Документы

Гарант защиты персональных данных Италии: предупреждение адвокату за отправку процессуальных документов на профессиональную PEC после возражений

Регулятор установил, что адвокат нарушил ст. 5(1)(a) и 6 GDPR, направив в 2020 году документы на профессиональный адрес электронной почты заявителя (PEC), несмотря на его возражения и указание почтового адреса. Судебная реформа об обязательной рассылке через PEC вступила позже, поэтому использование PEC не было обязательным. Регулятор признал обработку незаконной, но ограничился предупреждением по ст. 58(2)(b) GDPR без штрафа с учётом обстоятельств. Внесена запись о нарушении; решение можно оспорить в суде.

Гарант защиты персональных данных Италии: предупреждение муниципалитету Тире за публикацию ФИО в протоколах на сайте

Регулятор установил, что муниципалитет Тире нарушил принцип минимизации (ст. 5(1)(c) GDPR), опубликовав имя и фамилию заявителя в онлайн-протоколах заседаний совета и правления без необходимости для целей прозрачности. Орган признал нарушение «незначительным» с учётом малого размера муниципалитета, отсутствия умысла, ограниченного объёма раскрытых данных, оперативного устранения нарушения по требованию ведомства и отсутствия прошлых нарушений RGPD. Вместо штрафа регулятор вынес официальное предупреждение по ст. 58(2)(b) GDPR и распорядился внести запись о нарушении во внутренний реестр.

Гарант защиты персональных данных Италии: предупреждение адвокату за незаконную передачу сведений о погашенном долге через PEC

Регулятор установил, что адвокат по взысканию долгов нарушил ст. 5 и 6 GDPR, направив уведомление об отмене удержания из зарплаты на служебный адрес электронной почты (PEC) бывшего места работы гражданина — в местную станцию карабинеров вместо централизованного административного офиса. Это привело к раскрытию информации о существовании долга сотрудникам, не уполномоченным её получать. Орган признал нарушение незначительным ввиду отсутствия умысла и выгоды, объявил обработку незаконной и вынес официальное предупреждение без штрафа согласно ст. 58(2)(b) GDPR с публикацией решения.

Гарант защиты персональных данных Италии: предупреждение АЗЛ Вербанио Кузио Оссола за передачу работодателю в рамках взыскания налогов

Регулятор признал незаконным раскрытие местным органом здравоохранения новому работодателю сведений о трудоустройстве должника при ответе на запрос об обращении взыскания по налогам. Организацию предупредили за нарушение принципов законности, справедливости и прозрачности (ст. 5(1)(a) GDPR), правового основания обработки (ст. 6 GDPR) и ст. 2-тер Кодекса; иные корректирующие меры не применены ввиду исчерпания последствий. Учреждение обязано опубликовать решение и провело обучение персонала.

Гарант защиты персональных данных Италии: предупреждение государственному институту Enrico Fermi – Leonardo da Vinci за рассылку PEI и дат рождения учеников

Регулятор признал незаконной обработку школой в Эмполи персональных данных ученика — рассылки приглашения на PEI по адресам всего класса, а также отправки родителям списка одноклассников с датами рождения. Школа признала ошибку при выборе получателей и настройках ПО, направила уведомление об исправлении и запросе удаления, ограничила будущие списки именами и фамилиями и провела инструктаж персонала. Учитывая малый размер учреждения, непреднамеренный характер, принятые меры смягчения и отсутствие прошлых нарушений, регулятор ограничился предупреждением без дополнительных санкций.

Гарант защиты персональных данных Италии: предупреждение адвокату за незаконное распространение записей телефонных разговоров

Регулятор признал незаконным обработку и распространение адвокатом содержания перехваченных телефонных переговоров, включая их прослушивание третьим лицам и передачу материалов для публикации. Суд установил нарушение ст. 6 GDPR (отсутствие правового основания) и принципов законности, прозрачности, минимизации; политическое использование не признано допустимым основанием. Прямые денежные санкции не применены ввиду масштаба и отсутствия прошлых нарушений, но вынесено официальное предупреждение по ст. 58(2)(b) GDPR с публикацией решения и внесением записи в реестр.

