Персональные данные торчат из почтового ящика

Документы разложили по почтовым ящикам без конвертов и не до конца. Часть квитанций выступала наружу, поэтому сведения в них могли увидеть другие люди.

Речь идет о решении Первомайского районного суда Омска, на которое  обратил внимание телеграм-канал «ЖКХ». Поводом стали обращения жильцов в Роскомнадзор. По их словам, квитанции на оплату ЖКУ лежали в почтовых ящиках открыто, а часть документов была видна снаружи.

Компания была привлечена к ответственности по ч. 1 ст. 13.11 КоАП РФ. Для нее дело закончилось предупреждением, хотя по действующей редакции этой нормы для юридических лиц, например, предусмотрен штраф от 150 тыс. до 300 тыс. рублей.

Юридически эта история стоит на связке двух норм. 152-ФЗ «О персональных данных» определяет, что относится к персональным данным и их обработке, причем обработка возможна не только в ИТ-системах, но и без средств автоматизации. Бумажная квитанция поэтому не выпадает из регулирования. А ст. 13.11 КоАП РФ устанавливает административную ответственность за нарушение законодательства в области персональных данных.

Сам кейс показывает, что нарушение в сфере персональных данных может возникнуть в обычном процессе — при печати и доставке бумажных документов.

Что не устроило суд

Управляющая компания не согласилась с привлечением к ответственности и пыталась оспорить постановление. Один из доводов состоял в том, что фотоматериалы показывают только состояние части почтовых ящиков, а связь между действиями компании и тем, как именно оказались размещены документы, не доказана.

Компания также утверждала, что данные в квитанциях нельзя считать достаточными для идентификации человека. По ее позиции, фамилия и инициалы собственника сами по себе не позволяют определить конкретное лицо. Кроме того, УК ссылалась на то, что после помещения квитанции в почтовый ящик за сохранность документа уже отвечает жилец.

Районный суд эти аргументы не принял и оставил постановление мирового судьи без изменения. В решении указано, что размещение платежных квитанций в неконвертируемом виде и путем неполного погружения в почтовые ящики привело к неправомерной обработке персональных данных, а именно к их распространению.

Почему инициалы не помогли

Один из важных моментов в этом деле — спор о том, можно ли считать такие сведения персональными данными. Управляющая компания исходила из того, что фамилия и инициалы не позволяют точно установить человека.

Но в ситуации с квитанцией значение имеет не только отдельная строка с именем. Документ лежит в конкретном почтовом ящике, в конкретном подъезде и относится к конкретному помещению. В нем могут быть указаны адрес, лицевой счет, начисления, задолженность или иные сведения, связанные с жильцом. В таком контексте фамилия и инициалы уже не выглядят обезличенной информацией.

Поэтому замена полного имени на инициалы сама по себе не делает документ безопасным. Если по совокупности данных и обстоятельств можно понять, о ком идет речь, такие сведения остаются персональными данными.

Это не первый спор о квитанциях

Омское дело не уникально. Суды уже рассматривали похожие истории, но практика не сводится к простой формуле «бумажная квитанция — значит нарушение». В каждом деле важны детали: как документ доставлен, видно ли его содержание посторонним, был ли конверт, склейка или другой способ закрыть данные.

Например, еще в 2016 году суд рассматривал дело о ТСЖ, которое направляло жильцам квитанции на оплату ЖКУ на листах А4 открытого типа. В документах были ФИО, адрес получателя коммунальной услуги, количество проживающих, площадь помещения, объем потребленных ресурсов и расходы на них. Суд пришел к выводу, что такие сведения могут получить посторонние лица, и признал ТСЖ виновным по ст. 13.11 КоАП РФ. Организации назначили предупреждение. Это дело важно тем, что суд прямо связал открытый формат платежного документа с риском раскрытия персональных данных.

Есть и более свежий пример, где суд, наоборот, не увидел нарушения. В 2024 году Калужский областной суд рассматривал спор с участием УК «Качество жизни». Суд подтвердил общий принцип: платежные документы об оплате коммунальных услуг содержат персональные данные, а при их доставке оператор обязан соблюдать конфиденциальность. В решении прямо указано, что для этого могут использоваться разные способы — конверт, бесконвертное склеивание, когда платежный документ складывается и запечатывается, и другие варианты.

Но в том деле квитанции были сложены, скреплены с двух сторон и разложены в почтовые ящики, недоступные для обозрения третьих лиц. Кроме того, с сотрудниками, которые занимались доставкой счетов, были заключены соглашения о неразглашении персональных данных. Поэтому суд согласился с выводом об отсутствии состава административного правонарушения.

Читайте также

Сколько стоит жить там, где есть работа для айтишника

От Сан-Франциско до Москвы ИТ-зарплаты выглядят красивыми только до первого расчета аренды. IT-World изучил, как рынок жилья меняет реальную ценность офера для разработчика.

Есть и более ранняя противоположная позиция. В деле о доставке счетов-квитанций в неисправные почтовые ящики прокурор указывал, что такие ящики не обеспечивают сохранность и конфиденциальность корреспонденции. Однако производство в отношении директора управляющей компании было прекращено за отсутствием состава административного правонарушения. Это показывает, что суды оценивают не только сам факт проблемной доставки, но и то, кому именно вменяется нарушение и чем подтверждается вина.

На этом фоне омское решение выглядит частью уже существующей практики. Квитанции ЖКУ могут содержать персональные данные, а доставка бумажного документа остается частью обработки. Но итог зависит от конкретной картины: был ли документ закрыт, можно ли было увидеть сведения со стороны, кто отвечал за доставку и какие меры защиты реально применялись.

Бумажные документы тоже надо защищать

Этот случай хорошо показывает слабое место многих процессов. Компании обычно внимательнее относятся к информационным системам, следят за доступами, ролями, журналами, паролями и выгрузками. А бумажные документы часто живут по старой привычке. Их печатают, передают, кладут в папки, оставляют на стойке, отправляют с курьером или раскладывают по ящикам.

С точки зрения закона формат значения не имеет. Если организация формирует, хранит, передает или доставляет документ с персональными данными, она продолжает отвечать за то, чтобы эти данные не стали доступны посторонним.

Для управляющих компаний это особенно чувствительная зона. Квитанции, уведомления, претензии, списки должников, акты и иные документы могут содержать данные жильцов. Если такие бумаги оказываются в открытом доступе, спор уже идет не о небрежной доставке, а о нарушении правил обработки персональных данных.

Тем более предупреждение — самый мягкий сценарий. По ст. 13.11 КоАП РФ штрафы за нарушения в области персональных данных для организаций начинаются с десятков и сотен тысяч рублей. По отдельным составам, связанным с неправомерной передачей или доступом к большим массивам данных, суммы уже доходят до миллионов рублей, а при повторных нарушениях могут применяться оборотные штрафы.

Что стоит проверить

После таких дел компаниям полезно посмотреть не только на базы данных, но и на бумажные маршруты. Кто печатает документы, где они лежат до отправки, кто их доставляет, используются ли конверты, можно ли увидеть содержимое до получения адресатом, что прописано в договоре с подрядчиком, если доставку выполняет сторонняя организация.

На практике именно такие простые участки часто оказываются без владельца. Все понимают, что квитанции надо доставить, но не всегда отдельно фиксируют, как это должно быть сделано безопасно.

В омском деле наказание оказалось мягким. Однако вывод для операторов персональных данных вполне практический: если документ с данными человека оказался на виду у посторонних, объяснение «так получилось при доставке» может не сработать.