Documents

Italian Data Protection Authority: warning to lawyers for unlawful processing of a conversation recording

Регулятор признал незаконным использование двумя адвокатами записи частного разговора, сделанной одним из участников без уведомления другого. Запись была использована в судебном споре о банкротстве и мировом соглашении. Суд счёл, что обработка нарушила принципы законности по ст. 5(1)(a) и основания обработки по ст. 6 GDPR. Учитывая отсутствие прецедентов и сложность корпоративного спора, нарушение квалифицировано как незначительное; регулятор вынес адвокатам официальное предупреждение согласно ст. 58(2)(b) GDPR.

Italian Data Protection Authority: warning to the Municipality of Pogliano Milanese for disclosing information about an ANAC check to the Prefecture

Регулятор признал незаконным обработку и передачу муниципалитетом Польяно-Миланезе в префектуру информации о том, что по сотруднице направлена проверка в ANAC. Орган квалифицировал нарушение как «незначительное» с учётом вводящего адреса получателя, отсутствия умысла, сотрудничества муниципалитета и принятых мер (внутренняя циркулярная инструкция), а также отсутствия прошлых нарушений такого рода. По ст. 58(2)(b) GDPR вынесено предупреждение; дополнительные корректирующие меры не назначены ввиду исчерпания последствий.

Italian Data Protection Authority: warning to a court for disclosing a judge’s health data

Регулятор признал незаконным обработку судом и органом самоуправления судей данных о состоянии здоровья заявителя при рассмотрении его просьбы о внутреннем переводе. Суд распространил информацию, прямо указав на «тяжёлые физические ограничения» и приложив справку INPS, а затем уведомил коллег с отсылкой к «личным обстоятельствам». На основании ст. 5(1)(a), (c) и 6 GDPR регулятор объявил обработку незаконной и вынес официальное предупреждение по ст. 58(2)(b) GDPR; дополнительные меры не применены ввиду разового характера нарушения и сотрудничества суда.

Childhood Diabetes Reduction Act of 2025

Закон обязывает размещать на этикетках и в рекламе продуктов с добавленным сахаром, подсластителями, ультрапереработанных товаров или высоким содержанием определённых нутриентов предупреждения FDA об опасности для здоровья. Для напитков с сахаром и продуктов с подсластителями предупреждение должно указывать, что они не рекомендованы детям. Запрещается реклама таких продуктов для лиц младше 18 лет; отсутствие предупреждений или обращение к детям считается недобросовестной практикой по FTC Act. Вводятся требования к размеру и размещению надписей (не менее 5% площади), а запреты вступают в силу через год после принятия закона.

Notice of the Cyberspace Administration of China and the Ministry of Public Security on Public Consultation on the "Regulations on Personal Information Protection for Large...

Управление по киберпространству КНР и Министерство общественной безопасности опубликовали для общественного обсуждения проект правил защиты персональных данных пользователей крупных онлайн-платформ. Документ определяет критерии «крупной платформы» (от 50 млн зарегистрированных или от 10 млн активных пользователей в месяц), обязывает назначать ответственного за защиту данных с китайским гражданством, хранить данные внутри страны и обеспечивать пользователям права доступа, исправления и переноса информации. Вводятся требования к аудиту, оценке рисков и отчетности; при серьезных нарушениях регуляторы могут потребовать внешнего аудита или перемещения данных в сертифицированный центр.

Notice of the Cyberspace Administration of China on Public Consultation on the “Cybersecurity Label Management Measures” (Draft for Comment)

Управление по киберпространству КНР и Министерство промышленности и информатизации вынесли на общественное обсуждение проект правил управления маркировкой кибербезопасности. Правила вводят добровольную трёхуровневую систему звёзд (базовый, усиленный, передовой) для продукции с подключением к интернету; уровень определяется тестированием в собственной или аккредитованной лаборатории, а для высшего уровня требуется пентест. Производители подают заявку онлайн через платформу уполномоченного института, который проверяет комплектность документов за 10 рабочих дней и публикует сведения; срок действия маркировки устанавливается правилами применения. За подделку, несоответствие фактическому уровню безопасности или ложную рекламу аннулируют регистрацию и не принимают заявки от нарушителя один год.

