Денис Лукаш | Privacy Expert

Сейчас обсуждают штрафы за использование иностранных сервисов для авторизации Интернет-пользователей (например, через google аккаунт), которые приняты в 3-м чтении. Концепция авторизации только через РФ сервисы в законе давно, много обсуждалось ранее, Хочется отметить другое. Этим же законопроектом приняты штрафы за несоблюдение законодательства при использовании рекомендательных технологий. Здесь обязанности тоже существуют давно (ст. 10.2-2 149-ФЗ). Но технологии подросли, факт использования рекомендательных технологий не всегда очевиден, затрагивает не только ИТ-компании. Законопроектом по штрафам нам также говорят, что нужно не только выявлять и описывать рекомендательные технологии, но и организовывать процессы постоянной работы с ними. Например, - пропустили от Роскомнадзора требование о прекращении предоставления информации с применением рекомендательных технологий - штраф до 1 млн 400 тыс. рублей. Повторно пропустили требование или не успели отреагировать - еще до 2 млн 800 тыс. рублей. - используете иностранные ИИ-модели без уведомления о ТГП - штраф до 700 тыс. рублей. Хотя если просто не уведомили по ст. 22 152-ФЗ об обработке - тоже до 700 тыс. рублей. Ведь состав описан широко с формулировкой "с нарушением законодательства Российской Федерации". P.S. В ближайшее время нормой на рынке станет правовое заключение об использовании / не использовании рекомендательных технологий. Max канал

В этом году 20 лет со дня принятия Федерального закона "О персональных данных". Lukash & Partners, Безопасность 360 и Авито организовали конференцию к юбилею: 20 лет закону о персональных данных. Приглашаю Вас 2 июля 2026 года встретиться вживую, подвести итоги, оценить его развитие, а главное, погрузиться в экспертизу ведущих практиков страны. Я выступаю программным директором, где отдаю приоритет высокой экспертизе и практической пользе для операторов персональных данных. Программа состоит из нескольких секций: 🔹Тенденции развития законодательства о персональных данных (секция с участием представителей органов власти) 🔹Аудит процессов обработки персональных данных (делимся опытом) 🔹Защита персональных данных в ИСПДн (технический аспект) 🔹Персональные данные в бизнес-процессах (юридический аспект) 🔹Круглый стол экспертов "Privacy Club" Privacy Club - это интерактивная дискуссия, которую раньше организовывали в ограниченном кругу на площадке ВТБ. На этой конференции в ней смогут принять участие все участники и спикеры. Регистрация: Программа и регистрация по ссылке. Дата: 2 июля 2026 года. Место: Москва, Новотель, ул. Киевская, 2. Организаторы сделали конференцию платной, но постарались стоимость сделать минимальной и добавили скидки при ранней регистрации.

27 мая прошла конференция Платфорум, организованная Авито и "Право.ру". Принял участие в секции по персональным данным. Секция была посвящена правовым аспектам "утечек" персональных данных. Обзор на pravo.ru. Что можно выделить из рассуждений экспертов: 1. Значения имеют базы данных, содержащие персональные данные. На собственных ИСПДн или сторонних - это отдельный вопрос. Если ваша база персональных данных на стронем ИСПДн, Вы в ответе за возможную "утечку". 2. Каждая неправомерная передача ПД (утечка) по сути затрагивает права субъектов персональных данных. Если и можно найти сценарий утечки без нарушения прав субъектов, то это будет очень специфичный случай. 3. Если поступило сообщение об утечке от НКЦКИ, то реагировать в любом случае. Роскомнадзор узнает, а это риск ч. 11 ст. 13.11 КоАП РФ (1 млн за не уведомление). Даже если НКЦКИ ошибся, отработать нужно для получения подтверждений. 4. Арбитражные суды при рассмотрении дел по ст. 13.11 КоАП РФ были лояльнее к операторам ПД, чем суды общей юрисдикции. Замена штрафа предупреждением применяется реже. 5. С позиции Роскомнадзора ответственность операторов ПД за их "обработчиков" никуда не денется. Подписывайтесь на зеркало канала в Max

