Ответственность за нарушение норм, регулирующих обработку и защиту персональных данных работника (статья 90 ТК РФ)

Статья 90 ТК РФ устанавливает ответственность за нарушение правил обработки и защиты персональных данных работников. Она завершает главу 14 ТК РФ и применяется во взаимосвязи с требованиями о получении, хранении, использовании и передаче сведений о работнике. Ответственность может наступить как за незаконный сбор или использование персональных данных, так и за их неправомерную передачу третьим лицам, разглашение, ненадлежащее хранение, отсутствие необходимых мер защиты или другие нарушения установленных законом правил. В зависимости от характера нарушения виновное лицо может быть привлечено к дисциплинарной, материальной, гражданско-правовой, административной или уголовной ответственности.

Дисциплинарная ответственность прежде всего касается работников, которым персональные данные других сотрудников стали доступны в связи с исполнением служебных обязанностей, например кадровиков, бухгалтеров, руководителей и системных администраторов. За нарушение установленных работодателем правил работы с такими сведениями могут применяться замечание или выговор, а при наличии предусмотренных законом оснований — увольнение. В частности, разглашение персональных данных другого работника, ставших известными сотруднику в связи с исполнением трудовых обязанностей, прямо названо ТК РФ среди случаев разглашения охраняемой законом тайны, которое может служить основанием для увольнения. При этом работодатель должен доказать факт нарушения, вину работника и соблюсти установленную процедуру применения дисциплинарного взыскания.

Материальная ответственность возможна, если нарушение правил работы с персональными данными повлекло прямой действительный ущерб работодателю. Например, вопрос о возмещении ущерба может возникнуть, если по вине сотрудника произошла утечка данных и организация понесла связанные с этим расходы. В отдельных предусмотренных законом случаях на работника может быть возложена полная материальная ответственность, в том числе при умышленном причинении ущерба, совершении административного правонарушения или разглашении охраняемой законом тайны. Однако материальная ответственность работника не возникает автоматически из самого факта нарушения: должны быть установлены ущерб, противоправность поведения, вина и причинная связь между действиями работника и возникшими потерями.

Ответственность несет и работодатель как оператор персональных данных. Работник вправе защищать свои права, если сведения о нем незаконно собирались, использовались, передавались или стали доступны посторонним. В частности, неправомерные действия работодателя могут стать основанием для требования о возмещении причиненного ущерба и компенсации морального вреда. Размер компенсации морального вреда стороны могут определить соглашением, а при споре его устанавливает суд независимо от имущественных требований работника.

Наиболее развернутая система санкций предусмотрена статьей 13.11 КоАП РФ. Административная ответственность установлена, например, за обработку данных без законного основания, отсутствие необходимого согласия, невыполнение требований гражданина об уточнении или удалении сведений, нарушение требований к хранению данных, неуведомление Роскомнадзора о начале обработки и неуведомление об утечке. Размер штрафа зависит от конкретного нарушения и от того, кто привлекается к ответственности. Так, за обработку персональных данных без требуемого письменного согласия штраф для юридического лица может составлять от 300 тыс. до 700 тыс. рублей, а за несвоевременное уведомление Роскомнадзора об утечке — от 1 млн до 3 млн рублей.

Особенно серьезные санкции предусмотрены за массовые утечки персональных данных. В зависимости от количества затронутых граждан или идентификаторов штраф для организации может составлять от нескольких миллионов до 15 млн рублей. За неправомерную передачу специальных категорий персональных данных предусмотрен штраф для юридических лиц от 10 млн до 15 млн рублей, биометрических данных — от 15 млн до 20 млн рублей. При повторных крупных утечках для организаций может применяться оборотный штраф в размере от 1 до 3% выручки, с установленными законом минимальным и максимальным пределами. Поэтому требования главы 14 ТК РФ в настоящее время имеют для работодателя не только кадровое, но и существенное финансовое значение.

В наиболее серьезных случаях нарушение может повлечь уголовную ответственность. Например, статья 137 УК РФ предусматривает ответственность за незаконное собирание или распространение сведений о частной жизни человека, составляющих его личную или семейную тайну. Более строгая ответственность предусмотрена, в частности, если такие действия совершаются с использованием служебного положения. Однако не всякое нарушение работодателем правил обработки персональных данных является преступлением: для уголовной ответственности должны присутствовать конкретные признаки состава преступления, установленные УК РФ.

Таким образом, статья 90 ТК РФ имеет характер общей отсылочной нормы: она не устанавливает собственных штрафов или иных наказаний, а указывает на возможность применения сразу нескольких видов ответственности. Конкретные последствия зависят от того, кто допустил нарушение, какие данные и каким образом обрабатывались, привело ли нарушение к их разглашению или утечке, возник ли ущерб и насколько существенными были последствия. Поэтому работодателю важно не только принять локальные документы о защите персональных данных, но и обеспечить их фактическое соблюдение, ограничить доступ к сведениям кругом действительно уполномоченных лиц и организовать надлежащие меры их защиты.