5 C 172/2024-314 — 135,435 CZK with accessories

Суд обязал бывшего казначея профсоюза выплатить организации 132 435 чешских крон основного долга и законные проценты за просрочку в размере 14,75% годовых до фактической уплаты. Также он обязан возместить судебные издержки в сумме 154 780 чешских крон представителю истца. Оба платежа должны быть произведены в течение одного месяца со дня вступления решения в законную силу. В части требования о взыскании ещё 3 000 чешских крон иск был отклонён.

Italian Data Protection Authority: warning to Komplett Società Cooperativa for publishing a video of children without consent

Регулятор установил, что компания обработала и опубликовала онлайн видео с участием несовершеннолетних детей клиента в рамках летнего центра без получения отдельного согласия родителей. Действия признаны нарушением принципов законности обработки по ст. 5(1)(a) и правового основания по ст. 6(1)(a) GDPR. С учётом сотрудничества компании, отсутствия прошлых нарушений и быстрого удаления контента нарушение квалифицировано как незначительное. Компании вынесено предупреждение и предписано в течение 30 дней доработать формы согласований; при неисполнении возможна административная санкция.

Italian Data Protection Authority: data protection impact assessment for video surveillance in penitentiary institutions

Регулятор рассмотрел обновлённую оценку воздействия на защиту данных (DPIA) Министерства юстиции по системе удалённого просмотра изображений с камер наблюдения в тюрьмах. Первоначальное заключение от 10 июля 2025 года было отрицательным из-за восьми недостатков, включая неверное указание правового основания и отсутствие мер безопасности. После устранения замечаний регулятор вынес положительное заключение, подтвердив корректность правовой базы, оценки рисков, ролей участников, информирования субъектов, ведения логов, защиты работников, контроля доступа и локализации данных.

Decision of the China National Intellectual Property Administration on Amending the Guidelines for Patent Examination

Документ уточняет правила патентной экспертизы. Вводятся требования к указанию изобретателя как физического лица и проверке данных заявителей, а также обязанности патентных поверенных по верификации информации. Уточнены критерии оценки изобретательского уровня, единства изобретения и обращения с выделенными заявками при приоритете. Для заявок на алгоритмы, ИИ и бизнес-методы установлены запреты при нарушении закона или морали; приведены примеры недопустимых решений (сбор биометрии для маркетинга, сортировка людей по возрасту/полу). Определены условия раскрытия моделей ИИ и обработки данных в описании.

Measures for the Administration of Satellite Navigation and Positioning Reference Stations

Документ устанавливает порядок строительства, эксплуатации и обслуживания базовых станций спутниковой навигации в Китае. Он обязывает соблюдать единое планирование, стандарты и надзор, проходить регистрацию (уведомление) до начала работ и при изменениях, а также использовать национальную геодезическую основу для измерений. Вводятся требования к квалификации организаций, безопасности данных и шифрованию каналов; передача важных данных за рубеж требует оценки безопасности по национальным правилам. За нарушения предусмотрены санкции по Закону о геодезии КНР и законам о защите государственной тайны и безопасности данных.

PL 352/2025 — Caller Identification, SIM Activation ID Verification, and a Ban on Spoofing

Поправки к Закону о телекоммуникациях № 9.472/1997 и Кодексу защиты потребителя № 8.078/1990 обязывают операторов мобильной связи маркировать звонки как «аутентифицированные» и подтверждать личность абонента при активации SIM-карт.

Операторы сверяют данные заявителя, включая биометрию или распознавание лица, с базами CPF, gov.br и избирательного реестра; активация по одному лишь номеру CPF запрещена, а плата с потребителя за проверку не взимается. Запрещены и приёмы, мешающие абоненту опознать или заблокировать коммерческий звонок: подмена номера (спуфинг), частая смена номеров, звонки короче трёх секунд.

За нарушение — штраф по тяжести и повторности, приостановка продаж услуг и ответственность оператора за вред от сбоев проверки. На переход отведено 360 дней с публикации закона.

PL 5606/2025: pharmacies and marketplaces required to disclose medicine expiry dates in online sales

Обязывает аптеки, дрогерии и маркетплейсы указывать срок годности лекарств при дистанционной продаже.

