Пресса о страховании, страховых компаниях и страховом рынке

РБК, газета, 29 июня 2026 г.

Утечки задержались в переходе

Как суды наказывают за нарушения в работе с персональными данными

98 просмотров

Как складывается судебная практика по делам о персональных данных

В мае 2025 года Роскомнадзор значительно ужесточил наказание за нарушения в работе с персональными данными. Но за год только часть бизнеса смогла адаптироваться к новым требованиям. Как теперь выглядит практика проверок и судов - в материале РБК.

Переходный период для поправок в закон «О персональных данных», вступивших в силу больше года назад, все еще продолжается. К такому выводу пришли участники семинара, проведенного в середине июня в рамках Tech Week.

Суды не выносят компаниям, допустившим утечки персональных данных, значительных штрафов или вовсе ограничиваются предупреждениями. Причем крупный бизнес более или менее привел свою работу в соответствие с требованиями, а средний и малый «находится в растерянности».

Что изменилось за год

Как констатировал на семинаре Глеб Кащеев, гендиректор Sendsay и основатель Ассоциации компаний по защите и хранению персональных данных, информация о пользователях превратилась «из некоего абстрактного ресурса, который можно неограниченно копить, и ничего не будет, в актив, который требует денег на содержание, аудит и возможные штрафы за неправильное использование».

Но пока этот факт в полной мере осознал только крупный бизнес: он тратит средства на выполнение требований закона, в первую очередь на управление согласиями на обработку и распространение персональных данных. Средний же бизнес сейчас в основном занял выжидательную позицию, отметил Кащеев. «В основной массе средний и малый бизнес пока скорее в растерянности и ожидании, что надо делать, чтобы остаться на плаву. Все разместили у себя правильные «галочки» [для получения согласий пользователей], пачку документов на сайте, которые касаются персональных данных, и дальше ждут, за что будут реально штрафовать. Но пока по-хорошему ни за что не штрафуют. Даже крупные утечки, которые были в последнее время, к серьезным штрафам, насколько я слышал, не привели», - рассказал глава Sendsay.

Это подтвердила также выступившая на семинаре руководитель практики юридической компании «Орлова/ Ермоленко» Ангелина Балакина. По ее словам, пока в российской судебной практике не было многомиллионных штрафов за нарушения в области персональных данных. Среди самых распространенных нарушений в этой сфере она назвала отсутствие согласий пользователей либо ошибки в их оформлении; отсутствие политики по обработке персональных данных; вопросы локализации данных. Последняя категория сейчас активно набирает обороты, Балакина ожидает, что в будущем количество таких споров будет увеличиваться. Юрист отметила, что до сих пор суды по спорам, связанным с хранением данных российских пользователей на серверах, расположенных в России, были только в отношении иностранных сервисов: Facebook (принадлежит MeЕta, признана в России экстремистской и запрещена), Twitter, Snapchat и др. получили штрафы по несколько миллионов рублей за невыполнение этого требования. «В отношении российских компаний пока такой практики нет. Но, как мы понимаем исходя из разных круглых столов Роскомнадзора, к российским компаниям это тоже будет применяться», - сообщила Балакина.

Практика рассмотрения дел об утечках данных, по словам юриста, была разной. В течение года такие споры сначала рассматривали мировые судьи, потом их передали в арбитражные суды, а потом снова вернули мировым. Арбитражные суды выносили «очень лояльные» решения, ограничиваясь в основном предупреждениями или штрафами на минимально возможном уровне, отметила Балакина. А сами штрафы если и присуждали, то не самой компании, а ее должностным лицам - гендиректору или ответственному за обработку персональных данных. «Когда [рассмотрение подобных дел] вернулось обратно мировым судьям, они оказались более суровыми. Если в практике арбитражных судов примерно 50% дел заканчивались предупреждениями, то у мировых судей это примерно 15%, а все остальное - штрафы. При этом я вижу тенденцию, например, в Москве, что если изначально это был минимальный порог, то сейчас штрафы увеличиваются», - добавила Балакина.

Она упомянула два показательных дела 2025 года. Первое - против РЖД за утечку персональных данных в результате внешней кибератаки. Компанию пытались оштрафовать на 150 тыс. руб., но ей удалось оспорить решение. Второе дело - об утечке персональных данных сотрудников Минтруда и их родственников со штрафом 100 тыс. руб. Это дело дошло до Верховного суда, и в итоге министерство не смогло оспорить штраф. Впрочем, сами утечки в обоих случаях произошли до вступления в силу поправок, ужесточающих ответственность.

Преподаватель Российской школы частного права Елена Челембеева отметила, что если Роскомнадзор и суды видят, что допустившая нарушение компания, по крайней мере, пыталась соответствовать требованиям закона - находила IT-подрядчика, собирала согласия, ввела реестры для их учета, то суды назначают минимально возможные штрафы.

Что привлекает внимание РКН

Участники семинара напомнили, что Роскомнадзор публикует на своем сайте график плановых проверок на год. Вне этого графика проверки могут проводиться только по чьей-то жалобе. По наблюдению Балакиной, чаще всего иски о нарушениях, связанных с персональными данными, в суд подает Роскомнадзор: на него приходится около 35% обращений, еще 33% - это заявления физлиц, 4% - от прокуратуры, еще около 15% - оспаривание действий РКН, а оставшееся - смешанные или иные процессуальные ситуации. С утверждением, что значительную часть споров инициируют физлица, согласились и другие участники семинара. Елена Челембеева отметила, что сталкивалась со случаем, когда обиженный сотрудник пожаловался на компанию, из которой он ушел, что на ее сайте было выложено видео с его участием, хотя он не давал согласия на распространение данных.

