Разглашение персональных данных сотрудником — серьезное нарушение, которое может нанести ущерб репутации компании и правам граждан. Работодатель имеет право привлечь виновного к дисциплинарной ответственности, но для этого необходимо строго соблюдать процедуру, установленную трудовым законодательством и локальными актами. Разберемся, как это сделать правильно и избежать оспаривания в суде.
Основание для ответственности: что считается нарушением?
Разглашение персональных данных — это противоправное действие или бездействие работника, в результате которого конфиденциальная информация стала известна третьим лицам без согласия субъекта данных или иного законного основания.
Типичные примеры нарушений:
- Пересылка базы данных клиентов на личную почту или в мессенджер.
- Устное обсуждение зарплат, медицинских диагнозов или паспортных данных коллег с посторонними.
- Оставление документов с персональными данными в общедоступном месте (на принтере, на столе).
- Публикация в соцсетях скриншотов рабочей переписки с данными клиентов.
Правовая основа: ответственность регулируется Трудовым кодексом РФ (ст. 192, 81), Федеральным законом № 152-ФЗ «О персональных данных», а также внутренними документами компании: Правилами внутреннего трудового распорядка, Положением о работе с персональными данными, трудовым договором и должностной инструкцией.
Обязательные условия для привлечения к ответственности
Чтобы дисциплинарное взыскание (замечание, выговор, увольнение) было законным, работодатель должен доказать совокупность следующих обстоятельств:
- Факт нарушения. Должно быть установлено, что конкретный работник совершил противоправное действие (бездействие).
- Виновность работника. Нарушение должно быть совершено умышленно или по неосторожности. Незнание правил не освобождает от ответственности, если работник был с ними ознакомлен под подпись.
- Наличие причинно-следственной связи. Между действиями работника и наступившими негативными последствиями (ущерб, жалоба) должна быть прямая связь.
- Работник ознакомлен с правилами. Ключевое условие! Сотрудник должен быть под подпись ознакомлен с:
- Трудовым договором (где есть пункт о неразглашении).
- Должностной инструкцией (с обязанностью соблюдать конфиденциальность).
- Положением о персональных данных.
- Приказом о назначении ответственным за обработку ПДн (если применимо).
Пошаговая процедура привлечения к дисциплинарной ответственности
Любое отклонение от этой процедуры может привести к отмене взыскания в суде.
Шаг 1. Фиксация факта нарушения
Необходимо документально зафиксировать инцидент. Это может быть:
- Докладная или служебная записка от руководителя подразделения или сотрудника службы безопасности.
- Акт о нарушении, составленный комиссией.
- Решение комиссии по расследованию инцидента (если создавалась).
- Письменное обращение (жалоба) субъекта персональных данных, чьи права нарушены.
Шаг 2. Затребование письменного объяснения от работника
Работодатель обязан запросить у сотрудника письменные объяснения (ст. 193 ТК РФ). Для этого ему вручается под подпись уведомление с требованием предоставить объяснительную записку. Если работник отказывается ставить подпись, составляется соответствующий акт.
На дачу объяснений работнику дается два рабочих дня. Если по истечении этого срока объяснение не предоставлено, составляется акт об отказе дать объяснения. Отсутствие объяснения не препятствует применению взыскания.
Шаг 3. Оценка объяснений и принятие решения
Работодатель оценивает тяжесть проступка, обстоятельства его совершения, предыдущее поведение работника и содержание его объяснений. В зависимости от этого выбирается мера взыскания: замечание, выговор или увольнение (п. 6 «в» ч. 1 ст. 81 или п. 7.1 ч. 1 ст. 81 ТК РФ — разглашение охраняемой законом тайны).
Шаг 4. Издание приказа о применении взыскания
Издается приказ (распоряжение) о применении дисциплинарного взыскания. В приказе должны быть ссылки на все документы, собранные на предыдущих этапах (докладную, акт, объяснительную или акт об отказе).
Сроки крайне важны:
- Взыскание применяется не позднее одного месяца со дня обнаружения проступка (не считая времени болезни, отпуска работника).
- Не позднее шести месяцев со дня совершения проступка.
Шаг 5. Ознакомление работника с приказом
Работник должен быть ознакомлен с приказом под подпись в течение трех рабочих дней со дня его издания. В случае отказа — составляется соответствующий акт.
Увольнение как крайняя мера
Увольнение за разглашение персональных данных — наиболее строгая мера. Для ее правомерного применения необходимо, чтобы:
- Разглашенные данные относились к охраняемой законом тайне (персональные данные по ФЗ-152 таковой являются).
- Сотрудник, в силу своих трудовых обязанностей, был ответственен за работу с этими данными (например, кадровик, системный администратор, менеджер по работе с клиентами).
- Была соблюдена вся вышеописанная процедура.
Что делать, если факт нарушения спорный?
Если работник отрицает вину или обстоятельства неочевидны, рекомендуется создать внутреннюю комиссию для служебного расследования. Ее заключение станет весомым доказательством в случае судебного спора.
Заключение
Привлечение к дисциплинарной ответственности за разглашение персональных данных — процесс, требующий скрупулезного соблюдения процедуры и сбора доказательств. Ключ к успеху — в заблаговременной подготовке: все сотрудники должны быть под подпись ознакомлены с правилами обработки ПДн. При правильном подходе работодатель не только накажет виновного, но и продемонстрирует серьезное отношение к защите данных, что является важной частью compliance-культуры компании.