ИСО и МЭК: Продолжается работа над проектом новой редакции стандарта ISO/IEC 27560 «Структура документов об обработке персональных данных (ПДн)»

В апреле 2026 года сайт Международной организации по стандартизации (ИСО) сообщил о проведении голосования по второму «проекту комитета» новой редакции стандарта ISO/IEC CD2 27560 «Структура документов об обработке персональных данных (ПДн)» (Structure of Personally Identifiable Information (PII) Processing Records), см. https://www.iso.org/standard/91775.html 

В рамках данного проекта осуществляется переработка в международный стандарт действующих технических спецификаций ISO/IEC TS 27560:2023 «Технологии защиты персональных данных – Структура информации в документе о согласии на обработку ПДн» (Privacy technologies - Consent record information structure) объёмом 60 страниц, см. https://www.iso.org/standard/80392.html и https://www.iso.org/obp/ui/en/#!iso:std:80392:en , а также мой пост https://rusrim.blogspot.com/2023/09/isoiec-ts-275602023.html . К сожалению, изменившееся название является двусмысленным – в отличие от вполне однозначного названия технических спецификаций.

Над стандартом работает подкомитет SC27 «Информационная безопасность, кибербезопасность и защита неприкосновенности частной жизни» (Information security, cybersecurity and privacy protection) Объединенного технического комитета ИСО/МЭК JTC1. О ходе этой работы я уже писала на блоге здесь: https://rusrim.blogspot.com/2025/04/isoiec-awi-27560.html 

В аннотации на документ повторяются слова из вводной части действующих технических спецификаций:

«Настоящий документ специфицирует интероперабельную, открытую и расширяемую информационную структуру для документирования согласия субъектов ПДн на обработку ПДн. 

В данном документе содержатся требования и рекомендации по использованию квитанций о согласии и документов о согласии, связанных с согласием субъекта ПДн на обработку его ПДн, с целью поддержки:

• предоставления субъекту ПДн документа о согласии;
  
  
• обмена информацией о согласии между информационными системами;
  
  
• управления жизненным циклом задокументированного согласия.»

Источник: сайт ИСО
https://www.iso.org/standard/91775.html 
 

Эксперимент по подписанию информированного добровольного согласия на медицинское вмешательство или отказа от медицинского вмешательства с использованием электронной графической подписи

Правительство Российской Федерации постановлением от 31 октября 2025 года №1706

• Установило экспериментальный правовой режим в сфере цифровых и технологических инноваций по подписанию информированного добровольного согласия на медицинское вмешательство или отказа от медицинского вмешательства с использованием электронной графической подписи;
  
  
• Утвердило «Программу экспериментального правового режима в сфере цифровых и технологических инноваций по подписанию информированного добровольного согласия на медицинское вмешательство или отказа от медицинского вмешательства с использованием электронной графической подписи».

Цель инновации - организация процесса подписания в медицинских организациях государственной системы здравоохранения г. Москвы и являющихся участниками экспериментального правового режима, информированного добровольного согласия на медицинское вмешательство или отказа от медицинского вмешательства (согласие или отказ) (п.2):

• Гражданином, одним из родителей или иным законным представителем с использованием электронной графической подписи, а также 
  
  
• Медицинским работником медицинских организаций, подведомственных субъекту экспериментального правового режима и являющихся участниками экспериментального правового режима, с использованием электронной графической подписи или усиленной квалифицированной электронной подписи

и последующей передачей информированного добровольного согласия или отказа в автоматизированную информационную систему города Москвы «Единая медицинская информационно-аналитическая система города Москвы».

Для целей Программы используются следующие понятия (п.4):

• Специализированный программно-аппаратный комплекс - портативный или стационарный комплекс устройств, применяемый для ознакомления с содержанием информированного добровольного согласия или отказа гражданином или законным представителем и (или) для подписания указанных документов гражданином или законным представителем с использованием электронной графической подписи, а также медицинским работником с использованием электронной графической подписи или усиленной подписи;
  
  
• Электронная графическая подпись - подпись гражданина или законного представителя, медицинского работника, выполняемая на специализированном программно-аппаратном комплексе и преобразуемая в электронный формат для обработки с использованием электронных вычислительных машин, представляющая собой аналог собственноручной подписи гражданина или законного представителя, медицинского работника на бумажном носителе.

В медицинских организациях согласие или отказ оформляется (п.5):

• В виде документа на бумажном носителе, подписанного гражданином или законным представителем, медицинским работником; 
  
  
• В форме электронного документа - и содержит данные пациента или данные пациента и законного представителя, полученные из единой системы.

Медицинский работник на очном приеме (п.6):

• Предоставляет гражданину или законному представителю в доступной форме информацию, предусмотренную частью 1 статьи 20 Федерального закона «Об основах охраны здоровья граждан в Российской Федерации», и 
  
  
• Обеспечивает ознакомление с содержанием сформированного в форме электронного документа посредством функциональных возможностей единой системы согласия или отказа посредством демонстрации на специализированном программно-аппаратном комплексе их содержания.

Данные, которые сформированы в форме электронного документа, могут быть скорректированы медицинским работником на этапе проверки корректности заполнения формы данными пациента или данными пациента и законного представителя (п.7).

Гражданин или законный представитель на очном приеме подписывает электронной графической подписью согласие или отказ, которые сформированы в форме электронного документа (п.8).

Использование факсимиле для подписания согласия или отказа не допускается (п.9).

Согласие или отказ, которые сформированы в форме электронного документа и подписаны, загружаются медицинским работником в единую систему и включаются в медицинскую документацию пациента (п.10).

Медицинские организации обеспечивают информирование граждан об участии в экспериментальном правовом режиме посредством размещения соответствующей информации на информационном стенде в такой медицинской организации и (или) на своем официальном сайте в сети «Интернет» (п.11).

Срок действия экспериментального правового режима составляет 3 года (п.14).

Не подлежат применению в рамках экспериментального правового режима следующие положения отдельных актов общего регулирования (п.17):

• часть 7 статьи 20 Федерального закона «Об основах охраны здоровья граждан в Российской Федерации» в отношении способа подписания информированного добровольного согласия на медицинское вмешательство или отказа от медицинского вмешательства в форме электронного документа;
  
  
• абзац второй пункта 9 требований к содержанию и форме предоставления информации о деятельности медицинских организаций, размещаемой на официальных сайтах Министерства здравоохранения РФ, органов государственной власти субъектов РФ, органов местного самоуправления и медицинских организаций в сети «Интернет», утвержденных приказом Министерства здравоохранения РФ от 13 марта 2025 г. № 118н, в части состава информации, размещаемой на официальном сайте органа государственной власти субъекта РФ в сети «Интернет» в разделе «Медицинские организации»;
  
  
• пункты 6, 9 и абзац третий пункта 10 порядка дачи информированного добровольного согласия на медицинское вмешательство и отказа от медицинского вмешательства, утвержденного приказом Министерства здравоохранения РФ от 12 ноября 2021 г. № 1051н, в части способа подписания информированного добровольного согласия на медицинское вмешательство или отказа от медицинского вмешательства. 

Мой комментарий: На что в первую очередь направлен данный эксперимент:

• Цифровизация и устранение бумажного документооборота: Это основная цель эксперимента. Перевод согласий и отказов в электронный вид упрощает их хранение, поиск и передачу между медицинскими организациями в рамках ЕМИАС, снижает затраты на бумагу и печать;
  
  
• Повышение удобства для пациентов и врачей при оформлении документов: Процесс подписания становится быстрее, исчезает необходимость в распечатке и физическом хранении бумажных бланков;
  
  
• Снижение риска утери документов: Электронный документ, интегрированный в ЕМИАС, больше защищен от физической утери или повреждения, чем документ на бумажном носителе;
  
  
•  Прозрачность и контроль: Все подписанные согласия централизовано хранятся в информационной системе, что облегчает контроль за соблюдением требований законодательства о необходимости информированного согласия;
  
  
• Апробация технологии: Эксперимент позволяет на практике отработать технологию применения электронной графической подписи в чувствительной сфере медицинского права, прежде чем масштабировать ее на всю страну.

Несмотря на потенциальные выгоды, эксперимент сопряжен с рядом рисков, которые частично признаются в самой программе.

Технические риски:

• Ненадежность оборудования: Риск поломки «специализированного программно-аппаратного комплекса» (п. 21) прямо упомянут в документе. Сбой планшета или сенсорного устройства в момент подписания может сорвать прием пациента, увеличить время ожидания и создать неудобства;
  
  
• Сбои в работе ПО и ЕМИАС: Ошибки в программном обеспечении, приводящие к невозможности подписать документ, его искажению или некорректному отображению для пациента;
  
  
• Проблемы с интеграцией: Сложности с бесшовной передачей подписанного документа в ЕМИАС и его корректным отображением в медицинской документации пациента.

Меры минимизации (согласно программе) - поддержание оборудования в рабочем состоянии, его оперативная замена (п. 22, п. 24) и обучение медперсонала (п. 24).

Риски для пациента и добровольности информированного согласия. Это, с моей точки зрения, наиболее критичная группа рисков. 

• Формальность процедуры: Главная опасность — превращение процесса информирования в формальность. Пациент может поставить графическую подпись, не читая текст согласия на экране, либо не до конца его поняв. На бумаге у человека больше «времени на паузу»;
  
  
• Давление со стороны медперсонала: Врач, в условиях ограничений по времени, может невольно или же сознательно подтолкнуть пациента к быстрому подписанию без детального ознакомления. Отмечу, что и при оформлении бумажного документа наблюдаются аналогичные случаи;
  
  
• Сложность восприятия с экрана: Для пожилых, слабовидящих или технически неподготовленных пациентов чтение длинного текста на планшете может быть затруднительно. Необходимо обеспечить возможность увеличения шрифта, контрастности и т.д.;
  
  
• Юридическая сила и доказывание: Хотя электронная графическая подпись признается аналогом собственноручной (п.4), в случае судебного спора может возникнуть вопрос о том, действительно ли пациент был адекватно информирован и добровольно поставил эту подпись. В отличие от усиленной квалифицированной электронной подписи (УКЭП), графическая подпись криптографически не защищена и не гарантирует неизменность документа после подписания. В программе этот риск не упомянут.
  
