Трибунал Рима отменил штраф Garante 15 млн евро для OpenAI: решать должна DPC Ирландии

Что произошло

18 марта 2026 Трибунал Рима удовлетворил жалобу OpenAI и отменил предписание итальянского Garante № 755 от 2 ноября 2024 (публично объявлено 20 декабря 2024 — отсюда расхождение дат в публикациях), которым компании назначили штраф 15 млн евро за нарушения GDPR в работе ChatGPT. Претензии касались, среди прочего, отсутствия информирования пользователей и механизмов проверки возраста; проверка началась в марте 2023 после утечки данных и глобального запуска сервиса. По существу нарушений суд не высказался. В марте 2025 тот же трибунал уже приостанавливал исполнение штрафа до вынесения окончательного решения.

Суд принял процессуальный довод компании. После того как 15 февраля 2024 ирландская DPC признала OpenAI Ireland Ltd единственным местом основной деятельности компании в ЕЭЗ, трансграничная обработка ушла в механизм «одного окна» (ст. 55–56 и 60 GDPR), а ведущим надзорным органом (autorità capofila) стала ирландская DPC. Довод Garante о различии между «завершёнными» и «продолжающимися» нарушениями суд отклонил: компетенция определяется на момент принятия окончательного решения, а оно вынесено в ноябре 2024 — уже после появления ирландского establishment, в том числе применительно к поведению до этой даты. Мотивировка известна по изложению Il Sole 24 Ore; полный текст решения на момент публикации не обнародован, о чём отдельно предупреждает AI Policy Italia.

Вопрос о самих нарушениях GDPR остался неразрешённым и, по логике решения, должен рассматриваться в Дублине. OpenAI решение приветствовала: «Accogliamo con favore la decisione del Tribunale di Roma». Так первая инстанция закрыла историю самого крупного на сегодня европейского штрафа за генеративный ИИ по GDPR — и закрыла не потому, что нарушений не было, а потому, что штрафовал не тот орган.

Почему это важно

• В споре с надзорным органом первый вопрос — компетенция на дату итогового решения, а не на дату нарушения. Реорганизация группы во время проверки способна обнулить всё производство.
• Открытие головного офиса в другой стране ЕС в ходе разбирательства работает как процессуальный аргумент: национальный регулятор теряет полномочия по трансграничной обработке, даже если проверку начинал именно он.
• Отмена штрафа не легализует практику. Содержательные претензии к информированию пользователей и проверке возраста никуда не делись — их вправе рассмотреть ирландская DPC, и срок давности здесь ни при чём.
• Пока мотивировка известна только по публикациям, ссылаться на неё в процессуальных документах нужно с оговоркой «по сообщениям СМИ»: полный текст решения не опубликован, номер sentenza 4153/2026 подтверждён не первоисточником.