Судебная практика
В настоящее время уже складывается судебная практика в части использования, обработки и хранения персональных данных.
При этом можно встретить даже уголовные дела, которые касаются персональных данных.
Например, в Апелляционном определении Верховного Суда от 14.01.2020 по делу N 225-АПУ19-4 суд установил следующее. Осужденный указывал на отсутствие персональных данных на странице. Для получения сведений из ООО "ВКонтакте" о владельце страницы в социальной сети, содержащих его персональные данные, в силу ст. 186.1 УПК РФ требовалось судебное решение, которого нет, а сам ответ содержит информацию об именах загруженных на его страницу файлов, которые не обладают признаками относимости доказательств. Ответ из ПАО "Мегафон", подтверждающий соединение с принадлежащего ему абонентского номера телефона с сетью Интернет в момент загрузки на его личную страницу в социальной сети "ВКонтакте" файлов экстремистского содержания.
Суд же установил, что определяющим для квалификации по ст. 205 УК РФ является установление факта размещения информационных материалов в условиях, доступных для ознакомления с ними неограниченного круга лиц (в том числе в сети Интернет), что имело место по настоящему уголовному делу, а вывод суда о доказанности публичного характера действий Водянского в данной части его обвинения является правильным.
Также имеют место факты привлечения к административной ответственности. В качестве примера можно привести Постановление ВС РФ от 27.12.2019 по делу N 5-АД19-239. Как усматривается из материалов дела, компания привлечена к административной ответственности на основании приведенной выше статьи Кодекса Российской Федерации об административных правонарушениях за то, что в нарушение требований ч. 4 ст. 20 Закона о персональных данных в установленный срок ею не представлены в Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) сведения (информация), указанные в запросе руководителя названного административного органа от 17.12.2018 N 08ЖА-106548 (поступившем в компанию в обозначенную дату), представление которых предусмотрено законом и необходимо для осуществления этим органом его законной деятельности, а именно: информация о результатах принятия компанией мер по обеспечению записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения персональных данных российских пользователей социальной сети с использованием баз данных, находящихся на территории Российской Федерации, в том числе с предоставлением заверенной блок-схемы размещения рабочих мест, на которых осуществляется хранение персональных данных российских пользователей; справки о постановке на балансовый учет компании приобретенных серверных мощностей; договора купли-продажи серверных мощностей; копии договора аренды компанией технических площадок (ЦОД, серверные мощности) на территории Российской Федерации.
При этом важно отметить, что к ответственности может быть привлечен не только работодатель, но и компания ввиду нарушения антимонопольного законодательства.
Примером является Постановление от 21.05.2020 по делу N А13-15804/2019 (Арбитражный суд Вологодской области (АС Вологодской области). Согласно п. 2 ст. 448 Гражданского кодекса Российской Федерации извещение о проведении торгов должно содержать, в частности, сведения о порядке проведения торгов, в том числе об оформлении участия в торгах.
В силу ч. 2, 4, 5 ст. 5 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных "обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, не совместимая с целями сбора персональных данных. Обработке подлежат только персональные данные, которые отвечают целям их обработки. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки. Из материалов дела следует, что в регламенте и извещении о проведении торгов предусмотрено требование предоставления "копии документа, удостоверяющего личность".
Обратите внимание! Суды и другие правоохранительные органы могут беспрепятственно получать от организаций персональные данные работников, клиентов или контрагентов без согласия последних. Данную правовую позицию поддерживают и суды высших инстанций.
В частности, Иркутский областной суд в Апелляционном определении от 09.09.2014 по делу N 33-7441-14 указал, что суд первой инстанции сделал правильные выводы о том, что запрос сведений, касающихся лица, состоящего в трудовых отношениях с администрацией муниципального образования, является правомерным, произведен прокурором в пределах его полномочий, предусмотренных законом, и не требует согласия указанного гражданина на обработку его персональных данных.
Как следует из содержания запроса и материалов дела, обращаясь к главе администрации АМО, прокурор конкретизировал запрашиваемые сведения, ограничив их документами, предшествующими заключению трудового договора, включая конкурсную документацию, что воспринимается однозначно и не вызывает сомнений в составе и объеме запрашиваемых документов.
В соответствии с п. 6 ст. 3 Федерального закона "О персональных данных" действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц, являются предоставлением, а не распространением информации. Рассмотрим следующий пример из судебной практики.
