В целях обеспечения соответствия нормам, касающимся защиты персональной информации, Роскомнадзор ужесточил надзор и теперь применяет судебные меры для взыскания штрафов, даже если утечки данных не зафиксировано. Основанием для подачи претензий служит само несоответствие требованиям закона при сборе и обработке пользовательских данных на онлайн-ресурсах.
Согласно постановлениям Арбитражного суда Москвы, регулятор обнаружил недочеты в деятельности ряда предприятий посредством автоматизированного анализа веб-сайтов. Аудит выявил, что организации получали информацию через формы для обратной связи и, таким образом, выступают как владельцы персональных данных пользователей. Однако сведения об этом начале обработки информации они не передавали в контролирующий орган.
В одном из рассматриваемых случаев организацию оштрафовали на сумму в тридцать тысяч рублей за отсутствие документа, регламентирующего порядок работы с персональными данными пользователей, на веб-ресурсе. В другом судебном разбирательстве был вынесен вердикт о необходимости выплаты штрафа в размере семидесяти пяти тысяч рублей, поскольку компания применяла аналитические инструменты, включая сервис «Яндекс Метрика», без законных оснований для обработки информации об абонентах. Судебное решение подчеркнуло, что для привлечения к ответственности достаточно самого факта правонарушения – не требуется доказывать возникновение каких-либо негативных последствий. В третьем эпизоде размер штрафа составил пятьдесят тысяч рублей из-за публикации на сайте форм сбора персональных данных: фамилии, имени, отчества, адресов электронной почты, контактных телефонов и другой идентифицирующей информации. Обоснование компании о том, что надзорный орган не уведомлял ее о выявленных нарушениях, было отклонено судом.
Вопрос защиты персональных данных приобретает особенную значимость для туристической сферы деятельности. Подавляющее большинство туроператоров, турагентств и сервисов онлайн-бронирования регулярно запрашивают личные данные клиентов: начиная от контактных сведений и заканчивая информацией из паспорта. Следовательно, подобные организации автоматически классифицируются как операторы персональных данных и обязаны следовать требованиям законодательства.
По словам юриста Альянса туристических агентств Марии Чапиковской, комментирующей ситуацию для TourDom.ru, сведения о существенных финансовых санкциях в сфере туризма не публиковались недавно, однако проверки предприятий отрасли осуществляются регулярно. «В настоящее время наблюдается увеличение количества запросов от Роскомнадзора по вопросам соответствия требованиям Федерального закона №152-ФЗ во всех отраслях экономики. Для веб-сайта обязательно наличие документа о политике обработки персональных данных, согласия на обработку информации, разрешения на отправку рекламных сообщений и уведомления об использовании файлов cookie», – заявила эксперт.
Она акцентировала внимание на необходимости тщательного оформления форм обратной связи. Пользователь должен иметь возможность ознакомиться с политикой обработки персональных данных и самостоятельно выразить свое согласие. Предварительно установленные флажки, как правило, не допускаются законодательством. Кроме того, туристическим компаниям следует соблюдать требования о хранении персональной информации – данные, собираемые через сайт, должны обрабатываться на серверах, расположенных в пределах Российской Федерации.
С учетом последних изменений в правоприменительной практике, специалисты советуют предприятиям туристической сферы осуществить проверку своих веб-ресурсов и внутренних регламентов обработки персональных данных до получения официальных запросов от контролирующих органов.
Следует отметить, что ужесточение надзора со стороны Федеральной службы по связи и массовым коммуникациям (Роскомнадзор) связано с комплексными изменениями в нормативной базе регулирования персональных данных. С 30 мая 2025 года вступили в силу дополнения к законодательству, значительно повысившие размеры денежных санкций за нарушения при работе с подобной информацией. Для юридических лиц минимальный штраф по статье 13.11 Кодекса об административных правонарушениях теперь составляет от 150 до 300 тысяч рублей, а также введены новые виды проступков, включая отсутствие предоставления уведомлений о начале обработки персональных данных в Роскомнадзор. Если ранее за это нарушение организации могли ограничиться штрафом нескольких тысяч рублей, то сейчас предусмотрены санкции для компаний в диапазоне от 100 до 300 тысяч рублей.
Ранее мы написали, что вынуждает туристические агентства проявлять осторожность при использовании зарубежных сервисов обмена сообщениями из-за требований федерального закона «О персональных данных».