По словам руководителя судебно-претензионного управления ГК «Детский мир» Павла Бурмакина, часто граждане жалуются, ошибочно считая, что огромные штрафы, которые грозят бизнесу за нарушение в области персональных данных, будут выплачены им в качестве компенсации. «Но суды, судя по известным кейсам, присуждают не больше 15 тыс. руб.», - указал он.

В то же время Глеб Кащеев отметил, что большинство жалоб пользователей не доходит до судебного разбирательства, потому что в процессе выясняется, что они давали согласие, но забыли об этом или поставили галочку машинально.

Он напомнил, что сейчас в реестре операторов персональных данных «миллион компаний» и в год Роскомнадзор может проверить десятки. Но если компания не делает усилий для соблюдения требований, если «вызывающе идет против закона», тогда это может стать поводом для внеплановой проверки. Вдобавок у Роскомнадзора есть ИИ-решение, которое проверяет документы, размещенные на сайтах (есть ли положение об обработке персональных данных, галочки для получения согласий и т.д.). Если выявлено нарушение, ведомство направляет уведомление о его устранении. Однако все результаты проверяют живые сотрудники Роскомнадзора, это большой объем работы, а у них есть и много других задач, указали эксперты.

РБК направил запрос в Минцифры и Роскомнадзор.

Что дальше

По мнению Елены Челембеевой, главной проблемой для выполнения требований законодательства стала необходимость наладить взаимодействие между различными подразделениями компаний, а персональные данные превратились в «классический кейс кросс-функциональной головной боли». Чтобы соответствовать закону, нужно выстроить систему взаимодействия между юристами, HR, IT и другими подразделениями. «Ваш маркетинг проводит какое-то мероприятие. Вы обычно не делаете видео, но в этот раз решили взять интервью у клиента. Юристы знают, что нужно получить не только согласие на обработку персональных данных, но еще и на их распространение, что это две разные бумажки. И что в согласии должно быть указано, где именно можно распространять видео: в телеграм-канале или, например, на сайте», - привела пример Челембеева. Здесь важно, чтобы у всех сотрудников были правильные инструкции и чтобы тем, кто работает с клиентами, вставили подписание согласий в скрипт.

Эксперт считает, что больше всего к нынешним изменениям готовы представители крупного бизнеса из числа банков и ретейлеров, то есть те, кто работает с большим количеством клиентов. Малый и средний бизнес тоже вполне способен собирать согласия на обработку данных, но здесь многое зависит от индустрии - например, отельеры уже привыкли к этому.

Ранее в «Детском мире» заявили, что были одной из первых компаний в России, которые пытались застраховать киберриски в части потенциальной вины за утечку. Но после того как компания объявила об этом, Всероссийский союз страховщиков назвал незаконными подобные действия, поскольку речь идет о страховании противоправных интересов. И хотя это решение носило рекомендательный характер, подобные полисы перестали продавать, рассказал Павел Бурмакин. Сам «Детский мир» нашел другой вариант. «Если ваша компания доверяет хранить, обрабатывать персональные данные другой компании, за действия которой, конечно, сложно отвечать и что-то прогнозировать, то рекомендую требовать у нее страховать гражданскую ответственность. Да, прямо законом запрещено страховать себя от получения штрафов. Но потребовать у компании застраховать свою ответственность [можно] - если у нее утекут данные, здесь есть ее вина, деликт, а его застраховать можно», - пояснил Бурмакин.
***

33% судебных исков о нарушениях, связанных с персональными данными, поступает от физлиц, по информации руководителя практики юридической компании «Орлова/Ермоленко» Ангелины Балакиной
***

При записи видеоинтервью с клиентом на мероприятии нужно получить согласие и на обработку, и на распространение персональных данных, а также указать все каналы распространения материала и вставить подписание согласий в скрипт, напоминает преподаватель Российской школы частного права Елена Челембеева

Как изменился подход к регулированию персональных данных

С 30 мая 2025 года в силу вступили поправки в Административный и Уголовный кодексы, которые ужесточили санкции за нарушения в области персональных данных. Например, штрафы для организаций за обработку таких данных в случаях, не предусмотренных законами или если обработка несовместима с целями сбора персональных данных, выросли до 150-300 тыс. руб. Появились штрафы за нарушение обязанности уведомлять Роскомнадзор о намерении обрабатывать персональные данные (от 100 тыс. до 300 тыс. руб.), за неуведомление об их утечке (1-3 млн руб.), за утечку персональных данных (от 3 млн до 20 млн руб. в зависимости от того, какого числа людей она коснулась и утекли ли обычные или биометрические данные). За повторную утечку любой категории был введен оборотный штраф в размере 1-3% годовой выручки, но не менее 20 млн и не более 500 млн руб.

Увеличение штрафов должно было заставить людей и компании, работающие с персональными данными, более тщательно соблюдать требования законодательства: уведомлять Роскомнадзор о начале такой работы, собирать согласия с пользователей на обработку данных, на их распространение, уведомлять о намерении трансграничной передачи персональных данных и др.

Анна БАЛАШОВА

В материале упоминаются: Компании, организации: Всероссийский союз страховщиков (ВСС) 13366

Ваше мнение об этом материале:

— Ваше имя
— Ваш email
— Тема

Ваш отзыв (заполняется обязательно):

Укажите код на картинке слева:

Установите трансляцию заголовков прессы на своем сайте

 Подробнее »

Получить код для трансляции заголовков прессы »