Документы

Федеральный финансовый суд, дело № IX R 22/22: объём доступа к своим персональным данным в налоговой инспекции

Налогоплательщик, привлечённый к ответственности за чужие налоговые долги, требовал от налоговой инспекции сведения о своих персональных данных по ст. 15 GDPR, а финансовый суд Мюнхена ему отказал. Суд отменил решение и вернул дело: регламент действует независимо от того, ведётся ли дело на бумаге или электронно; правовой анализ как таковой доступу не подлежит, но использованные в нём персональные данные подлежат; запрос не становится чрезмерным лишь оттого, что заявитель уже знакомился с материалами. Права на ознакомление с делом ст. 15 не даёт, а копии документов выдаются, только если заявитель докажет их необходимость.

Уведомление Управления по киберпространству КНР о публичном сборе мнений по проекту «Закона Китайской Народной Республики о кибербезопасности (повторный проект поправок)

Управление по киберпространству КНР вынесло на общественное обсуждение поправки к Закону о кибербезопасности. Проект уточняет обязанности операторов сетей и критической информационной инфраструктуры, вводит штрафы за невыполнение мер защиты данных от 10 тыс. до 1 млрд юаней, а также санкции для ответственных лиц. Вводится ответственность за продажу несертифицированного сетевого оборудования и использование не прошедших проверку продуктов в КИИ с штрафом до десятикратной цены закупки. Усиливаются меры за непрекращение распространения запрещённой информации; предусмотрены смягчение или освобождение от наказания при добровольном устранении последствий.

Меры по управлению безопасностью применения технологии распознавания лиц

Документ устанавливает правила обработки биометрических данных лица в Китае, за исключением исследований и обучения алгоритмов. Он обязывает операторов иметь конкретную цель, получать отдельное информированное согласие (для детей до 14 лет — от родителей), проводить оценку воздействия на защиту персональных данных и хранить данные внутри устройств без передачи через интернет, если иное не предусмотрено законом. Запрещено использовать распознавание лиц как единственный способ верификации при наличии альтернатив, а также устанавливать камеры в приватных зонах публичных мест. С 1 июня 2025 года операторы с базами свыше 100 тысяч лиц должны пройти регистрацию.

Решение Государственного управления по регулированию рынка КНР об отмене и изменении некоторых ведомственных нормативных актов

Управление отменяет один нормативный акт о процедуре административного пересмотра в сфере продовольствия и лекарств, а также изменяет 16 ведомственных правил. Для онлайн-торговли вводятся требования к прозрачности автопродления и автооплаты до списания, запрет на необоснованные сборы и обязанность обеспечить простой отказ или изменение услуги; за нарушения — предупреждение, предписание устранить нарушение и штраф до 30 тыс. юаней либо применение Закона о защите прав потребителей. Вносятся терминологические замены «органы промышленности и торговли» на «органы рыночного регулирования», уточняется порядок проверок, ведения реестров (включая реестр нарушений/недоверия), годовых отчетов ИП и кооперативов, процедур внесения/снятия с учета аномальной деятельности, а также корректируются санкции и ссылки на законы.

Уведомление об издании «Меры по маркировке контента, созданного и синтезированного с помощью искусственного интеллекта

Документ устанавливает правила маркировки текстов, изображений, аудио, видео и виртуальных сцен, созданных или синтезированных ИИ. Провайдеры обязаны добавлять явные метки в контент и скрытые — в метаданные файлов; платформы распространения должны проверять наличие меток и помечать публикации при их отсутствии или сомнениях. Пользователям запрещено удалять или подделывать метки, а провайдерам — хранить логи предоставления немаркированного контента не менее шести месяцев. За нарушения отраслевые органы применяют санкции согласно законам КНР.

PL 731/2025: искусственный интеллект — обязательный предмет в школах Бразилии

Вносит искусственный интеллект в обязательную школьную программу Бразилии.

Поправка к ст. 26 закона об основах образования (LDB, Lei nº 9.394/1996) добавляет новый пункт: искусственный интеллект — компонент учебной программы начальной и средней школы. Конкретное содержание должны утвердить Национальный совет по образованию и министр образования при включении в Национальную базовую учебную программу (BNCC, Base Nacional Comum Curricular).

Норма затронет все государственные и частные школы, а также систему подготовки учителей, ориентированную на BNCC.