Так, в Апелляционном определении от 04.03.2015 по делу N 33-7084 Московский городской суд правильно исходил из того, что обработка персональных данных заявителя по его письменному заявлению осуществляется не в рамках уголовно-правовых отношений, определяющих основания аннулирования всех последствий, связанных с судимостью, а в связи с его профессиональной деятельностью и в соответствии с целями обработки, определенными Трудовым кодексом РФ, которые допускают включение в данную справку сведений как об имеющейся, так и об имевшейся у лица судимости.
Данное правовое регулирование обеспечивает защиту общественных интересов и обязывает ФКУ ГИАЦ МВД России и ИЦ предоставлять информацию обо всех судимостях заявителя, включая погашенные (Апелляционное определение Московского городского суда от 04.03.2015 по делу N 33-7084).
Федеральными законами могут быть предусмотрены иные случаи передачи персональных данных без согласия работника. Запрашивать сведения о персональных данных работника могут также адвокаты, нотариусы, должностные лица государственных органов. В силу п. 1 ч. 3 ст. 6 Федерального закона от 31.05.2002 N 63-ФЗ "Об адвокатской деятельности и адвокатуре в Российской Федерации" адвокат вправе собирать сведения, необходимые для оказания юридической помощи, в том числе запрашивать справки, характеристики и иные документы от органов государственной власти, органов местного самоуправления, а также общественных объединений и иных организаций.
Указанные органы и организации в порядке, установленном законодательством, обязаны выдать адвокату запрошенные им документы или их заверенные копии не позднее чем в месячный срок со дня получения запроса адвоката.
В частности, в Апелляционном определении Московского городского суда от 24.12.2014 по делу N 33-41576/2014 указано, что, отказывая истцу в удовлетворении заявленных требований, суд первой инстанции исходил из того, что предоставление ответчиком адвокату копии трудовой книжки П. и расписки в получении трудовой книжки соответствует положениям п. 1 ч. 3 ст. 6 Федерального закона "Об адвокатской деятельности и адвокатуре в Российской Федерации", п. п. 2, 3 ч. 1 ст. 6 Федерального закона "О персональных данных", поскольку обработка персональных данных истца осуществлялась ЗАО "ИНТЕРРОС ЭСТЕЙТ" в целях обеспечения права на представления доказательств по гражданскому делу. Но не все правоохранительные и контрольные органы имеют аналогичные права. Остановимся на следующей судебной практике.
Так, Девятый арбитражный апелляционный суд в своем Постановлении от 25.06.2009 по делу N А40-76345/08-122-112 указал, что сотрудник службы судебных приставов не имеет права запрашивать и получать сведения, содержащие личные данные граждан. В частности, суд отметил, что ни Федеральный закон от 21.07.1997 N 118-ФЗ "О судебных приставах", ни Федеральный закон от 02.10.2007 N 229-ФЗ "Об исполнительном производстве" не предоставляют судебным приставам-исполнителям права получать персональные данные без согласия их субъектов, не устанавливают условия получения таких данных, не определяют круг субъектов, персональные данные которых подлежат обработке, а также полномочия судебного пристава-исполнителя по их обработке.
Но существует и противоположная практика. Например, в Определении Верховного Суда от 29.08.2018 по делу N А53-18685/2017 суд признал неправомерным отказ в предоставлении документов. Как следует из материалов дела и принятых по делу судебных актов, в целях проверки доводов жалобы физического лица на действия организации, осуществляющей взыскание кредитной задолженности, заместителем руководителя управления в адрес заявителя, осуществляющего услуги связи, направлен запрос от 19.05.2017 N 61919/17/20483-МТ о предоставлении информации об абоненте, с телефонного номера которого физическому лицу поступали телефонные звонки, в том числе о наименовании организации, адресе регистрации и местонахождении; о предоставлении заверенных копий договора оказания услуг телефонной связи, заключенных между обществом и организацией, у которой находится в пользовании спорный абонентский номер телефона; о предоставлении данных о подтверждении всех случаев осуществления переговоров в телефонном режиме с обратившимся в управление лицом с указанием даты, времени и длительности переговоров, а также об отправлении и получении обратившимся в управление лицом смс-сообщений с указанием даты и времени их отправки.
