Нарушение конфиденциальности персональных данных клиента при передаче бланка третьему лицу
Анализ ситуации
Действия сотрудника компании, передавшего клиенту в качестве примера заполненный бланк претензии другого клиента, содержащий Ф.И.О., адрес проживания и номер телефона, представляют собой нарушение законодательства о персональных данных. Клиент, получивший эти данные, имеет право обжаловать действия компании.
Применимые правовые нормы
1. Нарушенные нормы о защите персональных данных
Передача персональных данных одного клиента другому без согласия субъекта данных является прямым нарушением закона:
"Операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом." (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 7)
Это также нарушает конституционные права:
"Каждый имеет право на неприкосновенность частной жизни, личную и семейную тайну, защиту своей чести и доброго имени." (Источник: Конституция Российской Федерации, статья 23)
"Сбор, хранение, использование и распространение информации о частной жизни лица без его согласия не допускаются." (Источник: Конституция Российской Федерации, статья 24)
2. Ответственность сотрудника и компании
А) Административная ответственность
Действия сотрудника, совершенные при исполнении трудовых обязанностей, считаются действиями компании:
"Действия работников должника по исполнению его обязательства считаются действиями должника. Должник отвечает за эти действия, если они повлекли неисполнение или ненадлежащее исполнение обязательства." (Источник: Гражданский кодекс Российской Федерации (часть первая), статья 402)
Компания как оператор персональных данных несет ответственность за нарушение требований закона:
"Лица, виновные в нарушении требований настоящего Федерального закона, несут предусмотренную законодательством Российской Федерации ответственность." (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 24)
Б) Гражданско-правовая ответственность
Клиент, чьи данные были разглашены, имеет право требовать компенсации морального вреда:
"Моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных, установленных настоящим Федеральным законом, а также требований к защите персональных данных, установленных в соответствии с настоящим Федеральным законом, подлежит возмещению в соответствии с законодательством Российской Федерации." (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 24)
"Если гражданину причинен моральный вред (физические или нравственные страдания) действиями, нарушающими его личные неимущественные права либо посягающими на принадлежащие гражданину нематериальные блага, а также в других случаях, предусмотренных законом, суд может возложить на нарушителя обязанность денежной компенсации указанного вреда." (Источник: Гражданский кодекс Российской Федерации (часть первая), статья 151)
В) Дисциплинарная ответственность сотрудника
Сотрудник, допустивший нарушение, может быть привлечен к дисциплинарной ответственности:
"За совершение дисциплинарного проступка, то есть неисполнение или ненадлежащее исполнение работником по его вине возложенных на него трудовых обязанностей, работодатель имеет право применить следующие дисциплинарные взыскания: 1) замечание; 2) выговор; 3) увольнение по соответствующим основаниям." (Источник: Трудовой кодекс Российской Федерации, статья 192)
"Лица, виновные в нарушении положений законодательства Российской Федерации в области персональных данных при обработке персональных данных работника, привлекаются к дисциплинарной и материальной ответственности в порядке, установленным настоящим Кодексом и иными федеральными законами..." (Источник: Трудовой кодекс Российской Федерации, статья 90)
Г) Материальная ответственность сотрудника
Если компании будут причинены убытки (например, выплата компенсации), с сотрудника могут быть взысканы эти суммы:
"Работник обязан возместить работодателю причиненный ему прямой действительный ущерб." (Источник: Трудовой кодекс Российской Федерации, статья 238)
3. Обязанности компании как оператора персональных данных
Компания обязана принять меры по обеспечению безопасности персональных данных:
"Оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных." (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 19)
4. Права субъекта персональных данных
Клиент, чьи данные были разглашены, имеет право на защиту:
"Если субъект персональных данных считает, что оператор осуществляет обработку его персональных данных с нарушением требований настоящего Федерального закона или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке." (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 17)
"Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке." (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 17)
О судебной практике
В предоставленном контексте отсутствует информация о конкретных судебных делах по аналогичным ситуациям. Для ознакомления с судебной практикой по делам о разглашении персональных данных рекомендуется обратиться к базам судебных решений (например, Картотеке арбитражных дел или Базе решений судов общей юрисдикции), а также к специализированным юридическим изданиям и комментариям к Федеральному закону "О персональных данных".
Выводы и рекомендации
Немедленные действия для компании:
- Уведомить клиента, чьи данные были разглашены – сообщить о произошедшем инциденте, принести извинения и разъяснить его права.
- Провести внутреннее расследование – установить обстоятельства нарушения, выявить виновных лиц.
- Принять меры в отношении сотрудника – в зависимости от тяжести проступка и обстоятельств, рассмотреть вопрос о дисциплинарном взыскании.
- Устранить последствия нарушения – по возможности, получить от клиента, получившего чужие данные, подтверждение уничтожения бланка или его возврата.
- Обратиться к уполномоченному органу – в случае серьезных последствий, компания может самостоятельно уведомить Роскомнадзор о произошедшем инциденте.
Действия сотрудника:
- Сообщить руководству – немедленно информировать непосредственного руководителя и ответственного за обработку персональных данных в компании о произошедшем.
- Предоставить объяснения – в письменной форме изложить обстоятельства произошедшего.
- Сотрудничать с расследованием – предоставлять всю запрашиваемую информацию.
Меры по предотвращению повторения:
- Провести обучение сотрудников – ознакомить всех работников, имеющих доступ к персональным данным, с требованиями законодательства.
- Пересмотреть внутренние процедуры – разработать и внедрить четкие правила работы с документами, содержащими персональные данные.
- Назначить ответственного – определить лицо, ответственное за организацию обработки персональных данных в компании.
- Разработать шаблоны документов – создать обезличенные образцы бланков для использования в качестве примеров.
Риски для компании:
- Административные штрафы от Роскомнадзора за нарушение законодательства о персональных данных.
- Гражданские иски от клиента, чьи данные были разглашены, с требованием компенсации морального вреда.
- Репутационные потери – ухудшение деловой репутации компании.
- Проверки контролирующих органов – возможно проведение внеплановой проверки Роскомнадзором.
Риски для сотрудника:
- Дисциплинарное взыскание – вплоть до увольнения.
- Материальная ответственность – если компании будут причинены убытки, которые можно взыскать с сотрудника.
- Уголовная ответственность – в исключительных случаях при наличии признаков состава преступления (в предоставленном контексте информации об этом нет).
Рекомендация: В данной ситуации компании целесообразно обратиться за консультацией к адвокату, специализирующемуся в области защиты персональных данных, для разработки стратегии минимизации рисков и правильного оформления всех необходимых действий.