На интернет-странице Роскомнадзора, предназначенной для направления им обращений, не так давно убрали из списка ЦА Роскомнадзора, как получателя обращения. Здесь есть варианты, как направить именно в ЦА Роскомнадзора, если в этом есть необходимость https://rkn.gov.ru/contacts/

Опубликована запись сегодняшнего вебинара "Легализация юридических услуг: персональные данные и налоги". https://lukash.partners/events/legitimate-consulting Презентации спикеров: https://lukash.partners/files/2205-obrabotka-pdn-v-iukompanii https://lukash.partners/files/nalog-lukash-partners-yablokov-partners Поскольку вебинар адресован юридическим компаниям, в презентациях найдете контакты для партнерств (для решения задач ваших клиентов или совместной маркетинговой активности) в области ПД с Лукаш и партнеры и налогообложения с Яблоков и партнеры.

Опубликовал письма Роскомнадзора и Минцифры РФ по биометрическим СКУД на стройплощадках Москвы. Всем кто подписан на получение алертов по электронной почте, уже могли ознакомиться с письмами. Письма касаются вопросов привлечения обработчиков биометрических персональных данных для организации работы СКУД на стройплощадках. В чем суть. Часть 2 статьи 11 152-ФЗ предусматривает возможность обработки биометрических персональных данных без согласия субъектов персональных данных в связи с исполнением законодательства о противодействии терроризму. Если взять НПА Москвы, то в них прямо прописан застройщик, который должен организовать БСКУД в связи с противодействием терроризму, но не указаны "обработчики" персональных данных, которые ему могут помогать обеспечивать работу с БСКУД. Получается, что если подключение к региональному сегменту ЕБС организовано застройщиком через "материнскую" компанию или иное третье лицо, то нужно согласие субъекта ПД по ч. 1 ст. 11 152-ФЗ и ч. 4 ст. 9 152-ФЗ. Такое же согласие нужно предусмотреть и для компании, имеющей доступ к данным БСКУД в связи с техподдержкой. Также нужно не забыть, что: 1. Застройщик со всеми обработчиками должен заключить поручение обработки. 2. Застройщик должен уведомить Роскомнадзор, так как оператором персональных данных по ст. 3 152-ФЗ является и тот, кто организует обработку ПД. Если Вы застройщик, пишите в лс, организуем отдельную встречу, где поделимся наработками по легализации БСКУД на стройплощадках. Max

22.05 в 13:00 совместно с Мариной Жировой, старшим партнером Адкокатского бюро "Яблоков и партнеры", налоговым консультантом, проведу вебинар "Легализация юридических услуг: персональные данные и налоги". Юридические фирмы помогают клиентам соблюдать требования законодательства, но сами нередко сталкиваются с рисками, в т.ч. в области персональных данных и налогового регулирования (работа с ПДн клиентов, внутренними базами данных, доходы и выплаты ФЛ, неучтенные доходы и др.). Что обсудим: 🔹 Требования 152-ФЗ в аспектах деятельности юридического консалтинга 🔹 Налоговые риски юридических компаний и запросы ФНС 🔹 Практические советы юридическим компаниям 🔹Необходимые внутренние процессы и документы Кому будет полезно: 1) Партнерам и руководителям юрфирм 2) Частнопрактикующим юристам и адвокатам 3) Руководителям юр.департамента и юристам компании 4) Финансовым директорам, бухгалтерам, налоговым консультантам Формат: онлайн. Участие: бесплатно, по регистрации. Программа и регистрация по ссылке.