Правила управления соответствием аудита защиты персональной информации

Документ устанавливает порядок проведения и организации аудита соответствия при обработке персональных данных в Китае. Он обязывает операторов, обрабатывающих данные более 10 млн человек, проводить аудит не реже одного раза в два года. Регуляторы могут потребовать привлечения аудиторской фирмы после инцидентов или выявления высоких рисков. Оператор должен устранять выявленные нарушения и отчитываться перед ведомством. Устанавливаются требования к квалификации и независимости профессиональных аудиторских организаций.

Гарант защиты персональных данных Италии: предупреждение SEIF S.p.A. о публикации переписок в книге «Fratelli di chat

Регулятор установил, что публикация в книге частных чатов 2018–2025 годов (включая сообщения парламентариев) является обработкой и распространением персональных данных по Кодексу № 196/2003 и нарушает деонтологические правила журналистики — критерий существенности информации (ст. 137(3) Кодекса, ст. 6 Правил). Издание признано не необходимым для информационной цели с учётом прав третьих лиц и несовершеннолетних. Компании направлено предупреждение по ст. 58(2)(a) GDPR о вероятном нарушении ст. 5(1)(a), (c) GDPR, ст. 2-quater(4), 137(3) Кодекса и правил деонтологии; дальнейшие меры возможны после завершения проверки.

Правила управления архивами регистрации хозяйствующих субъектов

Документ устанавливает единые правила формирования, хранения и использования архивов при государственной регистрации компаний, ИП и других хозяйствующих субъектов в Китае. Управление возложено на Государственную администрацию по регулированию рынка с разделением ответственности между уровнями; допускается электронное формирование и передача дел. Срок хранения после ликвидации — обычно 20 лет, для ценных документов возможна бессрочная передача в госархив. Регламентированы запросы сведений (в том числе онлайн), защита персональных данных и санкции за утрату или незаконное копирование.

Уведомление об утверждении «Меры по управлению распространением военной информации в интернете

Документ устанавливает правила создания и ведения военных сайтов, разделов и аккаунтов в Китае, вводит обязательную верификацию статуса военного аккаунта и его специальную маркировку. Он определяет разрешённые темы (пропаганда решений партии и достижений армии) и запрещает публикацию сведений, подрывающих суверенитет, искажающих историю армии или содержащих военные тайны. Провайдеры обязаны блокировать незаконный контент, сохранять данные о проверке личности и передавать сведения об аккаунтах профильным ведомствам; за нарушения предусмотрены санкции вплоть до уголовной ответственности.

Уведомление Народного банка Китая о публичном сборе мнений по проекту Положения об управлении отчётностью о кибербезопасности в сфере деятельности Народного банка Китая

Народный банк Китая опубликовал для общественного обсуждения проект правил, которые обязывают финансовые организации классифицировать инциденты кибербезопасности на четыре уровня (особо серьёзные, серьёзные, значительные и обычные) по чётким порогам. Организации должны направлять отчёты в НБК или его территориальные филиалы с жёсткими сроками: краткий — в течение 30 минут, полный — в течение 2 часов после возникновения; для серьёзных инцидентов — промежуточные сообщения не реже чем каждые 2 часа; итоговый отчёт — в течение 10 рабочих дней после завершения реагирования. За несвоевременную, неполную или недостоверную отчётность предусмотрены санкции со ссылкой на законы КНР «О кибербезопасности», «О безопасности данных» и «О защите персональной информации».

Положение об управлении системой видеоизображений общественной безопасности

Документ устанавливает правила создания и использования систем видеонаблюдения в общественных местах Китая для обеспечения безопасности, защиты персональных данных и частной жизни. Он определяет зоны обязательной установки камер (транспортные узлы, площади), запрещает их размещение в раздевалках и гостиничных номерах, а также обязывает операторов регистрировать системы в полиции в течение 30–90 дней. Видеозаписи должны храниться не менее 30 дней, доступ к ним строго регламентирован. За нарушения предусмотрены штрафы до 20 000 юаней, конфискация оборудования и уголовная ответственность.

Уведомление Управления по киберпространству КНР о публичном сборе мнений по проекту Положения об управлении деятельностью учреждений, предоставляющих услуги многостороннего...

