Судебная практика по персональным данным в 2026 году - это не единичные громкие дела, а сотни рутинных решений судов общей юрисдикции и арбитражных судов, которые проверяют, за что Роскомнадзор оштрафовал оператора и обоснованно ли это. Для владельца сайта, кадровика или самозанятого пересказ конкретных дел мало что дает: номера дел и фамилии судей забываются, а логика, по которой суд снижает штраф или отменяет постановление, повторяется из решения в решение.
Прямых прецедентов в российском праве нет, но по спорам о персональных данных сложились устойчивые подходы: что суды принимают как доказательство согласия, когда снижают штраф по статье 13.11 КоАП, а когда встают на сторону оператора против РКН. Дальше - не хроника процессов, а выжимка позиций, которые встречаются чаще всего, с практическим выводом из каждой: что это меняет для интернет-магазина, клиники, школы или отдела кадров. Эти закономерности одинаково работают и для коммерческого оператора, и для бюджетного учреждения, хотя суды учитывают их различия при определении санкции.
Что суды принимают как доказательство согласия
Суды по спорам о согласии смотрят не на текст политики, а на то, что реально произошло в момент сбора данных. Если оператор не может показать, какую именно формулировку согласия видел пользователь и когда он ее принял, довод о наличии согласия суд, как правило, не принимает. Работает связка из трех технических элементов: сохраненная версия текста согласия на момент отправки формы, отметка времени и запись о самом действии пользователя - например, о нажатии кнопки в форме. Без этой связки ссылка на форму на сайте ничего не доказывает: форму легко изменить задним числом, и суд об этом знает.
Отдельный вопрос - предзаполненные чекбоксы. Галочка, которая стоит по умолчанию и не требует действия пользователя, регулярно признается недостаточным основанием для обработки: с точки зрения суда пользователь не выразил волю, а просто не убрал то, что за него поставили. То же касается формулировок вроде продолжая пользоваться сайтом вы соглашаетесь - без отдельного активного действия такая фраза не заменяет согласие там, где закон требует его в письменной или электронной форме с явным подтверждением.
Похожая история встречается в спорах вокруг онлайн-опросов и анкет: организатор собирает ответы через форму без отдельного согласия, ссылаясь на то, что участие в опросе добровольное. Суд обычно разделяет эти вещи - добровольность участия не заменяет согласие на обработку персональных данных, если анкета собирает не только мнения, но и контакты или иные идентифицирующие сведения. Для интернет-магазина или клиники это означает практическую вещь: форма заказа или записи должна фиксировать не только факт заявки, но и то, что человек согласился именно на этих условиях, а старые версии политики стоит архивировать, а не удалять.
Малозначительность нарушения: когда суд освобождает от штрафа
Кодекс об административных правонарушениях допускает освобождение от ответственности при малозначительности - формально нарушение есть, но по обстоятельствам дела оно не представляет опасности для охраняемых законом интересов. По спорам о персональных данных суды применяют эту норму не часто, но регулярно, и чаще всего при сочетании нескольких признаков сразу: нарушение выявлено впервые, оператор устранил его до заседания суда, а утечки или иного вреда субъекту данных не было.
Типичный сценарий - небольшой оператор, например самозанятый специалист, который вел учет клиентов в таблице без оформленной политики обработки. Роскомнадзор фиксирует формальное отсутствие документа и выносит штраф, а на заседании суда представитель показывает, что политика уже опубликована, база данных не пострадала, а клиентов у оператора несколько десятков, а не тысяч. В такой ситуации у суда есть основания расценить нарушение как малозначительное и ограничиться предупреждением вместо штрафа. Какой минимальный набор документов нужен оператору такого масштаба, разобрано отдельно: персональные данные у самозанятого.
Рассчитывать на малозначительность как на стратегию не стоит: она работает как исключение при небольшом масштабе и добросовестном поведении оператора, а не как способ игнорировать требования закона. При повторном нарушении или при утечке данных суды эту норму, как правило, не применяют - здесь действует обратная логика.
Судебная практика по статье 13.11 КоАП: где чаще всего штрафуют
Статья 13.11 КоАП разбита на несколько частей, и по каждой сложилась своя практика. В одних категориях суды почти всегда поддерживают позицию Роскомнадзора, в других - разбираются в нюансах и нередко снижают квалификацию нарушения. Ниже - обобщение по категориям, без привязки к конкретным делам, поскольку составы формулируются по-разному в зависимости от региона и состава коллегии.
