Documents

Notice of the Cyberspace Administration of China on Public Consultation on the Draft Interim Measures for the Administration of Anthropomorphic Interaction Services Based on...

Управление по киберпространству КНР вынесло на общественное обсуждение проект временных правил регулирования сервисов человекоподобного ИИ-взаимодействия. Правила определяют обязанности поставщиков таких услуг в Китае, включая оценку безопасности и этики алгоритмов, защиту данных и личной информации, аудит при работе с несовершеннолетними, обязательные предупреждения об ИИ-природе собеседника и лимиты использования (напоминание после 2 часов). Вводятся требования к модерации контента, реагированию на угрозы жизни и здоровью пользователей, а также ежегодная отчётность для крупных платформ; за нарушения предусмотрены предупреждение, предписание об устранении и приостановка сервиса.

Italian Data Protection Authority: warning to Studio Fisiokinesiterapico Romano s.r.l. for erroneous emailing of a medical report to the wrong address

Регулятор установил, что компания нарушила ст. 5(1)(f), 9 и 32 GDPR, ошибочно направив медицинский отчёт пациента на существующий чужой e-mail из-за опечатки в адресе и отсутствия онлайн-валидации. Нарушение признано непреднамеренным и единичным; компания устранила уязвимость, обновила процедуры верификации адресов и обучила персонал. С учётом сотрудничества оператора и отсутствия прецедентов регулятор квалифицировал инцидент как «незначительное нарушение» и ограничился предупреждением по ст. 58(2)(b) и 83(2) GDPR с публикацией решения.

Garante per la protezione dei dati personali (Italy): Warning for unlawful installation of a camera capturing a public street

Регулятор установил, что владелица дома незаконно обрабатывала персональные данные с помощью видеокамеры, чей угол обзора захватывал часть общественной улицы. Судебная практика ЕС (дело Ryneš) исключает применение исключения для сугубо личного или бытового использования в таких случаях. Владелица нарушила принципы законности, прозрачности и минимизации по ст. 5 и 6 GDPR и не указала правовое основание. Учитывая её защитные мотивы, своевременное устранение нарушения и отсутствие передачи данных третьим лицам, регулятор признал нарушение незначительным, объявил обработку незаконной и ограничился предупреждением без штрафа.

Italian Data Protection Authority: warning to Azienda USL della Romagna for disclosing an employee’s health information

Регулятор признал незаконным распространение работодателем по ошибке электронной почты с информацией о медицинской визите работника среди 16 коллег. Нарушены принципы законности, прозрачности и запрет обработки данных о здоровье (ст. 5(1)(a), 6 и 9 GDPR; ст. 2-тер Кодекса). Учреждение уведомило об инциденте, удалило сообщения, провело обучение и применило дисциплинарные меры к сотруднику. Учитывая единичный характер ошибки, сотрудничество и отсутствие прошлых нарушений, регулятор ограничился предупреждением без дополнительных санкций.

Italian Data Protection Authority: warning to a lawyer for the leak of data of 2,950 complainants via an open Google Drive link

Регулятор признал незаконным обработку персональных данных, которую организовал адвокат при подаче жалобы в провинциальный Орден врачей. Он приложил к жалобе ссылку на папку в Google Drive с открытыми правами доступа, из-за чего данные 2950 человек (имена, даты рождения, адреса, налоговые коды и копии удостоверений) стали доступны третьим лицам и были распространены в социальных сетях. Орден также передал жалобу врачу с активной ссылкой. Адвокат закрыл доступ и удалил файлы после обнаружения проблемы. На основании статей 5 и 32 GDPR регулятор вынес ему официальное предупреждение без штрафа, учитывая отсутствие выгоды и содействующую роль Ордена; решение подлежит публикации.

20 F 4.25

Заявитель, добивающийся в основном производстве сведений о данных, которые хранит о нём Федеральная разведывательная служба (BND), оспорил отказ высшего надзорного органа передать суду четыре истребованных документа (Sperrerklärung). Специальный сенат отказал: раскрытие обнажило бы конкретные схемы взаимодействия разведки с иностранными и внутренними службами, её методы и приёмы сбора сведений, что вредит благу федерации по § 99 Положения об административном судопроизводстве; защищены и персональные данные сотрудников и третьих лиц. Общая известность такого сотрудничества и уже полученные заявителем ответы других ведомств значения не имеют, а частичное снятие вымарываний в служебной записке подтверждает соразмерность.

