Документы

Федеральный финансовый суд, дело № IX R 22/22: объём доступа к своим персональным данным в налоговой инспекции

Налогоплательщик, привлечённый к ответственности за чужие налоговые долги, требовал от налоговой инспекции сведения о своих персональных данных по ст. 15 GDPR, а финансовый суд Мюнхена ему отказал. Суд отменил решение и вернул дело: регламент действует независимо от того, ведётся ли дело на бумаге или электронно; правовой анализ как таковой доступу не подлежит, но использованные в нём персональные данные подлежат; запрос не становится чрезмерным лишь оттого, что заявитель уже знакомился с материалами. Права на ознакомление с делом ст. 15 не даёт, а копии документов выдаются, только если заявитель докажет их необходимость.

Орган по защите данных Венгрии (NAIH): невыполнение запроса на удаление и нарушение обязанности информирования

Регулятор установил, что компания нарушила ст. 17(1)(c) GDPR из-за задержки с полным удалением персональных данных заявителя после его требования от 12 октября 2023 года; полное удаление выполнено только 8 февраля 2024 года. В частичном удовлетворении иска регулятор отказал в обязании удалить данные, поскольку к моменту решения они уже были удалены, но возложил на компанию обязанность уведомлять заявителя о статусе будущих запросов на удаление и об обработке не подлежащих удалению данных — в течение 3 дней после истечения срока на обжалование или решения суда, подтверждая это письменно за 15 дней. За пропуск сроков рассмотрения орган уплатит заявителю 10 000 форинтов.

Орган по защите данных Венгрии (NAIH): нарушение требований безопасности при переносе базы клиентских данных обработчиком

Регулятор установил, что подрядчик нарушил ст. 32 GDPR из-за неправильной настройки межсетевого экрана после миграции БД с платёжными и идентификационными данными около 900 тыс. пользователей; уязвимость существовала примерно девять дней до взлома. Подрядчика оштрафовали на 2 млн форинтов со сроком уплаты 30 дней от вступления решения в силу, далее начисляется законный процент; при неуплате решение подлежит принудительному исполнению. В отношении заказчика процесс прекращён.

Орган по защите данных Венгрии: прозрачность информации о штрафе за парковку

Регулятор установил, что компания не предоставила субъекту персональных данных прозрачной и точной информации об обработке его данных в связи с начислением штрафа за парковку. Это нарушает принципы прозрачности и подотчётности GDPR (ст. 5(1)(a), 5(2), 12(1), 14(1)). Компанию обязали разместить на сайте корректную информацию об обработке и подтвердить это регулятору в течение 30 дней после вступления решения в силу; вынесено предупреждение как мера ответственности.

Орган по защите данных Венгрии: обработка требования без правового основания и невыполнение запроса на удаление

Регулятор установил, что компания обрабатывала персональные данные заявителя для взыскания задолженности после того, как суд признал её истечение срока давности, а также ссылалась на неверные правовые основания GDPR. Это признано нарушением ст. 6(1) и невыполнением запросов на удаление по ст. 17(1)(d) GDPR. Заявление об обязании удалить данные отклонено. Компания оштрафована на 10 млн венгерских форинтов за неосторожное нарушение с уплатой в течение 30 дней; обжалование — в Столичный суд.

Орган по защите данных Венгрии (NAIH): неправомерная обработка телефонного номера, невыполнение запроса об отказе и нарушение принципа подотчётности

Регулятор установил, что компания без правового основания обрабатывала личный номер телефона заявителя вопреки его прямому отказу и не выполнила требование о прекращении обработки. Нарушены GDPR ст. 5(2), 6(1)(a) и 21(1). Назначен штраф в размере 1 000 000 форинтов с уплатой в течение 30 дней после вступления решения в силу; при просрочке начисляется пеня по ставке базовой учётной ставки Нацбанка на начало полугодия. Судебное обжалование — в Столичный суд в течение 30 дней.