Нидерландская компания оштрафована на 100 млн. евро за передачу данных в Россию Нидерландский орган по защите персональных данных вынес такое решение в отношении MLU BV, нидерландского правопреемника Ridetech, оказывавшего услуги такси в Финляндии и Норвегии под брендом и в приложении Yango (ранее относившегося к Яндексу). По данным собственного отчёта Ridetech об оценке последствий трансграничной передачи персональных данных (transfer impact assessment), передача этих данных в Россию была сопряжена с риском произвольного доступа к данным со стороны российских властей. Нидерландские коллеги не считают Роскомнадзор независимым органом по защите прав субъектов персональных данных по смыслу европейского законодательства, поскольку в полномочия Роскомнадзора одновременно входят и задачи, концептуально конфликтующие с защитой прав граждан, такие как борьба с терроризмом ("закон Яровой"). Орган, уполномоченный на надзор одновременно за двумя этими одинаково важными, но противоположно направленными государственными задачами, обречён на конфликт интересов, и поэтому не может считаться беспристрастно защищающим права граждан. Кроме того, Роскомнадзор подчинен Минцифры, что также лишает его претензий на независимость. А в ситуации отсутствия независимого органа под надзору в юрисдикции получателя персональных данных трансграничная передача в эту юрисдикцию данных из ЕС на основании стандартных договорных оговорок (SCCs) незаконна, так как не предоставляет субъектам из ЕС необходимых гарантий защиты их прав.

Три штрафа на 1 компанию по результатам проверки ее сайтов совокупно на 155 тыс. руб. Из анализа судебных дел следует, что в Управление Роскомнадзора по ЦФО поступили материалы о правонарушении в отношении ООО «Правовые новости» (т.е. возможно была написана жалоба или заявление о привлечении к административной ответственности со стороны субъекта ПДн). В конце 2025 г. Роскомнадзор провел проверку сайтов Компании на соблюдение требований 152-ФЗ и выявил ряд нарушений. 🔹 Дело по ч. 10 ст. 13.11 КоАП РФ: На Сайтах Компании размещены формы сбора персональных данных в объеме: фамилия, имя, отчество, адрес электронной почты, номер телефона, сведения о должности и месте работы, а также осуществляется обработка персональных данных с использованием метрических программ «Яндекс Метрика» и «Google Analytics». При этом уведомление об обработке персональных данных в Роскомнадзор не направлялось. Довод Компании, что со стороны Роскомнадзора не выдавалось предупреждение по этому поводу, является несостоятельным, поскольку обязанность направления уведомления возложена на Компанию в силу требований 152-ФЗ. Таким образом, в действиях Компании правомерно выявлено нарушение требований ч. 1 ст. 22 152-ФЗ, ответственность за которое предусмотрена ч. 10 ст. 13.11 КоАП РФ. Назначен штраф в размере 50 тыс. руб. (половина от нижней планки санкции как субъекту МСП). 🔹 Дело по ч. 3 ст. 13.11 КоАП РФ: В обязанность оператора входит публикация или обеспечение иным образом неограниченного доступа к документу, определяющему его политику в отношении обработки персональных данных. Вместе с тем размещение такого документа на Сайтах Компании не осуществлено, что подтверждается снимками экрана интернет-страниц Сайтов, где размещены формы сбора персональных данных. Таким образом, Компанией допущено нарушение положений ч. 2 ст. 18.1 152-ФЗ, ответственность за которое предусмотрена ч. 3 ст. 13.11 КоАП РФ. Суд не нашел оснований для применения ст. 2.9 КоАП РФ о малозначительности, отметив, что «существенная угроза охраняемым общественным отношениям заключается не в наступлении каких-либо материальных последствий, а в пренебрежительном отношении к исполнению своих публично-правовых обязанностей». При этом судом принято во внимание, что ответчик устранил нарушение. Вместе с тем, судом учтено, что ранее Компания уже привлекалась к административной ответственности по ст.13.11 КоАП РФ. Назначен штраф в размере 30 тыс. руб. 🔹 Дело по ч. 1 ст. 13.11 КоАП РФ: Нарушение выразилось в обработке персональных данных (сбор через формы на сайте и с помощью метрических программ «Яндекс Метрика» и «Google Analytics») без правовых оснований, предусмотренных ч. 1 ст. 6 152-ФЗ. Суд отметил, что состав правонарушения является формальным, таким образом, для привлечения Компании к административной ответственности достаточно факта совершения данного деяния, независимо от возникновения или не возникновения общественно опасных последствий. Отсутствие материальных вредных последствий не свидетельствует о малозначительности правонарушения, в этой связи судом отказано в прекращении дела по малозначительности. При назначении наказания суд учел: - Отсутствие доказательств в материалах дела о привлечении Компании к административной ответственности за указанное нарушении ранее; - Компания состоит в реестре субъектов МСП; - Компания устранила все выявленные нарушения, представила суду доказательства, свидетельствующие о принятии Компанией необходимых и достаточных мер по соблюдению законодательства, по недопущению правонарушения на будущее, что свидетельствует об отсутствии вины Компании во вмененном ее правонарушении. Назначен штраф в размере 75 тыс. руб.(половина от нижней планки санкции как субъекту МСП). #Практика