| Категория нарушения | Типичная позиция суда | Что чаще всего решает исход дела |
|---|---|---|
| Обработка без согласия или без законного основания | Штраф подтверждается в большинстве случаев | Есть ли у оператора хоть одно из шести законных оснований обработки, а не только согласие |
| Нарушение условий, указанных в согласии, сбор данных сверх заявленной цели | Штраф подтверждается, но размер иногда снижают | Насколько объем собранных данных превышает заявленную цель обработки |
| Отсутствие или неполнота политики обработки на сайте | Формальное нарушение, часто заканчивается предупреждением при первом случае | Устранение до заседания и отсутствие жалоб субъектов данных |
| Непредоставление ответа на запрос субъекта данных в срок | Штраф подтверждается почти всегда | Наличие у оператора внутреннего регламента и переписки с заявителем |
| Утечка данных из-за отсутствия организационных или технических мер | Штраф подтверждается, суд проверяет соразмерность оборотного штрафа | Число пострадавших субъектов и то, были ли приняты меры до утечки |
Из этой картины видно общее правило: чем формальнее нарушение и чем быстрее оператор его устранил, тем выше шанс на снижение санкции. Чем ближе нарушение к реальному вреду человеку - утечка, использование данных не по назначению, отказ отвечать на запрос, - тем меньше у суда оснований для снисхождения.
Похожая логика заметна и в спорах с участием школ и других образовательных организаций: суд принимает во внимание, что оператор не извлекает коммерческой выгоды из обработки данных и что нарушение, как правило, техническое - устаревшая форма согласия для родителей, а не умышленный сбор лишних сведений о ребенке. Это не освобождает образовательные организации от ответственности, но чаще смягчает ее по сравнению с коммерческим оператором в похожей ситуации.
Отдельно суды по-разному оценивают дела, где пострадавшие - клиенты, и дела, где пострадавшие - собственные сотрудники оператора. По данным сотрудников суд чаще учитывает, что стороны состоят в трудовых отношениях и у работника есть другие способы защиты прав - трудовая инспекция, комиссия по трудовым спорам, поэтому санкция по 13.11 КоАП идет как дополнение, а не как единственный инструмент. По данным клиентов, у которых с оператором нет другой правовой связи, кроме факта обработки, суды реже находят основания для снисхождения. За актуальными суммами штрафов по каждой части статьи и порядком расчета оборотного штрафа проще следить в отдельном разборе: сколько реально платит бизнес за утечку - суммы меняются с каждой правкой КоАП и быстро устаревают.
Когда суд встает на сторону оператора против РКН
Роскомнадзор проигрывает в судах не так редко, как может показаться, но почти никогда - по существу нарушения. Типичная причина отмены постановления - процессуальный брак самой проверки: инспектор не уведомил оператора о начале контрольного мероприятия в установленном порядке, вышел за пределы предмета проверки, или срок давности привлечения к ответственности истек к моменту вынесения постановления. По делам о персональных данных этот срок больше общего трехмесячного, но не бесконечен, и ведомство иногда не укладывается в него при затяжной переписке с оператором.
Вторая распространенная причина - недоказанность самого факта нарушения. РКН вправе опираться на жалобу субъекта данных, но обязан подтвердить, что обработка действительно велась так, как описано в жалобе. Если оператор показывает суду, что данные обрабатывались на основании договора или прямого указания закона, а не только по согласию, на которое ссылался заявитель, обвинение разваливается: для обработки существует шесть законных оснований, и отсутствие одного не означает отсутствие всех.
Третий сценарий - оператор успевает устранить нарушение и представить доказательства этого до заседания, а РКН настаивает на самом факте, не оценивая последующее поведение оператора. Часть судов в такой ситуации переквалифицирует дело на предупреждение или снижает штраф ниже низшего предела, если для этого есть основания в самой статье. Ни один из этих сценариев не работает как гарантия - в каждом случае решает совокупность документов, которые оператор может показать суду, а не сам факт спора с ведомством.
Персональные данные работников: самая частая категория судебных споров
Больше всего споров, где фигурируют персональные данные, возникает не с клиентами, а с бывшими сотрудниками. Работник, уволенный по инициативе работодателя, нередко параллельно с трудовым спором заявляет о нарушениях в обработке своих данных - незаконном сборе избыточных сведений, передаче данных третьим лицам без согласия или хранении личного дела дольше положенного срока. Для работодателя это означает, что кадровые процедуры проверяют не только трудовые инспекции, но и суды общей юрисдикции при почти любом конфликтном увольнении.
Практика по этой категории спокойнее, чем можно ожидать: суды признают законным сбор данных, прямо необходимых для заключения и исполнения трудового договора, без отдельного согласия - основанием служит сам факт трудовых отношений, а не желание работодателя перестраховаться. Проблемы начинаются там, где работодатель собирает данные с запасом: сведения о родственниках сверх необходимого для оформления больничного, копии документов, не связанных с должностью, или продолжает хранить личное дело уволенного сотрудника без установленного срока хранения. Именно избыточность, а не сам факт обработки, чаще всего становится предметом претензий в подобных делах.