Управление по киберпространству КНР опубликовало проект правил для MCN-агентств — организаций, которые размещаются на платформах и оказывают блогерам планирование, производство, маркетинг и агентские услуги. Платформы обязаны проверять регистрацию таких агентств, назначать ответственных за контент, вести учёт привязки аккаунтов, раскрывать принадлежность аккаунта к агентству и в течение 10 рабочих дней направлять сведения на учёт в провинциальные органы кибербезопасности; при изменениях — также в течение 10 рабочих дней. Агентства должны предварительно модерировать публикации, хранить записи проверки, не манипулировать трафиком и аккаунтами и воздерживаться от перечисленных нарушений (в т.ч. фейки, травля, эксплуатация детей). За нарушения платформы применяют предупреждения, приостановку монетизации, ограничение услуг, удаление из реестра и внесение в чёрный список с отчётом ведомству.

Уведомление Управления по киберпространству КНР о публичном сборе мнений по проекту «Меры сертификации защиты персональных данных при трансграничной передаче (проект для обсуждения)

Управление по киберпространству КНР вынесло на общественное обсуждение проект правил, регулирующих сертификацию защиты персональных данных при их трансграничной передаче. Документ определяет условия применения сертификации, требования к профессиональным органам и порядок оценки рисков передачи за рубеж, включая проверку правовой базы принимающей стороны и договорных обязательств. Сертификация добровольная; органы должны пройти регистрацию в Управлении и подлежат надзору с правом приостановки или отзыва сертификатов. Сбор мнений — до 3 февраля 2025 года.

Орган по защите данных Венгрии (NAIH): невыполнение запроса на удаление и нарушение обязанности информирования

Регулятор установил, что компания нарушила ст. 17(1)(c) GDPR из-за задержки с полным удалением персональных данных заявителя после его требования от 12 октября 2023 года; полное удаление выполнено только 8 февраля 2024 года. В частичном удовлетворении иска регулятор отказал в обязании удалить данные, поскольку к моменту решения они уже были удалены, но возложил на компанию обязанность уведомлять заявителя о статусе будущих запросов на удаление и об обработке не подлежащих удалению данных — в течение 3 дней после истечения срока на обжалование или решения суда, подтверждая это письменно за 15 дней. За пропуск сроков рассмотрения орган уплатит заявителю 10 000 форинтов.

Орган по защите данных Венгрии (NAIH): нарушение требований безопасности при переносе базы клиентских данных обработчиком

Регулятор установил, что подрядчик нарушил ст. 32 GDPR из-за неправильной настройки межсетевого экрана после миграции БД с платёжными и идентификационными данными около 900 тыс. пользователей; уязвимость существовала примерно девять дней до взлома. Подрядчика оштрафовали на 2 млн форинтов со сроком уплаты 30 дней от вступления решения в силу, далее начисляется законный процент; при неуплате решение подлежит принудительному исполнению. В отношении заказчика процесс прекращён.

Орган по защите данных Венгрии: прозрачность информации о штрафе за парковку

Регулятор установил, что компания не предоставила субъекту персональных данных прозрачной и точной информации об обработке его данных в связи с начислением штрафа за парковку. Это нарушает принципы прозрачности и подотчётности GDPR (ст. 5(1)(a), 5(2), 12(1), 14(1)). Компанию обязали разместить на сайте корректную информацию об обработке и подтвердить это регулятору в течение 30 дней после вступления решения в силу; вынесено предупреждение как мера ответственности.

Орган по защите данных Венгрии: обработка требования без правового основания и невыполнение запроса на удаление

Регулятор установил, что компания обрабатывала персональные данные заявителя для взыскания задолженности после того, как суд признал её истечение срока давности, а также ссылалась на неверные правовые основания GDPR. Это признано нарушением ст. 6(1) и невыполнением запросов на удаление по ст. 17(1)(d) GDPR. Заявление об обязании удалить данные отклонено. Компания оштрафована на 10 млн венгерских форинтов за неосторожное нарушение с уплатой в течение 30 дней; обжалование — в Столичный суд.

Орган по защите данных Венгрии (NAIH): неправомерная обработка телефонного номера, невыполнение запроса об отказе и нарушение принципа подотчётности

Регулятор установил, что компания без правового основания обрабатывала личный номер телефона заявителя вопреки его прямому отказу и не выполнила требование о прекращении обработки. Нарушены GDPR ст. 5(2), 6(1)(a) и 21(1). Назначен штраф в размере 1 000 000 форинтов с уплатой в течение 30 дней после вступления решения в силу; при просрочке начисляется пеня по ставке базовой учётной ставки Нацбанка на начало полугодия. Судебное обжалование — в Столичный суд в течение 30 дней.