Китай представил проект правил обработки ПДн в интернет-приложениях Документ требует явного согласия субъектов ПДн на обработку, раскрытия SDK и усиливает контроль за крупными платформами. 🔹Обработка ПДн должна осуществляться согласно принципам законности, справедливости, необходимости, легитимности, добросовестности; нельзя отказывать в обслуживании при отказе дать необязательные ПДн (ст. 3). 🔹При первом запуске онлайн-приложений необходимо через всплывающее окно получить явное согласие пользователя до начала любой обработки ПДн (ст. 9). 🔹Правила обработки ПДн должны полностью раскрывать все цели обработки и виды обрабатываемых ПДн, встроенные SDK со ссылками на их политики обработки, сроки хранения и права пользователя (ст. 7). 🔹Крупные платформы с аудиторией более 50 млн. зарегистрированных пользователей при любом изменении правил обработки ПДн должны публиковать суть изменений и собирать общественное мнение по поводу изменений правил обработки (ст. 8). 🔹Запрещается собирать информацию о третьих лицах через контакты, звонки и SMS без прямой необходимости для функций связи или резервного копирования (ст. 10). 🔹Публичное обсуждение Проекта правил завершилось 9 февраля 2026 года, документ дорабатывается и пока не утверждён. Подробнее: 10 января 2026 года Государственная канцелярия интернет-информации КНР (CAC) опубликовала для общественного обсуждения проект Положения «О сборе и использовании личной информации интернет-приложениями». Документ, состоящий из семи глав и 39 статей, развивает нормы Закона о защите персональных данных (PIPL) и устанавливает детальные правила для всех участников экосистемы: самих приложений, SDK, платформ их дистрибуции и производителей смарт-устройств. В основе документа лежат принципы законности, справедливости, необходимости и добросовестности (ст. 3). Обработка данных должна быть минимальной по объёму и ограничиваться целями, непосредственно связанными с предоставлением услуги. Запрещены вводящие в заблуждение, принудительные или обманные способы получения согласия. Отдельно закреплён запрет на отказ в обслуживании из-за нежелания пользователя предоставить данные, если только эта информация не является строго необходимой для работы сервиса. Операторы обязаны при первом запуске приложения через всплывающее окно предъявить пользователю понятные правила сбора данных и получить его явное согласие (ст. 9). В этих правилах (ст. 7) должны быть прозрачно указаны контактные данные компании, структурированный перечень целей, способов и видов собираемой информации по каждой цели, а также сведения обо всех встроенных SDK с прямыми ссылками на их собственные политики. Пользователю должны быть разъяснены сроки хранения ПДн и доступные способы реализации его прав: доступ, копирование, перенос, исправление, удаление, ограничение обработки, отзыв согласия и полное удаление учётной записи. Проект вводит новые обязательства для крупных платформ с аудиторией более 50 миллионов зарегистрированных пользователей (ст. 8). При изменении правил обработки ПДн они будут обязаны публично раскрывать суть изменений и запрашивать общественное мнение через главную страницу, официальный сайт и публичный аккаунт интернет-приложения. Срок для запроса мнений должен составлять не менее 7 рабочих дней. Кроме того, приложениям запрещается собирать информацию о третьих лицах через доступ к списку контактов, журналу звонков или SMS, за исключением случаев, когда это действительно необходимо для функций связи, добавления друзей или резервного копирования (ст. 10). Публичное обсуждение проекта завершилось 9 февраля 2026 года, на данный момент документ находится на стадии доработки с учётом полученных отзывов. Ожидается, что после утверждения он станет важнейшим элементом системы защиты приватности в Китае, замкнув цепочку регулирования от производителей устройств и разработчиков до платформ распространения приложений.

