Документы

Уведомление Управления по киберпространству КНР о публичном сборе мнений по проекту «Меры оценки рисков безопасности сетевых данных

Управление по киберпространству КНР вынесло на общественное обсуждение проект правил оценки рисков безопасности сетевых данных. Документ устанавливает порядок проведения, организации и контроля таких оценок для операторов сетей в Китае с опорой на законы о кибербезопасности и защите данных. Важные операторы обязаны проводить ежегодную оценку и направлять отчёт регулятору; операторам обычных данных рекомендуется делать это не реже одного раза в три года. Оценку можно выполнять самостоятельно или через аккредитованную организацию, запрещено взимать плату за проверки регуляторов. За несоблюдение предусмотрены меры вплоть до остановки обработки важных данных и ответственности по закону.

Решение Гаранта защиты персональных данных Италии от 4 декабря 2025 года [10210784]

Регулятор признал, что Высший институт здравоохранения нарушил GDPR и итальянский Кодекс о защите персональных данных. Нарушения заключались в неполном информировании заявителя — члена Ревизионной коллегии — об обработке его данных (отсутствовали контакты DPO) и необоснованной передаче третьим лицам сведений о его страховом случае и переписке с работодателем под видом «законного интереса». Институт получил официальное предупреждение; иные корректирующие меры не применены ввиду малозначительности нарушения и сотрудничества при проверке.

Гарант защиты персональных данных Италии: предупреждение провинциальному отделению ANMIC в Равенне за указание неверных контактов для реализации прав субъектов

Регулятор установил, что провинциальное отделение Национальной ассоциации инвалидов и гражданских увечных (ANMIC) в Равенне нарушило требования прозрачности GDPR. В уведомлении субъектам были указаны ошибочный адрес электронной почты и ссылка на другое подразделение в Риме как точки контакта для реализации прав по статьям 15–22 GDPR. Организация объяснила это технической опечаткой. Учитывая отсутствие умысла, единичный характер жалобы, принятые меры по недопущению повторения и отсутствие прошлых нарушений, регулятор квалифицировал нарушение как незначительное и ограничился предупреждением.

Гарант защиты персональных данных Италии: предупреждение специалисту за непредоставление ответа на запрос о доступе к данным

Регулятор установил, что специалист нарушила ст. 12 в связи со ст. 15 GDPR, не ответив вовремя на запрос субъекта об ознакомлении с его персональными данными и данными несовершеннолетних детей, использованными при подготовке экспертного заключения для гражданского процесса. Ответ был дан только после обращения органа. Учитывались отсутствие умысла, единичный характер нарушения, добровольное устранение последствий и отсутствие прошлых нарушений; деяние квалифицировано как «незначительное». Орган объявил обработку незаконной, вынес официальное предупреждение по ст. 58(2)(b) GDPR и опубликовал решение.

Решение Гаранта защиты персональных данных Италии от 4 декабря 2025 года [10221993] по оценке воздействия на защиту данных (DPIA) о нательных камерах муниципальной полиции Пескары

Регулятор рассмотрел четвёртую версию оценки воздействия на защиту данных (DPIA), представленную муниципалитетом Пескары для внедрения нательных камер местной полицией. Орган указал, что сохраняются существенные недостатки: не определён срок хранения лог-файлов; нет пояснений об использовании SIM-карт в устройствах и связанных рисках передачи данных за пределы ЕС; выбор облачного решения американского поставщика недостаточно обоснован с точки зрения сравнительного анализа и рисков доступа провайдера к данным в открытом виде. На этом основании регулятор вынес отрицательное заключение.

Федеральный финансовый суд, дело № IX R 17/23: иск о возмещении вреда по ст. 82 GDPR без обращения к налоговой инспекции недопустим

Истец, оспаривавший в суде отказ налоговой инспекции предоставить документы по ст. 15 абз. 3 GDPR, впервые заявил требование о возмещении вреда по ст. 82 GDPR прямо в ходе судебного процесса, минуя инспекцию, и потребовал не менее 1000 евро.

Федеральный финансовый суд отклонил кассационную жалобу: такое расширение иска — это изменение предмета спора, а для него нужна собственная предпосылка для обращения в суд (Beschwer) по § 40 абз. 2 Положения о финансовых судах (FGO), то есть предварительный отказ инспекции удовлетворить именно требование о возмещении вреда; суд первой инстанции должен был признать иск в этой части недопустимым, а не рассматривать по существу.

