В «Псковский клинический перинатальный центр» от бывшей работницы поступили:
- 08.05.2025 письменное требование об уничтожении всех ее персональных данных (ПДн);
- через несколько дней (12.05.2025) обращение, которое содержало ряд вопросов: о цели и применяемых оператором способах обработки ПДн, кто имеет к ним доступ, сроки обработки и сроки хранения ПДн и др.
Центр отвечал на эти письма неидеально:
1) на обращение, полученное 12.05.2025, выслал письменный ответ обычным, а не заказным отправлением. Ответственный за рассылку корреспонденции сотрудник уволился, поэтому установить причину этой оплошности не удалось.
Суд расценил это как отсутствие доказательств направления данного письма в адрес гражданки (устные пояснения и внутренние реестры Центра «к делу не пришьешь»);
2) по мнению Центра:
- требование (полученное 08.05.2025) и обращение (полученное 12.05.2025) бывшей работницы касались одного и того же предмета, поэтому он дал на них единый ответ;
- ПДн уволившейся работницы уже были уничтожены с составлением акта, поэтому срок ответа можно исчислять не по правилам законодательства о защите ПДн, а как для обычных обращений граждан – в течение 30 дней. Ответ был направлен 06.06.2025, т.е. в 30-дневный срок уложились.
Но суд посчитал иначе:
- запрос информации и требование об уничтожении данных – это разные виды обращений, регулируемые разными нормами (ст. 14 и ст. 21 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»; далее – ФЗ-152) и имеющие разные сроки рассмотрения. Совмещение ответов привело к нарушению срока по 1-му запросу;
- даже после увольнения сотрудника и прекращения активной работы с его данными оператор продолжает их обрабатывать (хранить). Следовательно, на него продолжают распространяться все обязанности оператора, включая обязанность предоставлять информацию по запросу субъекта ПДн в порядке и сроки, установленные ФЗ-152.
Арбитражный суд Псковской области в сентябре 2025 года рассмотрел дело № А52-3592/2025 и подтвердил штраф, выписанный Роскомнадзором на организацию по ч. 4 ст. 13.1 КоАП РФ в размере 40 000 рублей (за непредоставление оператором субъекту ПДн информации об обработке его данных). Размер штрафа за это в КоАП РФ предусмотрен от 40 000 до 80 000 рублей, так что суд посчитал перинатальный центр виноватым... но не сильно, оштрафовав по минимуму.
Наталья Храмцовская,
к.и.н., ведущий эксперт по управлению документацией компании
«ЭОС», эксперт ИСО
