В случае выдачи сертификата ключа проверки усиленной электронной подписи юридическому лицу в качестве владельца сертификата ключа проверки эл
— Федеральный закон от 06.04.2011 № 63-ФЗ «Об электронной подписи», ст. 17
Далее, сама процедура выдачи сертификата закрепляет, что владельцем является лицо, которому выдан сертификат. В силу ст. 14 того же закона, удостоверяющий центр создаёт сертификат на основании соглашения с заявителем, и в сертификате указывается фамилия, имя, отчество физического лица. В вашем случае заявителем были вы как физическое лицо (даже если работодатель оплатил процедуру), а значит, вы и являетесь владельцем сертификата. Передать этот сертификат другому лицу (работодателю) невозможно юридически — он не сможет использовать его от своего имени, так как сертификат привязан к вашим персональным данным.
- фамилия, имя и отчество (если имеется) - для физических лиц, наименование и место нахождения - для юридических лиц и государственных органов, включенных в перечень, предусмотренный частью 6 статьи 8 настоящего Федерального закона, или иная информация, позволяющая идентифицировать владельца сертификата ключа проверки электронной подписи;
— Федеральный закон от 06.04.2011 № 63-ФЗ «Об электронной подписи», ст. 14
Понятие «владелец сертификата» раскрывается в ст. 2 закона — это лицо, которому выдан сертификат. Соответственно, вы как владелец обязаны обеспечивать конфиденциальность ключа электронной подписи и не допускать его использования без вашего согласия (ст. 10 того же закона). Если вы передадите носитель с ключом работодателю, вы нарушите эту обязанность, поскольку он будет иметь доступ к вашему ключу без вашего согласия. Более того, вы обязаны уведомить удостоверяющий центр о нарушении конфиденциальности в течение одного рабочего дня, если ключ оказался у третьего лица. Таким образом, передача ЭП работодателю не только не требуется, но и прямо запрещена законом для вас как владельца.
- владелец сертификата ключа проверки электронной подписи - лицо, которому в установленном настоящим Федеральным законом порядке выдан сертификат ключа проверки электронной подписи; 5) ключ электронной подписи - уникальная последовательность символов, предназначенная для создания электронной подписи;
— Федеральный закон от 06.04.2011 № 63-ФЗ «Об электронной подписи», ст. 2
- обеспечивать конфиденциальность ключей электронных подписей, в частности не допускать использование принадлежащих им ключей электронных подписей без их согласия; 2) уведомлять удостоверяющий центр, выдавший сертификат ключа проверки электронной подписи, и иных участников электронного взаимодействия о нарушении конфиденциальности ключа электронной подписи в течение не более чем одного рабочего дня со дня получения информации о таком нарушении; 5) обеспечивать незамедлительное уничтожение принадлежащих им ключей электронных подписей по истечении сроков действия данных ключей в отношении усиленных квалифицированных электронных подписей.
— Федеральный закон от 06.04.2011 № 63-ФЗ «Об электронной подписи», ст. 10
Перейду к вопросу о возмещении расходов работодателя. В контексте представлен фрагмент ст. 238 Трудового кодекса РФ, который устанавливает материальную ответственность работника только за прямой действительный ущерб. Работодатель оплатил получение флешки и электронной подписи для ваших трудовых обязанностей — это не является прямым ущербом, который вы причинили. Вы не уничтожали и не повреждали имущество работодателя, не производили излишних выплат. Сама по себе оплата услуг по изготовлению ЭП — это расходы работодателя на организацию труда, которые он нёс в своих интересах (чтобы вы могли подписывать документы от имени организации). Если в трудовом договоре или дополнительном соглашении не предусмотрено, что вы должны вернуть эти расходы при увольнении (а вы указали, что ничего про это не сказано), то требование возмещения не основано на законе. Ст. 238 здесь работает в вашу пользу: ваш отказ передать ЭП не уменьшает наличное имущество работодателя — носитель не является его имуществом после того, как он был передан вам в пользование для трудовой деятельности, а подпись — это ваше личное средство.
