Штраф за разглашение персональных данных

Федеральным законом № 152 от 27.07.2007 года регулируется вопрос доступа к личной информации, сохранения тайны или ее обнародования путем предоставления сведений одному лицу или группе лиц. Разглашение персональных данных в зависимости от того, при каких обстоятельствах был допущен такой факт, какие это повлекло за собой последствия, может рассматриваться Гражданским кодексом, КоАП РФ или Уголовным кодексом. При определении возможности привлечения к ответственности в первую очередь обращают внимание на то, кем было допущено разглашение – является ли виновный должностным лицом или сотрудником организации, в которую поступают определенные личные данные граждан, защищенные от обнародования законом.

Что относится к личной (персональной) информации

Одним из важных моментов, который принимается во внимание при определении состава преступления и несения ответственности – это то, что относится к персональным данным. Как правило, они представляют собой следующую информацию:

• Данные паспорта (серия, номер, кем выдан);
• Сведения о трудовой деятельности – место работы, обязанности, уровень заработной платы;
• Данные о полученном образовании;
• Информация относительно прохождения лицом военной службы;
• Отдельные факты биографии, медицинские диагнозы;
• Личная переписка граждан или должностных лиц;
• Сведения относительно адреса проживания, номера контактного телефона.

Возможность предоставления такой информации третьим лицам возможна только при условии согласия ее носителя (лица или представителя организации). В отдельных случаях сотрудники правоохранительных органов, налоговой инспекции имеют право запрашивать на основании имеющихся у них полномочий подобные данные.

Признаки преступного деяния и состав преступления

Признаками преступного деяния в случае разглашения информации будут следующие факторы:

• Незаконность сбора информации и ее хранения;
• Отсутствие согласия носителя данных на ее сбор и предоставление;
• Непричастность лиц, которым была предоставлена информация, к правоохранительным органам, имеющим право доступа к подобным данным.

Относительно несения ответственности виновность субъекта может доказываться при разглашении информации одному лицу, публикации ее в средствах массовой информации, на публичных выступлениях и т.д.

Случаи судебной практики на данный момент имеют достаточно много прецедентов, при которых должностные лица (работники финансовых организаций, медицинских учреждений и т.д.) привлекались к уголовной ответственности за раскрытие информации относительно поставленного диагноза, наличия вкладов, сведений о движении денежных средств, сумме дохода и т.д.

Административная ответственность

Ответственность лиц, которые допустили или сами участвовали в разглашении информации, относящейся к личным данным, может рассматриваться как административным кодексом, так и уголовным.

Административная ответственность определяет моменты, касающиеся разглашения данных относительно личности, которые не подлежат огласке. Сюда могут относиться данные паспорта, личные идентификационные данные, сведения о состоянии здоровья. При отсутствии особых последствий, к которым привело распространение или утечка информации, уголовная ответственность не предусмотрена – подобные ситуации рассматривает Административный кодекс – статья 13.11.

Данная статья «Нарушение законодательства РФ в области персональных данных» состоит из 7 частей, каждая из которых определяет различную степень вины и, как следствие, разную степень несения ответственности при признании лица виновным. Так, возможно применение следующих видов наказания:

• Ч1. Относится к противоправным действиям, заключающимся в запросе и обработке персональных данных без наличия такой необходимости и против воли держателя такой информации. Карается вынесением предупреждения и наложением штрафа для граждан до 3 тысяч рублей, должностных лиц до 10 тыс. рублей, юридических до 50 тыс. рублей;
• Ч2. Предусматривает сбор и обработку персональных данных без наличия законных оснований на это. В качестве наказания применяется штраф до 5 тыс. рублей для граждан и до 70 тыс. рублей для организации;
• Ч3. Относится к невыполнению лицом, которое занято на обработке данных, установленных правил по опубликованию информации и обеспечению доступа к ней или ограничению. Физ. лица в такой ситуации уплачивают штраф в размере от 700 до 1700 рублей, должностные лица наказываются штрафом от 3 до 6 тыс. рублей, организации – от 15 до 30 тыс.;
• Ч4. Описывает действия оператора по отношению к его обязанностям предоставления данных персонального характера или сведений субъектам для их обработки. Физ. лица могут выплачивать штраф от 1 до 2 тыс. рублей, должностные от 4 до 6 тыс. рублей, юр. лица – от 20 до 40 тыс. рублей;
• Ч5. Относится к тем противоправным действиям, которые касаются нарушения сроков обработки сведений, их хранения и норм уничтожения. Наказанием является оплата штрафа размером до 2 тыс. рублей с физических лиц, для должностных до 6 тыс. рублей, для организаций до 40 тыс. рублей;
• Ч6. Относится к тем нарушениям, которые приводят к распространению личных данных. Причем такое действие может носить как умышленный характер, так и произойти по причине ошибки кого-либо из сотрудников организации, в которой такие данные хранились. Наказанием может служить штраф до 2 тыс. рублей для граждан, до 10 тыс. рублей для должностных лиц и до 50 тыс. рублей для юридических;
• Ч7. Рассматривает нарушение норм законодательства в форме предоставления, обработки и хранения информации, что были допущены специалистами и сотрудниками муниципалитета или государственных органов власти. Наказанием служит необходимость выплаты штрафа в размере до 6 тысяч рублей.

Уголовная ответственность

Возможность привлечения к уголовной ответственности наступает в случае, если преступное деяние определяется как разглашение личных данных человека. При этом такое событие повлекло за собой создание угрозы жизни, безопасности или же в результате утечки данные стали доступны для общего сведения. При этом сами данные охранялись соответствующими законами РФ. Информацию относительно степени вины и меры наказания определяет статья 137 Уголовного кодекса РФ, состоящая из трех частей:

• Ч1. Указывает в качестве преступления незаконное осуществление сбора информации, распространение личных или семейных данных граждан. Разглашение может осуществляться путем публичного выступления или иного способа сообщения широкой общественности. В качестве наказания применяется необходимость уплаты штрафа в размере 200 тысяч рублей, дохода граждан в сумме их дохода за полтора года. Также могут вменяться обязательные работы продолжительностью до 360 часов, исправительные не более 1 года или принудительные до 2 лет. Наиболее тяжелой мерой является арест до 4 месяцев или лишение свободы до 2 лет;
• Ч2. Рассматривает разглашение персональных данных с оговоркой о том, что действие произошло посредством использования служебного положения лица, которому вменяется вина. Наказание предусматривается до 300 тысяч рублей штрафа, 4 года работ принудительного характера или 6 месяцев ареста. Самой тяжелой мерой будет являться лишение свободы сроком до 4 лет, кроме того, в течение 5 лет виновный не сможет занимать определенные должности, дающие право доступа к такой информации;
• Ч3. Рассматривает распространение данных о лице, являющемся несовершеннолетним или информации, имеющей отношение к физическому или моральному ущербу. В качестве наказания используются различные меры – от штрафа в размере до 300 тысяч рублей до лишения свободы сроком до 5 лет с запретом на работу на определенных должностях.

Итак, разглашение персональных данных о лице, которые могут включать в себя различную информацию от реквизитов документа до событий личной жизни и медицинских диагнозов, рассматриваются административным и уголовным кодексом РФ. В зависимости от степени вины и тех последствий, которое повлекло за собой разглашение данных, в качестве меры наказания могут использоваться штрафы различной величины, исправительные и другие работы или лишение свободы.

Работодатель, принимая сотрудника на работу, запрашивает у него определенные сведения. В статье расскажем, что считается персональными данными, какие обязанности по их защите установлены для работодателей и какая ответственность за их несоблюдение ждет нарушителей.

Какие данные являются персональными

Персональные данные — это любая информация, прямо или косвенно относящаяся к субъекту персональных данных — определенному или определяемому физическому лицу (ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»).

