Ответственность за нарушения в работе с персданными

За нарушение порядка получения, обработки, хранения и защиты персональных данных сотрудников предусмотрена дисциплинарная, материальная, административная и уголовная ответственность (ст. 90 ТК, ч. 1 ст. 24 Закона от 27.07.2006 № 152-ФЗ).

К дисциплинарной ответственности могут быть привлечены только те сотрудники, которые приняли на себя обязательства соблюдать правила работы с персональными данными и нарушили их. Материальная ответственность может наступить, если в связи с нарушением правил работы с персональными данными организации причинен прямой действительный ущерб (ст. 192, ст. 238 ТК).

За нарушение порядка сбора, хранения, использования или распространения персональных данных организацию и ее должностных лиц оштрафуют. В рамках одной проверки Роскомнадзор может обнаружить несколько разных нарушений. Тогда он взыщет сразу несколько штрафов.

Размеры штрафов зависят от вида совершенного правонарушения. Так, должностных лиц могут оштрафовать на сумму от 3000 до 20 000 руб., ИП – на сумму от 5000 до 20 000 руб., организацию – на сумму от 15 000 до 75 000 руб. Подробнее о том, каковы штрафы за нарушения в работе с персональными данными, смотрите в таблице. Такие меры ответственности предусмотрены статьями 13.11 и 13.14 КоАП.

Уголовная ответственность для руководителя организации или иного ответственного за работу с персональными данными может наступить, если незаконно:

· собирать или распространять сведения о частной жизни сотрудника, составляющие его личную или семейную тайну, без его согласия;

· распространять сведения о жизни сотрудника в публичном выступлении, публично демонстрирующемся произведении или средствах массовой информации.

За указанные нарушения предусмотрены следующие меры ответственности:

· штраф в размере до 200 000 руб. (или в размере доходов осужденного за период до 18 месяцев);

· обязательные работы на срок до 360 часов;

· исправительные работы на срок до одного года;

· принудительные работы на срок до двух лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до трех лет или без такового;

· арест на срок до четырех месяцев;

· лишение свободы на срок до двух лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до трех лет.

При этом те же деяния, совершенные лицом с использованием своего служебного положения, наказываются:

· штрафом в размере от 100 000 до 300 000 руб. (или в размере доходов осужденного за период от одного года до двух лет);

· лишением права занимать определенные должности или заниматься определенной деятельностью на срок от двух до пяти лет;

· принудительными работами на срок до четырех лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до пяти лет или без такового;

· арестом на срок от четырех до шести месяцев;

· лишением свободы на срок до четырех лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до пяти лет.

Об этом говорится в статье 137 УК.

Если в результате нарушений, допущенных работодателем при работе с персональными данными, ущемляются права сотрудника, то он вправе также потребовать с организации компенсацию морального вреда. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и иных понесенных сотрудником убытков. Об этом говорится в части 2 статьи 24 Закона от 27.07.2006 № 152-ФЗ. Порядок возмещения морального вреда регулируется гражданским законодательством (ст. 1099 ГК).

Ситуация: можно ли в трудовых договорах сотрудников предусмотреть условие о неразглашении конфиденциальной информации

Да, можно.

Условие о неразглашении конфиденциальной информации работодатель вправе предусмотреть в трудовых договорах в отношении тех сотрудников, которые непосредственно работают с персональными данными: кадровиков, менеджеров по персоналу, секретарей. В этом случае при приеме на работу ознакомьте сотрудника с положением о работе с персональными данными (ст. 57 ТК).

Ситуация: можно ли в локальный акт организации включить условие об обязательном применении полиграфа в процессе трудовой деятельности сотрудников

Нет, нельзя.

Использование полиграфа в процессе трудовой деятельности (при трудоустройстве, установлении виновного в причинении ущерба работодателю и т. п.) Трудовым кодексом не предусмотрено. Кроме того, медицинские, научные и иные опыты (в том числе полиграфическое тестирование) на людях без их добровольного согласия в Российской Федерации запрещены (ч. 2 ст. 21 Конституции).

Таким образом, условие о возможности применения полиграфа может быть включено в локальные акты организации, при этом обязать сотрудника проходить проверку на полиграфе без его согласия работодатель не вправе.

Ситуация: можно ли в рабочих кабинетах установить системы видеонаблюдения

Да, можно, но по общему правилу с согласия сотрудников.

