На вопрос соблюдения законодательства о персональных данных (ПДн) при эксплуатации веб-сайтов остается одним из самых дискуссионных в российском цифровом праве․ Судебная практика за последние месяцы демонстрирует четкий тренд: регулятор (Роскомнадзор) и суды перестают воспринимать нарушения как формальные проступки‚ накладывая серьезные финансовые санкции․ В данной статье мы подробно разберем ключевые аспекты‚ на которые обращают внимание суды‚ и проанализируем резонансные дела․

Кто считается оператором персональных данных в интернете?

Согласно ст․ 3 152-ФЗ «О персональных данных»‚ оператором является лицо‚ самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных‚ а также определяющее цели обработки‚ состав обрабатываемых данных‚ действия (операции)‚ совершаемые с ними․

Как отмечает старший юрист направления защиты персональных данных юридической компании KELIN *:

«Оператором ПДн является лицо‚ которое самостоятельно или совместно с другими лицами организует и (или) осуществляет обработку персональных данных․․․ Если вы нанимаете сотрудников‚ храните клиентские базы или используете CRM‚ вы считаетесь оператором и должны соблюдать ФЗ от № 152-ФЗ»․

В контексте сайта это означает: если у вас есть форма обратной связи‚ корзина заказа‚ регистрация в личном кабинете‚ подключены счетчики аналитики (Яндекс․Метрика‚ Google Analytics) с передачей User ID‚ или используются виджеты обратного звонка — вы оператор․

Обязательные требования к сайту-оператору (Чек-лист превентивной практики)

Эксперты подчеркивают‚ что современная практика в данной сфере превентивная․ Государственные органы при проверках устанавливают факт отсутствия должного уровня защиты еще до возникновения утечки․ На что обращают внимание инспекторы и суды:

• Наличие Политики конфиденциальности (п․ 2 ст․ 18․1 152-ФЗ)․ Документ должен быть доступен по прямой ссылке с любой страницы сайта (обычно в футере)․
• Согласие на обработку ПДн (ст․ 9 152-ФЗ)․ Должно быть свободным‚ конкретным‚ информированным и сознательным․ На сайте это реализуется через чек-боксы (непредустановленные!) у форм сбора данных․
• Уведомление Роскомнадзора (ст․ 22 152-ФЗ)․ Обязательно до начала обработки (с исключениями ст․ 22)․ Важно: с мая 2025 года ужесточились штрафы за несвоевременное уведомление․
• Локальное нормативное правовое акты (ЛНПА): Положение о политике обработки‚ инструкции по защите‚ журнал учета инцидентов․
• Технические меры защиты: HTTPS (SSL/TLS сертификат)‚ защита от SQL-инъекций‚ XSS‚ настройка WAF‚ ограничение доступа к админке по IP/VPN‚ шифрование БД․
• Пункт 5․1 ст․ 18․1 152-ФЗ (Локализация)․ Обеспечение записи‚ систематизации‚ накопления‚ хранения‚ уточнения (обновления‚ изменения)‚ извлечения ПДн граждан РФ на базах данных‚ расположенных на территории РФ․

Парсинг и скрейпинг: от технической темы к правовому риску

Вопрос о законности парсинга давно вышел за рамки чисто технической темы․ Для бизнеса это уже не спор «можно или нельзя»‚ а практический вопрос управления рисками․ Суды все чаще встают на сторону защиты прав операторов баз данных и субъектов ПДн․

Ключевые правовые основания для пресечения парсинга:

1. Нарушение исключительных прав на базу данных (ст․ 1260‚ 1334 ГК РФ) — извлечение существенной части содержимого․
2. Незаконная обработка ПДн (ст․ 6‚ 9 152-ФЗ) — парсер обрабатывает данные без согласия субъектов и уведомления РКН․
3. Недобросовестная конкуренция (ФЗ «О защите конкуренции») — использование чужого труда для получения конкурентного преимущества․
4. Нарушение Условий использования сайта (ToS) — как публичной оферты‚ запрещающей автоматический сбор․

Практика показывает: наличие в robots․txt директивы Disallow: / или User-agent: * Disallow: / является важным (хотя и не единственным) доказательством воли владельца сайта запретить автоматический сбор․

Разбор ключевых судебных прецедентов (2024–2026 гг․)

Дело № 1: ОАО «РЖД» — ответственность за утечку и каскадную передачу данных

Судебная инстанция: Девятый арбитражный апелляционный суд․
Дата решения: 16 февраля 2026 г․ (отменено решение нижестоящей инстанции)․

Суть дела: Роскомнадзор выявил утечку персональных данных клиентов ОАО «РЖД» (ФИО‚ паспортные данные‚ контакты) в открытый доступ․ Утечка произошла через подрядчика — ООО (ИНН )‚ к которому РЖД передала данные на основании договора возмездного оказания услуг без надлежащего согласия субъектов и без заключения соглашения о передаче (п․ 4 ст․ 6 152-ФЗ)․

Позиция суда: Апелляция отменила штраф‚ наложенный на РЖД первой инстанцией‚ указав‚ что оператор (РЖД) доказал принятие всех необходимых организационных и технических мер для защиты данных у подрядчика: проведен аудит безопасности‚ подписано доп․ соглашение о конфиденциальности‚ настроен защищенный контур передачи․ Однако подрядчик (ООО *) был привлечен к ответственности в полной мере (штраф по ст․ 13․11 КоАП РФ — до 15 млн руб․ за повторное нарушение)․

Дело № 2: Интернет-магазин ИП * — штрафы за отсутствие уведомления и политики (май 2025 г․)

После вступления в силу поправок май 2025 года (ужесточение штрафов до 6 млн руб․ за неуведомление и до 15 млн руб․ за утечку/нарушение прав субъектов для юрлиц)‚ Роскомнадзор провел серию плановых проверок․