Орган по защите данных Венгрии: незаконная обработка персональных данных в связи с идеологиями отрицания государства

Регулятор установил, что Бенде Иштван и Беренчи Бела Миклош как операторы обрабатывали персональные данные без правового основания, не предоставляли информацию субъектам и нарушили принципы добросовестности и целевого ограничения. Ассоциация владельцев венгерского государства (MATT) также признана нарушившей GDPR. Им запрещено обрабатывать данные для противоправной цели; они обязаны удалить все незаконно обработанные персональные данные из указанных анкет и реестров. На каждого наложена административная санкция 500 000 форинтов со сроком уплаты 30 дней.

Орган по защите данных Венгрии (NAIH): запись звука на вокзалах и остановках системами видеонаблюдения

Регулятор установил, что оператор пригородных железных дорог нарушил GDPR в 2020–2024 годах при видеонаблюдении с записью звука на станциях и остановках. Нарушены принципы прозрачности, минимизации данных, ограничения хранения, а также требования об информировании субъектов и оценке воздействия; частично — основания обработки. Компании назначен штраф 50 млн форинтов, предписано опубликовать решение. На будущее регулятор предупредил, что аудиозапись допустима только после документированной оценки воздействия DPIA и подтверждения необходимости для выполнения задач общественного транспорта.

Орган по защите данных Венгрии (NAIH): публикация гомеопатических кейс-стади с персональными данными

Регулятор установил, что издательство нарушило GDPR, опубликовав в журнале два гомеопатических кейс-стади со сведениями об идентифицируемых лицах и их здоровье без надлежащего правового основания. Компанию признали виновной, но штраф не назначили из-за длительности процедуры и отсутствия умысла. NAIH обязал обеспечить надлежащую анонимизацию одного материала при повторной публикации и удалить персональные данные медработников из другого; исполнение — в течение 30 дней с подтверждением.

Федеральный патентный суд, дело № 29 W (pat) 39/21: товарный знак «крылья ангела» аннулирован из-за старшего авторского права

Податель жалобы добивался признания недействительным товарного знака — изображения двух крыльев со стразами, соединённых наподобие корсета (рег. № 30 2019 015 590), — утверждая, что создал этот мотив ещё в 2015 году раньше владельца знака; ведомство по товарным знакам (DPMA) отказало, сочтя рисунок недостаточно оригинальным.

Федеральный патентный суд решение DPMA отменил, товарный знак признал недействительным и предписал его аннулирование: корсетная шнуровка крыльев обладает достаточной творческой самостоятельностью по § 2 Закона об авторском праве (UrhG), чтобы охраняться как произведение искусства.

Суд допустил дальнейшую жалобу в Верховный суд ФРГ: открытым остаётся вопрос, действует ли в новом административном порядке оспаривания знаков по старшим правам принцип официального расследования, и совместимо ли правило о собственных судебных расходах сторон (§ 71 MarkenG) со ст. 14 директивы ЕС 2004/48/EC о взыскании расходов с проигравшей стороны.

Орган по защите данных Венгрии (NAIH): реализация права на доступ и адвокатская тайна

Регулятор установил, что адвокат нарушил ст. 15(1) GDPR, не предоставив субъекту полную информацию о его персональных данных в ответ на запрос доступа. Ссылка адвоката на абсолютную профессиональную тайну признана неприменимой к данным об обработке информации субъекта. Адвокату предписано предоставить требуемую информацию в течение 30 дней с подтверждением регулятору; за невыполнение предусмотрено принудительное исполнение решения. В будущем при аналогичных нарушениях будет рассматриваться вопрос о наложении штрафа по ст. 83 GDPR.

Орган по защите данных Венгрии (NAIH): обработка персональных данных благотворительным фондом

Регулятор установил, что фонд нарушил GDPR при сборе пожертвований по телефону. Нарушения включали отсутствие прозрачной информации о целях и правовом основании обработки, несоблюдение принципа прозрачности, воспрепятствование реализации субъектных прав и обработку без правового основания. На основе ст. 58(2)(d) GDPR фонду предписано привести практику в соответствие с законом или удалить базу данных и отчитаться регулятору; до истечения сроков на обжалование данные удалять нельзя. Назначен штраф в размере 1 000 000 форинтов.