На каждой странице или в карточке товара нужно на португальском языке разборчиво указать дату изготовления и срок годности, а если до истечения остаётся три месяца — предупредить об этом отдельно; эта информация должна быть доступна до оформления заказа. Запрещена продажа лекарств, курс приёма которых нельзя завершить до истечения срока годности; для рецептурных препаратов действуют дополнительные правила выдачи рецепта.

Правило распространяется на аптеки, дрогерии и электронные площадки, торгующие лекарствами; за нарушение — административная, гражданская и уголовная ответственность по ст. 31 Кодекса защиты потребителей (Código de Defesa do Consumidor). Закон вступает в силу через 90 дней после публикации.

Federal Fiscal Court, Case IX R 28/23: Access to Data the Taxpayer Provided Itself

Работодатель, прошедший проверку по налогу на доходы с заработной платы, потребовал сведения обо всех данных, собранных и созданных в ходе этой проверки. Суд отклонил кассационную жалобу инспекции: ст. 15 GDPR не знает ограничения, которое ст. 13 и 14 регламента делают для случаев, когда лицо уже осведомлено, — доступ сохраняется и тогда, когда данные исходят от самого заявителя и переданы им при проверке. Обязанность считается исполненной лишь при заявлении о полноте ответа; обмен документами в ходе проверки, состоявшийся до подачи заявления, таким ответом не является.

Decision of the Standing Committee of the National People's Congress on Amending the Cybersecurity Law of the People's Republic of China

Акт изменяет Закон КНР «О кибербезопасности» с 1 января 2026 года. Вводятся принципы руководства Компартии и координации развития и безопасности, поддержка ИИ-инфраструктуры и этики, а также применение ИИ для управления безопасностью. Уточняются обязанности операторов сетей по обработке персональных данных во взаимосвязи с Гражданским кодексом и Законом о защите персональной информации. Пересматриваются штрафы за неисполнение обязанностей (до 10 млн юаней), оборот несертифицированного оборудования, нарушения при сертификации/оценке рисков и модерации контента; добавляются санкции вплоть до приостановки деятельности и аннулирования лицензий.

Cybersecurity Law of the People's Republic of China

Закон устанавливает требования к защите сетей, данных и личной информации на территории КНР. Он обязывает операторов сетей соблюдать режимы защиты по уровням, а владельцев критической информационной инфраструктуры — дополнительные меры (безопасность закупок, хранение важных данных внутри страны, ежегодные оценки). Вводятся обязанности по идентификации пользователей, реагированию на инциденты и отчётности; устанавливаются мониторинг-предупреждение, санкции до 1 млрд юаней для организаций и запреты на профессию при нарушениях безопасности.

Garante per la protezione dei dati personali: warning to Coes Company s.r.l. — in Liquidation for failing to respond to an access request

Регулятор установил, что компания не ответила работнику на запрос доступа к трудовой документации в срок по ст. 12(3) и (4) GDPR и не предоставила информацию регулятору по ст. 157 Кодекса о защите персональных данных. Судебная ликвидация компании признана смягчающим обстоятельством наряду с отсутствием умысла, одним пострадавшим и отсутствием прошлых нарушений. Вместо штрафа вынесено официальное предупреждение по ст. 58(2)(b) GDPR и ст. 143 Кодекса; нарушение внесено во внутренний реестр регулятора, акт опубликован.

Italian Data Protection Authority: warning to Experian Italia S.p.a. for violation of data access response deadlines

Регулятор установил, что Experian нарушила сроки и требования ст. 12(3–4) и 15 GDPR при ответе на запрос субъекта о доступе к кредитным данным — первый ответ не был доставлен из-за технического сбоя, повторный направлен с задержкой. Компания устранила причину после выявления ошибки и улучшила контроль отправки. Орган квалифицировал нарушение как «незначительное» по ст. 83(2) и п. 148 GDPR и ограничился предупреждением по ст. 58(2)(b) GDPR; решение подлежит публикации.

Warning of 23 October 2025 [10196127]

Регулятор Италии по защите данных установил, что Bluepillow S.p.A. нарушила GDPR (ст. 5(1)(a), 12, 13, 15 и 30) в трансграничной обработке: не ответила на запрос доступа к данным, несвоевременно предоставила информацию о целях и получателях, а также поздно завела реестр обработки. Компания обновила публичное уведомление об обработке и создала реестр уже после начала проверки. Учитывая сотрудничество субъекта и устранение нарушений, регулятор ограничился предупреждением без дополнительных мер.