  Более того, в случае судебного спора будет затруднительно вообще «подвести» графическую подпись под положения закона «Об электронной подписи». Использование такого вида подписи в условиях России (в отличие, например, от Юго-Восточной Азии, где люди регулярно используют эту технологию, у них вырабатываются соответствующие рефлексы, и подпись действительно может использоваться как средство достаточной надёжной биометрической идентификации) не более надёжно, чем простановка «крестика» неграмотными в былые времена… Помнится, мы уже видели технологию графической подписи на избирательных участках Москвы, но там риск (как и возможные последствия) оспаривания этой подписи в суде был несравненно ниже - да и ставились эти подписи после проверки паспорта под видеокамерами ....

Правовые и административные риски

• Временный характер режима: На период эксперимента приостанавливается действие ключевых норм Федерального закона «Об основах охраны здоровья» и приказов Минздрава (п. 17). Это создает правовую неопределенность: что будет с документами, подписанными в рамках эксперимента, после его окончания? Будут ли они иметь такую же силу? 
  
  
• Отсутствие страховых механизмов: В Программе прямо указано, что положения о страховании гражданской ответственности за вред, причиненный при реализации эксперимента, не устанавливаются (п. 50). Это перекладывает все риски на пациентов и медицинские организации;
  
  
• Риск «цифрового разрыва»: Эксперимент проводится только в Москве, что создает неравенство в доступе к цифровым услугам для жителей других регионов.

Ключевым приоритетом, с моей точки зрения, должна быть не технология, а обеспечение прав пациента. Основное внимание должно быть уделено не технической стороне (которая, безусловно, важна), а обеспечению качества информирования и добровольности согласия.

В целом, эксперимент является интересным начинанием с высоким потенциалом позитивных изменений, но и с серьезными рисками, требующими постоянного мониторинга и корректировки в процессе реализации.

Источник: Консультант Плюс 
https://www.consultant.ru/cons/cgi/online.cgi?req=doc;base=LAW;n=518020

Минтруд: Согласие работника на взаимодействие с работодателем посредством электронного документооборота

Департамент оплаты труда, трудовых отношений и социального партнерства Министерства труда и социальной защиты РФ в письме от 12 февраля 2025 г. №14-6/ООГ-653 ответил на вопрос, поступивший на официальный сайт Минтруда России, по вопросу согласия работника на взаимодействие с работодателем посредством электронного документооборота.

Вопрос: Может ли работник дать согласие на взаимодействие с работодателем посредством ЭКДО в электронном виде? В том случае, если может, почему этот документ не включен в Перечень кодов документов (кадровых мероприятий), утвержденный Приказом Минтруда России от 20.09.2022 №578н?

Ответ Министерства: Согласно части пятой статьи 22.2 Трудового кодекса Российской Федерации (далее - ТК РФ) переход на взаимодействие с работодателем посредством электронного документооборота осуществляется с письменного согласия работника (за исключением лиц, принимаемых или принятых на работу после 31 декабря 2021 г. и у которых по состоянию на 31 декабря 2021 г. отсутствует трудовой стаж).

В пункте 27 ГОСТ Р 7.0.8-2013 «Делопроизводство и архивное дело. Термины и определения», утвержденном приказом Росстандарта от 17 октября 2013 г. N 1185-ст, под письменным документом понимается документ, информация которого зафиксирована знаками письменности.

Мой комментарий: Данный стандарт утратил силу с 1 марта 2025 года в связи с изданием приказа Росстандарта от 28.01.2025 №30-ст. В новой версии определение термина «письменный документ» не изменилось.

Письменный вид документа в трудовых правоотношениях равнозначен бумажному носителю, что также подтверждается положениями части второй статьи 22.1 ТК РФ.

По мнению Министерства «согласие работника о переходе на взаимодействие с работодателем посредством электронного документооборота является правовым гарантийным документом для работника и оформляется в письменном (бумажном) виде».

Мой комментарий: Министерство всё ещё считает, что «письменный вид» - это только бумажные документы :(

А вот Семнадцатый арбитражный апелляционный суд в декабре 2018 (Постановление от 26.12.2018 №17АП-17220/2018-АК по делу №А60-38486/2018) при оспаривании правомочности использования электронного документа, изложил иную позицию по данному вопросу и признал, что электронный документ, оформленный в соответствии с установленными требованиями, является полноценной письменной формой, порождающей те же правовые последствия, что и документ на бумажном носителе. Ниже кратко изложены суть этого судебного спора и его результаты:

Суть спора

Антимонопольный орган признал нарушение ч. 3 ст. 53 Закона о контрактной системе в действиях заказчика, которое выразилось в том, что в составе заявки ООО ЧОП «Альфа-Е» документ, подтверждающий внесение обеспечения заявки на участие в открытом конкурсе (банковская гарантия), был представлен в электронной форме, в то время как конкурсной документацией была предусмотрена исключительно письменная форма подачи заявок.

Оспаривая решение антимонопольного органа и суда первой инстанции, поддержавшего законность решения антимонопольного органа, общество настаивало на том, что банковская гарантия на USB-накопителе была вшита в состав заявки и включена в опись документов заявки, а также, что банковская гарантия была включена в реестр банковских гарантий, следовательно, вывод антимонопольного органа о том, что она отсутствует в надлежащей форме, ошибочен.

Позиция Семнадцатого арбитражного апелляционного суда

Согласно решению антимонопольного органа, представленную банковскую гарантию на USB-накопителе последний расценил как ненадлежащую форму документа, подтверждающего внесение обеспечения заявки на участие в открытом конкурсе, сославшись на то, что конкурсной документацией предусмотрена исключительная письменная форма подачи заявок, подача заявок в форме электронного документа не предусмотрена. 

При этом антимонопольный орган ссылался на п. 12 части II «Информационная карта конкурса» конкурсной документации в которой установлена форма подачи заявок на участие в конкурсе - письменная форма.

Суд сослался на следующие понятия «электронный документ»:

• В пункте 27 ГОСТ Р 7.0.8-2013 «Делопроизводство и архивное дело. Термины и определения», утвержденном приказом Росстандарта от 17.10.2013 №1185-ст, под письменным документом понимается документ, информация которого зафиксирована знаками письменности. В соответствии с п. 10 названного ГОСТ электронный документ: документ, информация которого представлена в электронной форме;
  
  
• Понятие «электронный документ» также включено в Федеральный закон от 27.07.2006 №149-ФЗ «Об информации, информационных технологиях и о защите информации» (ст. 2), согласно которому электронный документ - это документированная информация, представленная в электронной форме, то есть в виде, пригодном для восприятия человеком с использованием электронных вычислительных машин, а также для передачи по информационно-телекоммуникационным сетям или обработки в информационных системах.

Суд на этом основании сделал вывод о том, что электронный документ так же, как и обычный документ, представляет собой информацию, зафиксированную на материальном носителе, и является видом документа.

Для применения в гражданском обороте (а равно и в публичных правоотношениях) и оформления юридически значимых действий для электронного документа должна быть обеспечена возможность дальнейшего использования содержащейся в нем информации.  

То есть, как и обычный «бумажный» документ, электронный документ связан с конкретным материальным носителем. В рассматриваемом случае таким носителем является USB-накопитель.

При использовании электронных средств не меняется правовая сущность сделки как действия, направленного на установление, изменение или прекращение гражданских прав и обязанностей (ст. 153 ГК РФ).

Суд апелляционной инстанции пришел к выводу, что представление в составе заявки банковской гарантии на USB-накопителе само по себе не свидетельствует об изменении статуса банковской гарантии как документа, а также не меняет ее правовой сущности - обеспечение заявки.

Таким образом, вывод антимонопольного органа о том, что в составе заявки ООО ЧОП «Альфа-Е» отсутствует в надлежащей форме документ, подтверждающий внесение обеспечения заявки на участие в открытом конкурсе и соответствующий вывод суда первой инстанции о доказанности нарушения в этой части являются ошибочными, основанными на неверном толковании положений конкурсной документации, не соответствующими обстоятельствам дела. 

Мой комментарий: Несмотря на логику суда, на сегодняшний день наиболее безопасным способом является получение согласия на ЭДО в бумажном виде. Министерство труда — это орган, отвечающий за соблюдение трудового законодательства, и его разъяснения являются руководящими для инспекций по труду. Следование им минимизирует риски претензий.
Если работодатель решит пойти по пути получения согласия в электронной форме, он должен быть готов:

• К спорам с трудовой инспекцией при проверке;
  
  
• К возможному оспариванию всего электронного документооборота с работником, если суд в конкретном споре встанет на сторону Минтруда.

В настоящее время формальный приоритет у позиции Минтруда, и получение согласия на бумаге остаётся наиболее надежным способом. Однако приведенное выше судебное решение является серьезным аргументом в пользу того, что законодательство и правоприменительная практика должны и будут эволюционировать в сторону признания полной юридической силы за электронными документами, в том числе и за согласием на ЭДО.

Источник: Консультант Плюс
https://www.consultant.ru/cons/cgi/online.cgi?req=doc;base=QUEST;n=230287
https://www.consultant.ru/cons/cgi/online.cgi?req=doc;base=RAPS017;n=208344

Роскомнадзор заговорил о необходимости отказаться от согласий на обработку персональных данных

Руководитель Роскомнадзора (РКН) Андрей Юрьевич Липов высказал мнение о необходимости отказаться от согласий на обработку персональных данных. «Институт согласий как таковых, на наш взгляд, крайне устаревший. Он, наверное, был эффективен на заре появления 152-го ФЗ об обработке персональных данных, когда оставлял содержание согласия на усмотрение гражданина и той компании, куда человек пришел, и которая просит его такое согласие подписать».