Опубликовали запись вебинара и презентацию спикеров. Доступ по ссылкам: 🔹Запись 🔹Презентация

Начинаем в 12:00 На повестке обсуждение правовых рисков внедрения ИИ‑сервисов в бизнес‑процессы и ключевые положения законопроекта о регулировании ИИ в РФ. Подключиться к трансляции можно по ссылке.

23.04 в 12:00 проведем вебинар "Законопроект об ИИ: к чему готовиться бизнесу уже сейчас?" 18 марта 2026 г. Минцифры вынесло на обсуждение законопроект "Об основах регулирования ИИ", который закладывает правовую базу для внедрения и совершенствования систем ИИ в России. Команда Lukash & Partners активно отслеживает развитие законодательства в этой сфере, поскольку в рамках абонентского сопровождения клиентов решает не только задачи легализации персональных данных, но и часто обеспечивает соответствие законодательству использование ИИ-инструментов в бизнес-процессах клиентов. На вебинаре обсудим ключевые положения законопроекта о регулировании ИИ в РФ и текущие правовые риски внедрения ИИ-сервисов в бизнес‑процессы. Спикеры: 🔹 Юрист Ричмедиа (iSpring), Оксана Маслова 🔹 Команда направления абонентского сопровождения Lukash & Partners Вебинар будет полезен юристам компаний, где активно внедряются ИИ-инструменты в бизнес: маркетинг, продажи, HR, клиентский сервис и др. Программа и регистрация по ссылке.

Ключевые позиции в области персональных данных за март 2026 года. По возможности добавлены комментарии Lukash & Partners: Суд: проверка видеоизображения без идентификации как условие доступа к аккаунту - не обработка биометрии. Ссылка. РКН+суд: штраф 400 000 рублей за "утечку" по ч. 14 ст. 13.11 КоАП РФ для юридического лица. Санкция от 10 млн, но дали 400 000 р. Ссылка. РКН о проведении внутреннего контроля обработки персональных данных. "Оператор самостоятельно устанавливает периодичность проведения внутреннего контроля." Ссылка. РКН и МЦ: обобщенные данные о потребителях - персональные данные. Публикуем полные тексты писем. Ссылка.

(часть 2) Суд апелляционной инстанции отменил решение первой инстанции. Коллегия не согласилась с выводами суда первой инстанции о том, что предложенный Обществом способ проверки благонадежности Истца свидетельствует о нарушении его прав. В соответствии с п. 2 ст. 421 ГК РФ, граждане и юридические лица свободны в установлении своих прав и обязанностей на основе договора и в определении любых не противоречащих законодательству условий договора. В силу п. 4 ст. 421 ГК РФ условия договора определяются по усмотрению сторон, кроме случаев, когда содержание соответствующего условия предписано законом или иными правовыми актами (ст. 422 ГК РФ). При регистрации и размещении объявлений на сайте пользователи в полном объеме принимают обязательные для всех пользователей Условия использования Авито. Условия пользования Авито тем самым представляют собой договор, обязательства по соблюдению которого были приняты Истцом при регистрации на сайте Авито и создании профиля Согласно п.1 ст. 425 ГК РФ договор вступает в силу и становится обязательным для сторон с момента его заключения. В соответствии с разделом 20 Условий использования Авито обязательства компании предоставить доступ к функциональности Авито - встречные по отношению к обязательствам пользователей соблюдать Условия. Согласно разделу 7 Условий использования Авито Общество может предложить пользователю пройти проверку благонадежности по его собственной инициативе, а также при выявлении признаков нарушения Правил Авито или недобросовестного поведения. Проверка благонадежности призвана подтвердить, что пользователь намеревается использовать Авито в соответствии с Условиями использования, и не намеревается вводить Общество и других пользователей в заблуждение относительно товара и его продавца, выдавать себя за другое лицо. Апелляция также указала, что Истцом действительно допущены нарушения правил Авито (раздел 3 Требований к размещению и содержанию объявлений — недопустимость размещения объявлений в одной категории из разных профилей), что подтверждено материалами дела (использование двух профилей, привязанных к номеру телефона и банковской карты). Предложение пройти проверку на видео и подтвердить, что профилем управляет живой человек, не является способом сбора биометрических персональных данных в смысле ст. 11 152-ФЗ, поскольку данная проверка не используется сайтом «Авито» для установления личности или слежения за ним. Цель — обеспечение безопасности пользователей. Кроме того, доказательств того, что предполагаемое к созданию изображение содержало бы сведения, позволяющие идентифицировать личность истца, не имеется. #Практика

