Суд Рима аннулировал штраф Garante в размере 15 млн евро, наложенный на OpenAI, по юрисдикционным основаниям

18 марта 2026 года Суд Рима полностью аннулировал решение итальянского органа по защите данных против OpenAI: штраф в размере 15 млн евро и предписание провести шестимесячную публичную информационную кампанию о том, как ChatGPT обучается на персональных данных. Суд не установил, что OpenAI соблюдала GDPR. Он установил, что Гаранте — Autorità Garante per la Protezione dei Dati Personali — больше не является органом, уполномоченным принимать решение. Основанием стала юрисдикция — вопрос, который суд в тот день не объяснил и который прояснился только после публикации полного текста мотивировочной части 28 мая 2026 года, — и всё упиралось в дату: Ирландская комиссия по защите данных признала OpenAI Ireland Ltd единственным учреждением компании в Европейской экономической зоне 15 февраля 2024 года, за восемь с половиной месяцев до окончательного решения Гаранте, и согласно механизму GDPR «единого окна» дело к тому моменту должно было уже находиться в Дублине. Reuters сообщило о решении 19 марта 2026 года и отметило, что суд на тот момент не обнародовал никаких пояснений; Гаранте отказался от комментариев. Уровень серьёзности, оценка достоверности и полный список источников по этой записи находятся в Orca AI Incident Archive, вместе с другими европейскими регуляторными записями, поданными рядом с ней.

Что было отменено и о чём суд не сказал

Речь идет о решении Garante — постановлении № 755 от 2 ноября 2024 г., опубликованном 20 декабря 2024 г. В нем было установлено, что OpenAI не уведомила надзорный орган о нарушении защиты персональных данных, произошедшем в марте 2023 года, обрабатывала персональные данные пользователей для обучения ChatGPT, предварительно не определив надлежащую правовую основу, нарушила предусмотренные GDPR обязательства по прозрачности и информированию, а также не внедрила механизм проверки возраста, в результате чего — по словам Garante — дети младше 13 лет подвергались риску получения ответов, не соответствующих их этапу развития.

Сумма в 15 млн евро, по собственному признанию Garante, была рассчитана «также с учётом готовности компании к сотрудничеству». Более необычной частью решения стало второе предписание. Впервые применив статью 166(7) Итальянского кодекса о защите персональных данных, орган потребовал провести шестимесячную информационную кампанию на радио, телевидении, в газетах и интернете, содержание которой должно быть согласовано с органом, адресованную как пользователям, так и тем, кто не пользуется ChatGPT, и разъясняющую, как собирались их данные для обучения, а также как возразить против их обработки, исправить или удалить их.

18 марта 2026 года суд полностью отменил это решение. В тот день он не привел никаких мотивировок. Garante получил судебное решение 19 марта, а полное обоснование стало общедоступным только 28 мая 2026 года, как отмечают Теодор Кристакис и Джулио Монга в European Law Blog. В ответе OpenAI, направленном Reuters, говорится, что компания приветствует решение, «всегда была привержена соблюдению конфиденциальности пользователей» и надеется помочь большему числу итальянцев, предприятий и обществу в целом извлекать пользу из ИИ. Garante не дал комментариев.

Три недели, затем восемь с половиной месяцев

Хронология и есть суть дела. Garante начал процедуру применения санкций 26 января 2024 года. А 15 февраля 2024 года — примерно три недели спустя — Ирландская комиссия по защите данных официально признала OpenAI Ireland Ltd единственным учреждением OpenAI в ЕЭЗ. Garante принял окончательное решение 2 ноября 2024 года, примерно через восемь с половиной месяцев после этого признания.

Различие между инкорпорацией и признанием имеет значение. OpenAI Ireland Ltd была инкорпорирована 24 марта 2023 года, но «единственное учреждение» — это автономное понятие законодательства ЕС о защите данных, основанное на эффективном и реальном осуществлении деятельности посредством стабильных договорённостей; эти две даты не обязательно должны совпадать. То, что изменилось 15 февраля 2024 года, — не существование ирландской компании, а её признание для целей механизма «одного окна».