Решение подтверждает практику суда (постановление от 15.09.2025 по делу IX R 11/23): требование о возмещении вреда по ст. 82 GDPR нельзя впервые заявлять в суде — сначала нужно обратиться с ним к самому органу и получить отказ. Суд также отклонил процессуальные возражения истца и не усмотрел необходимости обращаться в Объединённый сенат высших судов или в Суд ЕС, сочтя правовой вопрос очевидным (acte clair).

Суд Чехии, дело № 26 C 160/2022: возмещение вреда за незаконное уголовное преследование и его длительность

Оправданная бывшая министр обороны требовала от государства расходов на защиту и компенсации морального вреда за незаконное преследование по обвинению в злоупотреблении полномочиями при закупке самолётов и за девятилетнюю длительность процесса. Часть сумм казна выплатила добровольно, извинившись. Верховный суд решением № 30 Cdo 703/2025 отменил прежние акты и велел проверить, не нарушили ли органы расследования презумпцию невиновности. При новом рассмотрении суд в оставшейся части отказал: выплаченного достаточно, что подтвердило сравнение с делами, где преследование длилось дольше и последствия были тяжелее. Издержки распределены в пользу истицы.

Суд Чехии, дело № 18 C 235/2025: заём, «подписанный» кодом из SMS, и проверка кредитоспособности

Небанковский кредитор с лицензией Чешского нацбанка взыскивал остаток потребительского займа в 41 000 Kč под 107,09 % годовых, оформленного дистанционно: заёмщица отправила SMS с уникальным кодом, который кредитор сам сгенерировал и прислал ей как назначение платежа в 1 Kč. Суд изучил свойства PDF: обе подписи проставил кредитор, сертификат неквалифицированный и выдан им же, текст договора создан позже мнимой подписи клиентки, а кредитоспособность оценена по анкете с недостоверными сведениями. Договор ничтожен, срок возврата долга (81 месяц по 500 Kč) не наступил — иск отклонён полностью.

Гарант защиты персональных данных Италии: предупреждение адвокатам за незаконную обработку записи разговора

Регулятор признал незаконным использование двумя адвокатами записи частного разговора, сделанной одним из участников без уведомления другого. Запись была использована в судебном споре о банкротстве и мировом соглашении. Суд счёл, что обработка нарушила принципы законности по ст. 5(1)(a) и основания обработки по ст. 6 GDPR. Учитывая отсутствие прецедентов и сложность корпоративного спора, нарушение квалифицировано как незначительное; регулятор вынес адвокатам официальное предупреждение согласно ст. 58(2)(b) GDPR.

Гарант защиты персональных данных Италии: предупреждение муниципалитету Польяно-Миланезе за передачу сведений о проверке ANAC префектуре

Регулятор признал незаконным обработку и передачу муниципалитетом Польяно-Миланезе в префектуру информации о том, что по сотруднице направлена проверка в ANAC. Орган квалифицировал нарушение как «незначительное» с учётом вводящего адреса получателя, отсутствия умысла, сотрудничества муниципалитета и принятых мер (внутренняя циркулярная инструкция), а также отсутствия прошлых нарушений такого рода. По ст. 58(2)(b) GDPR вынесено предупреждение; дополнительные корректирующие меры не назначены ввиду исчерпания последствий.

Гарант защиты персональных данных Италии: предупреждение суду за разглашение сведений о здоровье судьи

Регулятор признал незаконным обработку судом и органом самоуправления судей данных о состоянии здоровья заявителя при рассмотрении его просьбы о внутреннем переводе. Суд распространил информацию, прямо указав на «тяжёлые физические ограничения» и приложив справку INPS, а затем уведомил коллег с отсылкой к «личным обстоятельствам». На основании ст. 5(1)(a), (c) и 6 GDPR регулятор объявил обработку незаконной и вынес официальное предупреждение по ст. 58(2)(b) GDPR; дополнительные меры не применены ввиду разового характера нарушения и сотрудничества суда.

Закон о снижении уровня диабета у детей 2025 года

Закон обязывает размещать на этикетках и в рекламе продуктов с добавленным сахаром, подсластителями, ультрапереработанных товаров или высоким содержанием определённых нутриентов предупреждения FDA об опасности для здоровья. Для напитков с сахаром и продуктов с подсластителями предупреждение должно указывать, что они не рекомендованы детям. Запрещается реклама таких продуктов для лиц младше 18 лет; отсутствие предупреждений или обращение к детям считается недобросовестной практикой по FTC Act. Вводятся требования к размеру и размещению надписей (не менее 5% площади), а запреты вступают в силу через год после принятия закона.

Уведомление Управления по киберпространству КНР и Министерства общественной безопасности о публичном сборе мнений по проекту Положения о защите личной информации на крупных...