Полный порядок работы с данными сотрудников от приема на работу до увольнения, включая сроки хранения после расторжения договора, разобран отдельно: обработка персональных данных работников. Для кадровой службы это практический ориентир, который снимает большинство поводов для судебного спора еще на этапе оформления документов.
Специальные категории: медицинские данные в судебных спорах
Отдельная категория дел - клиники и другие операторы, которые работают со сведениями о здоровье. Закон относит такие данные к специальным категориям и требует для их обработки не просто согласие, а согласие в письменной форме, за исключением случаев, прямо перечисленных в законе - например, оказания медицинской помощи самому пациенту. Споры чаще возникают не из-за факта сбора диагноза при приеме, а из-за передачи этих сведений третьим лицам: страховой компании, работодателю, родственникам пациента без отдельного согласия на такую передачу.
Показательный для практики момент - клиники часто путают согласие на медицинское вмешательство, которое требует законодательство об охране здоровья, с согласием на обработку персональных данных по 152-ФЗ. Это два разных документа с разным содержанием, и суд, увидев только информированное добровольное согласие на процедуру, не признает его достаточным для обработки данных о здоровье в иных целях - например, для рассылки напоминаний о повторном приеме через стороннего подрядчика по смс-рассылкам.
Для клиник и любых операторов, работающих с чувствительными данными, практический вывод простой: согласие на обработку специальных категорий данных должно быть отдельным документом, покрывать конкретные цели использования и не пересекаться по смыслу с медицинской документацией. Хранить его нужно так же аккуратно, как и согласие на обычные данные - с версией текста и меткой времени, о чем шла речь в начале статьи.
Паспортные данные и лишние сведения в судебных делах
Вторая по частоте категория - споры о том, вправе ли был оператор требовать копию паспорта или иного документа, удостоверяющего личность. Практика разделилась в зависимости от сферы: там, где закон прямо требует идентификации клиента - финансовые операции, услуги с отложенным платежом, деятельность, подпадающая под антиотмывочное законодательство, - суды не видят нарушения в сборе паспортных данных. Там, где такого прямого требования нет, а оператор все равно просит скан паспорта про запас для оформления заказа в интернет-магазине или записи на консультацию, позиция судов чаще складывается против оператора.
Отдельно суды оценивают, как хранится копия документа после того, как надобность в ней отпала. Даже если сбор паспортных данных был обоснован в момент сделки, их бессрочное хранение после исполнения обязательств регулярно становится самостоятельным основанием для претензии: обработка должна прекращаться, когда достигнута ее цель, а не продолжаться просто потому, что удалить файл никто не удосужился.
Критерии, при которых запрос паспортных данных законен, а при которых избыточен, разобраны подробно в отдельном материале: когда паспортные данные можно требовать законно. Проверить свои формы на сайте по этому критерию стоит в первую очередь тем, кто работает с рассрочкой, доставкой дорогих товаров или бронированием - именно в этих нишах паспортные данные запрашивают чаще, чем требуется по существу услуги.
Как обжаловать штраф РКН: что смотрит суд
Обжалование штрафа РКН проходит по общим правилам КоАП: постановление можно оспорить в течение десяти суток с момента получения, в районном или арбитражном суде в зависимости от статуса оператора. Шансы на успех определяет не столько сам факт несогласия с постановлением, сколько то, что оператор успел сделать до заседания.
Работают несколько аргументов одновременно. Доказательства того, что нарушение устранено - обновленная политика обработки, направленное в РКН уведомление, исправленная форма на сайте. Отсутствие вреда: если по жалобе, ставшей поводом для проверки, не было утечки или использования данных не по назначению, это довод в пользу снижения санкции, а не ее отмены, но на практике он заметно снижает итоговую сумму. Статус оператора: для субъектов малого предпринимательства часть составов допускает замену штрафа на предупреждение при первом нарушении, если это прямо позволяет конкретный состав.
Отдельно стоит проверить саму процедуру: соблюдал ли РКН сроки уведомления о проверке, корректно ли составлен протокол, отвечал ли оператор на запрос ведомства в срок. Пропущенный оператором срок ответа на запрос РКН сам по себе часто становится причиной штрафа, поэтому до спора об обжаловании стоит разобраться, как правильно и в какой срок отвечать на подобные запросы: ответ на запрос РКН. Собранный заранее пакет документов сокращает заседание до формальности и повышает шанс на положительный исход.