Federal Fiscal Court, case No. VII B 128/25: coercive measures for incomplete disclosure under Art. 15 GDPR

Инспекция, обязанная вступившим в силу решением выдать взыскателю сведения по ст. 15 GDPR, прислала обзорные выписки, предварив их общей оговоркой об ограничениях по ст. 23 GDPR; финансовый суд счёл обязанность исполненной и в судебном штрафе и аресте отказал. Суд отменил это определение и вернул дело: взыскание с органа неденежного исполнения ведётся по § 154 Положения о финансовых судах (штраф до 1000 евро, арест исключён, требуется исполнительная надпись), а вымарывания и оговорки об ограничениях орган обязан объяснить, иначе ответ полным не считается.

VII B 129/25

Взыскательница требовала принудить налоговую инспекцию, обязанную вступившим в силу решением выдать сведения по ст. 15 GDPR, но ответившую выписками с общей оговоркой об ограничениях по ст. 23 GDPR. Суд отменил определение финансового суда и вернул дело: принуждение органа к неденежному действию идёт по § 154 Положения о финансовых судах, а не по § 888 ГПК ФРГ, поэтому потолок судебного штрафа — 1000 евро, арест к органу неприменим и нужна исполнительная надпись. Оговорка без пояснений полноты ответа не доказывает, а суд решил дело, не дождавшись позиции инспекции.

Federal Fiscal Court, Case IX R 19/22: Unrestricted Data Access Request and the Excessiveness Test

Супруг проверяемой предпринимательницы, чей мобильный номер инспектор без согласия переслала незашифрованным письмом на рабочую почту жены (нарушение инспекция признала и сообщила надзорным органам), потребовал сведения о своих данных. Суд отменил отказ в этой части и вернул дело: запрос не становится чрезмерным по ст. 12(5) GDPR лишь оттого, что не ограничен по кругу данных и по периоду, а несоразмерность усилий вовсе не основание для отказа; ссылаться на чрезмерность обязан сам орган, чего он не сделал. В остальном жалоба отклонена, требования, впервые заявленные в суде, недопустимы.

Notice of the Cyberspace Administration of China on Public Consultation on the Draft Measures for Network Data Security Risk Assessment

Управление по киберпространству КНР вынесло на общественное обсуждение проект правил оценки рисков безопасности сетевых данных. Документ устанавливает порядок проведения, организации и контроля таких оценок для операторов сетей в Китае с опорой на законы о кибербезопасности и защите данных. Важные операторы обязаны проводить ежегодную оценку и направлять отчёт регулятору; операторам обычных данных рекомендуется делать это не реже одного раза в три года. Оценку можно выполнять самостоятельно или через аккредитованную организацию, запрещено взимать плату за проверки регуляторов. За несоблюдение предусмотрены меры вплоть до остановки обработки важных данных и ответственности по закону.

Decision of the Italian Data Protection Authority of December 4, 2025 [10210784]

Регулятор признал, что Высший институт здравоохранения нарушил GDPR и итальянский Кодекс о защите персональных данных. Нарушения заключались в неполном информировании заявителя — члена Ревизионной коллегии — об обработке его данных (отсутствовали контакты DPO) и необоснованной передаче третьим лицам сведений о его страховом случае и переписке с работодателем под видом «законного интереса». Институт получил официальное предупреждение; иные корректирующие меры не применены ввиду малозначительности нарушения и сотрудничества при проверке.

Italian Data Protection Authority: warning to the provincial branch of ANMIC in Ravenna for providing incorrect contact details for data subjects’ rights

Регулятор установил, что провинциальное отделение Национальной ассоциации инвалидов и гражданских увечных (ANMIC) в Равенне нарушило требования прозрачности GDPR. В уведомлении субъектам были указаны ошибочный адрес электронной почты и ссылка на другое подразделение в Риме как точки контакта для реализации прав по статьям 15–22 GDPR. Организация объяснила это технической опечаткой. Учитывая отсутствие умысла, единичный характер жалобы, принятые меры по недопущению повторения и отсутствие прошлых нарушений, регулятор квалифицировал нарушение как незначительное и ограничился предупреждением.