Управление по киберпространству КНР и Министерство общественной безопасности опубликовали для общественного обсуждения проект правил защиты персональных данных пользователей крупных онлайн-платформ. Документ определяет критерии «крупной платформы» (от 50 млн зарегистрированных или от 10 млн активных пользователей в месяц), обязывает назначать ответственного за защиту данных с китайским гражданством, хранить данные внутри страны и обеспечивать пользователям права доступа, исправления и переноса информации. Вводятся требования к аудиту, оценке рисков и отчетности; при серьезных нарушениях регуляторы могут потребовать внешнего аудита или перемещения данных в сертифицированный центр.

Уведомление Управления по киберпространству КНР о публичном сборе мнений по проекту Положения об управлении маркировкой кибербезопасности

Управление по киберпространству КНР и Министерство промышленности и информатизации вынесли на общественное обсуждение проект правил управления маркировкой кибербезопасности. Правила вводят добровольную трёхуровневую систему звёзд (базовый, усиленный, передовой) для продукции с подключением к интернету; уровень определяется тестированием в собственной или аккредитованной лаборатории, а для высшего уровня требуется пентест. Производители подают заявку онлайн через платформу уполномоченного института, который проверяет комплектность документов за 10 рабочих дней и публикует сведения; срок действия маркировки устанавливается правилами применения. За подделку, несоответствие фактическому уровню безопасности или ложную рекламу аннулируют регистрацию и не принимают заявки от нарушителя один год.

5 C 172/2024-314 — 135 435,- Kč с процентами

Суд обязал бывшего казначея профсоюза выплатить организации 132 435 чешских крон основного долга и законные проценты за просрочку в размере 14,75% годовых до фактической уплаты. Также он обязан возместить судебные издержки в сумме 154 780 чешских крон представителю истца. Оба платежа должны быть произведены в течение одного месяца со дня вступления решения в законную силу. В части требования о взыскании ещё 3 000 чешских крон иск был отклонён.

Гарант защиты персональных данных Италии: предупреждение Komplett Società Cooperativa за публикацию видео с детьми без согласия

Регулятор установил, что компания обработала и опубликовала онлайн видео с участием несовершеннолетних детей клиента в рамках летнего центра без получения отдельного согласия родителей. Действия признаны нарушением принципов законности обработки по ст. 5(1)(a) и правового основания по ст. 6(1)(a) GDPR. С учётом сотрудничества компании, отсутствия прошлых нарушений и быстрого удаления контента нарушение квалифицировано как незначительное. Компании вынесено предупреждение и предписано в течение 30 дней доработать формы согласований; при неисполнении возможна административная санкция.

Гарант защиты персональных данных Италии: оценка воздействия на защиту данных для системы видеонаблюдения в пенитенциарных учреждениях

Регулятор рассмотрел обновлённую оценку воздействия на защиту данных (DPIA) Министерства юстиции по системе удалённого просмотра изображений с камер наблюдения в тюрьмах. Первоначальное заключение от 10 июля 2025 года было отрицательным из-за восьми недостатков, включая неверное указание правового основания и отсутствие мер безопасности. После устранения замечаний регулятор вынес положительное заключение, подтвердив корректность правовой базы, оценки рисков, ролей участников, информирования субъектов, ведения логов, защиты работников, контроля доступа и локализации данных.

Решение Государственного управления по интеллектуальной собственности КНР о внесении изменений в Руководство по экспертизе патентов

Документ уточняет правила патентной экспертизы. Вводятся требования к указанию изобретателя как физического лица и проверке данных заявителей, а также обязанности патентных поверенных по верификации информации. Уточнены критерии оценки изобретательского уровня, единства изобретения и обращения с выделенными заявками при приоритете. Для заявок на алгоритмы, ИИ и бизнес-методы установлены запреты при нарушении закона или морали; приведены примеры недопустимых решений (сбор биометрии для маркетинга, сортировка людей по возрасту/полу). Определены условия раскрытия моделей ИИ и обработки данных в описании.

Правила управления базовыми станциями спутниковой навигации и позиционирования

Документ устанавливает порядок строительства, эксплуатации и обслуживания базовых станций спутниковой навигации в Китае. Он обязывает соблюдать единое планирование, стандарты и надзор, проходить регистрацию (уведомление) до начала работ и при изменениях, а также использовать национальную геодезическую основу для измерений. Вводятся требования к квалификации организаций, безопасности данных и шифрованию каналов; передача важных данных за рубеж требует оценки безопасности по национальным правилам. За нарушения предусмотрены санкции по Закону о геодезии КНР и законам о защите государственной тайны и безопасности данных.