По словам главы ведомства, с течением времени количество данных человеком согласий стало настолько большим, что он не в состоянии их контролировать, а если у гражданина возникнут сомнения относительно того, насколько правомерно они были взяты, то отстоять свои права ему сложно.

По словам руководителя Роскомнадзора, «Здесь, наверное, нужно переходить от согласий, когда каждый гражданин на каждое действие каждой компании дает отдельное согласие, к отраслевому регулированию, установлению отраслевых стандартов».

Имеется ввиду, что один набор ПДн требуется для компаний туристической отрасли, другой - в отрасли образования. После того как регулирование будет отработано на уровне соответствующих ведомств, а также проверено на практике, можно перейти к организации контроля и надзора, чтобы следить за тем, что персональные данные собираются в определенном объеме и обрабатываются установленное время.

Соответствующие предложения были направлены ведомством в правительство для включения во второй пакет мер по борьбе с мошенничеством. Его планируется внести на рассмотрение Госдумы в текущую осеннюю сессию.

Отвечая на вопрос о ранее обнародованной инициативе Роскомнадзора ввести институт специальных операторов ПДн, Липов уточнил, что в настоящее время она обсуждается на уровне правительства с привлечением игроков отрасли.

Мой комментарий: Предложение Роскомнадзора - это попытка радикально изменить ситуацию со сбором согласий на обработку персональных данных и перейди на отраслевое регулирование, когда устанавливаются предписания для бизнеса. По сути, регулятор признает, что существующая система с бесчисленными согласиями не работает и что согласия превратились в формальность, которая реальную защиту граждан не обеспечивает.

Вообще дело дошло до того, что строить деловую деятельность, опираясь на согласия, стало очень сложно – поскольку за субъектом ПДн сохраняется право в любой момент отозвать своё согласие без каких-либо негативных для себя последствий и без каких-либо компенсаций затрат, понесенных другими сторонами вследствие такого поведения. 

Предложение Роскомнадзора - это смелый и в чем-то назревший шаг, который признает провал текущей системы. Оно имеет большой потенциал для наведения порядка, снижения хаоса и повышения прозрачности. У этой идеи есть и важный стратегический аспект – отказ от заимствованной из законодательства Евросоюза идеологии согласий потенциально означает непризнание Евросоюзом России страной, обеспечивающей надлежащую защиту ПДн, и, соответственно, проблемы с обработкой в России персональных данных граждан Евросоюза. В текущей геополитической ситуации это не имеет особого значения, но может стать значимым фактором в случае восстановления – в длительной перспективе – нормальных отношений с Евросоюзом.

Источник: Интерфакс
https://www.interfax.ru/russia/1055703 

Судебная практика: Отказано в признании недействительными информированного добровольного согласия и согласия на обработку персональных данных

Грязинский городской суд Липецкой области в январе 2024 года вынес решение по делу №2-18/2024 (48RS0010-01-2023-001660-97) по иску гражданки к Липецкой областной психиатрической больнице (ЛОПБ) о признании недействительными документов, содержащихся в медицинской карте стационарного больного.

Суть спора

Гражданка подала иск как ближайшая родственница пациента, поскольку считала, что имеет право оспорить добровольное информированное согласие на медицинское вмешательство, которое было подписано в состоянии тяжёлого психического расстройства и под влиянием сильнодействующих психотропных препаратов. Пор её мнению, наследники вправе обратиться в суд после смерти наследодателя с иском о признании недействительной совершенной им сделки, в том числе по составлению информированного добровольного согласия.

Истица просила признать недействительными документы, содержащиеся в медкарте стационарного больного, которые послужили основанием для госпитализации в психиатрический стационар, - а именно, информированное добровольное согласие на медицинское вмешательство и согласие на обработку персональных данных. 

Позиция гражданки

Гражданка является внучкой и наследницей по закону своей бабушки, которая в течение свыше семи месяцев, с 7 декабря 2022 года по 18 июля 2023 года, являлась пациенткой больницы, где впоследствии скончалась. Гражданка обращалась к больнице с устными и письменными требованиями о выписке бабушки, о предоставлении ей и адвокату личных свиданий, о предоставлении сведений о её лечении, истории болезни, и ставила вопрос о незаконности её нахождения в стационаре психиатрической больницы закрытого типа. 

В июне 2023 гола гражданкой было написано заявление на имя и.о. главного врача больницы, где она доводила до его сведения, что для защиты незаконно удерживаемой пациентки и для последующего оформления опекунства над ней подан в мае 2023 года в суд иск о признании её недееспособной. Также она обращалась в Управление здравоохранения Липецкой области, в прокуратуру Липецкой области, в Минздрав России, в Росздравнадзор, в администрацию Липецкой области. 

За подписью и.о. главного врача больницы был получен ответ со ссылкой на статьи об информированном добровольном согласии на медицинское вмешательство, содержащееся в медкарте стационарного больного. Было указано на то, что в согласии (ИДС) больной от 7.12.2023 г. (то есть согласие было дано в день её поступления в больницу - Н.Х.) ею был указан круг лиц, которым может быть передана информация о состоянии ее здоровья, в том числе после ее смерти, и что в данном согласии истица не фигурирует. Аналогичные ответы были даны больницей в письменном виде ещё дважды в июле 2023 года.

Истице данное согласие показывать отказались со ссылкой на медицинскую тайну. По информации Управления здравоохранения Липецкой области, в больницу пожилая женщина была доставлена внуком в связи с ухудшением психического состояния. В июне 2023 года в отношении больной была проведена судебно-психиатрическая экспертиза, которая установила, что та не в состоянии понимать значения своих действий, руководить ими. По мнению истицы, в момент подписания информированного добровольного согласия пациентка не могла отдавать отчёт в своих действиях, осознавать их значение и последствия. 

По мнению гражданки «беспомощному старому человеку подсунули бумагу, где заранее был вписан внук, который был заинтересован в ее недобровольной госпитализации. В нарушение требований закона не был разъяснен лечащим врачом в доступной и полной для ее понимания форме метод, цель лечения, назначаемые препараты и возможные побочные действия их на организм, последствия принимаемого лечения и процедур психиатрической больницы. Формальное проставление подписи на бланке согласия не означает, что она была ознакомлена со всем перечнем необходимой и требуемой информации, которая по закону должна была ей быть предоставлена». 

Кроме того, истица полагала, что подпись на согласии не является подписью пациента. Бабушка отрицала, что находится в больнице добровольно, всегда выражала намерение уйти домой, что и было зафиксировано экспертами при проведении в июне 2023 года психиатрической экспертизы. 

Позиция Грязинского городского суда Липецкой области

Проанализировав представленные доказательства и положения законодательства, суд пришёл к выводу о том, что доводы истицы основаны на ошибочном понимании норм материального права и являются голословными.

Имеющиеся в медицинской карте оспариваемые документы заполнены в полном соответствии с приказом Минздрава России от 12.11.2021 №1051н, - соответственно, у медицинских работников при принятии решения о госпитализации пациентки не имелось оснований ставить их под сомнение, а также ставить под сомнение достоверность её подписей.

Более того, на момент поступления в больницу и подписания оспариваемых согласий в декабре 2023 года, пенсионерка не была признана недееспособной и не принимала психотропные лекарства, которые бы не позволяли ей понимать значение своих действий. Доказательств обратного не представлено.

Суд также отметил, что нормами гражданского законодательства не предусмотрено, что информированное добровольное согласие и согласие на обработку персональных данных являются односторонними сделками и что они могут быть признаны недействительными.

Согласно приказу Минздрава РФ от 15.12.2014 №834н «Об утверждении унифицированных форм медицинской документации, используемых в медицинских организациях, оказывающих медицинскую помощь в амбулаторных условиях, и порядков по их заполнению» возможность внесения записей в карту пациента в ретроспективном порядке также не предусмотрена.

Отказывая в удовлетворении исковых требований, суд исходил из того, что действующим законодательством в качестве способа судебной защиты не предусмотрена возможность признания недействительной записи в медицинской карте стационарного больного и аннулировании этой записи. 

Суд отказал в удовлетворении заявления гражданки к Липецкой областной психиатрической больницы о признании информированного добровольного согласия и согласия на обработку персональных данных недействительными. 

Судебная коллегия по гражданским делам Липецкого областного суда в мае 2024 года (дело №33-1929/2024) оставила без изменения решение Грязинского городского суда Липецкой области, а апелляционную жалобу истицы - без удовлетворения.

Позиция Судебной коллегии по гражданским делам Первого кассационного суда общей юрисдикции 

Судебная коллегия по гражданским делам Первого кассационного суда общей юрисдикции отметила, что лишены оснований доводы кассационной жалобы истицы о нарушении её прав отобранным от её бабушки информированным добровольным согласием на медицинское вмешательство и согласием на обработку персональных данных, поскольку в силу части 3 статьи 20 Федерального закона от 21 ноября 2011 г. №323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации» гражданин имеет право отказаться от медицинского вмешательства или потребовать его прекращения.

Судебная коллегия оставила без изменения решение Грязинского городского суда Липецкой области и апелляционное определение судебной коллегии по гражданским делам Липецкого областного суда, а кассационную жалобу гражданки - без удовлетворения.

Мой комментарий: Больница предоставила все необходимые документы, подтверждающие выполнение требований по оформлению добровольного информированного согласия. Больница продемонстрировала, что документы оформлены в полном соответствии с действующими приказами Минздрава. При отсутствии доказательств обратного, формальное соблюдение процедуры является для суда сильным аргументом в пользу медучреждения.

Суд указал на то, что действующее законодательство не предусматривает такого способа судебной защиты, как «признание записи в медицинской карте недействительной». Медицинская карта - это первичный медицинский документ, и ее содержание оспаривается не через признание записей недействительными, а через установление факта оказания медицинской помощи ненадлежащим образом или нарушения прав пациента в рамках других исков (например, о возмещении вреда).

