Privacy Advocates

🏛️📋 Конспект Дня открытых дверей Роскомнадзора 14.08.2026
🔸 Мероприятие шло около 3,5 часов: итоги надзора, практика Центра правовой помощи гражданам в цифровой среде ГРЧЦ, разбор вопросов, присланных заранее, и ответы на вопросы из зала.
🔸 Мы собрали позиции спикеров в единый конспект и структурировали их по темам: проектирование процесса обработки, передача и поручение, ТПД и локализация, уведомление, согласие и случаи, когда оно не требуется, работники и соискатели, биометрия, распространение и открытые источники, уничтожение и архивное хранение, запросы субъектов, авторизация и рекомендательные технологии на сайте, рассылки.
🔸 Отдельным приложением - вопросы из зала с ответами: акт об уничтожении при поручении, одно поручение от нескольких операторов, доказывание надлежащего согласия, графа о месте нахождения баз данных, вектор лица в программе лояльности, законный интерес, удаление против уничтожения.
🔸 Конспект - наше изложение и обобщение прозвучавшего, формулировки приведены в сокращении. По значимым вопросам сверяйтесь с записью мероприятия: https://vkvideo.ru/live-76229642_456240204

👁 PA | 💬 Max | ❤️ ЯМ | 🗣️ ВК

⚖️ Апелляция по делу Орион Телеком: предупреждение не соответствует закону, но менять его уже поздно

📌 Апелляционная жалоба Орион Телеком постановлением Четвертого ААС по делу № А19-25808/2025 отклонена, решение АС Иркутской области от 12.05.2026 (ч.13 ст.13.11 КоАП РФ, предупреждение) оставлено без изменения. Резолютивную и мотивировочную части первой инстанции мы уже разбирали, теперь о том, что добавила апелляция.

1️⃣ Главный довод жалобы о действии закона во времени отклонен. Оператор настаивал на квалификации по ч.1 ст.13.11 КоАП, поскольку несанкционированный доступ произошел в период с 24 по 26.05.2025, до вступления в силу ч.13 (30.05.2025), а публикация базы 29.07.2025 лишь следствие ранее совершенного доступа. В подкрепление приводилась переквалификация с ч.13 на ч.1 по делам группы в Красноярске и Хакасии. Апелляция поддержала первую инстанцию: состав материальный, правонарушение окончено в момент распространения ПД 29.07.2025 в 21:55, проникновение в инфраструктуру и создание записей в базе - лишь подготовительные действия, а практика других судов не обязательна. Парадокс серии сохраняется: за один инцидент компании группы в других регионах ушли на ч.1, материнская структура осталась на ч.13.

2️⃣ С 01.01.2026 дела по ст.13.11 КоАП возвращены судам общей юрисдикции, но заявление РКН принято арбитражным судом 27.10.2025, в период действия редакции 420-ФЗ. Дело, принятое с соблюдением правил подсудности, рассматривается по существу (ч.1 ст.39 АПК РФ) - та же логика, что ранее применил Третий ААС в хакасском деле группы.

3️⃣ Отказ в экспертизе и привлечении специалистов правомерен, степень вины - правовой вопрос и компетенция суда. Отчет BI.ZONE снова сработал против оператора: активная учетка уволенного в 2022 году сотрудника, несменяемые пароли, ПО с критическими уязвимостями, некорректная конфигурация системы безопасности. Ссылки на профессионализм BO Team, утвержденную модель угроз и сертифицированную СЗИ не помогли - внешняя атака не снимает с оператора обязанностей по ст.19 152-ФЗ.

4️⃣ Самое важное в постановлении - РКН в дополнении к отзыву указал, что санкция ч.13 ст.13.11 КоАП предупреждения вообще не предусматривает, и просил заменить его штрафом (₽5-10 млн). Апелляция согласилась по существу. Совокупности условий ст.3.4 и 4.1.1 КоАП нет, утечка ПД 36 544 субъектов сама по себе является существенным нарушением прав граждан и создает угрозу охраняемым интересам, в том числе безопасности государства. Плюс ссылка на п.33 Обзора ВС РФ № 3 (2025) - статус микропредприятия сам по себе замену штрафа не обосновывает. Вывод суда прямой: назначение предупреждения не соответствует требованиям закона.