Статья 56(1) GDPR наделяет надзорный орган основного или единственного учреждения контроллера исключительной компетенцией в отношении трансграничной обработки, выступая в качестве ведущего органа. Суд Рима сослался на заключение 8/2019 Европейского совета по защите данных, и в частности на его раздел 4.3.2 о создании основного или единственного учреждения или его перемещении из третьей страны в ЕЭП, когда административные разбирательства уже находятся на рассмотрении. Согласно такому толкованию, компетенция может перейти к новому ведущему органу в любой момент до принятия окончательного решения, и любое незавершенное разбирательство должно быть передано вместе с ней.

Garante предвидел проблему и разделил материалы дела. В его пресс-релизе от декабря 2024 года говорится, что, поскольку в ходе расследования OpenAI открыла свою европейскую штаб-квартиру в Ирландии, орган «направил процессуальные документы Ирландскому управлению по защите данных (DPC), которое стало ведущим надзорным органом в соответствии с GDPR, чтобы продолжить расследование любых продолжающихся нарушений, не исчерпанных до открытия европейской штаб-квартиры». Эта квалификация принадлежит самому Garante: он оставил у себя то, что считал завершённым, и передал дальше то, что считал продолжающимся. Суд постановил, что такое разделение не было для него доступно.

Слово, на котором основывалось решение

Почти весь спор сводится к пункту 16 Заключения 8/2019, где говорится, что рассмотренные в Заключении вопросы «в основном касаются нарушений длящегося или непрерывного характера». Garante истолковал это как ограничение: логика передачи была разработана для длящихся нарушений и не могла охватывать поведение, уже завершенное до того, как возникло какое-либо представительство в ЕЭП. OpenAI истолковала «в основном» как описательное, а не исключающее. Суд согласился с OpenAI, постановив, что «в основном» указывает на тип дела, в котором вопрос возникает чаще всего, и не исключает применения той же логики к завершенным нарушениям, когда производство все еще продолжается и окончательное решение не принято.

Резервная позиция Garante основывалась на принципе итальянского гражданского кодекса tempus regit actum — согласно которому применяется закон, действовавший на тот момент. Суд отклонил её по фактическим обстоятельствам: речь шла о последовательности фактов, а не о последовательности законов. Решающим моментом, по логике судебного решения, является не дата нарушения и не дата начала расследования, а дата принятия окончательного решения. После этого момента компетенция фиксируется.

Дело так и не было рассмотрено по существу.

Суд признал обоснованным первое основание апелляционной жалобы — отсутствие компетенции — и объявил все остальные основания «поглощёнными». Он не сделал выводов о правовом основании обучения, о прозрачности, о проверке возраста или о позднем уведомлении об утечке. Он ничего не сказал о том, была ли соразмерной сумма в 15 млн евро. Эти вопросы формально остаются без ответа.

Именно это легче всего упустить в освещении. Как отметила итальянская фирма Rödl & Partner в записке от июня 2026 года, решение «не следует воспринимать как содержательный зелёный свет для практик OpenAI: это лишь передача компетенции соответствующему надзорному органу». В записи архива по этому инциденту не зафиксировано реального ущерба, что согласуется с делом, в котором вопрос заключался в том, кто может принимать решение, а не в установленном вреде идентифицированным лицам.

Есть ли у файла место в Дублине

Наиболее существенное возражение против постановления состоит в том, что орган, которому передано дело, также может оказаться не в состоянии разрешить его. Христакис и Монга в публикации в European Law Blog от 4 июня 2026 года под заголовком «Учредиться, затем уйти?» утверждают, что предложенное судом толкование создаёт пробел в правоприменении, а не меняет место рассмотрения. Их конкретный пример — уведомление об утечке. Утечка произошла 20 марта 2023 года, а обязанность уведомить Garante должна была быть исполнена через семьдесят два часа, когда у OpenAI не было учреждения в ЕС, а OpenAI Ireland Ltd ещё не была зарегистрирована. Garante квалифицировал это нарушение как оконченное и оставил его в своей компетенции; по логике суда всё решение, включая это вменяемое нарушение, отпадает. Авторы утверждают, что трудно понять, каким образом ирландский орган, компетенция которого возникла позже и проистекает из учреждения, не существовавшего на момент возникновения обязанности, мог бы рассматривать уведомление, причитающееся Garante, в отношении итальянских субъектов данных.