Фактически иск был направлен не на установление нарушения прав пациентки при жизни, а на посмертное оспаривание документа, который, по мнению внучки, мог иметь значение для наследственных споров. Суды рассматривали дело по существу заявленных требований, и не нашли правовых оснований для их удовлетворения.

Источник: Консультант плюс / Судебные решения 
https://судебныерешения.рф/80853710/extended 
https://судебныерешения.рф/82925964/extended 
https://www.consultant.ru/cons/cgi/online.cgi?BASENODE=g4&req=doc;base=SOKI;n=413676

ИИ и право: Подан иск, связанный с отсутствием согласия участников онлайн-встречи на использование ИИ-ассистента

Данный пост израильского специалиста Луизы Жаровски (Luiza Jarovsky – на фото) был опубликован в августе 2025 года в социальной сети LinkedIn.

Против компании Otter 16 августа 2025 года в окружном суде Северного судебного округа штата Калифорния (США) был подан чрезвычайно важный иск, касающийся одновременно вопросов защиты персональных данных и применения ИИ, поводом для которого послужило отсутствие согласия участников онлайн-встречи на использование протоколирующего её ИИ-ассистента. Если Вы пользуетесь услугами таких ИИ-помощников в ходе онлайн-встреч, прочтите это:

Занимающаяся разработкой ИИ-приложений компания Otter, против которой был подан иск, предлагает сервис на основе ИИ, который, как и многие другие в этой нише, способен распознавать и записывать содержание частных разговоров между своими пользователями и участниками встреч (которые зачастую не являются пользователями Otter и не знают, что их разговоры записываются).

Различные законы о защите неприкосновенности частной жизни (персональных данных) в США и за рубежом требуют в таких случаях получения согласия участников встреч. В иске, в частности, упоминаются:

• Закон США о защите персональных данных при электронном информационном обмене (Electronic Communications Privacy Act, ECPA);
  
  
• Закон США о компьютерном мошенничестве и злоупотреблениях (Computer Fraud and Abuse Act);
  
  
• Закон штата Калифорния о вторжении в частную жизнь (California Invasion of Privacy Act);
  
  
• Всесторонний Закон штата Калифорнии о доступе к компьютерным данным и мошенничестве (Comprehensive Computer Data Access and Fraud Act);
  
  
• Предусмотренные законодательством штата Калифорнии гражданские правонарушения «вмешательство в личную жизнь» (intrusion upon seclusion) «незаконное присвоение либо использование чужой собственности» (conversion);
  
  
• Закон штата Калифорния о недобросовестной конкуренции (California Unfair Competition Law);

По мере того, как всё больше людей используют агентов ИИ, помощников ИИ для онлайн-встреч и всевозможные инструменты на базе ИИ для «повышения производительности», об аспектах защиты персональных данных часто забывают (что является ещё одним проявлением особого, исключительного отношения к ИИ).

В данном случае, согласно иску, компания прямо заявила, что обучает свои модели ИИ на записях и расшифровках, сделанных с помощью ИИ-помощника для проведения совещаний.

Основное обвинение заключается в том, что компания Otter получает согласия только от владельцев учётных записей Otter, но не от других участников совещаний. Компания Otter просит своих пользователей убедиться в согласии других участников, перекладывая на них ответственность за защиту неприкосновенности частной жизни (персональных данных).

Как многие из вас знают, подобная практика широко распространена, и различные компании, занимающиеся разработкой ИИ, перекладывают ответственность за защиту персональных данных на пользователей, которые часто игнорируют (или не знают) требования национального и регионального законодательства.

Поэтому, если Вы пользуетесь услугами ИИ-помощников для проведения совещаний, Вам следует знать, что записывать или расшифровывать высказывания участников совещаний без их согласия неэтично, а во многих случаях и незаконно.

Кроме того, важно помнить, что ИИ-компании могут использовать эти данные (часто содержащие персональную информацию) для обучения ИИ, что может привести к утечкам и другим рискам для персональных данных.

Текст искового заявления доступен по адресу: 
https://www.documentcloud.org/documents/26052769-otter-complaint/ 

Луиза Жаровски (Luiza Jarovsky)

Источник: сайт LinkedIn
https://www.linkedin.com/posts/luizajarovsky_breaking-an-extremely-important-lawsuit-activity-7363585582490423296-n505 

Согласие на обработку персональных данных должно быть оформлено отдельно

Федеральный закон от 24 июня 2025 года №156-ФЗ «О создании многофункционального сервиса обмена информацией и о внесении изменений в отдельные законодательные акты Российской Федерации» уточнил порядок оформления согласия субъекта персональных данных на их обработку (статья 5).

Часть 1 статьи 9 «Согласие субъекта персональных данных на обработку его персональных данных» федерального закона от 27 июля 2006 года №152-ФЗ «О персональных данных» дополнена новым четвертым предложением следующего содержания:

«Согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект персональных данных.»

Новые требования вступят в силу с 1 сентября 2025 года.

Авторы закона в пояснительной записке к законопроекту отметили, что «реализация указанного предложения устранит правовую неопределенность, позволяющую недобросовестным операторам персональных данных «дезориентировать» граждан в вопросах предоставления согласия на обработку их персональных данных, определения условий и целей обработки таких данных».

Кроме того, в пояснительной записке обращалось внимание на то, что владельцы информационных ресурсов, используя лазейки в законодательстве, стараются обходить требования на получение согласия на обработку ПДн и их возможной передачи неограниченному кругу лиц.

Пояснительная записка к законопроекту

Так, зачастую положения о согласии на обработку персональных данных включаются в пользовательские соглашения, а также другие юридические документы, размещаемые на информационных ресурсах или предоставляемые субъектам персональных данных «офлайн». Как правило, в таких документах среди большого объема иных сведений, не относящихся к вопросам обработки персональных данных, заложены условия о предоставлении согласия на обработку персональных данных, в том числе в целях их передачи неопределенному кругу лиц.

Кроме того, в рамках цифрового взаимодействия широкое распространение получили так называемые «браузер-соглашения», акцепт которых предусмотрен посредством входа на сайт (его просмотра). 

Неоднозначность правоприменительной практики позволяет владельцам информационных ресурсов считать пользовательское соглашение заключенным посредством совершения гражданином конклюдентных действий, выразившихся в использовании информационного ресурса, в том числе в формате обычного просмотра сайта или страницы сайта в сети «Интернет». При этом если положения о согласии на обработку персональных данных были включены в текст данного соглашения, то, фактически, использование сайта будет являться предоставлением такого согласия.

Таким образом, гражданин, посетив информационный ресурс либо приняв условия договора (пользовательского соглашения) проставлением «галочки», автоматически предоставляет доступ к своим персональным данным, которые в дальнейшем могут быть использованы фактически неограниченным кругом лиц.

Такая ситуация препятствует реализации принципов и требований, предъявляемых к согласию на обработку персональных данных, закрепленных Федеральным законом №152-ФЗ, а именно требованию о том, что согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным, поскольку в указанных случаях субъектам персональных данных. При этом создание избыточных по отношению к целям обработки баз персональных данных и их возможная передача неограниченному кругу лиц многократно увеличивает риски утечек и последующего противоправного использования указанных сведений.

Мой комментарий: Тем организациям, которые в настоящее время включают согласие на обработку персональных в другие документы, придется учесть новые требования.

Однако, с моей точки зрения, именно владельцам информационных ресурсов при взаимодействии с гражданами в сети Интернет придется тщательно продумать, каким образом они будут документировать факт получения согласия, и как будет организовано хранение согласий.

Источник: Консультант Плюс
https://www.consultant.ru/cons/cgi/online.cgi?req=doc;base=LAW;n=508287 
https://sozd.duma.gov.ru/download/4b9d9aa9-c5a2-4a89-b41f-3f9f9c21960a 

Банковский счет по заявлению несовершеннолетнего лица будет открываться с согласия родителей

Федеральный закон от 24 июня 2025 № 178-ФЗ «О внесении изменений в часть первую и статью 846 части второй Гражданского кодекса Российской Федерации» принят в целях совершенствования законодательства в части использования банковских счетов несовершеннолетними в возрасте от 14 до 18 лет. 

В пояснительной записка к законопроекту отмечается, что до принятия закона у государственных органов и банков не было единой позиции по вопросу о том, нужно ли получать согласие законных представителей при открытии банковского счета.

23 января 2021 года Минпросвещения России № 07-7890 «О методических рекомендациях» (параграф 1.8 Письма) указало о необходимости расширительного толкования подпункта 1 пункта 2 статьи 26 ГК РФ и распространять его действие на заключение договора банковского счета, который по существу представляет из себя акт распоряжения денежными средствами несовершеннолетним. В рекомендациях Минпросвещение указало, что несовершеннолетние, достигшие четырнадцатилетнего возраста, вправе без согласия законных представителей и без предварительного разрешения органов опеки и попечительства открывать счета в кредитных организациях для зачисления на них зарплаты и/или стипендии (самостоятельных доходов) и распоряжаться ими, включая осуществление безналичных операций без согласия родителей (усыновителей, попечителя) и без предварительного разрешения органов опеки и попечительства.

Банк России информационным письмом от 25 августа 2021 г. № ИН-06-31/66 рекомендовал кредитным организациям при заключении договора банковского счета с несовершеннолетними в возрасте от 14 до 18 лет запрашивать у несовершеннолетнего письменного согласия их законных представителей. 

Авторы законопроекта отметили в пояснительной записке, что несмотря на позицию Банка России, кредитными организациями широко используется практика открытия счетов несовершеннолетним без письменного согласия их законных представителей, обосновывая такой порядок открытия банковских счетов тем, что при открытии счета применяются правила о договоре банковского вклада. В такой ситуации, по мнению кредитных организаций, выдача дебетовых карт несовершеннолетним не требует письменного согласия их законных представителей. 

