствовать закону.

Когда роли определены правильно (в соответствии с реальной обработкой), прямое указание оператора и обработчика в поручении - это хорошая практика. Но здесь важно помнить: такое разграничение обычно действует только для одного, основного потока персональных данных.

Простой пример. Стороны подписывают поручение на обработку данных кандидатов на вакансии, заверяя его подписями своих представителей. Сразу видны две категории: кандидаты и подписанты. По кандидатам — поручение, по подписантам — уже межоператорская передача, которая в поручение не попадает.

Лучше, если DPO участвует с момента обсуждения нового бизнес-направления. Если DPO получает готовое поручение с уже распределёнными ролями, оптимально выяснить бизнес-потребность, понять, почему именно так структурировали сделку и определили стороны. В большинстве случаев это не занимает много времени.

Но в практике L&P частые случаи, когда это приводило к каскаду переговоров (в интересах заказчика на сопровождении), длинной ветке комментариев в Word. После чего контрагент менял правовую природу сделки или даже предлагал новую и правомерную (с позиции 152-ФЗ) структуру отношений между двумя группами компаний.

Если Вы DPO, надеюсь, этот пост поможет поймать нужный ориентир, когда коллеги вокруг говорят, что Вы перегибаете. Возможно, Вы ещё и не дорабатываете.

#практика

Можно читать не только этот канал.

Постепенно с командой наполняем раздел экспертных позиций по персональным данным. Все отсортировано по тегам и источникам.
Уже более 200 записей, доступно без регистрации. Не забывайте пользоваться.

Спор о привлечении Банка к ответственности по ч. 5 ст. 13.11 КоАП РФ из-за неуточнения банком данных субъекта о наличии/отсутствии задолженности

Отказ Роскомнадзора в возбуждении дела против Банка за неуточнение ПДн субъекта и передачу их коллекторам признан правомерным судами двух инстанций, однако отменен кассацией из-за процессуального нарушения при подаче жалобы

🔹Суть спора:

Между Истцом и Банком был заключен кредитный договор, по которому образовалась просроченная задолженность. На основании информации о задолженности Банк передал задолженность коллектору.

В ходе отдельного судебного разбирательства было установлено, что Истец погасил кредит и не имеет задолженности.

Истец посчитал, что Банк не имел права передавать его данные коллектору и обязан был внести сведения об отсутствии задолженности. В связи с этим Банк должен быть привлечён к административной ответственности по ч.5 ст.13.11 КоАП РФ.

🔹Позиции сторон:

Истец настаивал, что Банк был осведомлен о решении суда и исполнительном листе, согласно которому должны были быть внесены изменения, но не исполнил в срок требование субъекта персональных данных об уточнении данных (ч.2 ст. 21 152-ФЗ). Передача данных коллекторам является злонамеренной и не соответствует заявленной цели обработки, поскольку задолженности перед Банком, по  мнению Истца, не имелось.

Банк, в свою очередь, указывал, что Истец при подписании договора и заявления на кредит дал согласие на обработку персональных данных, обязательства по договору исполнял ненадлежащим образом, в связи с чем образовалась непрерывная просроченная задолженность. Договор был правомерно передан в работу коллекторскому агентству в рамках агентского договора.

🔹Позиции судов:

Первая инстанция

Советский районный суд г. Краснодара пришел к выводу, что Банк и коллекторское агентство обладали правовым основанием для обработки персональных данных Истца: обработка без согласия допускается для исполнения возложенных законом функций оператора либо для исполнения договора (п. 2, 5 ч. 1 ст. 6 152-ФЗ). Право требования, которое может влечь за собой обработку персональных данных, может передаваться без согласия должника (ст. 382 ГК РФ). Кредитор вправе передавать сведения о должнике коллекторским организациям, включенным в госреестр, независимо от согласия должника (п. 5, 6 ст. 6 230-ФЗ).  Суд, установив, что вступившее в силу решение Прикубанского районного суда Банку не поступало, признал событие административного правонарушения отсутствующим и оставил определение Роскомнадзора об отказе в возбуждении дела без изменения, а жалобу Истца — без удовлетворения.