Гарант защиты персональных данных Италии: предупреждение кооперативу L’Alba за несвоевременный ответ на запрос доступа по ст. 15 GDPR

Регулятор установил, что социальная кооперативная организация L’Alba нарушила сроки ответа на запрос субъекта о доступе к данным по ст. 12(3) и ст. 15 GDPR — ответ был дан спустя почти год после запроса и только после жалобы в надзорный орган. Кооператив сослался на экономический кризис, дефицит бюджета, сокращение числа участников и переезд офиса с переносом ИТ-инфраструктуры как причины задержки. Орган признал нарушение «незначительным» с учётом смягчающих обстоятельств (первичное нарушение, сотрудничество, социально значимая деятельность), ограничился предупреждением по ст. 58(2)(b) GDPR без дополнительных корректирующих мер и постановил опубликовать решение.

Предупреждение Гаранта защиты персональных данных Италии от 29 января 2026 г. [10223836]

Регулятор признал, что муниципалитет Мирабелла Эклано нарушил GDPR, опубликовав в открытом доступе на сайте полные личные данные и сведения о судебном споре заявителя, а также ответил на запрос об ограничении обработки с опозданием более чем на два месяца. Орган квалифицировал нарушение как «незначительное» по ст. 83(2) GDPR c учётом малого размера муниципалитета, отсутствия умысла, прекращения нарушения до начала проверки и принятых корректирующих мер, и вместо штрафа вынес предупреждение по ст. 58(2)(b) GDPR с внесением сведений во внутренний реестр.

Уведомление Управления по киберпространству КНР о публичном сборе мнений по проекту Руководства по классификации и градации данных финансовых информационных услуг

Управление по киберпространству КНР вынесло на общественное обсуждение проект руководства, устанавливающего правила классификации и градации данных в сфере финансовых информационных услуг. Документ определяет термины (включая «финансовая информационная услуга», «важные данные» и «ключевые данные»), классифицирует данные по трём категориям и 66 подкатегориям и вводит четырёхуровневую шкалу от ключевых до обычных данных с учётом покрытия, точности и потенциального вреда. Поставщики таких услуг должны проводить инвентаризацию, присваивать категории и уровни, формировать перечни важных данных и регулярно их актуализировать; каталоги важных данных подлежат периодической отчётности перед регулятором. Сбор мнений открыт до 23 февраля 2026 года.

Уведомление об утверждении «Методов классификации сетевой информации, которая может повлиять на физическое и психическое здоровье несовершеннолетних

Документ утверждает методы классификации онлайн-информации, способной негативно влиять на несовершеннолетних. Он определяет виды такого контента (включая насилие, экстремизм, неэтичное поведение, опасное вождение, побуждение к неразумным тратам), требования к предупреждениям перед показом и запрет на его продвижение в заметных местах сервисов. Провайдеры обязаны внедрить системы управления безопасностью и алгоритмические меры для недопущения рекомендаций подобного контента детям. Нарушения влекут ответственность по законам КНР о кибербезопасности и защите несовершеннолетних.

Предписание от 16 января 2026 г. [10220288]

Регулятор по защите данных Италии признал незаконной обработку персональных и медицинских данных учителя государственной школой «Alghero 2» из-за раскрытия сведений в ответе профсоюзу, где данные двух сотрудников были объединены в одном письме. Школа признана виновной в нарушении принципов законности, корректности и прозрачности (ст. 5(1)(a), 6 и 9 GDPR; ст. 2-тер Кодекса). Вместо штрафа регулятор вынес официальное предупреждение с учётом единичного характера нарушения, отсутствия умысла и принятых мер профилактики, а также обязал опубликовать решение.

Гарант защиты персональных данных Италии: предупреждение Ostilia S.r.l. за рассылку e-mail с данными должников

Регулятор установил, что поставщик услуг водоснабжения Ostilia S.r.l. 9 мая 2023 года отправил одно письмо по электронной почте примерно 37 получателям, включая заявительницу, раскрыв их имена и адреса почты, а также сведения о предполагаемой задолженности. Орган признал обработку незаконной в нарушение статей 5(1)(a), 5(1)(f) и 6(1)(a) GDPR, но ограничился предупреждением ввиду непреднамеренного характера (опечатка), сотрудничества компании, отсутствия прошлых нарушений и её нахождения в процедуре урегулирования долгов. Предписано внести запись во внутренний реестр и опубликовать решение.

Закон Финляндии об изменении законодательства о обработке персональных данных в Рапортуусасоисюстеемиссä

Закон Финляндии изменяет законодательство о персональной информации, обрабатываемой в рамках Рапортуусасоисюстеемиссä (Рапортная система следственных органов). Предлагается расширить полномочия Рапортной системы по обмену информацией с другими государственными органами, включая возможность запрашивать мнения от полиции относительно подозреваемых лиц и их связей с серьезными и организованными преступлениями. Также предусматривается расширение возможностей обмена данными между налоговыми органами и органами труда, включая автоматический доступ к данным о налоговых задолженностях и нарушениях трудовых норм. Закон вступает в силу 1 августа 2026 года.