Орган по защите данных Венгрии (NAIH): информирование о видеонаблюдении в отделении банка

Регулятор установил, что банк нарушил GDPR ст. 12(3) и 13(1)-(2), не обеспечив надлежащее информирование об обработке персональных данных камерами в зоне банкоматов и несвоевременно ответив на запрос субъекта данных о доступе к записям. За нарушения во всех отделениях с банкоматами банку назначен штраф 60 млн форинтов со сроком уплаты 30 дней; требование обязать опубликовать уведомление регулятор прекратил производством. Обжалование — в столичный суд.

Орган по защите данных Венгрии (NAIH): реализация прав субъекта данных, идентификация и содействие их осуществлению

Регулятор рассмотрел жалобу клиента банка на обработку его персональных данных при идентификации с помощью электронной подписи и хранении копий документов. NAIH отказал в обязании банка выполнить требования GDPR-запросов заявителя, прекратить использование пэда для подписей и выплатить компенсацию, поскольку эти вопросы выходят за рамки полномочий органа или требуют судебного разбирательства. За превышение срока рассмотрения регулятор присудил заявителю 10 000 форинтов.

Орган по защите данных Венгрии (NAIH): обработка данных курьерской компанией

Регулятор признал, что курьерская компания нарушила ст. 5(1)(a) и ст. 13 GDPR, рассылая прямые маркетинговые письма получателям посылок без правового основания и не отвечая на жалобу субъекта. Компании запрещено обрабатывать имена и адреса e-mail для таких рассылок в отсутствие информирования; предписано перейти на правовое основание (например, согласие), предоставить информацию субъектам и прекратить использование данных тех, кто согласия не дал. Назначен штраф 5 млн форинтов с уплатой в течение 30 дней; исполнение требований — также в течение 30 дней.

Орган по защите данных Венгрии (NAIH): камеральная обработка персональных данных

Регулятор установил, что собственник незаконно обрабатывал персональные данные соседей и прохожих двумя камерами во дворе здания и на общественной территории без правового основания. Нарушение GDPR ст. 6(1) подтверждено; штраф и запрет не назначены, поскольку камеры уже демонтированы. Требование о принудительном демонтаже прекращено как утратившее предмет. Обжаловать решение можно в административном суде — иск подаётся через NAIH в течение 30 дней с обязательным представительством.

Орган по защите данных Венгрии (NAIH): публикация прессой изображения частного дома политика и данных электронного строительного журнала в рамках освещения общественно значимого вопроса

Регулятор установил, что СМИ опубликовали изображение жилища публичного лица и данные из его электронного строительного журнала без надлежащего информирования субъекта. Нарушены требования GDPR об информации при получении данных не от субъекта (ст. 14) и при их прямом сборе (ст. 13). Оператор признан нарушившим регламент; штраф не назначен с учётом обстоятельств и отсутствия прошлых нарушений.

Орган по защите данных Венгрии (NAIH): практика обработки данных при покупке алкогольной продукции

Регулятор обязал ритейлера ALDI выплатить штраф 80 млн форинтов за нарушения GDPR при проверке возраста покупателей алкоголя. Компания не обеспечила прозрачность, незаконно собирала даты рождения через кассу и хранила их в логах до 180 дней без надлежащего информирования субъектов. Решение должно быть опубликовано на сайте NAIH и на главной странице сайта компании минимум на 30 дней; исполнение — в течение 30 дней с момента вступления решения в силу.

Орган по защите данных Венгрии (NAIH): нарушение обязанностей по информированию при обработке данных в рамках договора жилищных сбережений

Регулятор установил, что кооператив нарушил GDPR ст. 6(1) и ст. 13(1)-(2), а финансовая организация — GDPR ст. 14(2)(f), не предоставив заявителю информацию об обработке его персональных данных после идентификации клиента по закону о противодействии отмыванию денег. В удовлетворении требований заявителя отказать; обязанных к представлению недостающих документов регулятор не уполномочен понуждать в данном производстве. За просрочку рассмотрения орган выплатит заявителю 10 000 форинтов. Постановление может быть оспорено в административном суде в течение 30 дней.

