Ошибка персональных данных в Сочи: порядок и контрольные точки

Ошибка с персональными данными — это сбор, передача, публикация или хранение сведений о человеке с нарушением закона «О персональных данных». Типичные ситуации: паспорт клиента переслали в общий чат, фото договора с адресом выложили в отзыве, список гостей отеля оказался в открытом доступе, компания не ответила на запрос человека о том, какие данные о нём хранятся. У пострадавшего есть право требовать прекращения обработки, удаления сведений и компенсации морального вреда. У того, кто допустил ошибку, есть время исправить её до жалобы в Роскомнадзор и до суда.

Ниже разобрано, где возникают такие нарушения в Сочи, по каким документам их видно и как действовать каждой стороне.

В каких ситуациях данные утекают

Самый частый случай в курортном городе — передача данных без основания. Отели, апартаменты и сервисы аренды получают копии паспортов гостей и пересылают их собственнику жилья, уборщице, в мессенджер управляющей компании. Если цель передачи не связана с договором или исполнением закона, на неё нужно согласие.

Второй случай — публикация. Человек выкладывает в соцсетях скриншоты переписки с номером телефона и фамилией контрагента, фото договора, судебного решения или расписки. Для распространения персональных данных, то есть их раскрытия неопределённому кругу лиц, закон требует отдельного согласия, оформленного по особым правилам.

Третий — хранение и доступ. Работодатель хранит анкеты кандидатов, которым отказал, без срока и цели. Сотрудник уволился, а доступ к базе клиентов у него остался. Магазин собирает копии документов покупателей «на всякий случай».

Какие документы фиксируют нарушение

Со стороны пострадавшего главное доказательство — сама публикация или сообщение с данными. Её фиксируют скриншотами с адресом страницы и датой, а при угрозе удаления — нотариальным протоколом осмотра. Если данные переданы третьему лицу, подтверждением служат показания этого лица или переписка, в которой видна пересылка.

Со стороны оператора, то есть компании или предпринимателя, обрабатывающих данные, проверяют согласия, политику обработки персональных данных, договоры с подрядчиками, которым поручена обработка, и журнал доступа к базе. Отсутствие письменного согласия там, где оно требуется, — уже нарушение, даже если вред не наступил.

Если человек направил оператору запрос, ответ на него или его отсутствие тоже становятся документом. По закону оператор обязан ответить в течение десяти рабочих дней с возможностью продления при уважительных причинах.

Какие сроки уже идут

Для оператора самые жёсткие сроки связаны с утечкой. При неправомерной передаче или распространении данных оператор обязан уведомить Роскомнадзор в течение суток о самом инциденте и в течение трёх суток сообщить результаты внутреннего расследования. Пропуск этих сроков — отдельное нарушение.

На требование человека прекратить обработку или удалить данные оператор тоже отвечает в ограниченный срок. Если данные обрабатываются без основания, их уничтожают и уведомляют об этом субъекта.

Для пострадавшего срок давности по иску о компенсации морального вреда за нарушение личных неимущественных прав по общему правилу не применяется. Но доказательства исчезают быстро: публикацию удаляют, переписку чистят. Поэтому фиксировать нарушение нужно сразу.

Что исправимо до жалобы и суда

Оператору, который обнаружил ошибку, разумно сразу удалить данные из места, где их быть не должно. Если паспорт ушёл в общий чат, его удаляют у всех участников и получают от них подтверждение. Если опубликовано фото документа, публикацию снимают или закрывают данные на изображении.

Затем проверяют, на каком основании вообще обрабатывались сведения. Если согласия нет, а оно нужно, обработку прекращают или получают согласие. Политику обработки приводят в соответствие с реальной практикой, а доступ сотрудников к базам ограничивают ролью.

Пострадавшему стоит начать с письменного требования к нарушителю: удалить данные, прекратить передачу, сообщить, кому они были переданы. Такое требование часто решает проблему без суда и одновременно становится доказательством, если нарушитель его проигнорирует.

Что включить в требование к оператору

• фамилию, имя, отчество и способ связи заявителя;
• описание, какие данные и где обнаружены;
• требование удалить или прекратить обработку;
• просьбу сообщить, кому данные передавались;
• срок для ответа и способ, которым его ждут.

Какие действия усугубляют нарушение

Не стоит в ответ на жалобу публиковать встречные сведения о заявителе: его переписку, адрес, данные о долгах. Так нарушение удваивается, а вторая сторона получает новое основание для претензий.

Оператору нельзя отрицать факт передачи, если он подтверждается скриншотами. Отрицание затягивает спор и подрывает доверие проверяющих. Лучше признать то, что очевидно, и показать, какие меры уже приняты.

Пострадавшему не нужно самостоятельно распространять информацию о нарушителе с оскорбительными оценками. Это может породить встречный иск о защите чести и деловой репутации. Претензия, жалоба и иск должны опираться на факты.

Какой шаг восстанавливает контроль над данными

Для оператора первый шаг — инвентаризация. Какие данные собираются, где хранятся, кто имеет доступ, кому передаются, на каком основании. Без этой картины невозможно понять масштаб ошибки и закрыть уязвимость.

Второй шаг — документы: политика обработки, формы согласий, в том числе отдельное согласие на распространение, приказ о назначении ответственного, поручения обработчикам. Если компания обязана уведомить Роскомнадзор о начале обработки, проверяют, подано ли такое уведомление.

Для пострадавшего контроль восстанавливается через запрос и фиксацию. Направленный запрос, зафиксированная публикация и сохранённая переписка позволяют перейти к жалобе или иску в любой момент.

Когда спор о персональных данных доходит до суда

Если нарушитель не реагирует, пострадавший подаёт жалобу в территориальное управление Роскомнадзора. Ведомство проводит проверку и вправе привлечь оператора к административной ответственности по КоАП РФ. Жалоба не заменяет иск: компенсацию взыскивает только суд.

Иск о компенсации морального вреда, удалении сведений и запрете дальнейшей обработки подают в районный суд по месту жительства ответчика или по месту жительства истца, если речь о защите прав субъекта персональных данных. В Сочи это один из четырёх районных судов в зависимости от адреса.

Оператору, получившему иск, стоит оценить позицию трезво. Если нарушение подтверждено, мирное урегулирование с удалением данных и разумной компенсацией обычно обходится дешевле судебного процесса и проверки регулятора.

Пришлите договор или переписку: найдём ошибку до того, как она станет убытком.

Основной канал связи с адвокатом — электронная почта sochiyur@gmail.com.