Федеральный административный суд, дело № 2 B 30.25: письма из семейного процесса в дисциплинарном деле

Бывшая комиссар полиции обжаловала отказ в допуске кассации по делу о лишении пенсии за нарушение обязанности верности конституции («рейхсбюргерство»): дисциплинарный орган использовал против неё письма судьям по семейным делам и «заявление» в посольство, переданные полицией без её согласия. Федеральный административный суд отклонил жалобу: запрет на использование доказательств в берлинском законе о дисциплинарных мерах действует только при нарушении обязанности разъяснения прав (§ 20 абз. 3), общего запрета на незаконно полученные сведения нет — решает баланс интересов государства и защиты личных данных. Письма не касались данных детей и тайну семейного процесса не нарушают, поэтому обоснованно легли в основу увольнения; доводы о просрочке дела и ходатайство о бесплатном представителе суд тоже отклонил.

Уведомление Управления по киберпространству КНР о публичном сборе мнений по проекту Положения о сборе и использовании личной информации в интернет-приложениях

Управление по киберпространству КНР опубликовало для общественного обсуждения проект правил, регулирующих сбор и использование персональных данных в мобильных приложениях. Правила обязывают разработчиков приложений, поставщиков SDK, магазины дистрибуции и производителей устройств обеспечивать прозрачность, получать отдельное согласие на обработку чувствительных данных (включая биометрию), предоставлять функции отзыва согласия и удаления аккаунта с удалением данных в течение 15 рабочих дней. Магазины должны проверять приложения перед публикацией; производители устройств — реализовывать гранулярные разрешения и индикаторы использования камеры/микрофона/геолокации. За нарушения предусмотрена ответственность по законам «О кибербезопасности», «О защите персональной информации» и Регламенту управления безопасностью сетевых данных. Сбор мнений открыт до 9 февраля 2026 года.

Правила надзора и управления правилами платформ онлайн-торговли

Документ устанавливает требования к разработке, изменению и применению правил платформами онлайн-торговли в Китае. Он обязывает операторов публично размещать правила на главной странице с поиском по тексту, заблаговременно публиковать проекты для обсуждения (за 7–15 дней до вступления), сохранять историю версий не менее трёх лет и обеспечивать удобный выход пользователей при несогласии с изменениями без необоснованных условий. Вводятся запреты на навязывание согласия «по умолчанию», несправедливые ограничения продавцов, двойные сборы, ценовую дискриминацию и одностороннее ухудшение условий подписки; устанавливаются прозрачные процедуры апелляций, распределения бремени доказывания и защиты несовершеннолетних. За нарушения предусмотрены штрафы от 10 тыс. до 100 тыс. юаней или санкции по профильным законам.

Федеральный финансовый суд Германии, дело № IX B 36/25: отказ в ревизии по иску о компенсации по GDPR без досудебного обращения к налоговой

Заявительница требовала от налоговой инспекции копию персональных данных с метаданными по ст. 15 GDPR и компенсацию морального вреда по ст. 82 GDPR; Гессенский финансовый суд иск отклонил, и она добивалась допуска ревизии.

Суд отклонил жалобу как необоснованную: вопрос о метаданных значения не имеет, поскольку не установлено, что инспекция их хранила, а требование о компенсации по ст. 82 абз. 1 GDPR в финансовом суде недопустимо без предварительного отказа инспекции — так решил Федеральный финансовый суд 15.09.2025 по делам IX R 10/23 и IX R 11/23. Нарушения права быть услышанным суд не нашёл.

Жалоба отклонена, расходы — на заявительнице; решение подтверждает необходимость предварительного обращения к налоговому органу перед иском о компенсации по GDPR.

Орган по защите данных Венгрии: публикация гомеопатического кейс-стади и обработка персональных данных пациентов

Регулятор установил, что адвокатское бюро опубликовало на сайте идентифицируемое гомеопатическое кейс-стади с данными о болезни, сексуальной ориентации и религии пациента без надлежащего правового основания. Также были нарушены требования GDPR к информированию (ст. 13) и обработке специальных категорий данных (ст. 9). Бюро и лечащего врача предупредили; бюро обязали привести информационное уведомление и практику обработки в соответствие с требованиями регулятора и подтвердить это.