Орган по защите данных Венгрии: запись разговоров в телефонной службе поддержки клиентов

Регулятор признал, что компания нарушила принципы прозрачности и подотчётности GDPR при записи звонков в службу поддержки. Компанию обязали за 30 дней раскрыть клиентам, что разговоры с выездными инженерами через линию поддержки также записываются. За нарушение назначен штраф 1 млн венгерских форинтов; уплата — в течение 30 дней, далее начисляется законный процент. Решение можно оспорить в административном суде Будапешта.

Верховный суд Венгрии: отказ в пересмотре решения по делу NAIH-19-18/2024 о штрафе за обработку паспортов и счетов

Верховный суд Венгрии отказался принять кассационную жалобу компании на решение, которым Национальный орган по защите данных (NAIH) признал нарушения GDPR при сборе копий удостоверений личности, адресных справок и счетов за электроэнергию для программы энергоэффективности. Орган установил отсутствие прозрачного информирования, избыточный сбор документов, слабый контроль доступа к базе без двухфакторной аутентификации и назначил штраф 75 млн форинтов с требованием привести практику в соответствие со ст. 5–6, 12–14, 28, 32 GDPR и опубликовать решение. Суд счёл, что доводы не достигают порога «особой тяжести» или «общественной значимости», поэтому кассация неприемлема.

Орган по защите данных Венгрии (NAIH): незаконная обработка персональных данных в рамках регистрации с требованием загрузки копии документа

Регулятор установил, что оператор программы энергоэффективности незаконно обрабатывал персональные данные участников. Нарушения включали отсутствие прозрачности и законного основания, избыточный сбор копий документов для подтверждения личности при онлайн-регистрации, а также несоблюдение обязанностей по информированию и обеспечению безопасности за несколько периодов 2021–2024 гг. Оператору предписано привести практику в соответствие с GDPR, изменить информационное уведомление и опубликовать решение; назначена административная санкция в размере 75 млн форинтов.

Орган по защите данных Венгрии: утечка персональных данных из-за ошибочной конфигурации веб-сайта

Орган по защите данных Венгрии установил, что юридическая фирма нарушила ст. 32(1)(d) GDPR, не обеспечив безопасность обработки на сайте: в рабочей среде применили тестовую конфигурацию и допустили конфликт плагинов, из-за чего данные примерно 62 заявителей (ФИО, e-mail, телефон и др.) индексировались поисковиками. Регулятор вынес предупреждение с публикацией решения на сайтах органа и оператора в течение 30 дней после вступления в силу минимум на 30 дней; новое нарушение учтут как отягчающее. Апелляция — в Столичный суд в течение 30 дней.

Орган по защите данных Венгрии: отказ от рассылки новостных писем и отзыв согласия

Венгерский регулятор установил, что компания нарушила ст. 6(1)(a), 12(3) и 25(1) GDPR, продолжая рассылать рекламные письма после отказа пользователя в 2019 году. Нарушение длилось с 30 июля 2019 по 11 мая 2021 из-за технической ошибки при обработке запросов на отписку. Компанию обязали в течение 30 дней уведомить заявителя об удалении его адреса из базы рассылки и подтвердить это ведомству; за невыполнение решение подлежит принудительному исполнению.

Федеральный верховный суд Венгрии: нарушение правил защиты персональных данных

Суд рассмотрел жалобу гражданина против органа по защите данных Венгрии относительно публикации двух статей с персональными данными заявительницы, включая ее фото и информацию о профессиональной деятельности. Суд установил нарушение норм венгерского законодательства и Директивы 95/46/EC (GDPR) о защите персональных данных, признав неправомерным распространение информации без согласия заявительницы. Суд назначил штраф гражданину за нарушение правил защиты данных и обязал удалить персональные данные из публикаций.