К персональным данным могут быть отнесены:

• фамилия, имя, отчество;
• пол, возраст;
• образование, квалификация, профессиональная подготовка и сведения о повышении квалификации;
• место жительства;
• семейное положение, наличие детей, родственные связи;
• факты биографии и предыдущая трудовая деятельность (место работы, судимость, служба в армии, работа на выборных должностях, на государственной службе и др.);

Кстати, сведения о заработной плате относятся к персональным данным.

Систематизируйте или обновите знания, получите практические навыки и найдите ответы на свои вопросы на курсах повышения квалификации в Школе бухгалтера. Курсы разработаны с учетом профстандарта «Бухгалтер».

Можно ли номер телефона отнести к персональным данным?

Абонентский номер (номер телефона) это выделяемый абоненту номер, (совокупность цифровых знаков) при заключении с абонентом договора об оказании услуг телефонной связи. Данный номер служит для обозначения и возможности идентификации конечного оборудования абонента в сети связи при соединении с ним абонентских устройств. Из чего следует, что номер телефона без указания на его владельца не является информацией, на основании которой это лицо (субъекта персональных данных) можно однозначно идентифицировать и его использование не может подразумевать обработку персональных данных его владельца. Поэтому номер телефона сам по себе не относится к персональным данным.

А вот фотография относится к биометрическим персональным данным. Так как это изображение человека (фотография и видеозапись), которое позволяет установить личность и с этой целью используется оператором (См. Разъяснения Роскомнадзора «О вопросах отнесения фото- и видео- изображения, дактилоскопических данных и иной информации к биометрическим персональным данным и особенности их обработки»).

Персональные данные, набор которых не позволяет идентифицировать субъект, являются обезличенными. К защите обезличенных персональных данных требования законодательства минимальны.

Ответственность работодателя за нарушение норм, регулирующих защиту персональных данных

С 1 июля 2017 года органом, осуществляющим контроль и надзор за соответствием обработки персональных данных требованиям Закона о персональных данных и нормативных правовых актов, является Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) (ст. 23 Закона о персональных данных). Есть плановые проверки, которые Роскомнадзор совершает раз в три года, а есть внеплановые ревизии, и о них не стоит забывать. Они могут быть проведены, к примеру, с целью выяснить, устранила ли компания нарушения, допущенные и выявленные ранее. Кроме того, проверку также стоит ждать, если компания претендует на выполнение госзаказа.

За нарушение порядка получения, обработки, хранения и защиты персональных данных сотрудников предусмотрена дисциплинарная, материальная, административная и уголовная ответственность (ст. 90 ТК РФ, ч. 1 ст. 24 Федерального закона от 27.07.2006 № 152-ФЗ). Разберем каждый вид ответственности.

Дисциплинарная ответственность

Неправомерное разглашение персональных данных лицом, в чьи обязанности входит соблюдение правил хранения, обработки и использования такой информации, является основанием для привлечения этого лица к дисциплинарной ответственности (ст. 90 ТК РФ). Трудовой договор с работником может быть, расторгнут по причине разглашения охраняемой законом тайны, ставшей известной работнику в связи с исполнением им трудовых обязанностей (подп. «в» п. 6 ч. 1 ст. 81 ТК РФ).

Материальная ответственность

Eсли вред работнику был причинен по вине лица, которое было ответственно за неразглашение персональных данных, то работодатель может привлечь последнего к материальной ответственности за ущерб, который был нанесен работнику такими действиями. В соответствии с пунктом 7 части 1 статьи 243 ТК РФ материальная ответственность в полном размере причиненного ущерба возлагается на работника в случае разглашения сведений, составляющих охраняемую законом тайну.

Административная ответственность

С 1 июля статья 13.11 КоАП РФ претерпела значительные изменения и теперь применяется в новой редакции. Был детализирован перечень нарушений в области персональных данных и увеличен размер административной ответственности за них. Теперь новая формулировка статьи 13.11 содержит семь составов правонарушений (вместо одного). Проверяющ ие могут составить отдельный протокол за каждое нарушение и назначить отдельный штраф.

То есть, если до 1 июля 2017 года максимальный штраф по статье 13.11 КоАП РФ составлял 10 тыс. руб. и состав нарушения был одним, то на данный момент размер штрафа увеличен до 75 тыс. руб., и составов преступлений стало семь. Соответственно, за разные нарушения на одну компанию могут наложить несколько разных штрафов.