Орган по защите данных Венгрии: незаконная обработка персональных данных в связи с идеологиями отрицания государства

Регулятор установил, что Бенде Иштван и Беренчи Бела Миклош как операторы обрабатывали персональные данные без правового основания, не предоставляли информацию субъектам и нарушили принципы добросовестности и целевого ограничения. Ассоциация владельцев венгерского государства (MATT) также признана нарушившей GDPR. Им запрещено обрабатывать данные для противоправной цели; они обязаны удалить все незаконно обработанные персональные данные из указанных анкет и реестров. На каждого наложена административная санкция 500 000 форинтов со сроком уплаты 30 дней.

Орган по защите данных Венгрии (NAIH): запись звука на вокзалах и остановках системами видеонаблюдения

Регулятор установил, что оператор пригородных железных дорог нарушил GDPR в 2020–2024 годах при видеонаблюдении с записью звука на станциях и остановках. Нарушены принципы прозрачности, минимизации данных, ограничения хранения, а также требования об информировании субъектов и оценке воздействия; частично — основания обработки. Компании назначен штраф 50 млн форинтов, предписано опубликовать решение. На будущее регулятор предупредил, что аудиозапись допустима только после документированной оценки воздействия DPIA и подтверждения необходимости для выполнения задач общественного транспорта.

Орган по защите данных Венгрии (NAIH): публикация гомеопатических кейс-стади с персональными данными

Регулятор установил, что издательство нарушило GDPR, опубликовав в журнале два гомеопатических кейс-стади со сведениями об идентифицируемых лицах и их здоровье без надлежащего правового основания. Компанию признали виновной, но штраф не назначили из-за длительности процедуры и отсутствия умысла. NAIH обязал обеспечить надлежащую анонимизацию одного материала при повторной публикации и удалить персональные данные медработников из другого; исполнение — в течение 30 дней с подтверждением.

Уведомление Народного банка Китая № 21 [2024] (Изменение «Уведомления Народного банка Китая о дальнейшем усилении управления безопасностью кредитной информации»)

Акт вносит изменения в правила безопасности кредитных данных. Он требует разделять этапы ручных запросов, строго управлять автоматическими триггерами и запрещает передавать кредитную информацию третьим лицам без согласия субъекта или использовать её не по назначению. Удаляются отдельные положения об ежегодной оценке комплаенса и пилотных инспекциях; вместо них вводится механизм надзорных визитов на места с уточнением уровней проверяющих органов. Для серьёзных нарушений право изменять права доступа пользователя передаётся оператору системы.

Уведомление Народного банка Китая и Государственной администрации финансового регулирования о публичном сборе мнений по проекту Положения об управлении учреждениями,...

Документ выносит на общественное обсуждение проект нового положения, регулирующего деятельность эмитентов банковских карт и операторов их расчётов в Китае. Акт устанавливает требования к капиталу (не менее 1 млрд юаней), квалификации руководства, лицензированию, открытию филиалов и отчётности перед Народным банком Китая. Для иностранных поставщиков услуг предусмотрены особые правила отчёта и создания юридического лица при влиянии на национальную платёжную систему. Нарушения влекут предписания об устранении и штрафы согласно закону о Народном банке Китая.

Положение об управлении местами оказания услуг доступа в интернет

Документ устанавливает правила создания и работы коммерческих мест предоставления доступа в интернет (интернет-кафе, компьютерные клубы). Он обязывает получать лицензию культуры, соблюдать требования к помещению, пожарной безопасности и сетевой защите, подключаться только через лицензированного провайдера по локальной сети. Запрещено допускать несовершеннолетних, работать вне 8:00–24:00, предоставлять доступ к запрещённому контенту и немассовым онлайн-играм, а также вести азартные игры; требуется идентификация пользователей и хранение логов не менее 60 дней. За нарушения предусмотрены предупреждения, штрафы до десятикратного размера незаконного оборота, конфискация оборудования, приостановка деятельности и отзыв лицензии с пятилетним запретом для руководителей.