Ключевой вывод: суды последовательно подтверждают, что обязанность оператора прекратить обработку персональных данных после отзыва согласия носит абсолютный характер. Ссылка на технический сбой не освобождает от ответственности, а внутренние документы по информационной безопасности не заменяют реального контроля за соблюдением закона.
С чего всё началось:
Житель Краснодара в январе 2025 года прекратил право собственности на квартиру — и, соответственно, утратил статус абонента газоснабжающей организации. В связи с этим 21 января 2025 года он направил в «Краснодаргоргаз» заявление об отзыве согласия на обработку персональных данных.
Общество отреагировало оперативно: уже на следующий день, 22 января 2025 года, направило письменный ответ о том, что информация принята в работу, а датой прекращения обработки данных указало 21 февраля 2025 года.
Однако 27 марта 2025 года — спустя месяц с лишним после этой даты — бывшему абоненту позвонили и в ходе разговора озвучили его персональные данные. Гражданин расценил это как нарушение своих прав и обратился в Роскомнадзор.
15 апреля 2025 года Общество в ответ на запрос Управления Роскомнадзора по Южному федеральному округу сообщило, что звонок произошёл вследствие технического сбоя.
14 октября 2025 года Управлением был составлен протокол об административном правонарушении по ч. 1 ст. 13.11 КоАП РФ. Материалы направлены в Арбитражный суд Краснодарского края.
26 февраля 2026 года Арбитражный суд Краснодарского края назначил штраф 150 000 рублей — минимальный размер по санкции ч. 1 ст. 13.11 КоАП РФ. Пятнадцатый арбитражный апелляционный суд оставил решение в силе.
Нормативная база
Статья 9 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» устанавливает, что согласие на обработку может быть отозвано субъектом в любой момент. Оператор вправе продолжить обработку без согласия только при наличии оснований, перечисленных в пунктах 2–11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 Закона. Ключевая процессуальная норма: обязанность доказать наличие законного основания для обработки после отзыва согласия возлагается на оператора (часть 3 статьи 9).
Статья 21 дополнена частью 5.1 с 1 сентября 2022 г. — Федеральный закон от 14 июля 2022 г. N 266-ФЗ
5.1. В случае обращения субъекта персональных данных к оператору с требованием о прекращении обработки персональных данных оператор обязан в срок, не превышающий десяти рабочих дней с даты получения оператором соответствующего требования, прекратить их обработку или обеспечить прекращение такой обработки (если такая обработка осуществляется лицом, осуществляющим обработку персональных данных), за исключением случаев, предусмотренных пунктами 2 — 11 части 1 статьи 6, частью 2 статьи 10 и частью 2 статьи 11 настоящего Федерального закона. Указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления оператором в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.
Пункт 1 части 1 статьи 6 Закона № 152-ФЗ закрепляет: обработка персональных данных осуществляется с согласия субъекта, если иное не предусмотрено законом.
Пункт 1 статьи 152.2 ГК РФ дополняет: без согласия гражданина не допускаются сбор, хранение, распространение и использование любой информации о его частной жизни, если иное прямо не предусмотрено законом.
Часть 1 статьи 13.11 КоАП РФ предусматривает ответственность за обработку персональных данных в случаях, не предусмотренных законодательством, либо несовместимую с целями сбора. Санкция для юридических лиц — от 150 000 до 300 000 рублей. Именно минимальный порог и был назначен судом.
Часть 1 статьи 4.5 КоАП РФ устанавливает годичный срок давности по данной категории дел.
Статья 2.9 КоАП РФ допускает освобождение от ответственности при малозначительности правонарушения.
Статья 4.1.1 КоАП РФ позволяет заменить штраф на предупреждение.
Часть 2 статьи 2.1 КоАП РФ определяет вину юридического лица: она признаётся, если у общества была возможность соблюсти требования, но им не были приняты все зависящие от него меры.
Комментарий юриста
1. «Технический сбой» — не форс-мажор в понимании КоАП РФ.
Суд прямо указал: доказательства невозможности соблюдения требований законодательства в силу чрезвычайных событий и обстоятельств, которые Общество не могло предвидеть и предотвратить, равно как и доказательства принятия необходимых и своевременных мер, в материалы дела не представлены. Это ключевая формулировка — она означает, что ссылка на сбой без подтверждения того, что оператор сделал всё возможное для недопущения нарушения, не работает. Технический сбой — это внутренний риск оператора, а не обстоятельство непреодолимой силы.
2. Письмо «информация принята в работу» не имеет правообразующего значения.
