Разглашение персональных данных клиента при предоставлении образца документа: последствия для сотрудника и компании, а также судебная практика

Нарушение конфиденциальности персональных данных клиента при передаче бланка третьему лицу

Анализ ситуации

Действия сотрудника компании, передавшего клиенту в качестве примера заполненный бланк претензии другого клиента, содержащий Ф.И.О., адрес проживания и номер телефона, представляют собой нарушение законодательства о персональных данных. Клиент, получивший эти данные, имеет право обжаловать действия компании.

Применимые правовые нормы

1. Нарушенные нормы о защите персональных данных

Передача персональных данных одного клиента другому без согласия субъекта данных является прямым нарушением закона:

"Операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом." (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 7)

Это также нарушает конституционные права:

"Каждый имеет право на неприкосновенность частной жизни, личную и семейную тайну, защиту своей чести и доброго имени." (Источник: Конституция Российской Федерации, статья 23)
"Сбор, хранение, использование и распространение информации о частной жизни лица без его согласия не допускаются." (Источник: Конституция Российской Федерации, статья 24)

2. Ответственность сотрудника и компании

А) Административная ответственность
Действия сотрудника, совершенные при исполнении трудовых обязанностей, считаются действиями компании:

"Действия работников должника по исполнению его обязательства считаются действиями должника. Должник отвечает за эти действия, если они повлекли неисполнение или ненадлежащее исполнение обязательства." (Источник: Гражданский кодекс Российской Федерации (часть первая), статья 402)

Компания как оператор персональных данных несет ответственность за нарушение требований закона:

"Лица, виновные в нарушении требований настоящего Федерального закона, несут предусмотренную законодательством Российской Федерации ответственность." (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 24)

Б) Гражданско-правовая ответственность
Клиент, чьи данные были разглашены, имеет право требовать компенсации морального вреда:

"Моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных, установленных настоящим Федеральным законом, а также требований к защите персональных данных, установленных в соответствии с настоящим Федеральным законом, подлежит возмещению в соответствии с законодательством Российской Федерации." (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 24)

"Если гражданину причинен моральный вред (физические или нравственные страдания) действиями, нарушающими его личные неимущественные права либо посягающими на принадлежащие гражданину нематериальные блага, а также в других случаях, предусмотренных законом, суд может возложить на нарушителя обязанность денежной компенсации указанного вреда." (Источник: Гражданский кодекс Российской Федерации (часть первая), статья 151)

В) Дисциплинарная ответственность сотрудника
Сотрудник, допустивший нарушение, может быть привлечен к дисциплинарной ответственности:

"За совершение дисциплинарного проступка, то есть неисполнение или ненадлежащее исполнение работником по его вине возложенных на него трудовых обязанностей, работодатель имеет право применить следующие дисциплинарные взыскания: 1) замечание; 2) выговор; 3) увольнение по соответствующим основаниям." (Источник: Трудовой кодекс Российской Федерации, статья 192)

"Лица, виновные в нарушении положений законодательства Российской Федерации в области персональных данных при обработке персональных данных работника, привлекаются к дисциплинарной и материальной ответственности в порядке, установленным настоящим Кодексом и иными федеральными законами..." (Источник: Трудовой кодекс Российской Федерации, статья 90)

Г) Материальная ответственность сотрудника
Если компании будут причинены убытки (например, выплата компенсации), с сотрудника могут быть взысканы эти суммы:

"Работник обязан возместить работодателю причиненный ему прямой действительный ущерб." (Источник: Трудовой кодекс Российской Федерации, статья 238)

3. Обязанности компании как оператора персональных данных

Компания обязана принять меры по обеспечению безопасности персональных данных:

"Оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных." (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 19)

4. Права субъекта персональных данных

Клиент, чьи данные были разглашены, имеет право на защиту:

"Если субъект персональных данных считает, что оператор осуществляет обработку его персональных данных с нарушением требований настоящего Федерального закона или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке." (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 17)

"Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке." (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 17)

О судебной практике

В предоставленном контексте отсутствует информация о конкретных судебных делах по аналогичным ситуациям. Для ознакомления с судебной практикой по делам о разглашении персональных данных рекомендуется обратиться к базам судебных решений (например, Картотеке арбитражных дел или Базе решений судов общей юрисдикции), а также к специализированным юридическим изданиям и комментариям к Федеральному закону "О персональных данных".

Выводы и рекомендации

Немедленные действия для компании:

1. Уведомить клиента, чьи данные были разглашены – сообщить о произошедшем инциденте, принести извинения и разъяснить его права.
2. Провести внутреннее расследование – установить обстоятельства нарушения, выявить виновных лиц.
3. Принять меры в отношении сотрудника – в зависимости от тяжести проступка и обстоятельств, рассмотреть вопрос о дисциплинарном взыскании.
4. Устранить последствия нарушения – по возможности, получить от клиента, получившего чужие данные, подтверждение уничтожения бланка или его возврата.
5. Обратиться к уполномоченному органу – в случае серьезных последствий, компания может самостоятельно уведомить Роскомнадзор о произошедшем инциденте.

Действия сотрудника:

1. Сообщить руководству – немедленно информировать непосредственного руководителя и ответственного за обработку персональных данных в компании о произошедшем.
2. Предоставить объяснения – в письменной форме изложить обстоятельства произошедшего.
3. Сотрудничать с расследованием – предоставлять всю запрашиваемую информацию.

Меры по предотвращению повторения:

1. Провести обучение сотрудников – ознакомить всех работников, имеющих доступ к персональным данным, с требованиями законодательства.
2. Пересмотреть внутренние процедуры – разработать и внедрить четкие правила работы с документами, содержащими персональные данные.
3. Назначить ответственного – определить лицо, ответственное за организацию обработки персональных данных в компании.
4. Разработать шаблоны документов – создать обезличенные образцы бланков для использования в качестве примеров.

Риски для компании:

• Административные штрафы от Роскомнадзора за нарушение законодательства о персональных данных.
• Гражданские иски от клиента, чьи данные были разглашены, с требованием компенсации морального вреда.
• Репутационные потери – ухудшение деловой репутации компании.
• Проверки контролирующих органов – возможно проведение внеплановой проверки Роскомнадзором.

Риски для сотрудника:

• Дисциплинарное взыскание – вплоть до увольнения.
• Материальная ответственность – если компании будут причинены убытки, которые можно взыскать с сотрудника.
• Уголовная ответственность – в исключительных случаях при наличии признаков состава преступления (в предоставленном контексте информации об этом нет).

Рекомендация: В данной ситуации компании целесообразно обратиться за консультацией к адвокату, специализирующемуся в области защиты персональных данных, для разработки стратегии минимизации рисков и правильного оформления всех необходимых действий.