Они осторожно оценивают пределы этого довода, и читателю следует быть столь же осторожным. Они фиксируют противоположную позицию — что GDPR является единым инструментом, действующим на всей территории Союза, поэтому любой орган, ставший ведущим, может обеспечивать его соблюдение независимо от того, когда возникли соответствующие обстоятельства, — и называют этот вопрос спорным. Они отмечают, что им неизвестно о каком-либо более раннем решении национального суда, применяющем раздел 4.3.2 Заключения 8/2019, что это решение суда первой инстанции, принятое единолично судьей, и что сфера действия статьи 56 в отношении поведения до создания учреждения представляется им неопределенной, а не ясной. Их рекомендация — направить предварительный запрос в Суд Европейского союза в соответствии со статьей 267 ДФЕС.

Пробел в правоприменении — это не только доктринальное предсказание. Теодор Кристакис в публикации на Cross-Border Data Forum на следующий день после решения отметил, что ни один другой европейский орган по защите данных не опубликовал окончательного решения о правоприменении в связи с нарушениями GDPR за период запуска ChatGPT с ноября 2022 года по март 2023 года, и что отчет целевой группы EDPB по ChatGPT за май 2024 года содержал лишь предварительные мнения. В связи с этим единственное окончательное решение о правоприменении GDPR, которое Европа вынесла за период запуска генеративного ИИ, теперь аннулировано.

Что изменилось после 18 марта

Штраф уже был приостановлен. 21 марта 2025 года тот же суд приостановил действие санкции до вынесения решения при условии предоставления гарантии в виде cauzione, то есть обеспечительного платежа, согласно описанию постановления в Altalex. Эта приостановка не затрагивала существа дела, и отмена год спустя тоже.

Garante не столько удалил дело из своего реестра, сколько отложил его в сторону. На странице пресс-релиза о решении 755 теперь размещено уведомление о том, что решение «было временно удалено с сайта Garante» после судебного решения № 4153/2026. Это слово принадлежит самому органу: «временно».

По вопросу об апелляции источники согласуются между собой, но неполны. Christakis и Monga отмечают, что Garante всё ещё может подать апелляцию в Corte di Cassazione. Cross-Border Data Forum 19 марта 2026 года зафиксировал, что, поскольку мотивировка не была опубликована, орган тогда не мог сказать, сделает ли он это. В источниках, изученных для этой статьи, мы не нашли сообщений о подаче апелляции с тех пор и окончательного решения Irish Data Protection Commission по переданному делу. Отсутствие того и другого не доказывает, что ничего не произошло; оба означают, что исход ещё не закрыт.

Установленные, дискуссионные и открытые

• Установлено: что судебное решение № 4153/2026 от 18 марта 2026 года полностью отменило решение № 755 от 2 ноября 2024 года, отменив штраф в размере 15 млн евро и предписание о проведении шестимесячной медийной кампании; что резолютивная часть была оглашена в тот день без мотивировки; и что опубликованные основания опираются на механизм «одного окна», признание DPC компании OpenAI Ireland Ltd 15 февраля 2024 года и заключение EDPB 8/2019.

• Обсуждался вопрос: может ли находящееся на рассмотрении досье быть надлежащим образом передано органу, компетенция которого возникла после рассматриваемых действий. Суд ответил утвердительно; Христакис и Монга считают, что такое прочтение оставляет действия, совершенные до учреждения, не подлежащими исполнению, и хотят, чтобы этот вопрос решил Суд Европейского союза; Rödl & Partner и ICT Legal Consulting, напротив, описывают это решение как разъясняющее, как принцип «одного окна» применяется к смене учреждения в середине процедуры.

• Открыто:обратится ли Garante в Corte di Cassazione по этому делу, передаст ли какой-либо суд его в Люксембург и примет ли когда-либо ирландский орган решение по той части дела, которую получил.

15 миллионов евро исчезли. Вопрос, который подняло это дело — кто в Европе может привлечь поставщика генеративного ИИ к ответственности по GDPR за период, когда у него ещё не было европейского учреждения, — просто переместился на другой стол.