Общество само определило дату прекращения обработки — 21 февраля 2025 года. Однако суд установил: по состоянию на 27 марта 2025 года (дата звонка) правовые основания обработки уже отсутствовали. При этом суд не анализировал, почему Общество выбрало именно 21 февраля и соответствовал ли этот срок закону. Логика проста: юридически обработка прекращается с момента получения отзыва, а не с даты, которую оператор определил для себя. Если оператор устанавливает внутренний срок для отработки заявления, он несёт риск обработки в этот промежуток.
3. Внутренняя документация по безопасности не заменяет соблюдение закона.
Суд не принял во внимание наличие политики информационной безопасности, положения о криптозащите и работу комиссии служебной проверки — эти доводы даже не нашли отражения в мотивировочной части решения. Суд ограничился констатацией: доказательств принятия исчерпывающих мер не представлено. Это создаёт важный прецедент: наличие регламентов не презюмирует надлежащее исполнение закона. Если при наличии всех документов происходит звонок с раскрытием данных, это усиливает, а не ослабляет позицию надзорного органа.
4. Малозначительность по ст. 2.9 КоАП РФ здесь неприменима.
Суд исключил малозначительность, указав на общественную опасность деяния и характер общественных отношений, на которые оно посягает. Формулировка суда важна: он не стал анализировать «отсутствие вреда» или «первое нарушение» — он указал на характер отношений. Персональные данные — охраняемая законом ценность, и даже раскрытие данных самому субъекту не устраняет противоправность. Состав формальный: достаточно самого факта обработки без основания.
5. Замена штрафа на предупреждение невозможна.
Суд прямо указал: правовых оснований для применения ст. 4.1.1 КоАП РФ не усматривается. Это значит, что даже при первом нарушении и отсутствии отягчающих обстоятельств суд не счёл возможным заменить штраф на предупреждение. Для операторов это сигнал: рассчитывать на мягкость при нарушениях в сфере персональных данных не стоит.
6. Срок давности — один год, и он не истёк.
Суд подтвердил: срок давности по ч. 1 ст. 13.11 КоАП РФ составляет 1 год (ч. 1 ст. 4.5 КоАП РФ). С даты звонка (27.03.2025) до вынесения решения (26.02.2026) прошло менее года. Для ресурсоснабжающих организаций это означает, что «отложенные» жалобы абонентов могут стать основанием для штрафа даже спустя месяцы после инцидента.
7. Что осталось за рамками решения.
В тексте решения нет анализа нескольких потенциально значимых вопросов:
— Почему Общество указало датой прекращения обработки именно 21 февраля? Был ли этот срок внутренним регламентом или произвольным? Суд не исследовал этот вопрос, ограничившись констатацией отсутствия оснований на 27 марта.
— Какие именно персональные данные были озвучены? Решение упоминает «озвучил его персональные данные», но не конкретизирует объём раскрытия. Это важно для оценки тяжести нарушения.
— Был ли звонок единичным или системным? Суд не исследовал, носил ли технический сбой разовый характер или свидетельствует о системной проблеме в процессах оператора.
— Довод о публично-правовых обязанностях (который упоминался в апелляции) в тексте решения первой инстанции не отражён — суд его не рассматривал.
Практические выводы для операторов
| Риск | Последствие |
| Технический сбой как объяснение звонка | Суд квалифицирует как ненадлежащую организацию процессов |
| Письмо-уведомление вместо фактического прекращения обработки | Обработка в переходный период — нарушение |
| Внутренние политики без реального контроля | Не освобождают от ответственности |
| Первое нарушение и «отсутствие вреда» | Малозначительность не применяется |
| Публично-правовые обязанности как основание |
Требуют документального подтверждения в каждом конкретном случае |
Рекомендация: операторам следует настроить технические системы так, чтобы отзыв согласия автоматически блокировал любые коммуникации с абонентом по целям, для которых требовалось согласие. Если обработка продолжается по иному основанию (публично-правовая обязанность), это основание должно быть заранее определено и документировано, а не заявляться постфактум. Кроме того, необходимо документально фиксировать все меры, принятые для недопущения нарушения: это единственный способ доказать отсутствие вины по ч. 2 ст. 2.1 КоАП РФ.
Дело № А32-68195/2025, Арбитражный суд Краснодарского края, решение от 26.02.2026.
Правила комментирования
Обращаем внимание: Комментарии на этой странице являются частными мнениями их авторов. Редакция сайта не несёт ответственности за содержание пользовательских сообщений. Мы оставляем за собой право удалять комментарии, нарушающие законодательство РФ и правила нашего сайта.