«Персональные данные – это не просто цифры и буквы‚ это ключ к жизни человека» – эта фраза стала лейтмотивом последних судебных решений Верховного Суда РФ и Роскомнадзора. С 2024 по 2026 год в России резко возросло количество споров‚ связанных с обработкой персональных данных (ПДН): от утечек сотрудников до масштабных слитых баз клиентов банков. В статье собраны самые свежие и важные судебные прецеденты‚ которые уже сегодня влияют на то‚ как бизнес и госсектор работают с данными.
Обзор нормативики: что изменилось за 18 месяцев
- 508-ФЗ от г. – вернул подсудность «персональных» споров в арбитраж‚ но с новыми правилами (количество пострадавших ≥ 1000 человек).
- Обзор ВС РФ № 2‚ 3 за 2024 г. – закрепил презумпцию вины оператора ПДН: если утечка произошла‚ оператор должен доказать отсутствие своей вины.
- ГАС «Правосудие» – с г. все иски о ПДН подаются только в электронном виде через ЕСИА.
Пять самых громких дел 2024–2026 гг.
Дело Роскомнадзора против ООО «Региональные Системы»
Фабула: в мае 2025 г. в даркнете выставили 1‚4 млн записей с Ф. И. О.‚ СНИЛС и адресами клиентов компании. Роскомнадзор оштрафовал оператора на 5 млн руб.‚ но суд уменьчил штраф до 500 тыс. руб. (Постановление АС Волго-Вятского округа от № Ф01-3819/2024).
Ключевой вывод: «обратная сторона» презумпции вины – оператор доказал‚ что утечка произошла в результате взлома со стороны иностранного хостера‚ а значит «непреодолимая сила» (ст. 401 ГК РФ).
Случай «Банк ВТБ (ПАО)» – отказ в признании бездействия незаконным
Суть: клиент требовал признать бездействие банка незаконным после того‚ как его персональные данные были переданы коллекторам без согласия. 19 января 2026 г. Верховный Суд РФ (определение № АКПИ26-15) отказал в удовлетворении иска‚ указав‚ что в договоре был прямо прописан пункт о возможности передачи долгов третьим лицам.
Дело о «псевдо-согласии» на смс-рассылку
Обстоятельства: сотовый оператор включил абонента в рекламную базу‚ ссылаясь на кликабельное согласие на сайте. Мировой судья г. Москвы (решение от г.) взыскал 5 тыс. руб. морального вреда‚ а апелляция (Мосгорсуд‚ определение от г.) оставила решение без изменения‚ подтвердив: «баннерное» согласие без прямого волеизъявления недействительно.
Утечка в ФНС: доступ к сведениям 100 тыс. ИП
В феврале 2026 г. стало известно о свободном доступе к сведениям 100 тыс. индивидуальных предпринимателей через API ФНС. Несколько заявителей подали иски о компенсации. Суд общей юрисдикции (решение от г.) признал действия ФНС нарушающими ст. 152.1 ГК РФ‚ но отказал в денежной компенсации‚ указав на отсутствие доказанного ущерба.
Дело о биометрических данных сотрудников
Вопрос: можно ли заставить сотрудника сдать отпечатки пальца без письменного согласия? Верховный Суд РФ (Определение от г. по делу № АКПИ24-727) ответил «категорически нет». Суд подчеркнул: биометрика – это особые категории данных‚ и согласие должно быть «информированным‚ конкретным и добровольным».
Какие требования предъявляют суды к доказательствам в 2026 г.
- Аудит ИБ – актуальный отчет не старше 6 месяцев до инцидента.
- Регистрация операций – журналы доступа к ПДН с привязкой к конкретному сотруднику и времени.
- Лог-файлы – хранить минимум 3 года (новое требование ФСТЭК).
- Экспертиза – при утечке ≥ 1000 записей суд обязан назначить компьютерно-техническую экспертизу.
Практические советы операторам и субъектам ПДН
| Шаг | Что делать | Юридическая ответственность при невыполнении |
|---|---|---|
| 1 | Внедрить двухфакторную авторизацию для всех сотрудников с доступом к ПДН | Штраф 50–100 тыс. руб. по ч; 1 ст. 13.11 КоАП РФ |
| 2 | Ежегодно обновлять политику обработки ПДН и публиковать на сайте | Предупреждение или штраф до 30 тыс. руб. |
| 3 | Проводить обучение персонала (документировать тесты и подписи) | Доказательная база при споре «виновен/не виновен» |
| 4 | Заключать договоры с подрядчиками о конфиденциальности (NDA + ст. 152.1 ГК) | Субсидиарная ответственность при утечке |
Тренды 2026-2027 гг.: что ждёт рынок
- Коллективные иски. Суды начали принимать «массовые» заявления от группы граждан (≥ 20 человек).
- Штрафы по обороту. В Госдуме обсуждают ввести штраф до 0‚1 % от годового оборота за крупные утечки.
- ИИ-аудит. ФСТЭК готовит приказ о том‚ что крупные операторы (≥ 100 тыс. субъектов) обязаны использовать ИИ-системы анализа аномального доступа к ПДН.
Чек-лист для быстрой самопроверки
Задайте себе 6 вопросов прямо сейчас:
- Где хранится реестр согласий сотрудников/клиентов?
- Сколько времени прошло с момента последнего внешнего аудита ИБ?
- Кто в компании «ответственный за ПДН» и есть ли у него приказ?
- Есть ли у вашего хостинга сертификат соответствия ФСТЭК/ФСБ?
- Как быстро вы сможете предоставить суду лог-файлы за последние 12 месяцев?
- Проверяли ли вы «тёмный веб» на предмет слитых данных о вашей компании?
Судебная практика по делам ПДН стала жёсткой‚ но предсказуемой. В 2024-2026 гг. суды чётко выстроили линию: «Виновен‚ пока не докажешь обратное». Поэтому главная рекомендация – перевести защиту ПДН из разряда «ИТ-задачи» в разряд «юридического риска» и внедрить системный подход: политики‚ технические меры‚ обучение и регулярный аудит.
Данный материал подготовлен на основе официальных судебных актов ГАС «Правосудие»‚ Судакт и актуальных обзоров Верховного Суда РФ на г.