Italian Data Protection Authority: warning to a lawyer for unlawful processing of a school principal's data

Регулятор установил, что адвокат нарушил принципы законности, корректности и прозрачности обработки по ст. 5(1)(a) и основания обработки по ст. 6 GDPR, направив предсудебное уведомление на институциональный PEC-адрес школьного руководителя вместо личного канала. Это привело к необоснованному доступу третьих лиц (секретариата и заместителей). Санкцию не применили ввиду ограниченного числа затронутых лиц и отсутствия прошлых нарушений, но вынесли предупреждение по ст. 58(2)(b) GDPR с публикацией решения.

German Federal Labor Court, case No. 8 AZR 300/24: an equal-pay claim needs only comparison with a single colleague

Руководитель отдела уровня E3 требовала у работодателя выравнивания зарплаты, бонуса, пенсионных накоплений и виртуальных акций (Performance Phantom Share Plan) за 2018–2022 годы, ссылаясь на более высокую оплату одного коллеги-мужчины на той же позиции.

Федеральный суд по трудовым спорам подтвердил: иск о равной оплате можно строить на сравнении с одним работником другого пола, выполняющим равноценную работу (Paarvergleich), а презумпция причинности по § 22 AGG не требует доказывать перевес вероятности дискриминации. Требования по общему принципу равного обращения суд отклонил — § 22 AGG на них не распространяется, а группа привилегированных работников не указана.

Дело по основным требованиям направлено на новое рассмотрение в земельный суд Баден-Вюртемберга, включая распределение судебных расходов.

Measures for the Certification of Personal Information Cross-Border Transfer

Документ устанавливает порядок сертификации для операторов, передающих персональные данные за рубеж из Китая. Обязательной сертификации подлежат операторы, не относящиеся к критической информационной инфраструктуре и передавшие с начала года более 100 тысяч (но менее 1 миллиона) записей обычных данных или менее 10 тысяч — чувствительных; важные данные исключаются. Перед подачей заявки оператор обязан уведомить субъектов, получить их отдельное согласие и провести оценку воздействия на защиту данных по шести ключевым критериям риска. Сертификат выдаётся аккредитованной организацией сроком на три года.

Garante per la protezione dei dati personali (Italy): warning to school for publishing students’ names in Google Classroom

Регулятор признал незаконной обработку персональных данных школой, которая опубликовала на платформе Google Classroom сообщения с именами трёх учеников и угрозой «серьёзных мер» к другим. Доступ имели родители класса; данные были удалены примерно через 24 часа после жалобы. Школа действовала как оператор обработки, не уведомила регулятора о нарушении, но оперативно удалила публикации и сотрудничала со следствием. С учётом масштаба (ограниченный круг лиц, один день видимости), статуса учреждения и отсутствия прошлых нарушений регулятор ограничился предупреждением без штрафа.

Italian Data Protection Authority: warning to Sol et Salus S.p.A. for mixing up patients' medical CDs

Регулятор установил, что компания «Sol et Salus» нарушила ст. 5(1)(f) и ст. 9 GDPR, выдав пациенту чужой CD с МРТ другого человека из-за ошибки сотрудника при упаковке. Компания признала инцидент, указала на действующие меры безопасности (RIS/PACS, обучение по GDPR) и предложила корректирующие действия — перекрестную проверку документов врачом и техником, аудит процедур и усиление обучения персонала. Учитывая отсутствие умысла, сотрудничество оператора и принятые меры, регулятор квалифицировал нарушение как незначительное и ограничился предупреждением без штрафа.

Italian Data Protection Authority: warning to the Ministry of Justice for emailing a list of employees

Регулятор признал незаконным обработку персональных данных Министерством юстиции — Департаментом организации судебной системы, персонала и услуг. Нарушение состояло в отправке служебной рассылки на 22 адресата с вложением XLSX, содержащим фамилии сотрудников и перечень не пройденных ими тестов. Министерство оперативно ответило заявителю, заверив об изменении практики, и выпустило внутреннюю циркуляр о защите данных. Учитывая малую тяжесть нарушения, сотрудничество ведомства и отсутствие прошлых взысканий, регулятор ограничился предупреждением без дополнительных санкций.