Однако в правоприменительной практике зачастую встречаются противоправные случаи с использованием дебетовых банковских карт, полученных несовершеннолетними без согласия их законных представителей.

Так, к примеру, Решением Прикубанского районного суда г.Краснодара от 24 ноября 2019 г. по делу N 2-9782/2019 установлен случай незаконного оформления банком на имя несовершеннолетнего кредита после получения им дебетовой банковской карты.
Также на практике встречаются и случаи финансового мошенничества после получения несовершеннолетними дебетовых карт, когда злоумышленники выкупают у них банковские карты и используют их для перевода (с последующим обналичиванием) средств обманутых граждан.

В целях недопущения неоднозначного толкования банками норм Гражданского законодательства в части использования банковских счетов несовершеннолетними в возрасте от 14 до 18 лет, законопроектом предлагается внести изменение в Гражданский Кодекс РФ, которые установят запрет на открытие на имя несовершеннолетних детей банковских счетов без согласия их законных представителей. 

Принятие законопроекта позволит предотвратить совершения в отношении несовершеннолетних противоправных действий с использованием их банковских счетов, несовершеннолетним в возрасте от 14 лет после своего трудоустройства в полной мере реализовывать свои трудовые права, в том числе право на получение заработка на банковском счете.

В части первой Гражданского кодекса Российской Федерации статья 26. «Дееспособность несовершеннолетних в возрасте от четырнадцати до восемнадцати лет» дополнена пунктом 5 следующего содержания:

5. Несовершеннолетние в возрасте от четырнадцати до восемнадцати лет вправе открыть банковский счет (статья 846) с согласия родителей, усыновителей или попечителя, за исключением случаев, когда такие несовершеннолетние приобрели дееспособность в полном объеме в соответствии с пунктом 2 статьи 21 или со статьей 27 настоящего Кодекса.

 Статья 846 «Заключение договора банковского счета» части второй Гражданского кодекса Российской Федерации дополнена пунктом 4 следующего содержания:

4. Банковский счет по заявлению несовершеннолетнего лица в возрасте от четырнадцати до восемнадцати лет открывается в соответствии с пунктом 5 статьи 26 настоящего Кодекса.

Федеральный закон вступил в силу 1 августа 2025 года.

Мой комментарий: Таким образом, банкам придется не только организовывать получение согласия родителей, усыновителей или попечителей, но и обеспечить хранение такого документа. Также придётся установить срок хранения такого согласия.

Источник: Консультант Плюс / сайт Государственной Думы
https://www.consultant.ru/cons/cgi/online.cgi?req=doc;base=LAW;n=508361
https://sozd.duma.gov.ru/download/1d4f7fd0-12c0-4dd5-a32c-5271371bda16 

Судебная практика: Гражданин утверждал, что не давал своего согласия на использование донорского материала

Судебная коллегия по гражданским делам Первого кассационного суда общей юрисдикции в декабре 2024 года вынесла решение по делу №88-38716/2024 (32RS0027-01-2023-002750-12), в котором гражданин предъявил претензии к Брянскому областному центру охраны здоровья семьи и репродукции, утверждая, что не давал своё согласие на использование донорского материала при зачатии детей его супругой.

Проблема доказывания факта получения согласия гражданина на использование донорского материала со стороны центра возникла в связи с тем, что медицинская карта гражданина была уничтожена в следствие затопления в архиве.

Суть спора

Гражданин 10 лет состоял в браке, за это время «с применением вспомогательных репродуктивных технологий с использованием донорского биологического материала» родилось двое детей. После расторжения брака на содержание детей судебным приказом были взысканы алименты.

Из материалов дела следует наличие многочисленных судебных споров между бывшими супругами относительно родительских прав и обязанностей, включая оспаривание отцовства в отношении детей по причине того, что он не является биологическим отцом детей, о чем ему стало известно в феврале 2021 года от бывшей супруги.

Решением Советского районного суда г. Брянска в ноябре 2022 г. в удовлетворении иска гражданина об оспаривании отцовства было отказано.

Очередной иск гражданин был мотивирован незаконностью действий медицинского учреждения по проведению в 2014 году соответствующих процедур с использованием донорского биологического материала, в нарушение действующего законодательства в отсутствие его согласия, в результате чего он был не осведомлен об использовании донорского материала и до 2021 года полагал, что является биологическим отцом детей.

Гражданин обратился в суд с иском к Брянскому областному центру охраны здоровья семьи и репродукции об оспаривании договоров, признании процедуры незаконной, взыскании компенсации морального вреда.

Решением Советского районного суда г. Брянска в мае 2024 г., оставленным без изменения, апелляционным определением судебной коллегии по гражданским делам Брянского областного суда в сентябре 2024 г., в удовлетворении исковых требований было отказано.

Позиция Судебной коллегии по гражданским делам Первого кассационного суда общей юрисдикции

Судом было установлено, что индивидуальная карта пациента гражданина при применении методов вспомогательных репродуктивных технологий была уничтожена ввиду порчи в результате затопления места хранения.

Разрешая спор и отказывая в удовлетворении исковых требований, суд первой инстанции пришел к выводу о том, что в отсутствие медицинской карты гражданина, осведомленность истца о проведении его супруге процедур и использовании донорского биологического материала, дача им согласия медицинскому учреждению, подтверждаются совокупностью иных доказательств по делу. Суд учёл, что сам истец был пациентом центра, проходил там обследование на предмет планирования рождения ребенка при помощи ЭКО.

Исследовав юридически значимые обстоятельства, дав оценку представленным доказательствам в их совокупности, суд исходил из диагнозов супругов, включая истца, что явилось поводом их обращения в учреждение для проведения программы вспомогательных репродуктивных технологий (ВРТ), именно с применением донорского материала, обусловленного невозможностью по состоянию здоровья супругам самостоятельно зачать ребенка и использовать при оплодотворении биологический материал супруга.

Последовательное поведение истца и его супруги подтверждает как обоюдное их намерение на использование донорского материала, так и дачу ими на это соответствующего согласия медицинскому учреждению, которое они оба посещали и знали о своих проблемах со здоровьем, в связи с чем оснований полагать о наличии нарушений со стороны медицинского учреждения установленного порядка проведения процедур, в частности проведения их в отсутствие согласия истца, оснований для признания договоров 2014 года недействительными, не имеется.

Также суд сослался на обстоятельства, установленные решением Советского районного суда г. Брянска в ноябре 2022 года, которым было отказано в удовлетворении требований гражданина об оспаривании отцовства, и пропуск истцом срока исковой давности, что явилось самостоятельным основанием для отказа в иске.

Суд апелляционной инстанции согласился с выводами суда первой инстанции и их правовым обоснованием, указав, что совокупность имеющихся в деле доказательств свидетельствует о совершении истцом действий, подтверждающих его согласие при применении вышеназванных методов, на использование донорского биологического материала, в результате чего имел место желаемый результат в виде рождения детей.

Гражданин в своей кассационной жалобе приводил доводы о неверной оценке доказательств, о подложности сведений системы медицинского обслуживания, акта о неисправимых повреждениях медицинских карт и акта об уничтожении поврежденных медицинских карт, - но суд их не принял.

Судебная коллегия оставила без изменения решение Советского районного суда г. Брянска и апелляционное определение судебной коллегии по гражданским делам Брянского областного суда, а кассационную жалобу гражданина - без удовлетворения.

Мой комментарий: Данное судебное разбирательство показывает, насколько важно обеспечивать сохранность медицинских документов. В данном конкретном случае суды учли многочисленные косвенные доказательства, но ведь они могли бы принять решения и по принципу «не можете предъявить письменное согласие гражданина – значит согласия нет»…

Источник: Консультант Плюс:
https://www.consultant.ru/cons/cgi/online.cgi?req=doc;base=KSOJ001;n=198810

ИСО и МЭК: Новый проект ISO/IEC AWI 27560 «Технологии защиты персональных данных – Структура информации в документе о согласии на обработку ПДн»

Эксперт в области управления электронными документами, эксперт ИСО от США Энди Поттер (Andy Potter - на фото) в своём посте от 6 апреля 2025 года, опубликованном в социальной сети LinkedIn в учётной записи технического подкомитета ИСО TC46/SC11 «Управление документами», рассказал о новом проекте ISO/IEC AWI 27560 переработки технических спецификаций ISO/IEC TS 27560:2023 «Технологии защиты персональных данных – Структура информации в документе о согласии на обработку ПДн» (Privacy technologies - Consent record information structure), см. https://www.iso.org/standard/80392.html и https://www.iso.org/obp/ui/en/#!iso:std:80392:en (а также мой пост http://rusrim.blogspot.com/2023/09/isoiec-ts-275602023.html - Н.Х.), в международный стандарт:

Стандарты в разработке: ISO/IEC AWI 27560 «Технологии защиты персональных данных – Структура информации в документе о согласии на обработку ПДн» (Privacy technologies — Consent record information structure)

Работа над проектом ISO/IEC AWI 27560 (см. https://www.iso.org/standard/91775.html ) в настоящее время ведётся в рамках технического подкомитета SC27 «Информационная безопасность, кибербезопасность и защита неприкосновенности частной жизни» (Information security, cybersecurity and privacy protection) Объединенного технического комитета ИСО/МЭК JTC1. Новый стандарт заменит одноимённые технические спецификации ISO/IEC TS 27560:2023.

Этот будущий стандарт определяет интероперабельную, открытую и расширяемую информационную структуру для документирования согласия субъектов персональных данных (ПДн) на обработку ПДн. Задачей документа является поддержка:

• Предоставления субъекту ПДн документа о согласии,
  
  
• Обмена информацией о согласии между системами,
  
  
• Управление полным жизненным циклом документированного согласия.