Italian Data Protection Authority: warning to a professional for failure to respond to an access request

Регулятор установил, что специалист нарушила ст. 12 в связи со ст. 15 GDPR, не ответив вовремя на запрос субъекта об ознакомлении с его персональными данными и данными несовершеннолетних детей, использованными при подготовке экспертного заключения для гражданского процесса. Ответ был дан только после обращения органа. Учитывались отсутствие умысла, единичный характер нарушения, добровольное устранение последствий и отсутствие прошлых нарушений; деяние квалифицировано как «незначительное». Орган объявил обработку незаконной, вынес официальное предупреждение по ст. 58(2)(b) GDPR и опубликовал решение.

Decision of the Italian Data Protection Authority of December 4, 2025 [10221993] on the data protection impact assessment (DPIA) for body-worn cameras of the local police of Pescara

Регулятор рассмотрел четвёртую версию оценки воздействия на защиту данных (DPIA), представленную муниципалитетом Пескары для внедрения нательных камер местной полицией. Орган указал, что сохраняются существенные недостатки: не определён срок хранения лог-файлов; нет пояснений об использовании SIM-карт в устройствах и связанных рисках передачи данных за пределы ЕС; выбор облачного решения американского поставщика недостаточно обоснован с точки зрения сравнительного анализа и рисков доступа провайдера к данным в открытом виде. На этом основании регулятор вынес отрицательное заключение.

Federal Fiscal Court, case No. IX R 17/23: GDPR Article 82 damages claim without a prior request to the tax office is inadmissible

Истец, оспаривавший в суде отказ налоговой инспекции предоставить документы по ст. 15 абз. 3 GDPR, впервые заявил требование о возмещении вреда по ст. 82 GDPR прямо в ходе судебного процесса, минуя инспекцию, и потребовал не менее 1000 евро.

Федеральный финансовый суд отклонил кассационную жалобу: такое расширение иска — это изменение предмета спора, а для него нужна собственная предпосылка для обращения в суд (Beschwer) по § 40 абз. 2 Положения о финансовых судах (FGO), то есть предварительный отказ инспекции удовлетворить именно требование о возмещении вреда; суд первой инстанции должен был признать иск в этой части недопустимым, а не рассматривать по существу.

Решение подтверждает практику суда (постановление от 15.09.2025 по делу IX R 11/23): требование о возмещении вреда по ст. 82 GDPR нельзя впервые заявлять в суде — сначала нужно обратиться с ним к самому органу и получить отказ. Суд также отклонил процессуальные возражения истца и не усмотрел необходимости обращаться в Объединённый сенат высших судов или в Суд ЕС, сочтя правовой вопрос очевидным (acte clair).

26 C 160/2022-227 - on payment of CZK 8,937,613 with accessories

Оправданная бывшая министр обороны требовала от государства расходов на защиту и компенсации морального вреда за незаконное преследование по обвинению в злоупотреблении полномочиями при закупке самолётов и за девятилетнюю длительность процесса. Часть сумм казна выплатила добровольно, извинившись. Верховный суд решением № 30 Cdo 703/2025 отменил прежние акты и велел проверить, не нарушили ли органы расследования презумпцию невиновности. При новом рассмотрении суд в оставшейся части отказал: выплаченного достаточно, что подтвердило сравнение с делами, где преследование длилось дольше и последствия были тяжелее. Издержки распределены в пользу истицы.

Italian Data Protection Authority: warning to lawyers for unlawful processing of a conversation recording

Регулятор признал незаконным использование двумя адвокатами записи частного разговора, сделанной одним из участников без уведомления другого. Запись была использована в судебном споре о банкротстве и мировом соглашении. Суд счёл, что обработка нарушила принципы законности по ст. 5(1)(a) и основания обработки по ст. 6 GDPR. Учитывая отсутствие прецедентов и сложность корпоративного спора, нарушение квалифицировано как незначительное; регулятор вынес адвокатам официальное предупреждение согласно ст. 58(2)(b) GDPR.

Italian Data Protection Authority: warning to the Municipality of Pogliano Milanese for disclosing information about an ANAC check to the Prefecture

Регулятор признал незаконным обработку и передачу муниципалитетом Польяно-Миланезе в префектуру информации о том, что по сотруднице направлена проверка в ANAC. Орган квалифицировал нарушение как «незначительное» с учётом вводящего адреса получателя, отсутствия умысла, сотрудничества муниципалитета и принятых мер (внутренняя циркулярная инструкция), а также отсутствия прошлых нарушений такого рода. По ст. 58(2)(b) GDPR вынесено предупреждение; дополнительные корректирующие меры не назначены ввиду исчерпания последствий.