Видеонаблюдение в кабинетах – один из случаев обработки персональных данных сотрудников. В связи с чем в общем случае требуется согласие сотрудников на такую обработку (ст. 86 ТК, ст. 9 Закона от 27.07.2006 № 152-ФЗ). Исключение могут составлять ситуации, когда наличие видеоконтроля предусмотрено, например, нормами законодательства или связано с непосредственным выполнением трудовой функции сотрудников. Подробнее о случаях, когда согласие сотрудников на обработку персональных данных не требуется, см. в перечне исключений.

После получения согласия сотрудников и установления систем видеонаблюдения работодатель обязан обеспечить защиту полученной с помощью видеокамер информации и не допускать ее несанкционированного разглашения (ст. 19 Закона от 27.07.2006 № 152-ФЗ).

Следует помнить, что негласное наблюдение за сотрудниками может быть расценено как нарушение гарантированной статьями 23, 24 Конституции неприкосновенности частной жизни (см., например, определение Верховного суда от 14.09.2006 № КАС06-326). Ведение скрытого, без информирования сотрудников, видеонаблюдения может повлечь для работодателя административную и уголовную ответственность (ст. 13.11 КоАП, ст. 138.1 УК).

При введении видеонаблюдения после заключения трудового договора Роскомнадзор в своих разъяснениях от 02.09.2013 рекомендует уведомлять сотрудников о нововведении за два месяца и оформить дополнительные соглашения к трудовому договору в порядке изменений организационного или технологического характера (ст. 74 ТК).

В то же время суды при рассмотрении данного вопроса занимают противоположную позицию – предупреждать сотрудников о введении видеонаблюдения за два месяца не требуется. По мнению суда, наличие или отсутствие видеонаблюдения на рабочих местах не относится к существенным условиям трудового договора и введение видеонаблюдения никак не влияет и не изменяет трудовую функцию сотрудника и не сказывается на его рабочем процессе. Достаточно внести изменения в Правила трудового распорядка или в иной локальный документ, регулирующий обустройство офисных помещений, и ознакомить с ним сотрудников (ст. 57 ТК, апелляционное определение Алтайского краевого суда от 15.10.2013 № 33-8403/2013).

Чтобы минимизировать риски судебных разбирательств, следуйте более безопасной первой позиции и предупреждайте сотрудников за два месяца до введения системы видеонаблюдения.

Ситуация: может ли работодатель снимать отпечатки пальцев сотрудников для организации пропускного режима

Да, может, если работодатель не относится к органам, которые обязаны проводить государственную дактилоскопию, и проводит дактилоскопию по своей инициативе при условии, что сотрудник дал согласие на ее проведение.

Дактилоскопия бывает двух видов: государственная и негосударственная.

Основные требования к проведению государственной дактилоскопической регистрации, а также органы, которые имеют право ее проводить, устанавливает Закон от 25.07.1998 № 128-ФЗ. В частности, проводить дактилоскопию и использовать отпечатки вправе суды, органы прокуратуры, предварительного следствия, дознания, органы уголовно-исполнительной системы и т. п. Об этом говорится в статье 14 Закона от 25.07.1998 № 128-ФЗ.

Негосударственную дактилоскопию работодатели вправе проводить по своей инициативе. Например, для организации пропускного режима в организацию. При условии, что организация не относится к органам, которые обязаны проводить государственную дактилоскопию (ст. 14 Закона от 25.07.1998 № 128-ФЗ).

При этом следует учесть, что отпечатки пальцев относят к одному из видов персональных данных – биометрическим персональным данным. Такие биометрические данные в общем случае можно обрабатывать только при наличии письменного согласия сотрудника. Исключение действует для случаев совершения правосудия и исполнения судебных актов, оперативно-разыскной деятельности, противодействия терроризму, коррупции и т. п. (ч. 1 ст. 11, ч. 2 ст. 11 Закона от 27.07.2006 № 152-ФЗ).

Таким образом, если работодатель не относится к органам, которые обязаны проводить государственную дактилоскопию, и проводит дактилоскопию по своей инициативе, например, для организации пропускного режима, то он вправе снимать отпечатки пальцев сотрудников при наличии их согласия. Следует отметить, что если кто-то из сотрудников откажется давать свое согласие на дактилоскопию, то в этом случае организации придется использовать для них альтернативную пропускную систему. Например, пластиковые карты.

Ситуация: вправе ли работодатель читать переписку своих сотрудников