Решение, которое перевернуло подход к уведомлениям Роскомнадзора.
Многие операторы, уведомляя Роскомнадзор о начале обработки персональных данных, сталкиваются с вопросом: что считать автоматизированной обработкой
Свежая судебная практика даёт интересный поворот подумать над этим вопросом.
В марте 2025 года Арбитражный суд Московского округа рассмотрел дело между садоводческим некоммерческим товариществом (СНТ) и Роскомнадзором. Спор касался именно автоматизации.
Что произошло:
СНТ имело свой сайт и через него собирало персональные данные членов товарищества — исключительно в рамках нужд СНТ. Уведомление Роскомнадзору не направлялось. Надзорный орган направил запрос, считая такую обработку автоматизированной. СНТ решило оспорить действия Роскомнадзора в суде, заявив, что никаких оснований для уведомления не было, поскольку в их ситуации обработка происходила без использования средств автоматизации.
Суды пошли по цепочке:
— Первая инстанция (Арбитражный суд Москвы) поддержала Роскомнадзор: данные собирались через сайт — значит, это автоматизированная обработка.
— Апелляция (9-й арбитражный апелляционный суд) не согласилась.
— Кассация поставила точку.
Что сказала кассация?
Суд сослался на Постановление Правительства РФ от 15.09.2008 №687. В нём сказано:
— Обработка персональных данных считается неавтоматизированной, если все действия (уточнение, использование, распространение, уничтожение) выполняются исключительно вручную, с участием человека.
— Сам по себе факт, что данные содержатся в информационной системе или получены из неё, не делает обработку автоматизированной.
Таким образом, суд выделил ключевой критерий:
Важно не как данные получены, а как с ними работают. Если каждое изменение, передача или удаление происходит вручную — это не автоматизация.
А вот если программа самостоятельно обрабатывает, фильтрует и передаёт данные, например, при нажатии одной кнопки — вот тогда уже да, это автоматизированная обработка.
В данном случае Роскомнадзор не доказал, что в СНТ были такие автоматические процессы. А значит — обработка признана неавтоматизированной.
Почему это важно?
Суды пришли к выводу: само по себе использование сайта не делает обработку автоматизированной.
Это принципиально для малых субъектов — таких как СНТ — которые могут избежать избыточных бюрократических требований.
Но есть нюанс. Я двояко оцениваю эту практику.
С одной стороны, рассуждения суда логичны: он просто истолковал нормы буквально.
С другой — получается странная лазейка. Если через сайт идёт сбор персональных данных, но остальные действия делает человек вручную — это уже не автоматизация?
В постановлении №687 нет слова «сбор» в списке автоматизированных операций. Только использование, уточнение, распространение, уничтожение.
И выходит, сама процедура сбора через сайт — как бы вне правового поля.
Будем следить за развитием событий. Судебная практика только начинает формироваться.