5️⃣ Но изменить наказание нельзя, т.к. правонарушение не длящееся, годичный срок давности (ч.1 ст.4.5 КоАП) исчисляется с 29.07.2025 и истек 29.07.2026 - аккурат между заседаниями 21.07 и 11.08 (разбирательство дважды откладывалось). За пределами срока давности суд не вправе обсуждать более строгое наказание (п.13.1 ППВАС № 10), с истечением срока согласился и представитель РКН. Поэтому не соответствующее санкции предупреждение осталось в силе.

💡Оператор, обжалуя предупреждение, едва не получил вместо него штраф до ₽10 млн - от разворота спасло только истечение срока давности в ходе апелляции. Для практики важнее другое: апелляция прямо указала, что при утечке такого масштаба путь к замене штрафа предупреждением закрыт в принципе, угроза охраняемым интересам презюмируется самим объемом скомпрометированных данных. Если эта позиция закрепится, предупреждения по ч.13 первого года применения нормы останутся исключением, а не правилом. Впереди возможная кассация в АС Восточно-Сибирского округа, срок - два месяца.

👁 PA | 💬 Max | ❤️ ЯМ | 🗣️ ВК

🏛️ Опубликован проект изменений в «Правила оказания услуг телефонной связи»
🔸В новой версии «Правил» прописан запрет смс-рассылок на детские сим-карты. При этом под такие рассылки подпадают и смс-сообщения для регистрации и входа на какие-либо интернет ресурсы. Исключение сделано только для рассылок от ГИС, например, от портала «Госуслуг».
🔸Согласно второму пакету антифрод-мер, родители могут сообщить оператору связи о том, что сим-картой пользуется ребенок. Для таких сим-карт планируется ввести ограничения, которые должны быть прописаны в подзаконных нормативно-правовых актах, одним из которых являются новые «Правила».
🔸Из текущей формулировки можно сделать вывод, что вводится запрет на все смс-сообщения для детей, в том числе идентификационные и аутентификационные смс-сообщения от российских мессенджеров, соблюдающих требования законодательства.
🔸В Минцифры поясняют: второй пакет антифрод-мер наделил правительство полномочиями определить правила оказания услуг связи несовершеннолетним. Абоненты имеют право уведомлять операторов о передаче своих сим-карт детям, чтобы установить дополнительную защиту для них. Поправки в «Правила» определяют способы уведомления операторов, а также ограничения для детских сим-карт, отмечают в министерстве.

👁 PA | 💬 Max | ❤️ ЯМ | 🗣️ ВК

🇰🇿 Въезд в Казахстан для иностранцев предложили сделать платным, а доходы направить на защиту персональных данных
🔸Министерство внутренних дел Казахстана разработало поправки, которые предусматривают оформление платных электронных разрешений на въезд для иностранных граждан и лиц без гражданства.
🔸Стоимость такого разрешения не уточняется. Средства от оформления разрешений планируют направлять на обслуживание и модернизацию цифровой инфраструктуры, а также на защиту персональных данных.
🔸Поправки пока не приняты. Документ находится на публичном обсуждении до 17 августа.
🔸МВД республики предлагает внедрять систему поэтапно - с августа по декабрь 2026 года, что позволит гарантировать «стабильную адаптацию логистических мощностей и пограничной инфраструктуры ко всем типам пунктов пропуска».
🔸В ведомстве также ожидают, что разработка системы поможет быстрее и прозрачнее отслеживать передвижение мигрантов по территории Казахстана.

📋 Роскомнадзор обновляет проверочный лист по контролю за обработкой ПД
🔸 Проект правит форму проверочного листа из приказа РКН от 24.12.2021 № 253. Лист менялся один раз, приказом от 10.01.2023 № 1, и с тех пор 152-ФЗ переписали четыре закона: 266-ФЗ, 233-ФЗ, 23-ФЗ и 156-ФЗ. Сейчас в таблице 75 строк, после правки будет 77. Общественное обсуждение до 18 августа.
🔸 Пять новых вопросов. Уничтожение или обезличивание ПД по достижении целей обработки (ч. 7 ст. 5). Соответствие согласия критериям конкретности, предметности, информированности, сознательности и однозначности плюс оформление отдельно от иных документов и информации (ч. 1 ст. 9, требование про отдельное оформление принес как раз 156-ФЗ). Содержание согласия на распространение по требованиям РКН (ч. 9 ст. 9). Уведомление об обработке с раскрытием по каждой цели категорий ПД, категорий субъектов, правового основания, перечня действий и способов обработки (ч. 3.1 ст. 22). Обезличивание по требованиям и методам РКН (ч. 12 ст. 23).
🔸 Три вопроса исключаются. Строка 14 о содержании согласия на распространение, строка 20(1) о содержании уведомления о трансграничной передаче (ч. 4 ст. 12) и строка 33 об организационных мерах защиты ПД (ч. 1 ст. 19).
🔸 Исключение строки 14 это корректировка ошибки. Она ссылалась на ч. 1 ст. 10.1, где требований к содержанию такого согласия нет, и на приказ РКН от 24.02.2021 № 18, срок действия которого ограничен 1 сентября 2027 года. Новая строка 10(1) отсылает к ч. 9 ст. 9 и к требованиям уполномоченного органа вообще, без привязки к конкретному приказу с истекающим сроком.
🔸Строки 31 и 47-49 адресованы юридическим лицам, строки 50-57 государственным и муниципальным органам.
🤔 Из листа уходит единственный прямой вопрос об организационных мерах защиты ПД. Технические меры и правда вне компетенции РКН, они у ФСТЭК и ФСБ, но ч. 1 ст. 19 говорит именно об организационных, и обязанность оператора никуда не делась.

