Особенности вынесения судебных актов по делам о защите персональных данных граждан

Вопросы защиты персональных данных занимают ключевое место в реализации правовой политики российского государства. В настоящее время данные, персонифицирующие физических лиц, можно встретить не только в официальных документах, удостоверяющих их личность, но и в мессенджерах, новостных каналах, на сайтах и пр. Биометрические данные граждан активно используются в розничной торговле, банковском, медицинском обслуживании, в образовательном процессе и многих других областях человеческой жизнедеятельности.

Важно учитывать, что объемы и скорость использования персональных увеличились в разы в силу активной цифровизации всех сфер общества.

Несомненно, в процессе тесного взаимодействия граждан с органами власти, различными организациями, трудовыми коллективами, бизнес-субъектами, самозанятыми и другими участниками общественных отношений стала складываться практика нарушения законодательства о персональных данных. Именно этим обусловливаются важность вынесения качественных судебных актов по делам, связанным с защитой персональных данных.

Возникает вопрос: на какие нюансы необходимо обращать внимание судам при рассмотрении и разрешении споров, связанных с защитой персональных данных граждан?

На первый план, по мнению автора, выходит вопрос о том, что судам следует расценивать под персональными данными. В силу положений ст. 3 Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных (далее – Закон № 152- ФЗ) персональные данные – это любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу (субъекту персональных данных). Таким образом в качестве персональных данных можно определить весьма широкий спектр данных, используя которые можно идентифицировать субъекта персональных данных. Подобный подход законодателя, видимо, объясняется идеей свободы определения внутренних ценностей человека, которые представляют для него значимость, что для публичного правопорядка должно выступать ориентиром в вопросах регулирования социально-экономических отношений. Такое положение заложено в систему ценностей, выработанных мировых сообществом, что отражается в ряде актов международного права. Думается, что это и выступило основной причиной того обстоятельства, что Закон № 152-ФЗ каких-либо четких критериев, используя которые можно было бы квалифицировать ту или иную информацию как персональные данные личности, не содержит.

В судебной практике были выработаны подходы относительно тех компонентов, которые составляют персональные данные человека. Так, к ним относят фамилию, имя, отчество, год, месяц, дату и место рождения, данные документов, удостоверяющих личность, адрес, семейное, социальное, имущественное положение, образование, профессию, доходы и многое другое. [2 – 5]. Казалось бы, список более, чем внушительный, однако судам, рассматривающим дело о защите персональных данных, стоит учитывать, что защитой пользуется не любой из параметров о личности человека, а только те, которые отдельно или в некой совокупности достоверно персонифицируют конкретное определяемое лицо. Примечательно, что в правовой позиции, содержащейся в письме Управления Роскомнадзора по ЦФО от 24.09.2024 г. № 75084-02-11/77 [8], определяется, что идентификатор пользователя Telegram, несмотря на его уникальность, без дополнительной информации невозможно отнести к субъекту персональных данных.

Стоит акцентировать, что похожей позиции уже длительное время придерживаются и органы судебной вести. Так, по одному из гражданских дел Приморский краевой суд определил, что только имя и отчество гражданина само по себе не позволяет достоверно установить о каком человеке идет речь, если они неуникальны [6]. Это означает, что совокупность сведений в качестве полного имени человека, который в силу российского традиционного подхода, включает не только собственное имя лица, но еще и отчество, нельзя расценивать как персональные данные человека, т.к. не содержат персонифицированных и детализированных данных о нем и в отсутствие дополнительной информации не позволяют его идентифицировать.

В позиции высшей судебной инстанции, выраженной в п. 1 Пленума Верховного Суда Российской Федерации № 23 «О судебном решении» [9], подчеркивается, что решение суда должно быть законным и обоснованным. При этом законность квалифицируется как точное соблюдение норм материального и процессуального права, подлежащих применению к конкретному правоотношению. В аспекте законности судебного решения важное значение приобретают принципы обработки персональных данных. Эти базовые начала закреплены в ст. 5 Закона № 152-ФЗ и именно они должны выступать ориентиром для органов судебной власти при вынесении решения.

Так, прежде всего, обработка персональных данных должна осуществляться на законной и справедливой основе. Законность обработки персональных данных означает прежде всего, что должно иметь место одно из правовых оснований такой обработки, указанное в законе, поскольку по общему правилу обработка персональных данных в отсутствие легитимного основания запрещена. В силу сказанного представляет интерес решение Слободского районного суда Кировской области от 20 августа 2025 г. по делу № 2-922/2025. Так, в указанном деле суд удовлетворил иск В.В. Глухого к ООО МКК «Свои Люди» о признании договора займа незаключенным, прекращении обработки персональных данных и взыскании компенсации. В частности, суд установил, что договор займа был заключен мошенническим путем, с использованием данных истца без его согласия. Ответчик не смог представить доказательств законности обработки персональных данных. В результате суд обязал ООО МКК «Свои Люди» прекратить обработку данных В.В. Глухого, а также выплатить ему компенсацию морального вреда [15].