Кроме того, должностных лиц могут оштрафовать на сумму от 3 000 до 20 000 руб., индивидуальных предпринимателей — на сумму от 5 000 до 20 000 руб., организации — на сумму от 15 000 до 75 000 руб.

Практическая ситуация

В коллективном договоре закреплено, что одним из видов поощрения работников является размещение фотографии работника на Доске почета. Работник обратился к работодателю с требованием не размещать его фотографию для всеобщего обозрения. Какие риски несет работодатель, если разместит фотографию без согласия работника?

Согласно Закону о персональных данных фотографию работника можно отнести к персональным данным. Доска почета, размещенная публично, является общедоступным источником персональных данных. Статья 8 Закона о персональных данных устанавливает, что в общедоступные источники персональных данных сведения о персональных данных могут включаться только с письменного согласия субъекта персональных данных.

То есть работодатель должен перед размещением фотографии на доске почета запросить письменное разрешение работника. Если фотография работника размещена без его согласия, работодатель может быть привлечен к административной ответственности с наложением штрафа до 75 тыс. руб., при этом работник может также потребовать компенсации морального вреда за нарушение его прав.

Если будет установлено, что разглашение персональных данных произошло по вине работника, ответственного за хранение, обработку и использование персональных данных других работников, то его могут привлечь к административной ответственности в виде штрафа (ст. 13.14 КоАП РФ) (за исключением случаев, если такое разглашение влечет уголовную ответственность):

• на граждан — от 500 до 1 000 руб.;
• на должностных лиц — от 4 000 до 5 000 руб.

С работником, допущенным к обработке персональных данных, подписывается обязательство о неразглашении персональных данных.

Можно ли условие о неразглашении персональных данных включать в трудовой договор с работником? Только в отношении тех работников, которые непосредственно работают с персональными данными: кадровиков, бухгалтеров, секретарей и т.п. (ст. 57 ТК РФ). В этом случае при приеме на работу ознакомьте работника с Положением о работе с персональными данными.

Уголовная ответственность

Если работник, ответственный за хранение, обработку и использование персональных данных других работников, злоупотреблял своими служебными полномочиями, распространял сведения о частной жизни других работников без их согласия, он может быть привлечен и к уголовной ответственности. Наказывается такое деяние (ст. 137 УК РФ):

• штрафом в сумме до 200 тыс. руб. или в размере заработной платы, либо иного дохода осужденного за период до 18 месяцев;
• либо обязательными работами на срок от 120 до 180 часов;
• либо исправительными работами на срок до одного года;
• либо арестом на срок до четырех месяцев.

Те же деяния, совершенные лицом с использованием своего служебного положения, наказываются (ч. 2 ст. 137 УК РФ):

• штрафом в сумме от 100 тыс. до 300 тыс. руб. или в размере заработной платы, либо иного дохода осужденного за период от одного года до двух лет;
• либо лишением права занимать определенные должности или заниматься определенной деятельностью на срок от двух до пяти лет;
• либо арестом на срок от четырех до шести месяцев.

Подведем итоги

Что можно порекомендовать работодателям во избежание привлечения к ответственности, а также дополнительных затрат в случае проведения проверок? Обязательно проверьте:

• от всех ли работников получено согласие на обработку персональных данных;
• ознакомлены ли работники с локальными актами, устанавливающими порядок обработки таких данных, и с их правами и обязанностями в этой области;
• должным ли образом осуществляется хранение и защита персональных данных;
• соответствует ли документация об их обработке требованиям законодательства и т.д.

Статьи по теме

К персональным данным относится любая информация о человеке: фамилия, имя, отчество, дата и место рождения, адрес прописки и проживания. Эта информация строго охраняется законом. Узнайте, какая ответственность вам может грозить.