Проверка видеоизображения без идентификации как условие доступа к аккаунту - не обработка биометрии (часть 1) Апелляционный суд отменил решение суда первой инстанции, признав, что требование интернет-сервиса Авито «посмотреть в камеру и покрутить головой» без идентификации лица не является обработкой биометрических ПДн. Требование правомерно для проверки благонадежности в соответствии с правилами интернет-сервиса. 🔹Суть спора: Гражданин П. (пользователь интернет-сервиса «Авито») обратился в суд с иском к ООО «КЕХ еКоммерц» (оператор сервиса «Авито») о защите прав потребителя. 15.06.2025 лицу было отказано во входе в личный кабинет со ссылкой на «подозрительную активность» в профиле. Для восстановления доступа к профилю Гражданину П. предлагалось пройти проверку: предоставить видеоизображение (повернуть голову), в дальнейшем требования дополнились — предоставить копию паспорта или водительских прав. В связи с чем Истец просил обязать ответчика восстановить ему безопасный доступ к профилю на сайте «Авито» без раскрытия персональной биометрической информации, без предоставления запрошенного видеоизображения, фотографии паспорта и фотографии водительских прав. Истец полагает, что закон не только не возлагает на него обязанность доказывания его личности при входе в аккаунт на Авито путем предоставления биометрических данных, но и прямо запрещает кому-либо требовать такие данные. 🔹Позиция Общества: Истец нарушил правила «Авито» (договор между Истцом и Обществом), а именно использовал более одного профиля для размещения объявлений в одной категории. В соответствии с Условиями использования «Авито» Ответчик правомерно предложил Истцу пройти проверку благонадежности по видео. Соответствующие требования закреплены в Требованиях к размещению и содержанию объявлений и Условиях использования «Авито». Общество не использует и не имеет технической возможности использовать видеоизображения для установления личностей пользователей; проверка видео используется исключительно с целью обеспечения безопасности на сайте; Общество не сохраняет видеоизображения пользователей, что исключает возможность биометрической идентификации. Отсутствие факта обработки Обществом биометрических данных прямо подтверждено уполномоченными органами Минцифры России и Роскомнадзором, а также партнером ответчика – ПАО «МТС». Нормы ст. 11 152-ФЗ применены ошибочно. ФЗ «Об осуществлении идентификации и (или) аутентификации физических лиц с использованием биометрических персональных данных» не подлежит применению (п.2 ч.2 ст. 330 ГПК РФ). Сфера действия закона ограничена регулированием автоматизированной биометрической идентификации с использованием государственной Единой биометрической системы (ЕБС). 🔹Позиции судов: Суд первой инстанции удовлетворил исковые требования Гражданина П. Признал требуемые от Истца данные биометрическими, а также указал на избыточность такой обработки ПДн. Обязал Общество восстановить безопасный доступ к использованию профиля на интернет-сайте «Авито» без раскрытия персональной биометрической информации, без предоставления запрошенного видеоизображения владельца указанного профиля, фотографии паспорта и фотографии водительских прав.