Справедливость также является важным компонентом законного решения суда. Как отме-:

чается в научной литературе, «вынося постановление, суд реализует принцип справедливости, поскольку судебный акт – это реакция компетентного органа на правовой спор, разрешая который он защищает или восстанавливает права, свободы и законные интересы участников процесса. Суд беспристрастно оценивает представленные доказательства и аргументы, исследует обстоятельства дела, не вторгаясь в правовое положение лица, не принуждая его к защите, а это само по себе справедливо – ведь таким образом обеспечивается баланс интересов лиц с противоположными интересами и право на свободное волеизъявление» [1, 20].

Справедливость обработки персональных данных предполагает необходимость учета интересов субъектов персональных данных и их разумных ожиданий, недопустимость злоупотребления оператором возникшими у него правами, связанными с обработкой персональных данных. В данном контексте стоит обратить внимание на одну из позиций, выраженной в одном из определений суда кассационной инстанции [7]. Так, гражданин В.К. Горбачев обратился в суд с жалобой на действия сотрудников МВД, ограничивших его доступ к материалам проверки по его заявлению о преступлении. При этом суд кассационной инстанции подчеркнул право гражданина на ознакомление с материалами проверки, особенно в контексте обжалования отказа в возбуждении уголовного дела. В частности, в определении отмечается, что право обжаловать отказ в возбуждении уголовного дела в суд предполагает обязанность государства обеспечить возможность его реализации, которая прямо зависит от доступа к обжалуемому решению и материалам соответствующей проверки. В противном случае сообщившее о преступлении лицо, хотя и не признанное в официальном порядке потерпевшим, но полагающее себя пострадавшим от преступления, будет ущемлено в праве на судебную защиту, которое предполагает предоставление заинтересованным лицам реальной возможности отстаивать перед судом свою позицию, оспаривать доводы других участников процесса, а также обжаловать принятые в отношении них решения, в том числе судебные, поскольку правосудие по самой своей сути признается таковым лишь при условии, что оно отвечает требованиям справедливости и обеспечивает эффективное восстановление в правах».

При вынесении решения суды должны исходить из того, что обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, не совместимая с целями сбора персональных данных. Этот принцип направлен на обеспечение предсказуемости процессов обработки персональных данных для их субъектов, возможности реализации ими своих прав по управлению этими данными. Примечательно, что в одном из судебных актов по делу о защите персональных данных, в котором истец утверждала, что ответчик незаконно использовал её персональные данные (электронную почту, телефон) путем направления искового заявления третьей стороне, ответчик «действовал как представитель в другом судебном деле и имел право на обработку персональных данных… в рамках этого процесса, в частности, для направления искового заявления» [16]. Суд посчитал, что это не является нарушением закона о персональных данных, так как данные использовались исключительно в связи с судебным разбирательством и не распространялись неопределённому кругу лиц. С указанным принципом также тесно связан принцип, запрещающий объединение базы персональных данных, обработка которых осуществляется в целях, не совместимых между собой. Этот принцип отражен и в п. 5 Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации [10], где указано, что при фиксации персональных данных на материальных носителях не допускается фиксация на одном материальном носителе данных, цели обработки которых заведомо несовместимы.

Кроме того, содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Этот принцип предполагает, что обрабатываемые данные не должны быть избыточными по отношению к заявленным целям их обработки. При этом законодатель не определяет критериев подобной избыточности. Однако по смыслу Закона № 152- ФЗ следует вывод, что обработка избыточных персональных данных означает превышение объема обработки персональных данных, установленного законом или договором. Так, например, по одному из дел суд пришел к выводы, что управление Роскомнадзора при проведении проверки соблюдения требований законодательства в сфере защиты персональных данных пришло к обоснованному выводу, что оператор производит обработку избыточных персональных данных по сравнению с теми, которые определены к заявленным целям их обработки для прохождения регистрации на Едином портале государственных услуг, поскольку нормы права не обязывают при выдаче кода активации обратившемуся лицу истребовать у него паспортные данные (серия, номер, кем выдан, дата выдачи) и адрес регистрации (адрес места жительства) [12].