Скачайте документ по теме:

Что такое разглашение и распространение персональных данных

Важнейший принцип обработки персональных данных — конфиденциальность (ст. 7 Федерального закона № 152-ФЗ). Это значит, что должностные лица, которых для выполнения своих трудовых обязанностей допустили к ПД, не имеют права раскрывать и распространять эту информацию третьим лицам. Обязательство о неразглашении персональных данных напоминает и статья 88 ТК РФ.

Ни в законе № 152-ФЗ, ни в Трудовом кодексе нет определения термина «разглашение персональных данных». Хотя ответственность за разглашение персональных данных гражданина установлена и Трудовым кодексом, и КоАП РФ.

На практике под разглашением понимают прямое нарушение принципа конфиденциальности. Например, когда ПД работника передают другим лицам без его согласия. Уголовный кодекс предусматривает ответственность за распространение персональных данных. Под распространением ПД Закон № 152-ФЗ в статье 3 предлагает понимать любые действия, направленные на раскрытие ПД неопределенному кругу лиц.

Вопрос-ответ от эксперта «Системы Кадры»

Можно ли размещать «черные списки» сотрудников на сайте компании?

Рассказывает Юлия ДЕВЯТКОВА, юрист, эксперт журнала «Кадровое дело».

Если вы опубликуете на своем сайте перечень работников, которых уволили за утрату доверия, хищение или неоднократные нарушения, компанию оштрафуют. Но есть и исключения.

Разглашение персональных данных: статья 137 УК РФ

Уголовное наказание предусмотрено только в том случае, если раскрытые сведения о работнике:

• являются сведениями о частной жизни;
• относятся к семейной или личной тайне.

Частной жизнью признают все отношения в сфере межличностных, семейных, интимных, бытовых отношений, неподконтрольных государству и обществу (определение КС РФ от 9.06.2005 № 248-О). А информируют о частной жизни сведения о семейном положении, месте пребывания и жительства, а также сведения о происхождении (статья 152.1 ГК РФ).

Понятия «личная тайна» и «семейная тайна» точно не определены, это оценочные категории.

• к личной тайне уголовное право относит любой факт биографии, который работник хочет скрыть (состояние здоровья, принадлежность к политическим движениям, материальное положение и т. д.).
• семейная тайна — это сведения о внутрисемейных отношениях, образе жизни семьи, бытовых условиях и т. п.

Суды трактуют понятие личной тайны широко, поэтому привлечь к ответственности по статье 137 УК РФ можно за разглашение практически любых ПД.

Примеры из судебной практики

Привлекли за разглашение сведений:

• Фамилия, имя, отчество, адрес, паспортные данные, дата рождения, абонентский номер (постановление Стерлитамакского городского суда Республики Башкортостан от 19.04.2012 по делу № 1-249/12);
• детализация телефонных соединений (приговор Соликамского городского суда Пермского края от 16.11.2011 по делу № 1-511/11);
• сведения о перемещениях автомобиля (приговор мирового судьи СУ № 28 г. Самары от 25.02.2015 по делу № 1-6/2015).

Для привлечения к уголовной ответственности необходимо, чтобы сбор и распространение сведений о частной жизни совершались без согласия работника и с нарушением конфиденциальности.

Кстати, для привлечения к ответственности за разглашение персональных данных по статье 137 УК РФ достаточно сообщить их хотя бы одному человеку. При этом не важно, наступили ли для субъекта ПД какие-либо негативные последствия.

★ Эксперт журнала «Кадровое дело» расскажет, нужно ли прописать во внутренних документах компании, что работникам нельзя разглашать информацию о доходах коллег

Ответственность за распространение персональных данных

Лиц, которые разгласили информацию о персональных данных, могут подвергнуть только одному из указанных в таблице наказаний. Суд вправе выбрать конкретный вид и размер наказания с учетом смягчающих и отягчающих обстоятельств.

статей 137 УК РФ

Ч.1. Незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия

либо распространение этих сведений в публичном выступлении или СМИ

• штраф до 200 тыс. руб.
• штраф в размере зарплаты (дохода) осужденного за период до 18 месяцев),
• обязательные работы на срок до 360 часов,
• исправительные работы на срок до 1 года,
• принудительные работы на срок до 2 лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до 3 лет или без такового,
• арест на срок до 4 месяцев,
• лишение свободы на срок до 2 лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до 3 лет.