Согласно ч. 1, 2 ст. 63 Закона о связи на территории Российской Федерации гарантируется тайна переписки, телефонных переговоров, почтовых отправлений, телеграфных и иных сообщений, передаваемых по сетям электросвязи и сетям почтовой связи, а операторы связи обязаны обеспечить соблюдение тайны связи. В силу пп. 1.1 ст. 64 Закона о связи операторы связи обязаны предоставлять уполномоченным государственным органам, осуществляющим оперативно-розыскную деятельность или обеспечение безопасности Российской Федерации, информацию о пользователях услугами связи и об оказанных им услугах связи и иную информацию, необходимую для выполнения возложенных на эти органы задач, в случаях, установленных федеральными законами. Таким образом, ограничение конституционного права на тайну связи допускается только на основании судебного акта и исключительно при осуществлении органами, осуществляющими оперативно-розыскную деятельность или обеспечение безопасности Российской Федерации, своих функций. Федеральная служба судебных приставов, равно как и судебные приставы-исполнители, не относится к числу таких органов (должностных лиц).
В Постановлении Пятнадцатого арбитражного апелляционного суда (15 АСС) от 13.03.2018 по делу N А53-26648/2017 в отношении приставов суд также указал на их полномочия запрашивать персональные данные. Согласно ч. 1 ст. 53, ч. 1 ст. 64 Закона о связи представление третьим лицам сведений об абонентах-гражданах может осуществляться только с их согласия, за исключением случаев, предусмотренных названным Федеральным законом и другими федеральными законами. Операторы связи обязаны предоставлять уполномоченным государственным органам, осуществляющим оперативно-розыскную деятельность или обеспечение безопасности Российской Федерации, информацию о пользователях услугами связи и об оказанных им услугах связи, а также иную информацию, необходимую для выполнения возложенных на эти органы задач, в случаях, установленных федеральными законами.
Статьей 19.7 Кодекса Российской Федерации об административных правонарушениях предусмотрена административная ответственность за непредставление или несвоевременное представление в государственный орган (должностному лицу) сведений (информации), представление которых предусмотрено законом и необходимо для осуществления этим органом (должностным лицом) его законной деятельности, а равно представление в государственный орган (должностному лицу) таких сведений (информации) в неполном объеме или в искаженном виде. Законом N 294-ФЗ управлению предоставляется право запрашивать документы без каких-либо ограничений по составу и объему необходимой для осуществления службой судебных приставов задач и функций информации.
Также беспрепятственно может получать данные о сотрудниках прокуратура в рамках прокурорских проверок. Такой вывод сделан в Решении Ивановского областного суда по делу N 12-113/2018 от 25.09.2018 по делу N 12-113/2018.
Согласно положениям ст. ст. 6, 21, 22, 27 Федерального закона "О прокуратуре РФ" предметом прокурорского надзора являются соблюдение и исполнение законов, действующих на территории Российской Федерации, руководителями коммерческих и некоммерческих организаций. Часть 1 ст. 22 Федерального закона "О прокуратуре РФ" устанавливает, что прокурор при осуществлении возложенных на него функций вправе по предъявлении служебного удостоверения беспрепятственно входить на территории и в помещения органов, указанных в п. 1 ст. 21 настоящего Федерального закона, иметь доступ к их документам и материалам, проверять исполнение законов в связи с поступившей в органы прокуратуры информацией о фактах нарушения закона; требовать от руководителей и других должностных лиц указанных органов представления необходимых документов, материалов, статистических и иных сведений; выделения специалистов для выяснения возникших вопросов; проведения проверок по поступившим в органы прокуратуры материалам и обращениям, ревизий деятельности подконтрольных или подведомственных им организаций; вызывать должностных лиц и граждан для объяснений по поводу нарушений законов. В силу положений ст. 6 ФЗ "О прокуратуре РФ" требования прокурора, вытекающие из его полномочий, перечисленных в ст. ст. 9.1, 22, 27, 30 и 33 указанного Федерального закона, подлежат безусловному исполнению в установленный срок. Неисполнение требований прокурора, вытекающих из его полномочий, влечет установленную Законом ответственность.
Когда работодатель должен обеспечить конфиденциальность персональных данных?
По общему правилу работодатель должен обеспечить конфиденциальность персональных данных.
Это касается:
- личных дел работников;
- баз данных;
- компьютерных данных;
- данных на сайте работодателя.
Такой вывод сделан в Решении Симоновского районного суда г. Москвы от 09.09.2010 по делу N 2-5042/10/ Определение Мосгорсуда от 02.02.2011 по делу N 33-2643.
Истцом в деле является бывший продавец в аптеке, а ответчиком, соответственно, бывший работодатель - ветеринарная клиника. Суть спорной ситуации заключалась в том, что компания-работодатель после увольнения сотрудника разместила на профессиональном интернет-форуме информацию о неблагонадежности этого работника. В частности, последний был обвинен в воровстве. Обнаружив это, работница обратилась в суд за защитой чести и достоинства, требованием обязать бывшего работодателя опровергнуть порочащие ее сведения, признать незаконной обработку ее персональных данных и т.д. Суд частично удовлетворил иск бывшей работницы.