Italian Data Protection Authority: warning to a court for disclosing a judge’s health data

Регулятор признал незаконным обработку судом и органом самоуправления судей данных о состоянии здоровья заявителя при рассмотрении его просьбы о внутреннем переводе. Суд распространил информацию, прямо указав на «тяжёлые физические ограничения» и приложив справку INPS, а затем уведомил коллег с отсылкой к «личным обстоятельствам». На основании ст. 5(1)(a), (c) и 6 GDPR регулятор объявил обработку незаконной и вынес официальное предупреждение по ст. 58(2)(b) GDPR; дополнительные меры не применены ввиду разового характера нарушения и сотрудничества суда.

Notice of the Cyberspace Administration of China and the Ministry of Public Security on Public Consultation on the "Regulations on Personal Information Protection for Large...

Управление по киберпространству КНР и Министерство общественной безопасности опубликовали для общественного обсуждения проект правил защиты персональных данных пользователей крупных онлайн-платформ. Документ определяет критерии «крупной платформы» (от 50 млн зарегистрированных или от 10 млн активных пользователей в месяц), обязывает назначать ответственного за защиту данных с китайским гражданством, хранить данные внутри страны и обеспечивать пользователям права доступа, исправления и переноса информации. Вводятся требования к аудиту, оценке рисков и отчетности; при серьезных нарушениях регуляторы могут потребовать внешнего аудита или перемещения данных в сертифицированный центр.

5 C 172/2024-314 — 135,435 CZK with accessories

Суд обязал бывшего казначея профсоюза выплатить организации 132 435 чешских крон основного долга и законные проценты за просрочку в размере 14,75% годовых до фактической уплаты. Также он обязан возместить судебные издержки в сумме 154 780 чешских крон представителю истца. Оба платежа должны быть произведены в течение одного месяца со дня вступления решения в законную силу. В части требования о взыскании ещё 3 000 чешских крон иск был отклонён.

Italian Data Protection Authority: warning to Komplett Società Cooperativa for publishing a video of children without consent

Регулятор установил, что компания обработала и опубликовала онлайн видео с участием несовершеннолетних детей клиента в рамках летнего центра без получения отдельного согласия родителей. Действия признаны нарушением принципов законности обработки по ст. 5(1)(a) и правового основания по ст. 6(1)(a) GDPR. С учётом сотрудничества компании, отсутствия прошлых нарушений и быстрого удаления контента нарушение квалифицировано как незначительное. Компании вынесено предупреждение и предписано в течение 30 дней доработать формы согласований; при неисполнении возможна административная санкция.

Italian Data Protection Authority: data protection impact assessment for video surveillance in penitentiary institutions

Регулятор рассмотрел обновлённую оценку воздействия на защиту данных (DPIA) Министерства юстиции по системе удалённого просмотра изображений с камер наблюдения в тюрьмах. Первоначальное заключение от 10 июля 2025 года было отрицательным из-за восьми недостатков, включая неверное указание правового основания и отсутствие мер безопасности. После устранения замечаний регулятор вынес положительное заключение, подтвердив корректность правовой базы, оценки рисков, ролей участников, информирования субъектов, ведения логов, защиты работников, контроля доступа и локализации данных.

Decision of the China National Intellectual Property Administration on Amending the Guidelines for Patent Examination

Документ уточняет правила патентной экспертизы. Вводятся требования к указанию изобретателя как физического лица и проверке данных заявителей, а также обязанности патентных поверенных по верификации информации. Уточнены критерии оценки изобретательского уровня, единства изобретения и обращения с выделенными заявками при приоритете. Для заявок на алгоритмы, ИИ и бизнес-методы установлены запреты при нарушении закона или морали; приведены примеры недопустимых решений (сбор биометрии для маркетинга, сортировка людей по возрасту/полу). Определены условия раскрытия моделей ИИ и обработки данных в описании.

Measures for the Administration of Satellite Navigation and Positioning Reference Stations

Документ устанавливает порядок строительства, эксплуатации и обслуживания базовых станций спутниковой навигации в Китае. Он обязывает соблюдать единое планирование, стандарты и надзор, проходить регистрацию (уведомление) до начала работ и при изменениях, а также использовать национальную геодезическую основу для измерений. Вводятся требования к квалификации организаций, безопасности данных и шифрованию каналов; передача важных данных за рубеж требует оценки безопасности по национальным правилам. За нарушения предусмотрены санкции по Закону о геодезии КНР и законам о защите государственной тайны и безопасности данных.