Ч.2. Те же деяния, совершенные лицом с использованием своего служебного положения

• штраф от 100 тыс. до 300 тыс. рублей,
• штраф в размере зарплаты (дохода) осужденного за период от 1 года до 2 лет,
• лишение права занимать определенные должности или заниматься определенной деятельностью на срок от 2 до 5 лет,
• принудительные работы на срок до 4 лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до 4 лет или без такового,
• арест на срок до 6 месяцев,
• лишение свободы на срок до 4 лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до 5 лет.

Ч.3. Незаконное распространение в публичном выступлении, СМИ, сети Интернет информации, указывающей на личность потерпевшего, не достигшего 16 лет, по уголовному делу,

либо информации, содержащей описание полученных им в связи с преступлением физических или нравственных страданий, повлекшее причинение вреда здоровью, психическое расстройство или иные тяжкие последствия

• штраф от 150 тыс. до 350 тыс. рублей
• штраф в размере зарплаты (дохода) осужденного за период от 18 мес. до 3 лет,
• лишение права занимать определенные должности или заниматься определенной деятельностью на срок от 3 до 5 лет,
• принудительные работы на срок до 5 лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до 6 лет или без такового,
• арест на срок до 6 месяцев,
• лишение свободы на срок до 5 лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до 6 лет.

Дисциплинарная ответственность за разглашение персональных данных

Трудовой кодекс РФ тоже предусматривает наказание за разглашение персональных данных. Кроме замечания и выговора можно применить взыскание в виде увольнения за виновные действия по подпункту «в» пункта 6 статья 81 ТК РФ.

К дисциплинарной ответственности можно привлечь работника, если:

• сведения, которые работник разгласил, относятся к ПД другого работника,
• эти сведения стали известны работнику в связи с исполнением им трудовых обязанностей,
• работник давал обязательство не разглашать такие сведения.

3 случая, когда передачу данных о работнике третьим лицам признают разглашением его ПД

Случай 1. Решая вопрос о выдаче кредита, сотрудник банка может позвонить в организацию, чтобы уточнить размер заработной платы и должность конкретного работника. В этом случае нельзя давать никакую информацию по телефону без письменного согласия работника и официального запроса из банка. Все сведения о себе работник вправе предоставить самостоятельно.

Случай 2. Трудовой кодекс обязывает работодателя в некоторых случаях предлагать работнику другую работу. Выполняя это требование, кадровики показывают штатное расписание. И работник видит не только условия оплаты, предлагаемой ему должности, но и размеры окладов и надбавок других работников. Такие действия однозначно квалифицируются как разглашение конфиденциальной информации.

Случай 3. Расчетные листки, в которых отражаются все начисления и удержания по заработной плате, нужно вручать работнику лично. И делать это может лицо, которое имеет доступ к персональным данным в силу своих обязанностей. В противном случае будет иметь место разглашение ПД.

Применяя наказание за разглашение персональных данных, учитывайте, что работодатель также принимает активное участие в недопущении фактов разглашения ПД. Он обязан:

• обеспечить защиту ПД работников от неправомерного их использования,
• отразить условие об установлении ответственности работника за обработку ПД в трудовом договоре,
• ознакомить работника с локальным актом, устанавливающим порядок обработки ПД. Этот порядок должен предусматривать меры по ограничению доступа к ПД.

Административная ответственность за разглашение персональных данных

КоАП РФ в статье 13.14. устанавливает административный штраф за разглашение персональных данных. Для должностных лиц, которые нарушили конфиденциальность ПД, установлен штраф в размере от 4 тыс. до 5 тыс. рублей. Но это при условии, что разглашение ПД не было квалифицировано по статье 137 УК РФ.

Административные штрафы установлены также статьей 13.11. КоАП РФ. Семь частей этой статьи учитывают иные нарушения в сфере обработки персональных данных работников.