В первую очередь, данное решение является прецедентом, который ставит под сомнение законность любых "черных списков" неблагонадежных работников, поскольку даже если информация, которая содержится в таких списках, соответствует действительности и может быть подтверждена доказательствами, опубликование этой информации является незаконным.
Кроме того, особенностью данного решения, оставленного в силе судом кассационной инстанции, является то, что истец заявлял требование, среди прочего, о признании незаконной обработки его персональных данных, однако суд проигнорировал это требование, основывал свое решение исключительно на нормах гражданского законодательства, связанных с защитой чести и достоинства, и не ссылался на законодательство о персональных данных. Это отражает общую тенденцию - суды общей юрисдикции, в ведении которых находится большое количество споров, связанных с обработкой персональных данных граждан, до настоящего момента имеют весьма ограниченное представление о соответствующем законодательстве. В качестве интересного факта можно отметить, что в электронных картотеках решений на сайтах судов такая категория дел, как дела, вытекающие из нарушения законодательства о персональных данных, вообще отсутствует.
Таким образом, если говорить о содержании решения, то из него следует вывод о том, что распространять персональные данные можно только при условии наличия на то законных оснований (например, не является нарушением конфиденциальности публикация решения суда, в котором содержатся персональные данные бывшего работника - при этом фактически такая публикация как нельзя лучше отвечает целям, которые преследует работодатель, предупреждая сообщество о нелояльном сотруднике). Если же говорить о косвенном выводе, который следует из решения (недостаточно хорошее знание судами законодательства о персональных данных), то это также необходимо учитывать компаниям при совершении тех или иных действий (особенно если речь идет об опубликовании) с персональными данными (либо тщательно обосновывать свою позицию в случае обработки персональных данных, если это может вызвать споры, либо изначально искать дополнительные аргументы в пользу своих прав и законных интересов в этой связи (помимо закрепленных в законодательстве о персональных данных)).
Как работодатель должен передавать данные участнику общества?
В силу п. 2 ст. 6 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" не требуется согласия физических лиц, вступивших в правоотношения с обществом, на предоставление участнику хозяйственного общества документов, содержащих персональные данные таких физических лиц (фамилию, имя, отчество и место жительства физического лица, иную информацию, необходимую для обращения в суд в соответствии с требованиями процессуального законодательства, сведения о размере вознаграждения физического лица и т.д.), если эта информация необходима участнику для целей защиты своих прав и законных интересов, например оспаривания сделки, заключенной с этим лицом, либо обращения в суд с иском к члену совета директоров (наблюдательного совета) общества, единоличному исполнительному органу общества, временному единоличному исполнительному органу общества, члену коллегиального исполнительного органа общества (правления, дирекции), равно как и к управляющему о возмещении причиненных обществу убытков.
Дополнительный перечень документов, которые общество обязано хранить и предоставлять по требованию акционера, установлен Положением о порядке и сроках хранения документов акционерных обществ, утвержденным Постановлением ФКЦБ России от 16.07.2003 N 03-33/пс, а также Перечнем типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков хранения, утвержденным Приказом Минкультуры России от 25.08.2010 N 558. В соответствии с этим Перечнем общество обязано хранить гражданско-правовые договоры, следовательно, они также должны предоставляться по требованию акционеров. Поскольку содержание гражданско-правовых договоров может являться конфиденциальным, при разрешении споров об их предоставлении судам необходимо учитывать разъяснения, содержащиеся в п. 15 настоящего Информационного письма (Информационное письмо Президиума ВАС РФ от 18.01.2011 N 144 "О некоторых вопросах практики рассмотрения арбитражными судами споров о предоставлении информации участникам хозяйственных обществ").
В Постановлении Арбитражного суда Северо-Кавказского округа (ФАС СКО) от 13.02.2018 по делу N А32-11481/2017 суд рассмотрел спор в отношении предоставления персональных данных участнику.
В соответствии с п. 1 ст. 8 Федерального закона Российской Федерации N 14-ФЗ от 08.02.1998 "Об обществах с ограниченной ответственностью" (далее - Закон N 14-ФЗ) участник общества вправе получать информацию о деятельности общества и знакомиться с его бухгалтерскими книгами и иной документацией в установленном его уставом порядке.