Сегодня организации прилагают усилия для соблюдения в глобальном масштабе законодательно-нормативных требований в отношении защиты персональных данных, и проект ISO/IEC AWI 27560 обеспечивает структурированный и стандартизированный подход к документированию согласий и управлению ими. Это является ключевым шагом на пути к повышению прозрачности, интероперабельности и подотчетности в системах управления неприкосновенностью частной жизни (защитой ПДн).

Уже идёт работа над проектом рабочей группы (WD). Заинтересованным сторонам в сфере защиты ПДн, стратегического управления данными и обеспечения интероперабельности систем следует внимательно следить за ходом этого проекта.

Энди Поттер (Andy Potter)

Источник: сайт LinkedIn / сайт ИСО
https://www.linkedin.com/feed/update/urn:li:activity:7314379457828413441  
https://www.iso.org/standard/91775.html

Судебная практика: Отзыв согласия на обработку биометрических персональных данных

Согласие на обработку персональных данных (ПДн) - один из элементов, составляющих систему защиты ПДн от неправомерного использования. Однако право гражданина на отзыв своего согласия на обработку персональных данных в ряде случаев может привести к проблемам для оператора ПДн.

Останкинский районный суд города Москвы в октябре 2021 года вынес решение по делу №2-3821/2021 (УИД 77RS0019-02-2021-013830-36), в котором трудовой спор между работником и работодателем возник именно после того, как сотрудница отозвала своё согласие на обработку своих персональных данных и биометрических данных.

Суть спора

Гражданка с декабря 2020 года работала в обществе ООО «ВЕТ СИТИ ЦЕНТР» в должности менеджера собственных медиакомпаний в отделе маркетинга.  При приеме на работу она дала согласие на обработку своих персональных данных. Данное согласие, а также согласие на обработку биометрических данных 9 апреля 2021 года сотрудницей было отозвано.

В июне 2021 года приказом к сотруднице было применено дисциплинарное взыскание в виде замечания. Основанием послужила докладная записка заместителя генерального директора. Гражданка представила работодателю письменные объяснения, в которых пояснила, что в период с 4 по 27 мая 2021 года она присутствовала на рабочем месте, что подтверждается сведениями пропускной карты, а также указала, что 9 апреля 2021 г. она отозвала свое согласие на обработку биометрических и персональных данных и с 10 апреля не пользуется биометрическим пропуском.

30 августа 2021 г. приказ о применении к ней дисциплинарного взыскания был отменен.

Гражданка обратилась в суд с иском к работодателю, в котором просила отменить приказ о применении дисциплинарного взыскания в виде замечания; взыскать компенсацию морального вреда в размере 50 тысяч рублей, расходы на оплату услуг представителя в размере 20 тысяч рублей.

Позиция Останкинского районного суда

Суд отказал сотруднице в удовлетворении заявленных требований, поскольку, как следует из установленных судом обстоятельств, на территории ответчика установлена биометрическая система контроля перемещения сотрудников, в том числе в целях безопасности (в организации хранятся наркотические лекарственные препараты для животных). При этом работодатель вправе самостоятельно выбирать систему безопасности и контроля.

Суд отметил, что доказательств незаконного использования или распространения персональных данных истца в целях, не соответствующих обеспечению личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества, суду не представлено.

Ссылку сотрудницы на положения федерального закона от 25.07.1998 №128-ФЗ «О государственной дактилоскопической регистрации в Российской Федерации» суд нашёл несостоятельной, поскольку работодателем не производилась дактилоскопическая регистрация работников (учет, хранение, классификация и выдача дактилоскопической информации), равно как и не производилось использование этих данных для установления личности субъекта персональных данных оператором, поскольку целью биометрического пропуска являлось соблюдение пропускного режима в организации.

Кроме того, приказ о применении к сотруднице дисциплинарного взыскания в виде замечания был самостоятельно отменен ответчиком и на момент рассмотрения дела прав истца не нарушает.

Суд отказал в удовлетворении иска сотрудницы к ООО «ВЕТ СИТИ ЦЕНТР» об отмене приказа о дисциплинарном взыскании, взыскании компенсации морального вреда, судебных расходов.

Позиция Судебной коллегии по гражданским делам Московского городского суда

Судебная коллегия по гражданским делам Московского городского суда в апреле 2022 года (дело №33-10556) отметила, что согласно «Правилам внутреннего трудового распорядка ООО «ВЕТ СИТИ ЦЕНТР», с которыми сотрудница была ознакомлена при приеме на работу, работник обязан строго соблюдать действующий у работодателя контрольно-пропускной режим, отмечаться посредством сканирования отпечатка работника в биометрической системе общества при приходе на работу и ухода с работы. Отсутствие отметки посредством сканирования отпечатка пальца работника в биометрической системе сканирования при приходе на работу и ухода с работы может быть расценено работодателем как прогул.

В докладной записке заместителя генерального директора было указано, что сотрудницей не исполнялись обязанности по сканированию отпечатка пальца при приходе на работу и ухода с работы.

Сотрудницей было подписано согласие на обработку ответчиком ее персональных данных, которое впоследствии было отозвано на основании ч. 5 ст. 21 федерального закона №152-ФЗ «О персональных данных».

Суд отметил, что приказом №3/КД приказ о применении к сотруднице дисциплинарного взыскания в виде замечания был отменен. Кроме того, обществом было утверждено «Положение о контроле режима рабочего времени работником, к которым не применяется биометрическая система контроля режима рабочего времени», предусматривающее фиксацию времени прихода на работу (ухода с работы) и времени отдыха и питания путем внесения соответствующих записей в журнал, форма которого утверждение приложением №1.

В письменных объяснениях о нарушении обязанности по сканированию отпечатка пальца при приходе на работу и ухода с работы сотрудница ссылалась на свое заявление об отзыве согласия на обработку работодателем ее биометрических и персональных данных, указывая, что в связи с этим она не пользуется биометрическим пропуском с момента отзыва согласия, при этом сведений о том, что в указанный в приказе период она допустила нарушение трудовой дисциплины и несоблюдение положений правил внутреннего трудового распорядка о начале и окончании рабочего времени и его продолжительности, ответчиком не представлено. Кроме того, работодателем издан локальный нормативный акт, которым предусмотрена фиксация времени прихода на работу/ухода с работы и времени отдыха и питания путем внесения соответствующих записей в журнале без использования к части работников биометрической системы контроля режима рабочего времени.

Суд отметил, что с учётом совокупности вышеприведенных данных о характере проступка, обстоятельств и причинах, при которых он был совершен и при отсутствии сведений о его негативных последствиях, с учётом прежнего поведения работника и ее отношения к труду ввиду отсутствия каких-либо доказательств о нарушении истцом трудовой дисциплины, а также с учётом изменения у работодателя способа фиксации прихода/ухода работников - оснований полагать, что у ответчика имелись достаточные условия для применения к сотруднице дисциплинарного взыскания в виде замечания, и что наложенное дисциплинарное взыскание было соразмерно тяжести совершенного сотрудником проступка, у суда первой инстанции не имелось.

Судебная коллегия пришла к выводу, что в этой части решение суда не может быть признано законным и обоснованным и подлежит отмене с принятием по делу в этой части нового решения об удовлетворении требований.

Судебная коллегия отменила решение Останкинского районного суда города Москвы и приняла по делу новое решение, которым отменила приказ общества о применении к сотруднице дисциплинарного взыскания в виде замечания, взыскала с работодателя в пользу сотруднице компенсацию морального вреда, в возмещение судебных расходов по оплате юридических услуг.

Судебная коллегия по гражданским делам Второго кассационного суда общей юрисдикции в ноябре 2022 года (дело №88-24328/2022) оставила без изменения апелляционное определение судебной коллегии по гражданским делам Московского городского суда, а кассационную жалобу представителя ООО «Вет Сити Центр» - без удовлетворения.

Мой комментарий: Итак, работодателю пришлось (видимо, были и другие недовольные) ввести двойную систему контроля режима рабочего времени. Обществом было утверждено «Положение о контроле режима рабочего времени работником, к которым не применяется биометрическая система контроля режима рабочего времени», предусматривающее фиксацию времени прихода на работу/ухода с работы и времени отдыха и питания путем внесения соответствующих записей в журнал. То, что работодатель пошёл на это, сильно ослабило его аргументацию в суде.

Для работодателя поддержка одновременно нескольких систем крайне неудобна, но, учитывая, что обрабатывать биометрические персональные данные можно только с согласия гражданина, даже одного недовольного сотрудника достаточно для того, чтобы у общества возникли серьёзные неприятности.

Источник: Судебные решения / Московский городской суд
https://mos-gorsud.ru/mgs/cases/docs/content/28c135c0-da5c-11ec-be5e-99e766723456
https://www.судебныерешения.рф/61899221
https://www.судебныерешения.рф/67748907/extended
https://mos-gorsud.ru/rs/ostankinskij/cases/docs/content/f7c77ab0-7223-11ec-92a3-01d750c9c831

Уточнён порядок защиты сведений о Федеральной службе безопасности

Федеральный закон от 08.08.2024 №249-ФЗ «О внесении изменений в отдельные законодательные акты Российской Федерации» уточнил порядок защиты сведений о Федеральной службе безопасности.
 
В статье 7 «Защита сведений о федеральной службе безопасности» в федеральном законе от 3 апреля 1995 года №40-ФЗ «О федеральной службе безопасности» теперь установлено, что в доступе к сведениям может быть отказано не только физическим, но и юридическим лицам.

Физическим и юридическим лицам может быть отказано в доступе к сведениям (в предоставлении сведений) об органах федеральной службы безопасности, составляющим государственную и иную охраняемую законом тайну, по основаниям, предусмотренным законодательством Российской Федерации о государственной и иной охраняемой законом тайне, либо по соображениям собственной безопасности органов федеральной службы безопасности.