🏛️ Роскомнадзор вынес на обсуждение новый перечень государств, обеспечивающих адекватную защиту прав субъектов ПД
🔸 Проект отменяет приказ РКН от 05.08.2022 № 128 целиком и утверждает перечень заново. Нормы о сроке вступления в силу в проекте нет, в отличие от приказа № 128, где было прямо указано 1 марта 2023 года. По общему правилу это десять дней после официального опубликования.
🔸 Изменилась структура. Вместо двух разделов, 55 государств-сторон Конвенции 108 и 34 государства, не являющихся сторонами, но соответствующих ее положениям, теперь один сплошной алфавитный перечень из 88 позиций. Содержательное изменение ровно одно - из перечня исключена Украина.

👁 PA | 💬 Max | ❤️ ЯМ | 🗣️ ВК

🇪🇸 Испанский регулятор выпустил техническую записку о точности и качестве данных при обработке ПД с использованием ИИ
🔸 AEPD опубликовало документ 21 июля для операторов, обработчиков и DPO и называет его одной из первых в мире системных работ по теме. Исходный тезис, требования к качеству данных из стандартов (ISO 25012, ISO 5259, ISO 22989) и принцип точности по ст. 5(1)(d) GDPR это связанные, но не тождественные понятия.
🔸 Точность по GDPR не сводится к достоверности и актуальности, она означает пригодность данных для цели. В зависимости от цели могут потребоваться детализация, гранулярность, частота сбора, отсутствие предвзятости или полнота атрибутов, а достоверность и актуальность обязательны лишь там, где они нужны для цели и где их отсутствие затрагивает права людей.
🔸 Отсюда неочевидный вывод. Синтетические данные, обезличивание, дифференциальная приватность, заполнение пустых полей средними значениями, нормализация для устранения предвзятости. Все эти методы подставляют значения, не соответствующие реальности конкретного человека, но набор данных все равно может соответствовать принципу точности, если пригоден для цели и не создает негативных эффектов для людей.
🔸 Завышенные требования к качеству это самостоятельный дефект. Расширительное чтение точности противоречит минимизации, поскольку тянет за собой доступ к большему массиву данных и большей детализации, чем нужно, создает несоразмерную нагрузку и в худшем случае закрывает проекты на ложном основании, что данных подходящего качества не существует. Обратная сторона того же правила, набор данных, не отвечающий требованиям качества для разработки, не является необходимым, а значит доступ к нему не оправдан за пределами проверки самого качества.
🔸 Для машинного обучения качество набора важнее качества отдельной записи. В примере из документа каждая строка таблицы зарплат формально корректна по ISO, но семь субъектов из восьми одного пола, и для решений, затрагивающих всех, набор непригоден. Оценивать при этом надо не только вход, но и результат. Без метрик качества выходных данных оператор не докажет, что цель достигается, а агрегированные метрики модели прячут ошибки в отдельных выводах.

🇷🇺🤔 Ч. 6 ст. 5 152-ФЗ требует точности, достаточности и в необходимых случаях актуальности ПД именно по отношению к целям обработки, то есть наша норма привязана к цели не слабее европейской. Но на практике точность у нас читают абсолютно, как соответствие действительности, а достаточность почти не используется как самостоятельный критерий. Ценность записки в перевернутой презумпции. Завышенные требования к качеству данных это не осторожность, а нарушение минимизации, и для оператора это аргумент сужать запрос на данные, а не расширять его.

👁 PA | 💬 Max | ❤️ ЯМ | 🗣️ ВК