В 2026 году суды всё чаще рассматривают споры, где субъекты персональных данных требуют компенсацию морального вреда, удаления данных или прекращения обработки без согласия. Одновременно растёт число дел, где Роскомнадзор фиксирует нарушения и передаёт материалы в суд для привлечения операторов к административной ответственности. Разбираем, какие категории споров встречаются чаще всего и что это значит для владельца сайта.
Коротко
- Чаще всего субъекты идут в суд из-за обработки данных без согласия, отказа удалить данные по требованию и утечек.
- По искам физлиц суды обычно взыскивают компенсацию морального вреда - её размер определяется индивидуально, единой ставки нет.
- Параллельно с гражданским иском может идти административное дело по ст. 13.11 КоАП - это два разных основания ответственности.
- С 30 мая 2025 года за утечки персональных данных действуют оборотные штрафы, привязанные к выручке компании.
- Большая часть споров возникает из-за отсутствующих или формальных документов - политики обработки, форм согласия, порядка ответа на обращения.
Какие категории споров встречаются чаще всего
Судебная практика по 152-ФЗ складывается из нескольких повторяющихся сюжетов. Первый - обработка персональных данных без надлежащего согласия субъекта: рассылки, передача данных партнёрам, использование контактов бывших клиентов. Второй - отказ или затягивание с удалением данных по требованию субъекта, что прямо нарушает ст. 20 152-ФЗ, обязывающую оператора ответить на обращение в течение 10 рабочих дней. Третий - последствия утечек: клиенты узнают, что их данные оказались в открытом доступе, и требуют компенсацию.
Отдельная категория - трудовые споры, где бывшие сотрудники требуют прекратить обработку их персональных данных после увольнения или оспаривают объём собранных о них сведений. Здесь суды опираются на ст. 9 и 18.1 152-ФЗ, которые описывают принципы согласия и обязанности оператора подтверждать законность обработки.
Что взыскивают по искам субъектов
По гражданским искам физлиц ключевое основание - ст. 24 152-ФЗ, которая закрепляет право субъекта на компенсацию морального вреда за нарушение порядка обработки его персональных данных. Конкретную сумму в законе не найти - суд определяет её индивидуально, учитывая характер нарушения, действия оператора и последствия для истца. Практика показывает: компенсации обычно скромные, но сам факт удовлетворения иска создаёт прецедент и репутационные издержки для оператора.
Наряду с компенсацией морального вреда суды могут обязать оператора прекратить обработку данных, уничтожить их или предоставить субъекту запрошенные сведения об обработке - это следует из прав, закреплённых в ст. 14 и 20 152-ФЗ.
Как соотносятся гражданский иск и административная ответственность
Важно различать два параллельных трека. Гражданский иск - это требование субъекта данных к оператору, рассматривается судом общей юрисдикции и заканчивается компенсацией или понуждением к действию. Административное производство - это дело, которое возбуждает Роскомнадзор или прокуратура по факту нарушения 152-ФЗ, и заканчивается штрафом по ст. 13.11 КоАП. Оператора могут привлечь к обоим видам ответственности одновременно - они не исключают друг друга.
| Часть ст. 13.11 КоАП | Нарушение | Штраф для юрлиц |
|---|---|---|
| ч. 1 | Обработка ПД без правовых оснований | 10 000-30 000 ₽ |
| ч. 2 | Обработка без согласия, когда оно обязательно | 60 000-100 000 ₽ |
| ч. 2.1 | Невыполнение обязанности по уточнению, блокированию или уничтожению ПД | 100 000-300 000 ₽ |
| ч. 3.2 | Отсутствие обязательных документов оператора | 100 000-150 000 ₽ |
| ч. 8 | Утечка ПД (базовый состав) | 1-6 млн ₽ |
| ч. 9 | Повторное нарушение, повлёкшее утечку | 6-18 млн ₽ |
С 30 мая 2025 года к этим суммам добавились оборотные штрафы за утечки - они рассчитываются как процент от выручки компании и применяются отдельно от фиксированных сумм по ч. 8 и ч. 9 ст. 13.11 КоАП. Точный процент и порядок расчёта устанавливает закон, и в спорных случаях стоит свериться с актуальной редакцией нормы или проконсультироваться с юристом.
Что чаще всего становится доказательством в таких делах
В большинстве споров суд и надзорный орган смотрят на одни и те же вещи: есть ли на сайте политика обработки персональных данных, зафиксировано ли согласие субъекта в форме, которую он реально заполнял, соблюдён ли срок ответа на обращение по ст. 20 152-ФЗ, размещено ли уведомление о трансграничной передаче данных, если она происходит. Отсутствие любого из этих элементов - готовый повод для претензии, даже если фактического вреда субъекту не причинено.
Отдельно фигурируют случаи, где формы на сайте собирают данные, но согласие оформлено формально - чекбокс есть, а текст согласия не соответствует ст. 9 152-ФЗ или ведёт на несуществующую страницу политики.
Что проверить у себя на сайте
- Актуальная политика обработки персональных данных опубликована и доступна по прямой ссылке.
- Формы на сайте (заявки, подписки, регистрация) содержат отдельный чекбокс согласия, а не подразумевают его по умолчанию.
- Текст согласия соответствует требованиям ст. 9 152-ФЗ и ссылается на действующую политику.
- Есть регламент и ответственный за обработку обращений субъектов в срок, установленный ст. 20 152-ФЗ.
- Если данные передаются за рубеж, соблюдены требования ст. 12 152-ФЗ о трансграничной передаче.
- Если на сайте используются файлы cookie и счётчики, порядок их работы описан отдельно и согласован с политикой обработки.
- Данные, полученные от бывших клиентов или сотрудников, не хранятся и не используются без правового основания.
- Организация проверена на наличие в реестре операторов персональных данных, если уведомление обязательно по ст. 22 152-ФЗ.
Частые вопросы
Можно ли получить компенсацию, если утечки не было, но данные обрабатывались без согласия?
Да, ст. 24 152-ФЗ не связывает право на компенсацию морального вреда исключительно с утечкой - основанием может быть любое нарушение порядка обработки, включая отсутствие согласия.
Грозит ли штраф, если сайт ответил на обращение субъекта на пару дней позже 10 рабочих дней?
Формально это нарушение ст. 20 152-ФЗ и может стать основанием для жалобы в Роскомнадзор. Итоговое решение зависит от обстоятельств дела - здесь сервис показывает расхождения с требованиями, а официальное правовое заключение может дать юрист.
Действуют ли оборотные штрафы для всех операторов без исключения?
Оборотные штрафы за утечки, введённые с 30 мая 2025 года, привязаны к выручке компании, и их применение зависит от конкретных обстоятельств дела. Точную квалификацию в спорной ситуации лучше уточнять у юриста.
Может ли суд одновременно взыскать компенсацию и обязать удалить данные?
Да, требования о компенсации морального вреда и о прекращении обработки или удалении данных часто заявляются в одном иске и могут быть удовлетворены совместно.
Есть ли отдельная ответственность за нарушение локализации данных?
Да, требования к локализации хранения и обработки данных российских пользователей отдельно регулируются ст. 18 ч. 5 152-ФЗ, а их нарушение также подпадает под административную ответственность по ст. 13.11 КоАП.
Прежде чем оказаться в такой ситуации, полезно свериться с базовыми требованиями закона на своём сайте. Список обязательных документов и форм собран в разделе документов, а быстро увидеть текущие расхождения с 152-ФЗ можно через форму аудита.