Орган по защите данных Венгрии: передача персональных данных в административном производстве

Регулятор признал, что районный офис неправомерно указал и передал адрес заявителей их отцу в повестке по делу об общении с внуками. Это нарушило принципы GDPR (ст. 5(1)(c) и ст. 6). Офис обязали привести обработку в соответствие — определить минимально необходимый набор данных для идентификации клиентов внутренним актом — и опубликовать решение на сайте органа; срок подтверждения — 30 дней после истечения срока обжалования. За пропуск органом сроков рассмотрения присуждена компенсация.

Орган по защите данных Венгрии (NAIH): обработка данных при приёме в общежитие Сегедского университета

Регулятор установил, что Сегедский университет нарушил GDPR при обработке данных абитуриентов на проживание в общежитии за 2022–2024 годы. Университет оштрафован на 2 млн форинтов; ему запрещено продолжать обработку без правового основания и с нарушением принципа минимизации, предписано удалить незаконно обработанные данные и предоставить субъектам корректную информацию об обработке с подтверждением регулятору в течение 45 дней. Решение подлежит исполнению, обжалуется в административном суде Будапешта.

Орган по защите данных Венгрии (NAIH): неправомерный доступ к системе EESZT и неисполнение запроса о доступе

Регулятор установил, что врач общей практики без правового основания 47 раз в течение почти двух лет получал доступ к медицинским данным бывшего пациента в системе EESZT. Врач не ответил на запрос субъекта данных об информации согласно ст. 15 GDPR. NAIH обязал врача предоставить информацию в течение 30 дней с подтверждением за 15 дней, отказал в запрете обработки и приведения её в соответствие с GDPR, но взыскал штраф 500 000 форинтов за нарушения ст. 5(2), 6(1), 9(2) и 12(2) GDPR, а также ст. 15(1) GDPR; заявителю присуждено 10 000 форинтов за просрочку рассмотрения.

Орган по защите данных Венгрии (NAIH): недостатки информирования в обработке данных интернет-магазина

Регулятор установил, что компания нарушила требования GDPR к прозрачности и информации для субъектов данных — ст. 12(1), ст. 13(1)(c,d,f) и ст. 13(2)(a). Компанию обязали привести обработку данных и содержание информационного уведомления в соответствие с GDPR и подтвердить это регулятору в течение 30 дней после вступления решения в силу. За выявленные нарушения назначен штраф 2 000 000 форинтов со сроком уплаты 30 дней; при неуплате начисляется пеня.

Орган по защите данных Венгрии (NAIH): недостатки информирования при обработке персональных данных в интернет-магазине

Регулятор установил, что оператор интернет-магазина нарушил GDPR — статьи 5(1)(a), 12(1), 13(1)(a),(c)-(f) и 13(2)(a)-(f) — из-за неполной и запутанной информации об обработке данных на сайте и блоге. Компании предписано за свой счёт привести информационные материалы к требованиям GDPR, устранить противоречия, устаревшие ссылки и некорректные термины, чётко определить категории данных, цели, правовые основания, получателей/сроки хранения и роли контролёров/процессоров; подтвердить исполнение с отслеживаемыми правками в течение 30 дней после вступления решения в силу. Назначен штраф 15 000 000 форинтов со сроком уплаты 30 дней.

Орган по защите данных Венгрии (NAIH): публикация доступности карты, созданной на основе утечки данных партии «Тиса», в статьях Mediaworks Hungary Zrt.

Регулятор признал, что издатель новостных порталов нарушил ст. 6(1) и ст. 9(1) GDPR, разместив ссылки/изображения интерактивной карты с именами, адресами, телефонами, e-mail, геокоординатами и политическими предпочтениями около 200 тыс. лиц без правового основания. Компании запрещено повторно публиковать доступ к карте; назначена публичность решения и штраф 50 млн форинтов со сроком уплаты 30 дней, при неуплате — пеня и принудительное взыскание. Обжалование возможно в течение 30 дней в Столичный суд Будапешта.

Временные меры по управлению утилизацией и комплексным использованием отработанных тяговых аккумуляторов для электромобилей

Документ устанавливает правила обращения с отработанными тяговыми батареями новых энергетических транспортных средств в Китае. Производители батарей обязаны кодировать изделия, создавать сеть пунктов приёма и нести ответственность за сбор; автопроизводители — собирать батареи со своих машин, информировать владельцев о процедуре утилизации через бортовые системы и публиковать данные сервисов. Передача собранных батарей допускается только уполномоченным предприятиям комплексной утилизации при соблюдении экологических и производственных требований. Вводится национальная платформа прослеживаемости с обязательной отчётностью (сроки от 15 до 40 дней) и контроль профильных ведомств.