Кроме того, расширен перечень лиц, которые обязаны соблюдать конфиденциальность информации о деятельности органов федеральной службы безопасности, составляющей профессиональную тайну, вне зависимости от места их работы.

Было: Военнослужащие, федеральные государственные гражданские служащие, работники органов федеральной службы безопасности, а также лица, уволенные из органов федеральной службы безопасности, обязаны соблюдать конфиденциальность информации о деятельности органов федеральной службы безопасности, составляющей профессиональную тайну.

Стало: Лица, получившие в связи с исполнением служебных или профессиональных обязанностей доступ к информации о деятельности органов федеральной службы безопасности, составляющей профессиональную тайну, обязаны соблюдать конфиденциальность данной информации и требования к ее защите.

Теперь к профессиональной тайне органов федеральной службы безопасности относится информация, «разглашение (распространение) которой может создать препятствия для выполнения задач, возложенных на органы федеральной службы безопасности».

Статья также дополнена новыми положениями следующего содержания:

Перечень информации о деятельности органов федеральной службы безопасности, составляющей профессиональную тайну, а также требования к ее защите определяются руководителем федерального органа исполнительной власти в области обеспечения безопасности.

Лица, получившие в связи с исполнением служебных или профессиональных обязанностей доступ к информации о деятельности федерального органа исполнительной власти в области обеспечения безопасности, составляющей профессиональную тайну федерального органа исполнительной власти в области обеспечения безопасности, и допустившие разглашение (распространение) такой информации, несут ответственность, предусмотренную законодательством Российской Федерации.

Дополнительно в статье 13. «Права органов федеральной службы безопасности» уточнено, что органам ФСБ  предоставлено право получать на безвозмездной основе при выполнении служебных задач «аэронавигационное обслуживание полетов воздушных судов (организацию воздушного движения, радиотехническое обеспечение полетов, включая обеспечение авиационной электросвязи, предоставление аэронавигационной и метеорологической информации, поиск и спасание), светотехническое, инженерно-авиационное, аэродромное, аварийно-спасательное и другое обеспечение полетов воздушных судов».

Статья 16.2 «Меры обеспечения собственной безопасности органов федеральной службы безопасности» дополнена положением о том, что «в целях обеспечения собственной безопасности органов федеральной службы безопасности персональные данные военнослужащих и гражданского персонала органов федеральной службы безопасности, в том числе их биометрические персональные данные, обрабатываются органами федеральной службы безопасности без согласия субъекта персональных данных.»

Мой комментарий: Таким образом, законодатели избавили ФСБ от получения от её сотрудников согласий на обработку их персональных данных – если такую обработку можно трактовать как обеспечение собственной безопасности органов ФСБ (а это, на мой взгляд, возможно почти всегда). Думаю, эта тенденция будет продолжена и в отношении остальных силовых структур.

Источник: Консультант Плюс
https://www.consultant.ru/cons/cgi/online.cgi?req=doc;base=LAW;n=482504

Новая статья: «Непрекращающееся блуждание в документально-информационных сумерках: Управление документами на основе консенсуса как мера интеллектуальной защиты»

В последнее время за рубежом по тематике управления документами и архивного дела публикуется довольно много странных статей. Их не всегда можно и нужно воспринимать совсем всерьёз, однако знакомиться с ними всё равно полезно – они помогают взглянуть на ряд вопросов по-новому и способствуют рождению новых идей.

26 апреля 2024 года в журнале «Архивная наука» (Archival Science) издательства Шпрингер была опубликована статья Грегори Ролана (Gregory Rolan) и Антонины Льюис (Antonina Lewis) «Непрекращающееся блуждание в документально-информационных сумерках: Управление документами на основе консенсуса как мера интеллектуальной защиты» (The perpetual twilight of records: consentful recordkeeping as moral defence) объёмом 31 страница, см. https://doi.org/10.1007/s10502-024-09438-w и https://link.springer.com/content/pdf/10.1007/s10502-024-09438-w.pdf . Текст статьи свободно доступен.

Страница статьи на сайте журнала «Архивная наука»

Краткое содержание

«В настоящей статье мы рассматриваем важность развития практики вовлекающего и основанного на консенсусе/согласии (consentful) управления документами в условиях повсеместного использования документов вне рамок их первоначального назначения.

Среди таких вторичных применений можно назвать «деконтекстуализацию» данных в качестве одного из элементов «индустриализации» доступа и использования «исторических» документов в контекстах текущей оперативной деятельности, а также широкий спектр практик коллективного использования данных и их распространения, вытекающих из современных парадигм науки о данных (информатики).

Чтобы обосновать призыв к внедрению практики управления документами на основе консенсуса, мы начинаем статью с изучения того, как способность человека ориентироваться в вечном сумраке документов становится всё более проблематичной, когда специалисты по машинному обучению применяют подходы к сбору и стратегическому управлению данными «чохом», не предусматривающие какой-либо отбор.

Затем мы переосмысливаем некоторые классические архивные принципы, чтобы согласовать их с подходами, основанными на вовлечении и участии (participatory approaches); в частности, путем расширения сферы дженкинсоновской «интеллектуальной защиты» (moral defence) как императива для активного взаимодействия с «архивной мультивселенной» (Archival Multiverse).

Мой комментарий: В 2022 году исполнилось 100 лет с момента публикации авторитетного «Руководства по управлению архивами» (Manual of Archive Administration) британского архивиста сэра Хилари Дженкинсона (Sir Hilary Jenkinson) – классического труда по управлению государственными архивами и их фондами. В разделе 6 «Основные обязанности архивиста» части 2 «Происхождение и развитие архивов и правил» данной книги есть подразделы, посвященные как физической, так и интеллектуальной защите архивных документов и фондов.

Интересно, что главным источником угроз, с которым и должна бороться интеллектуальная защита, Дженкинсон считал самого архивиста, который (даже действуя неумышленно) может включить в состав архивных фондов ненадлежащие материалы, не включить необходимые материалы, нарушить упорядочение и взаимосвязи и т.д.

Сегодня многие авторы статей по архивно-документационной тематике, следуя определенной современной «повестке» и идеологии, по сути, ищут пути обхода классических мер интеллектуальной защиты архивов – тем самым ставя под угрозу их целостность и аутентичность.

Затем мы описываем практический пример управления документами на основе консенсуса на примере недавно разработанной в рамках проекта AiLECS Lab (австралийский совместный проект известного своими достижениями в области архивной науки университета Монаш и федеральной полиции Австралии, в рамках которого изучаются возможности применения искусственного интеллекта в деятельности правоохранительных органов в т.ч. для предотвращения эксплуатации детей, см. https://ailecs.org/about/ – Н.Х.)  системы сбора и управления коллекциями. Эта основанная на принципах концептуальная структура предназначена для использования при формировании наших практик комплектования и курирования наборов данных для исследований и разработок в области машинного обучения, и направлена на предпочтительное обеспечение постоянного согласия тех, кто представлен в документах, на их использование.

Мой комментарий: Получение согласия на использование персональных данных там, где это требуется по закону (т.е. обычно не по первоначальному назначению и/или третьими сторонами) – это совсем не то же самое, что комплектование заслуживающих доверия архивных фондов государственных органов и учреждений, для которого согласия субъектов персональных данных, как правило, не требуется, поскольку обработка таких ПДн прямо разрешена соответствующими законами.

В контексте этой работы наша основная предпосылка заключается в том, что технологии, предназначенные для предотвращения эксплуатации детей, должны избегать использования базовых практик и методов обработки данных, которые сами по себе эксплуатируют (детей или взрослых).»

Заключение

«В настоящей статье мы используем понятия «технология на основе консенсуса» (consentful technology) и «систем на основе консенсуса» (consentful systems) для того, чтобы охватить социотехнические подходы, которые облегчают интеграцию и документирование получаемого в рамках вовлечения согласия (participatory consent) в деятельность по управлению документами в качестве необходимого элемента «интеллектуальной защиты» архивов в наши дни.

Мы рассматриваем такой подход как логический результат переоценки дженкинсоновской версии интеллектуальной (этической) защиты архивов (и концепции архивного порога) с точки зрения теории континуума документов, в условиях мира, в котором всё более распространенными становятся обработка документов как данных (datafication) и распределенное хранение документов, и управление ими.

Мы подчеркиваем ценность человеческого достоинства посредством акцента на методы проектирования, поддерживающие управление документами на основе консенсуса; и изучаем пример из практики использования на основе согласия оцифрованных изображений человека в контексте исследований, проводимых для правоохранительных органов.

Наконец, мы представляем концептуальную структуру VALID в качестве основанного на принципах инструмента для пользователей и хранителей данных, стремящихся реализовать ответственные - и основанные на консенсусе/согласии - подходы к курированию и повторному использованию данных.

Остаётся философский вопрос: можно ли пошатнуть структурное неравноправие посредством управления документами, или каждое сотрясение просто меняет сдвигает акценты? Даже если мы будем исходить из предположения о том, что сфера охвата интеллектуальной (этической) защиты документов расширилась таким образом, что требует признания аффективных (эмоциональных) отношений (признавая, что они, как и административные и временные отношения, являются потоками власти, но всё же способны передавать только частичные истины), - какое влияние на такую защиту оказывает осуществляемая в промышленных масштабах «датификация»?

Ещё многое предстоит сделать для изучения и проверки концептуальной конструкции систем управления документами на основе консенсуса. Тем не менее, мы придерживаемся нашей основной предпосылки: механизмы динамического получения согласия должны быть «встроены» в системы управления документами таким образом, чтобы сохранялись во времени достоинство и индивидуальность тех, кто отражён в документах (и, следовательно, этическая целостность документов). В нашем случае это означает, что технологии, предназначенные для предотвращения эксплуатации детей, должны, где, это возможно, избегать разработки и использования практик обработки данных, которые сами по себе являются эксплуататорскими и/или которые не уважают права, свободу действий и согласие физических лиц, чья жизнь отражена в данных.»

