Со дня принятия Федерального закона «О персональных данных» прошел десяток лет, но многие работодатели и работники так и не имеют представления, чем может грозить нарушение его требований.
До сих пор из банка могут позвонить в организацию и попросить прямо по телефону предоставить персональные данные работника, например, такие как его должность, размер зарплаты, официальная ли она и т.д. И ведь беспрепятственно информируют.
Или управляющие компании многоквартирных домов часто вывешивают списки должников по оплате коммунальных услуг, где указывают фамилию, имя, отчество, адрес гражданина и сумму задолженности, не задумываясь, что это персональные данные. Об утечках из-за действий хакеров и говорить не приходится, даже крупные компании не застрахованы от их действий.
Поэтому для организаций очень важно обезопасить себя юридически, то есть принять правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.
Если этого не сделали, читайте дальше, чем это грозит.
Статья 90 ТК РФ прямо говорит, что лица, виновные в нарушении положений законодательства Российской Федерации в области персональных данных при обработке персональных данных работника, привлекаются к дисциплинарной и материальной ответственности в порядке, установленном ТК РФ и иными федеральными законами, а также привлекаются к гражданско-правовой, административной и уголовной ответственности в порядке, установленном федеральными законами.
Разделяя ответственность работодателя и работника следует отметить, что для организаций применяется административная и материальная ответственность. К работникам могут быть применены дисциплинарная и материальная ответственность от работодателя, и гражданско-правовая, административная и уголовная ответственность по решению суда.
На организации распространяется действие статьи 13.11 КОАП РФ.
При нарушении установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных) на должностных лиц организации может быть наложен штраф в размере от 500 до 1000 рублей, а на организацию от 5000 до 10000 рублей.
При этом, если будет доказан моральный вред субъекту или субъектам персональных данных, организация должна будет возместить его в денежной форме. Согласно статье 237 ТК РФ моральный вред, причиненный работнику, возмещается в размерах, определяемых соглашением сторон трудового договора, а в случае возникновения спора факт причинения работнику морального вреда и размеры его возмещения определяются судом независимо от подлежащего возмещению имущественного ущерба.
Возмещение морального вреда может быть взыскано в пользу потерпевшего в рамках статьи 151 ГК РФ, если гражданину причинен моральный вред (физические или нравственные страдания) действиями, нарушающими его личные неимущественные права либо посягающими на принадлежащие гражданину нематериальные блага, а также в других случаях, предусмотренных законом.
При определении размеров компенсации морального вреда суд принимает во внимание степень вины нарушителя и иные заслуживающие внимания обстоятельства, а также должен учитывать степень физических и нравственных страданий, связанных с индивидуальными особенностями гражданина, которому причинен вред.
Не стоит исключать возможность наказания по ст. 5.27 КОАП РФ за нарушение трудового законодательства и иных нормативных правовых актов, содержащих нормы трудового права, если не будут выполнены требования законодательства о персональных данных.
Это может повлечь предупреждение или наложение административного штрафа на должностных лиц в размере от 1000 до 5000 рублей; на лиц, осуществляющих предпринимательскую деятельность без образования юридического лица, - от 1000 до 5000 рублей; на юридических лиц - от 30000 до 50000 рублей.
Следует учитывать, что штраф может налагаться за каждое допущенное нарушение, а правил для тех, кто работает с персональными данными, законодатели установили не мало. Так что суммы штрафа легко могут суммироваться и превратиться в итоге в сотни тысяч рублей.
Наказаний для работников гораздо больше - следуя той же статье 90 ТК РФ, дисциплинарная и материальная в рамках трудового законодательства, а также гражданско-правовая, административная и уголовная в рамках соответствующих кодексов.
Дисциплинарная ответственность
На основании ст. 192 ТК РФ работодатель может привлечь работника к дисциплинарной ответственности.
Разглашение информации о персональных данных лицом, в чьи обязанности входит соблюдение правил хранения, обработки и использования такой информации, является основанием для привлечения этого лица к дисциплинарной ответственности. Таким наказанием может быть, в частности, расторжение трудового договора на основании подп. «в» п. 6 ч. 1 ст. 81 ТК РФ. При этом, в зависимости от степени и тяжести совершенного правонарушения, увольнение может быть заменено иным дисциплинарным наказанием, например, в виде выговора или замечания.
Исходя из содержания п. 43 Постановления Пленума Верховного Суда РФ № 2 от 17.03.2004 "О применении судами РФ Трудового кодекса РФ", для законности и обоснованности увольнения работника на основании подп. "в" п. 6 ч. 1 ст. 81 Трудового кодекса РФ необходимо совокупное наличие следующих условий:
- сведения, которые работник разгласил, относятся к охраняемой законом тайне либо к персональным данным другого работника;
- эти сведения стали известны работнику в связи с исполнением трудовых обязанностей;
- работник обязался не разглашать такие сведения.
Отсутствие любого из названных условий может являться основанием для признания увольнения работника согласно подп. "в" п. 6 ч. 1 ст. 81 ТК РФ неправомерным.
Материальная ответственность
В результате незаконного распространения информации работнику, чьи данные были разглашены, может быть причинен моральный вред, подлежащий возмещению работодателем. Однако в соответствии со ст. 238 ТК РФ работник обязан возместить работодателю причиненный последнему прямой действительный ущерб.
Следовательно, если вред работнику был причинен по вине лица, ответственного за неразглашение персональных данных, то работодатель может привлечь его к материальной ответственности за ущерб, который был нанесен такими действиями. В соответствии с п. 7 ч. 1 ст. 243 ТК РФ материальная ответственность в полном размере причиненного ущерба возлагается на ответственное лицо в случае разглашения сведений, составляющих охраняемую законом тайну.
Гражданско-правовая ответственность
Если разглашение персональных данных сложно увязать с трудовым законодательством, работник, как гражданин, чьи права нарушены, может предъявить требование о возмещении морального вреда другому работнику, руководствуясь статьей 151 ГК РФ, согласно которой, если гражданину причинен моральный вред (физические или нравственные страдания) действиями, нарушающими его личные неимущественные права либо посягающими на принадлежащие гражданину нематериальные блага, а также в других случаях, предусмотренных законом, суд может возложить на нарушителя обязанность денежной компенсации указанного вреда.
Административная ответственность
Если будет установлено, что разглашение персональных данных произошло по вине работника, ответственного за хранение, обработку и использование персональных данных других работников, то он может быть привлечен к административной ответственности в виде штрафа от 4000 до 5000 рублей согласно ст. 13.14 КоАП РФ.
Уголовная ответственность
Наиболее серьезный вид наказания - уголовная ответственность.
Согласно статье 137 Уголовного кодекса РФ, незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия либо распространение этих сведений в публичном выступлении, публично демонстрирующемся произведении или средствах массовой информации наказываются штрафом в размере до 200000 рублей или в размере заработной платы или иного дохода осужденного за период до 18 месяцев, либо обязательными работами на срок до 360 часов, либо исправительными работами на срок до 1 года, либо принудительными работами на срок до 2 лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до 3 лет или без такового, либо арестом на срок до 4 месяцев, либо лишением свободы на срок до 2 лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до 3 лет.
Те же деяния, совершенные лицом с использованием своего служебного положения, - наказываются штрафом в размере от 100000 до 300000 рублей или в размере заработной платы или иного дохода осужденного за период от 1 года до 2 лет, либо лишением права занимать определенные должности или заниматься определенной деятельностью на срок от 2 до 5 лет, либо принудительными работами на срок до 4 лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до 5 лет или без такового, либо арестом на срок до 6 месяцев, либо лишением свободы на срок до 4 лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до 5 лет.