И, напротив, если какие-либо правовые акты предусматривают необходимость получения оператором тех или иных сведений о субъекте, то их сбор и последующая обработка не могут квалифицироваться как избыточные. В связи с этим, к примеру, продавец при возврате уплаченной за товар денежной суммы вправе требовать у покупателя документ, удостоверяющий личность, однако прямо такая обязанность не предусмотрена ни гражданским, ни потребительским законодательством. Примечательно, что Верховный Суд Российской Федерации в постановлении от 15.06.2015 г. № 25-АД15-3 [11] указывал, что возврат денег покупателю из кассы организации на основании письменного заявления покупателя с указанием фамилии, имени, отчества и данных документа, удостоверяющего личность, не противоречит требованиям законодательства, истребование указанных персональных данных избыточным не является.

Особое значение в рассматриваемом контексте приобретает принцип, согласно которому при обработке персональных данных должны быть обеспечены точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных. Точность предполагает недопустимость искажения персональных данных граждан, т.к. недостоверные сведения могут нарушать права и законные интересы физического лица. В связи с изложенным стоит обратить внимание на позиции, выраженную в постановлении Девятого арбитражного апелляционного суда от 4 августа 2025 г. № 09АП-22344/25 по делу № А40- 239421/2024 [13]. Суть спора заключается в требовании гражданина об исключении его из реестра аккредитованных филиалов иностранных компаний как руководителя филиала коммерческой организации. Суд первой инстанции удовлетворил иск, посчитав, что сведения о таком гражданине как о руководителе устарели и нарушают его права, а также противоречат требованиям о достоверности данных в реестре. Апелляционный суд согласился с этим решением, подчеркнув отсутствие правовых оснований для отказа в исключении сведений в сложившейся ситуации. Таким образом, при формировании текста судебного решения суду необходимо исходить из того, можно ли расценивать объём персональных данных достаточным, а сами данные – актуальными. Первая цель будет достигнута, если объем и содержание информации позволяют достигнуть целей обработки. Данные будут релевантными, если в момент их обработки они окажутся своевременными, достоверными и значимыми для достижения поставленной цели обработки.

Судам стоит учитывать также принцип, согласно которому хранение персонифицирующей информации должно осуществляться не дольше, чем этого требуют цели ее обработки, если срок хранения этих данных не установлен федеральным законом, договором, участником которого является субъект персональных данных. Поэтому данные подлежат уничтожению (обезличиванию) по достижении целей обработки, если иное не предусмотрено федеральным законом.

Так, окончание трудовых отношений является основанием для прекращения обработки персональных данных работника. Однако пп. 5 п. 3 ст. 24 Налогового кодекса Российской установлена обязанность налоговых агентов, т.е. работодателей, в течение пяти лет обеспечивать сохранность документов, необходимых для исчисления, удержания и перечисления налога. Следовательно, в течение этого времени работодатель должен хранить персональные данные уволенных работников в том объеме, в котором это необходимо для исполнения налоговой обязанности. Если же срок хранения данных законом не предусмотрен, то правовое значение будут иметь условия договора либо локального акта оператора, разработка которого является его прямой обязанностью. Так, обратим внимание на постановление Двенадцатого арбитражного апелляционного суда от 04.10.2024 г. № 12АП-5542/24 по делу № А57- 29530/2023 [14]. В частности, по данному делу суд отклонил иск ООО «Управляющая компания «Олимп» к ООО «Городской расчетный центр» об обязании предоставить копии лицевых счетов за период с декабря 2018 по август 2023 года. При этом суд счел, что истец не доказал наличия у ответчика этих документов, а ответчик обосновал невозможность их предоставления в связи с уничтожением данных после расторжения договора.

Также суд отметил отсутствие дополнительного соглашения, регламентирующего предоставление данной услуги. Таким образом, суд апелляционной инстанции поддержал позицию суда первой инстанции об отсутствии оснований для удовлетворения иска. И, наконец, составляя решение по делу, судам следует исходить из того, что обработка персональных данных может предусматривать несколько целей. В подобных ситуациях обязанность по уничтожению и обезличиванию персональной информации возникает у оператора по достижению каждой из них. В заключение можно сказать, что специфика вынесения решения по делам, связанным с защитой персональных данных, обусловлена как необходимостью соблюдения конституционных прав человека о праве на тайну его частной жизни, ее неприкосновенность и защиту, запретом на чрез-:

мерное погружение в личную жизнь человека, включая использование избыточных персональных данных, так и обязанностью суда внимательно исследовать все аргументы и доказательства. Важно, чтобы в судебном акте были правильно отражены все обстоятельства дела, связанного с защитой персональных данных. Только в таком случае органы судебной власти смогут выполнить возложенную на них государственную задачу по надежной защите персональных данных заинтересованных лиц.