Десять резонансных судебных решений о персональных данных за 2022-2024 годы
Актуальность материала: 16.01.2025
Презентация с подборкой судебных актов 2022-2024 годов, которые заметно повлияли на понимание правил обработки ПД работников, клиентов и пользователей сайтов. По каждому делу приведены фабула спора, ключевые выводы суда и реквизиты судебного акта.
Подборка показывает и противоречия практики. В двух делах, дошедших до ВС РФ в 2023 году, адрес электронной почты в одном случае не признан ПД без иных сведений о субъекте, а в другом отнесен к ПД.
В подборку вошли следующие правовые позиции:
- Работодатель вправе передавать ПД работника без его согласия в случаях из п.2-11 ч.1 ст.6 152-ФЗ, в том числе на основании трудового договора, а прекращать обработку ПД бывших работников в пятилетний срок с момента увольнения не обязательно. Постановление АС Московского округа от 30.05.2022 по делу № А40-163911/21-17-1229 (Управление Роскомнадзора по ЦФО и Аэрофлот).
- Работодатель вправе получать ПД работника не от него самого на основании законного интереса, например проверять конфликт интересов по системе СПАРК и сайту ФНС России. Решение Центрального районного суда г. Кемерово от 30.09.2022 № 12-532/2022.
- Работодатель вправе передавать ПД работника и поручать их обработку третьим лицам на основании собственного законного интереса, если это не нарушает права и свободы работника. Решение Пресненского районного суда г. Москвы от 30.01.2024 № 2-907/2024 (СК Энмув Рус).
- Работодатель вправе определять целесообразность распространения сведений о привлечении работника к дисциплинарной ответственности, если содержание информации соответствует цели распространения. Постановление КС РФ от 21.07.2023 № 44-П.
- Работодатель не вправе требовать согласие на обработку ПД по строгому образцу и лишать работника льгот за согласие, данное в собственной форме. Определение Первого КСОЮ от 18.06.2024 № 88-19257/2024 (Нестле Россия).
- Использование фотографии работника в имиджевых целях суд квалифицировал как обработку биометрических ПД, требующую письменного согласия. Определение Второго КСОЮ от 04.07.2023 № 88-13675/2023 (Норникель).
- Распространять ПД можно на основании других пунктов ч.1 ст.6 152-ФЗ без согласия по ст.10.1 152-ФЗ, а адрес электронной почты без иных сведений о субъекте сам по себе не является ПД. Определение ВС РФ от 21.07.2023 № 305-ЭС23-12160 (Управление Роскомнадзора по ЦФО и СК Арсеналъ).
- Адрес электронной почты является ПД, а владельцы сайтов не обязаны верифицировать его принадлежность конкретному лицу. Определение ВС РФ от 29.12.2023 № 310-ЭС23-26429 (УФАС по Смоленской области и 2ГИС).
- Добросовестность оператора в отношении нахождения баз с ПД граждан РФ на территории РФ не презюмируется, бремя доказывания лежит на операторе. Дела Ookla в отношении сервиса Speedtest, рассмотренные Вторым КСОЮ 26.12.2022 (№ 16-9987/2022) и мировым судьей Таганского района г. Москвы 18.10.2023 (№ 5-1176/23).
- Согласие на обработку ПД нельзя навязывать через условия договора с субъектом. Решения Кировского районного суда г. Уфы от 04.12.2023 № 2-12745/2023 и от 11.12.2023 № 2-12744/2023.
Материал дополняют обзор правоприменительной практики по ст.13.11 и ст.13.12 КоАП РФ за 2022-2025 годы, квалифицирующие свойства согласия на обработку ПД, легализация распространения ПД в РФ и рациональный подход к локализации баз с ПД в РФ.