PL 352/2025 — идентификация звонков, проверка личности при активации SIM-карт и запрет спуфинга

Поправки к Закону о телекоммуникациях № 9.472/1997 и Кодексу защиты потребителя № 8.078/1990 обязывают операторов мобильной связи маркировать звонки как «аутентифицированные» и подтверждать личность абонента при активации SIM-карт.

Операторы сверяют данные заявителя, включая биометрию или распознавание лица, с базами CPF, gov.br и избирательного реестра; активация по одному лишь номеру CPF запрещена, а плата с потребителя за проверку не взимается. Запрещены и приёмы, мешающие абоненту опознать или заблокировать коммерческий звонок: подмена номера (спуфинг), частая смена номеров, звонки короче трёх секунд.

За нарушение — штраф по тяжести и повторности, приостановка продаж услуг и ответственность оператора за вред от сбоев проверки. На переход отведено 360 дней с публикации закона.

PL 5606/2025: обязанность аптек и маркетплейсов указывать срок годности лекарств при онлайн-продаже

Обязывает аптеки, дрогерии и маркетплейсы указывать срок годности лекарств при дистанционной продаже.

На каждой странице или в карточке товара нужно на португальском языке разборчиво указать дату изготовления и срок годности, а если до истечения остаётся три месяца — предупредить об этом отдельно; эта информация должна быть доступна до оформления заказа. Запрещена продажа лекарств, курс приёма которых нельзя завершить до истечения срока годности; для рецептурных препаратов действуют дополнительные правила выдачи рецепта.

Правило распространяется на аптеки, дрогерии и электронные площадки, торгующие лекарствами; за нарушение — административная, гражданская и уголовная ответственность по ст. 31 Кодекса защиты потребителей (Código de Defesa do Consumidor). Закон вступает в силу через 90 дней после публикации.

Федеральный финансовый суд, дело № IX R 28/23: доступ к данным, которые налогоплательщик передал сам

Работодатель, прошедший проверку по налогу на доходы с заработной платы, потребовал сведения обо всех данных, собранных и созданных в ходе этой проверки. Суд отклонил кассационную жалобу инспекции: ст. 15 GDPR не знает ограничения, которое ст. 13 и 14 регламента делают для случаев, когда лицо уже осведомлено, — доступ сохраняется и тогда, когда данные исходят от самого заявителя и переданы им при проверке. Обязанность считается исполненной лишь при заявлении о полноте ответа; обмен документами в ходе проверки, состоявшийся до подачи заявления, таким ответом не является.

Решение Постоянного комитета Всекитайского собрания народных представителей о внесении изменений в Закон КНР «О кибербезопасности

Акт изменяет Закон КНР «О кибербезопасности» с 1 января 2026 года. Вводятся принципы руководства Компартии и координации развития и безопасности, поддержка ИИ-инфраструктуры и этики, а также применение ИИ для управления безопасностью. Уточняются обязанности операторов сетей по обработке персональных данных во взаимосвязи с Гражданским кодексом и Законом о защите персональной информации. Пересматриваются штрафы за неисполнение обязанностей (до 10 млн юаней), оборот несертифицированного оборудования, нарушения при сертификации/оценке рисков и модерации контента; добавляются санкции вплоть до приостановки деятельности и аннулирования лицензий.

Закон Китайской Народной Республики о кибербезопасности

Закон устанавливает требования к защите сетей, данных и личной информации на территории КНР. Он обязывает операторов сетей соблюдать режимы защиты по уровням, а владельцев критической информационной инфраструктуры — дополнительные меры (безопасность закупок, хранение важных данных внутри страны, ежегодные оценки). Вводятся обязанности по идентификации пользователей, реагированию на инциденты и отчётности; устанавливаются мониторинг-предупреждение, санкции до 1 млрд юаней для организаций и запреты на профессию при нарушениях безопасности.

Гарант защиты персональных данных Италии: предупреждение в отношении Coes Company s.r.l. — в Ликвидации за непредоставление ответа на запрос о доступе к данным

Регулятор установил, что компания не ответила работнику на запрос доступа к трудовой документации в срок по ст. 12(3) и (4) GDPR и не предоставила информацию регулятору по ст. 157 Кодекса о защите персональных данных. Судебная ликвидация компании признана смягчающим обстоятельством наряду с отсутствием умысла, одним пострадавшим и отсутствием прошлых нарушений. Вместо штрафа вынесено официальное предупреждение по ст. 58(2)(b) GDPR и ст. 143 Кодекса; нарушение внесено во внутренний реестр регулятора, акт опубликован.