Уголовные дела по статье 272.1 УК: пока редкость, но тренд наметился
С 30 мая 2025 года в Уголовном кодексе действует статья 272.1 - ответственность за незаконные использование, передачу или сбыт персональных данных при отягчающих обстоятельствах. Норма введена законом 420-ФЗ от 30 ноября 2024 года вместе с оборотными штрафами для юридических лиц и рассчитана в первую очередь на случаи, когда данные не просто утекли по недосмотру, а были украдены и проданы намеренно - инсайдером в компании, сотрудником колл-центра, администратором базы данных. Точный порог значительного масштаба и перечень тяжких последствий уточняют профильные разъяснения, но общий ориентир такой: это не единичный случай, а системная передача данных многих людей.
Судебная практика по этой статье пока небольшая просто потому, что срок ее действия исчисляется месяцами, а не годами. Из того, что уже попадает в новости и обзоры, видно направление: под уголовное преследование подпадают не рядовые нарушения вроде отсутствия политики на сайте или лишнего чекбокса в форме, а умышленная передача баз данных третьим лицам за вознаграждение либо доступ к данным, полученный со взломом систем. Для обычного оператора сайта - интернет-магазина, клиники, школы - этот состав практически не актуален, если только внутри компании не происходит намеренная утечка клиентской базы сотрудником.
Значение этой статьи для бизнеса скорее организационное: она меняет то, как стоит выстраивать контроль доступа сотрудников к базам данных и договоры с ними, потому что теперь у утечки по вине конкретного человека может быть не только гражданско-правовое, но и уголовное продолжение. Разумный шаг - прописать в трудовом договоре или отдельном соглашении о неразглашении, кто из сотрудников и на каком основании получает доступ к базе клиентов, а не оставлять это на уровне устной договоренности.
Что делать оператору: чек-лист по итогам судебной практики о персональных данных
Общий вывод из практики можно свести к короткому списку действий, которые снижают риск проиграть спор, если до него дойдет, и уменьшают сумму штрафа там, где спора избежать не удалось.
- Хранить не только текст политики обработки, но и версию, которая действовала на момент согласия конкретного пользователя, вместе с меткой времени.
- Отказаться от предзаполненных чекбоксов согласия и формулировок вроде продолжая пользоваться сайтом вы соглашаетесь - нужен отдельный шаг пользователя.
- Проверить кадровые документы на избыточность: собирать только то, что нужно для трудового договора и учета, не хранить личные дела уволенных дольше установленного срока.
- Не запрашивать копию паспорта там, где это не требуется законом напрямую, и удалять уже собранные копии, когда цель их сбора достигнута.
- Разделять согласие на медицинское вмешательство и согласие на обработку данных о здоровье - это два разных документа с разными целями.
- Отвечать на запросы РКН и субъектов персональных данных в срок и письменно - большинство штрафов связано не с фактом обработки, а с молчанием на запрос.
- При выявленном нарушении устранять его до заседания суда, а не после - это главный аргумент, который реально снижает штраф.
Ни один пункт из этого списка не гарантирует исход дела в пользу оператора - каждое дело решается по своим документам и обстоятельствам, а практика судов в разных регионах по некоторым составам расходится. Но именно эти шаги чаще всего фигурируют в решениях, где оператор избежал штрафа или добился его снижения.
Если формы на сайте, тексты согласий или пакет документов по сотрудникам собирались давно и с чужого шаблона, разумно свериться с текущей практикой, прежде чем это сделает Роскомнадзор. Разовая проверка и доработка сайта и документов под 152-ФЗ - то, чем занимается 152fzpro.ru.
Частые вопросы
Что суды принимают как доказательство согласия?
Суды смотрят не на текст политики, а на то, что реально произошло в момент сбора: нужна сохраненная версия текста согласия, отметка времени и запись о действии пользователя, например нажатии кнопки. Предзаполненный чекбокс или фраза продолжая пользоваться сайтом вы соглашаетесь судом, как правило, согласием не признается.
Когда суд освобождает оператора от штрафа по 152-ФЗ?
При малозначительности нарушения - если оно выявлено впервые, оператор устранил его до заседания и утечки или иного вреда субъекту не было. Типичный случай - небольшой оператор без оформленной политики обработки, который успел ее опубликовать к моменту суда. Рассчитывать на это как на стратегию не стоит, работает только как исключение.
Может ли работодатель законно собирать данные без согласия сотрудника?
Да, если данные прямо необходимы для заключения и исполнения трудового договора - основанием служит сам факт трудовых отношений, а не желание перестраховаться. Проблемы начинаются, когда работодатель собирает данные с запасом: сведения о родственниках сверх нужного или хранит личное дело уволенного дольше установленного срока.
Что снижает штраф при обжаловании постановления РКН?
Доказательства устраненного нарушения - обновленная политика, поданное уведомление, исправленная форма на сайте, а также отсутствие вреда, если по жалобе не было утечки или использования данных не по назначению. Для малого предпринимательства при первом нарушении часть составов допускает замену штрафа на предупреждение, если это позволяет сама статья.