Работник обязан возместить работодателю причиненный ему прямой действительный ущерб. Под прямым действительным ущербом понимается реальное уменьшение наличного имущества работодателя или ухудшение состояния указанного имущества, а также необходимость для работодателя произвести затраты либо излишние выплаты на приобретение, восстановление имущества либо на возмещение ущерба, причиненного работником третьим лицам.
— Трудовой кодекс Российской Федерации, ст. 238
Теперь о защите ваших персональных данных. Электронная подпись, выпущенная на ваше имя, содержит ваши персональные данные: фамилию, имя, отчество, СНИЛС, ИНН. Согласно ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», любая информация, относящаяся к прямо или косвенно определенному физическому лицу, является персональными данными. Носитель с ЭП — это материальный носитель, содержащий такие данные. После увольнения работодатель утрачивает законную цель обработки ваших персональных данных (вы больше не работник). В силу ст. 5 этого закона, обработка должна ограничиваться достижением конкретных, заранее определенных и законных целей, а хранение данных — не дольше, чем этого требуют цели обработки. Цель (исполнение трудового договора) прекращена, поэтому работодатель обязан прекратить обработку и уничтожить ваши персональные данные. Ваше предложение уничтожить носитель в его присутствии — это именно тот способ, который соответствует закону. Отказ работодателя принять уничтожение означает, что он намерен продолжать хранить ваши данные без законного основания.
- персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 3
- Обработка персональных данных должна осуществляться на законной и справедливой основе. 2. Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. 4. Обработке подлежат только персональные данные, которые отвечают целям их обработки. 7. Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных...
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 5
Кроме того, работодатель, получивший доступ к вашим персональным данным в связи с трудовыми отношениями, обязан не раскрывать их третьим лицам без вашего согласия в силу ст. 7 152-ФЗ. После увольнения он не имеет права хранить носитель с вашей ЭП, так как это может привести к неправомерному доступу к вашим данным или их использованию без вашего согласия. Вы также вправе отозвать согласие на обработку персональных данных — в ст. 9 152-ФЗ прямо указано, что согласие может быть отозвано субъектом персональных данных. Если вы отзовёте согласие, работодатель обязан прекратить обработку и уничтожить данные, иначе его действия станут незаконными.
Операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 7
- Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. ... 2. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных.
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 9
Отказ работодателя принять уничтожение носителя и его требование оставить ЭП образуют состав административного правонарушения, предусмотренного ст. 13.11 Кодекса РФ об административных правонарушениях. Если работодатель после вашего отзыва согласия и требования об уничтожении продолжает обрабатывать ваши персональные данные (хотя бы хранить их на носителе), это является обработкой в случаях, не предусмотренных законодательством, либо обработкой, несовместимой с целями сбора. За это предусмотрен штраф для юридических лиц от 150 000 до 300 000 рублей, для должностных лиц — от 50 000 до 100 000 рублей. Вы можете обратиться в Роскомнадзор с жалобой, приложив доказательства вашего предложения уничтожить носитель и отказа работодателя.
- Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, ... влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц - от пятидесяти тысяч до ста тысяч рублей; на юридических лиц - от ста пятидесяти тысяч до трехсот тысяч рублей.
— Кодекс Российской Федерации об административных правонарушениях, ст. 13.11
Таким образом, правовые последствия для работодателя включают не только невозможность законно требовать ЭП, но и риск административной ответственности за незаконную обработку ваших персональных данных. Для вашей защиты я рекомендую письменно (заказным письмом с уведомлением или через канцелярию с отметкой) зафиксировать ваше предложение уничтожить носитель в присутствии работодателя и его отказ, а также направить работодателю уведомление об отзыве согласия на обработку персональных данных. Затем вы можете обратиться в удостоверяющий центр для аннулирования сертификата ключа проверки электронной подписи (это предусмотрено процедурами центров, хотя напрямую не указано в цитируемых нормах, но следует из права владельца распоряжаться своим сертификатом). После этого носитель утратит актуальность для неправомерного использования, так как подпись станет недействительной.