Обзор дела: Сбор персональных данных через интернет-сайт не квалифицируется как автоматизированная обработка

27 марта 2025 года Арбитражный суд Московского округа вынес постановление по делу № А40-12676/2024, в котором рассмотрел спор между Садоводческим некоммерческим товариществом «Якорь» (СНТ «Якорь») и Управлением Роскомнадзора по Центральному федеральному округу. Ключевое значение дела заключается в разъяснении, что сбор персональных данных через интернет-сайт не является автоматически обработкой с использованием средств автоматизации, что освобождает оператора от обязанности уведомлять Роскомнадзор в соответствии с Федеральным законом от 27 июля 2006 года № 152-ФЗ «О персональных данных». Ниже подробно изложена мотивировка суда.

Предыстория дела

СНТ «Якорь» обратилось в Арбитражный суд города Москвы с требованием признать незаконным письмо Роскомнадзора от 27 октября 2023 года (№ 91454-02-11/77), в котором товарищество просили представить уведомление о видах деятельности, связанных с обработкой персональных данных. Арбитражный суд города Москвы 5 июля 2024 года отказал в удовлетворении требований, посчитав, что сбор данных через сайт СНТ предполагает использование средств автоматизации. Однако Девятый арбитражный апелляционный суд 19 ноября 2024 года отменил это решение, признав письмо незаконным, так как обработка данных СНТ «Якорь» не является автоматизированной.

Роскомнадзор подал кассационную жалобу, и Арбитражный суд Московского округа, хотя и отменил постановление апелляционного суда по иным причинам (характер письма как информационного запроса), подтвердил вывод апелляционного суда о неавтоматизированном характере обработки данных СНТ «Якорь».

Мотивировка суда относительно неавтоматизированной обработки данных

Суд подробно проанализировал вопрос, является ли сбор персональных данных через интернет-сайт автоматизированной обработкой, и пришел к выводу, что такой сбор не подпадает под это определение. Мотивировка суда основывается на следующих ключевых положениях:

Нормативная база

Суд сослался на положения Федерального закона № 152-ФЗ «О персональных данных» и Постановления Правительства РФ от 15 сентября 2008 года № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации» (Положение № 687):

- Статья 22, часть 2, пункт 8 Закона о персональных данных освобождает операторов от обязанности уведомлять уполномоченный орган (Роскомнадзор) об обработке персональных данных, если такая обработка осуществляется без использования средств автоматизации.

- Пункт 1 Положения № 687 определяет, что обработка персональных данных считается неавтоматизированной, если действия с данными (использование, уточнение, распространение, уничтожение) осуществляются при непосредственном участии человека.

- Пункт 2 Положения № 687 уточняет, что обработка данных не считается автоматизированной только только потому, что данные содержатся в информационной системе или были извлечены из нее.

Ключевой критерий: характер обработки, а не способ сбора

Суд подчеркнул, что решающее значение при определении автоматизированной обработки имеет не способ получения персональных данных (например, через сайт), а то, как эти данные обрабатываются после сбора. В постановлении указано:

- Если данные вносятся, изменяются, передаются или уничтожаются вручную по каждому субъекту персональных данных, такая обработка считается неавтоматизированной.

- Автоматизированной обработка признается, если используемые программы самостоятельно переформатируют данные, выбирают их по заданным параметрам или передают третьим лицам без проверки человеком каждого субъекта данных.

В случае СНТ «Якорь» суд установил, что сбор данных через сайт не сопровождался автоматизированной обработкой. Материалы дела не содержали доказательств того, что товарищество использует программы, которые обрабатывают данные без участия человека.

Отсутствие доказательств автоматизации

Суд первой инстанции ошибочно исходил из того, что использование сайта для сбора данных само по себе свидетельствует об автоматизации. Кассационный суд, согласившись с апелляционным, указал, что этот вывод не подтвержден доказательствами. В частности:

- Роскомнадзор не предоставил данных о том, что СНТ «Якорь» использует программное обеспечение, автоматически обрабатывающее персональные данные (например, сортирующее, переформатирующее или передающее данные без человеческого контроля).

- Сбор данных через сайт осуществлялся в рамках ведения реестра членов СНТ, что является обязанностью товарищества в соответствии со статьями 12 и 15 Федерального закона от 29 июля 2017 года № 217-ФЗ. Это предполагает ограниченный объем данных, обрабатываемых вручную.

Ограниченный объем данных и цель обработки

Апелляционный суд, чей вывод в этой части поддержал кассационный суд, отметил, что деятельность СНТ «Якорь» не предполагает обработки значительного массива данных, требующего автоматизации. Данные собирались исключительно в отношении членов товарищества, а не неопределенного круга лиц, что соответствует целям ведения реестра членов. Такой характер обработки, по мнению суда, исключает необходимость использования автоматизированных систем.

Вывод суда

На основании вышеизложенного суд заключил, что обработка персональных данных СНТ «Якорь» является неавтоматизированной, так как осуществляется при непосредственном участии человека и не предполагает автоматических операций с данными. Следовательно, в силу пункта 8 части 2 статьи 22 Закона о персональных данных товарищество не обязано уведомлять Роскомнадзор о своей деятельности по обработке персональных данных.

Значение для практики

Данное решение имеет важное значение для организаций, собирающих персональные данные через интернет-сайты. Суд разъяснил, что использование сайта само по себе не делает обработку данных автоматизированной. Ключевым является наличие или отсутствие программ, выполняющих автоматические операции с данными без участия человека. Это позволяет небольшим организациям, таким как СНТ, избегать избыточных регуляторных требований, если их обработка данных носит ручной характер.

Организациям рекомендуется:

- Документировать процессы обработки данных, чтобы подтвердить их неавтоматизированный характер.
- Быть готовыми предоставить Роскомнадзору пояснения о методах обработки данных в случае запросов.
- Обратиться за юридической консультацией для оценки соответствия процессов обработки требованиям Закона о персональных данных.

Для получения профессиональной помощи в вопросах соответствия законодательству о персональных данных или взаимодействия с регуляторами свяжитесь с адвокатами нашего Бюро.