Апелляция

Краснодарский краевой суд подтвердил эти выводы, дополнительно указав, что Истец был уведомлен об условиях кредита и дал согласие на обработку персональных данных при подписании договора, а несогласие заявителя с оценкой доказательств и толкованием норм не свидетельствует о существенных процессуальных нарушениях. Решение районного суда оставлено без изменения, жалоба без удовлетворения.

Кассация (постановление Четвёртого кассационного суда ОЮ от  12 мая 2026 г. № 16-1061/2026)

Кассационный суд отменил решения нижестоящих судов из-за процессуального нарушения. По КоАП РФ (в редакции до 01.07.2025) жалоба должна была подаваться на бумаге с оригинальной подписью, а в суд поступила лишь копия. Районный суд не выяснил это обстоятельство и не истребовал подлинник, краевой суд нарушение не устранил. Дело направлено на новое рассмотрение в Советский районный суд г. Краснодара.

#практика

Telegram доступен только с VPN и перспектив пока не видно.

Специально для вас мы собрали в одном месте качественные каналы проверенные временем в Telegram и появившиеся в MAX:

▫️Судебная практика по ИП - Telegram | MAX
▫️Юрист объясняет - Telegram | MAX
▫️Блог Адвоката Торозова - Telegram | MAX
▫️Охрана труда по факту - Telegram | MAX
▫️ℕ𝕆𝕍𝔸𝕃𝔼𝕂𝕊𝔸 правовой вестник- Telegram | MAX
▫️Право🆘 - Telegram | MAX
▫️ЮРИСПРУДЕНЦИЯ - Telegram | MAX
▫️ЧТО СКАЗАЛ СУД - Telegram | MAX
▫️ЛИЧНЫЕ НАЛОГИ - Telegram | MAX
▫️Налоговые споры - Telegram | MAX
▫️САМОЗАНЯТОСТЬ - Telegram | MAX
▫️Письма по налогам - Telegram | MAX
▫️Налоговый советник - Telegram | MAX
▫️Право и инновации - Telegram | MAX
▫️СУДЕБНАЯ ПРАКТИКА - Telegram | MAX
▫️Судебная практика по банкротству - Telegram | MAX
▫️СУДЕБНАЯ ПРАКТИКА IP и IT - Telegram | MAX
▫️ТРУДОВЫЕ СПОРЫ - Telegram | MAX
▫️АВТОПРАВО - Telegram | MAX
▫️Трудовой кодекс - Telegram | MAX
▫️PRO права студентов - Telegram | MAX
▫️Денис Лукаш | Privacy Expert - Telegram | MAX
▫️Privacy Advocates - Telegram | MAX
▫️Клиент прав - Telegram | MAX
▫️Врачебные ошибки с экспертом Веселкиной - Telegram | MAX
▫️Народный Юрист - Telegram | MAX
▫️Елена Гринь | IP ЮРИСТ - Telegram | MAX
▫️Юрист без опыта - Telegram | MAX
▫️Практическое КУ - Telegram | MAX
▫️Четыре мнения - Telegram
▫️PRO Семейные права - Telegram | MAX
▫️PRAVO потребителя - Telegram | MAX

Опубликована запись вебинара "История 152-ФЗ: от предупреждений до оборотных штрафов за 20 лет".

Почему стоит посмотреть или просто послушать на фоне всем кто близок к data privacy?

1. Уникальный источник информации об истории 152-ФЗ от бывших инспекторов Роскомнадзора, которые начали заниматься персональными данными почти 20 лет назад, а сейчас DPO корпораций.

2. Краткий экскурс в то, как менялось отношение к согласиям на обработку ПД, законному интересу, поручениям на обработку ПД.

3. Обсудили рост автоматизированной обработки ПД за 20 лет: от бумаг с ПД в мусорке к взломам информационных систем.

4. Поделились интересными наблюдениями, например, как в конце нулевых операторы ПД даже не понимали зачем их проверяли. Мало кто понимал смысл 152-ФЗ (или хотел понять).

5. Высказали мнение почему работа по направлению ПД в Роскомнадзоре - это отличный старт карьеры DPO (если в будущем интересен частный сектор).

Запись.

А если Вы хотите вживую послушать носителей истории 152-ФЗ, приходите на очную конференцию 20 лет закону о персональных данных 2 июля в Москве. Помимо хороших докладов - это нетворкинг и кулуарные обсуждения.