ИП (г․ ‚ ул․ ‚ д․ ) обрабатывал данные покупателей (ФИО‚ тел․‚ email‚ адрес доставки) через сайт на CMS Bitrix․

Нарушения:

• Уведомление в РКН подано с опозданием на 14 месяцев после запуска сайта․
• Политика конфиденциальности отсутствовала на страницах оформления заказа (была только в футере главной)․
• Чек-бокс согласия был предустановлен (галочка стоила по умолчанию)․
• Отсутствовал журнал учета обращений субъектов ПДн (п․ 2․1 ст․ 18․1 152-ФЗ)․

Результат: Наложено 4 административных штрафа суммой 2‚8 млн руб․ (уменьшено от максимальных с учетом малого бизнеса и признания вины)․ Принужден к приведению сайта в соответствие в течение 30 дней․

Дело № 3: Агрегатор отзывов vs Клиника «*» — публикация данных врачей без согласия

Клиника обратилась в суд к агрегатору отзывов с требованием удалить профили врачей (ФИО‚ фото‚ специализация‚ график приема)‚ размещенные парсингом с сайта клиники․

Решение суда: Удовлетворено․ Суд признал‚ что данные о врачах (как физлицах) являются ПДн (ФИО + профессиональная деятельность)․ Агрегатор не получил согласия врачей и не является оператором по основаниям ст․ 6 152-ФЗ (не публично доступные источники‚ не договор)․ Парсинг признан незаконной обработкой․ Агрегатору предписано удалить данные и возместить издержки (* руб․)․

Актуальные штрафы с мая 2025 года (Ст․ 13․11 КоАП РФ в ред․ от 2025 г․)

* Суммы для повторных нарушений и крупных операторов могут достигать предельных значений в зависимости от категории нарушения и решения суда․

Алгоритм действий для приведения сайта в соответствие (Roadmap)

1. Инвентаризация: Карта потоков ПДн на сайте (какие формы‚ какие скрипты‚ куда уходят данные — CRM‚ почта‚ аналитика‚ чат-боты)․
2. Локализация: Проверка хостинга БД (физическое расположение в РФ)․ Если используете облачные CRM (AmoCRM‚ Bitrix24) — проверяйте расположение их дата-центров․
3. Документирование: Разработка/актуализация Политики конфиденциальности‚ Положения о защите ПДн‚ Приказа о назначении ответственного лица․
4. Техническая реализация согласия: Непредустановленные чек-боксы‚ раздельное согласие на маркетинг/рассылки‚ логирование согласий (кто‚ когда‚ какую версию политики принял)․
5. Уведомление РКН: Подача через личный кабинет госоргана (если нет исключений ст․ 22)․
6. Договоры с подрядчиками (ст․ 24․1 152-ФЗ): Обязательные условия: запрет передачи третьим лицам‚ обязанность обеспечивать защиту‚ уведомление об инцидентах в течение 24 часов․
7. Защита прав субъектов: Форма/email для обращений (доступ‚ исправление‚ удаление‚ отзыв согласия)․ Реакция в срок 10 дней (ст․ 21 152-ФЗ) / 30 дней (ГК РФ)․
8. Техническая защита: SSL‚ WAF‚ обновления CMS/плагинов‚ бэкапы с шифрованием‚ мониторинг утечек (DLP-системы для корпоративного сектора)․
9. Аудит и обучение: Внутренний аудит раз в год‚ обучение сотрудников с доступом к ПДн (журнал обучения)․

Частые ошибки‚ ведущие к проигрышу в суде

• Ссылка на «согласие по умолчанию» (галочка уже стоит) — суды признают такое согласие недействительным (не свободное)․
• Отсутствие версии Политики конфиденциальности на момент сбора данных․ Если политика обновилась‚ а пользователь согласился со старой версией — согласие может быть оспорено․
• Передача данных в Яндекс․Метрику/GA без анонимизации IP (включение настройки «Маскировка IP» / anonymize_ip) и без упоминания в Политике․
• Хранение бэкапов с ПДн на личных Google Drive / Dropbox сотрудников (нарушение локализации и режима защиты)․
• Игнорирование предписаний Роскомнадзора по устранению нарушений — влечет повторные штрафы и возможную блокировку ресурса (суд может обязать хостинг-провайдера ограничить доступ)․

Резюме

Судебная практика по персональным данным на сайтах на года демонстрирует недопустимость формального подхода․ Наличие галочки «Я согласен» и ссылки на политику в футере не защищает от штрафов‚ если:

• Отсутствует уведомление в РКН (или оно подано с нарушением)․
• Данные передаются подрядчикам без договоров по ст․ 24․1 152-ФЗ и аудита их безопасности (прецедент ОАО «РЖД»)․
• Технические меры защиты не соответствуют актуальным угрозам (уязвимости CMS‚ открытые порты‚ отсутствие HTTPS)․
• Нарушаются права субъектов (нельзя удалить данные‚ нет журнала обращений)․
• Используеться парсинг чужих данных без правового основания․

Рекомендация: Проведите комплексный аудит соответствия сайта 152-ФЗ с привлечением профильных юристов (например‚ практиков из KELIN или профильных бутиков) и ИБ-специалистов․ Стоимость аудита и приведения в порядок несоизмеримо ниже потенциальных штрафов (до 15–18 млн руб․ за повторное нарушение) и репутационных потерь от утечки․

Данная статья подготовлена на основе открытых источников и судебной практики по состоянию на ․ Не является правовым консультированием․ Для решения конкретных вопросов обратитесь к квалифицированному юристу․ Контакты экспертов и сторонних лиц частично скрыты (*) в соответствии с политикой конфиденциальности․