Мой комментарий: С моей точки зрения, это очередные перепевы темы «права быть забытым», только представленные в более наукообразной форме и сопровождаемыми попытками прикрыть возможные (и замалчиваемые) негативные последствия довольно-таки лицемерными причитаниями по поводу детей.

Прикладное применение описанных принципов – это не что иное, как отдание предпочтения праву физического лица на забвение (в первую очередь, естественно, его прегрешений и преступлений), в ущерб праву общества помнить и в ущерб комплектованию и сохранению целостных и аутентичных архивных фондов, отражающих исторические события.

Источник: сайт журнала «Архивная наука»
https://link.springer.com/article/10.1007/s10502-024-09438-w

Судебная практика: Персональные данные на сайте организации, часть 2

(Окончание, начало см. http://rusrim.blogspot.com/2024/03/1.html )

Арбитражный суд г. Москвы в октябре 2022 года при рассмотрении дела №А40-139096/22-121-796, в котором общество ООО «Страховая компания «Арсеналъ» оспаривало правомочность требований Управления Роскомнадзора по Центральному федеральному округу о прекращении неправомерной обработки персональных данных, размещенных на сайте общества, оценил также правомочность обработки персональных данных (ПДн), которые были размещены на сайте общества в разделах «Заявка на оформление полиса», «Обратная связь» и «Реестр агентов и брокеров».

Относительно формы «Заявка на оформление полиса», суд счёл, что данная форма не подразумевает сбора персональных данных в контексте определения «персональные данные», содержащегося в п.1 ст. 3 федерального закона от 27.07.2006 г. №152-ФЗ «О персональных данных», поскольку, как следует из материалов дела, не используется обществом для идентификации потребителя финансовых услуг с целью заключения договора страхования, а является формой обратной связи для последующего контакта сотрудника продающего подразделения общества с потенциальным клиентом, которым кроме физического лица, также может выступать индивидуальный предприниматель или юридическое лицо.

Персональные данные - любая информация, относящаяся к прямо или косвенно к определенному или определяемому физическому лицу (субъекту персональных данных).

Так, форма «Заявка на оформление полиса» не содержит полей, предусматривающих указание данных, позволяющих идентифицировать конкретное физическое лицо, поскольку запрашивает только «Форму обращения», «E-mail», «Телефон».

Мой комментарий: Странно видеть, как суд цитирует совершенно недвусмысленное положение закона, и в следующем же абзаце без каких-либо сомнений говорит, что белое – это в данном контексте чёрное. Давно пора всех любителей самовольно переиначивать определение ПДн (в духе, что «настоящие» ПДн – это те ПДн, которые используются для идентификации), тут же отстранять от работы и отправлять на профессиональную переподготовку!

Совокупность данных, получаемых обществом посредством формы «Заявка на оформление полиса» не обеспечивает возможности доподлинно определить конкретное физическое лицо, которому принадлежит номер телефона и/или адрес электронной почты, поскольку форма не подразумевает предоставления полных «Фамилии Имени Отчества» и/или иных идентификаторов, таких как «Номер документа удостоверяющего личность», «ИНН», «СНИЛС», «Дата и место рождения», в особенности принимая во внимание тот факт, что в форме могут быть указаны номер телефона и адрес электронной почты, принадлежащие юридическому лицу или иному физическому лицу, не являющемуся заполнителем формы.

Утверждение Управления о том, что адрес электронной почты является персональными данными зарегистрировавшего его лица, так как обладает «двумя важными свойствами: неизменностью при присвоении и уникальностью», является безосновательным, поскольку по аналогии с номером телефона, без наличия дополнительных идентификаторов, невозможно по одному лишь адресу электронной почты определить конкретное физическое лицо, которому он принадлежит.

Мой комментарий: Позиция Управления в данном случае правильная – согласно Закону о ПДн, выданный физическому лицу и/или систематически используемый им адрес электронной почты является, без каких-либо сомнений, персональными данными; и могу сказать по собственному опыту, что установить владельца этого адреса посредством поиска в интернете и в иных доступных ресурсах часто не так уж сложно. Полагаю, что судьи на самом деле понимали, что неправы, но принимали решение «по понятиям», желая освободить общество от ответственности.

Более того, адрес электронной почты фактически не обладает свойством «абсолютной неизменности», потому как в случае расторжения пользовательского соглашения с электронным почтовым сервисом, удаления электронного почтового ящика с сервера (по любым причинам), в том же домене может быть зарегистрирован точно такой же адрес электронной почты за новым пользователем, также, как в случае расторжения договора с оператором телефонной связи телефонный номер может быть передан новому абоненту.

Мой комментарий: Этот аргумент – вообще насмешка над здравым смыслом. Получается, что и ФИО человека тоже нельзя считать персональными данными, поскольку могут существовать (и существуют) полные тезки! И такое пишет столичный (!) суд, в котором вроде как должны работать профессионалы!

Суд отметил, что форма «Обратная связь», размещенная на сайте общества и используемая для направления персонифицированных обращений потребителями финансовых услуг, в свою очередь, содержит интерфейс на предоставление субъектом ПДн согласия на обработку ПДн в соответствии с «Политикой общества в отношении обработки и защиты персональных данных субъектов», поскольку данная форма уже предусматривает указание имени потребителя финансовых услуг.

Относительно подраздела «Реестр агентов и брокеров», суд отметил следующее. Размещенная в нем форма по своему функционалу не подразумевает сбор ПДн, а осуществляет доступ потребителей финансовых услуг к реестру контрагентов страховщика (страховых агентов и страховых брокеров) через официальный сайт общества для проверки у последних наличия полномочий представлять интересы общества по вопросу заключения договоров страхования с целью предотвращения возможных мошеннических действий.

Обеспечение доступа к реестру контрагентов является законной обязанностью общества и установлена п.11 ст.8 Закона №4015-1, согласно которому, страховщики ведут реестры страховых агентов и страховых брокеров, с которыми у них заключены договоры об оказании услуг, связанных со страхованием. Сведения из реестра страховых агентов и страховых брокеров, позволяющие идентифицировать страхового агента или страхового брокера в качестве лица, с которым у страховщика заключен договор об оказании услуг, связанных со страхованием (фамилия, имя, отчество (при наличии) или наименование страхового агента, страхового брокера, номер удостоверения или договора), сведения о видах страхования, по которым страховой агент, страховой брокер уполномочены страховщиком оказывать услуги, связанные со страхованием, в том числе в электронной форме, перечень оказываемых услуг, а также доменное имя и (или) сетевой адрес официальных сайтов страхового агента (при наличии), страхового брокера в информационно-телекоммуникационной сети «Интернет» размещаются страховщиками на своих официальных сайтах. Полномочия по ведению реестра страховых агентов и страховых брокеров и размещению сведений из него в информационно телекоммуникационной сети «Интернет» могут быть переданы страховщиком объединению страховщиков, о чем страховщик должен сообщить на своем официальном сайте с указанием информации о таком объединении страховщиков.

Суд пришел к выводу о том, что общество осуществляет обработку персональных данных, содержащихся в Реестре агентов и брокеров, способом «распространение» на основании п.п.2 и 11 ч.1 ст.6 федерального закона от 27.07.2006 г. №152-ФЗ «О персональных данных» и во исполнение законной обязанности общества, предусмотренной п.11 ст.8 закона №4015-1.

Относительно обработки персональных данных осуществляемой обществом при создании и ведении Реестра агентов и брокеров, такими способами как, сбор, хранение, запись, систематизация и т.д., суд отметил, что такая обработка осуществляется на основании п. 5 ч. 1 ст. 6 Федерального закона от 27.07.2006 г. №152-ФЗ «О персональных данных», согласно которому обработка ПДн может осуществляться оператором для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект ПДн (в данном случае агентского договора и/или договора на оказание услуг страхового брокера, заключенного между субъектом ПДн и обществом).

Общество не осуществляет сбор персональных данных граждан с использованием сети «Интернет» посредством формы, размещенной в подразделе «Реестр агентов и брокеров», как на то указывает Управление в Запросах-требованиях, поскольку данная форма сама по себе имеет иное функциональное назначение, а ПДн, содержащиеся в Реестре агентов и брокеров, обрабатываются обществом правомерно в соответствии с требованиями действующего законодательства РФ в сфере ПДн.

Суд пришел к выводу о том, что действия Управления Роскомнадзора по Центральному федеральному округу по признанию неправомерной обработки ПДн, осуществляемой обществом с использованием официального сайта страховщика и понуждению к прекращению такой обработки ПДн, несоответствующими требованием законодательства являются незаконным и нарушают права заявителя.

Суд признал незаконными действия Управления Роскомнадзора по признанию неправомерной обработки ПДн, осуществляемой обществом с использованием официального сайта страховщика www.arsenalins.ru, и понуждению к прекращению такой обработки персональных данных, несоответствующими требование законодательства.

Суд обязал Управление устранить допущенное нарушение прав и законных интересов общества в течение тридцати дней со дня вступления судебного акта в законную силу.

Девятый арбитражный апелляционный суд в январе 2023 года (постановление №09АП-84769/2022) оставил без изменения решение Арбитражного суда города Москвы, а апелляционную жалобу – без удовлетворения.

Арбитражный суд Московского округа в марте 2023 года оставил без изменения решение Арбитражного суда города Москвы и постановление Девятого арбитражного апелляционного суда, а кассационную жалобу Управления Роскомнадзора по Центральному федеральному округу - без удовлетворения.

Судья Верховного Суда Российской Федерации в июле 2023 года (Определение №305-ЭС23-12160) отказал Управлению Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Центральному федеральному округу в передаче кассационной жалобы для рассмотрения в судебном заседании Судебной коллегии по экономическим спорам Верховного Суда Российской Федерации.

Источник: Официальный сайт Верховного Суда Российской Федерации / Электронное правосудие по экономическим спорам
http://www.arbitr.ru/