Составной частью правового статуса участника общества с ограниченной ответственностью в отношениях с данным обществом является право на получение информации об обществе, которое обеспечивается как нормами Гражданского кодекса Российской Федерации (далее - Гражданский кодекс), закрепляющими право участников хозяйственного общества получать информацию о деятельности общества и знакомиться с его бухгалтерскими книгами и иной документацией в установленном учредительными документами порядке (ст. 67 Гражданского кодекса), так и рядом других законов, раскрывающих содержание права на информацию в сфере предпринимательской деятельности, в том числе объем, количество и состав предоставляемой информации. В силу п. 1 ст. 50 Закона N 14-ФЗ общество обязано хранить следующие документы:
договор об учреждении общества, за исключением случая учреждения общества одним лицом, решение об учреждении общества, устав общества, утвержденный учредителями (участниками) общества, а также внесенные в устав общества, утвержденный учредителями (участниками) общества, и зарегистрированные в установленном порядке изменения;
протокол (протоколы) собрания учредителей общества, содержащий решение о создании общества и об утверждении денежной оценки неденежных вкладов в уставный капитал общества, а также иные решения, связанные с созданием общества;
документ, подтверждающий государственную регистрацию общества;
документы, подтверждающие права общества на имущество, находящееся на его балансе;
внутренние документы общества;
положения о филиалах и представительствах общества;
документы, связанные с эмиссией облигаций и иных эмиссионных ценных бумаг общества;
протоколы общих собраний участников общества, заседаний совета директоров (наблюдательного совета) общества, коллегиального исполнительного органа общества и ревизионной комиссии общества;
списки аффилированных лиц общества;
заключения ревизионной комиссии (ревизора) общества, аудитора, государственных и муниципальных органов финансового контроля;
иные документы, предусмотренные федеральными законами и иными правовыми актами Российской Федерации, уставом общества, внутренними документами общества, решениями общего собрания участников общества, совета директоров (наблюдательного совета) общества и исполнительных органов общества.
Из абз. 3 п. 1 ст. 8 Закона N 14-ФЗ следует, что участник общества имеет право требовать любые имеющиеся у общества документы, которые связаны с деятельностью этого общества (абз. 2 п. 3 Информационного письма Президиума Высшего Арбитражного Суда Российской Федерации от 18.01.2011 N 144 "О некоторых вопросах практики рассмотрения арбитражными судами споров о предоставлении информации участникам хозяйственных обществ"; далее - Информационное письмо N 144). При этом Закон N 14-ФЗ не содержит положений, ограничивающих право участника хозяйственного общества на получение копий документации предприятия (право на ознакомление с ней) определенным временным промежутком.
Согласно п. 16 Информационного письма N 144 при оценке правомерности требований участника общества о получении доступа к документам общества и (или) изготовления их копий, судам необходимо учитывать, что помимо прямо перечисленных в законе документов общество обязано хранить иные документы, предусмотренные законом, уставом общества, внутренними документами общества, решениями общего собрания акционеров, совета директоров (наблюдательного совета) общества, органов управления общества, а также документы, предусмотренные правовыми актами Российской Федерации.
Как следует из разъяснений, данных в п. 3 Информационного письма N 144, положения устава общества не могут ограничивать права участников на информацию по сравнению с правами, предоставляемыми им Законом N 14-ФЗ. Закон N 14-ФЗ предусматривает возможность установления в уставе только порядка получения информации об обществе, но не перечня информации, которая подлежит предоставлению участникам общества.
Участник общества в силу своего правового статуса имеет право получать информацию о финансовом состоянии предприятия, происходящих изменениях в соотношении его активов и пассивов, формировании прибыли (убытков).
Полномочия по привлечению к ответственности в отношении нарушений в области персональных данных.
Полномочия по возбуждению дел об административных правонарушениях в области персональных данных переданы от прокуроров к Роскомнадзору. Срок давности для административной ответственности - три месяца со дня нарушения (ч. 1 ст. 4.5 КоАП РФ). Протокол об административном нарушении составляют сотрудники Роскомнадзора (п. 58 ч. 2 ст. 28.3 КоАП РФ).
Трудовая инспекция также вправе наказать за нарушения правил работы с персональными данными, которые установлены в трудовом законодательстве (например, если бухгалтер использует сведения сотрудника в незаконных целях или их утерял).
Наказание - штраф от 1 000 до 5 000 руб., за повторное нарушение - штраф от 10 000 до 20 000 руб. или дисквалификация от одного года до трех лет (ч. 1, 2 ст. 5.27 КоАП РФ).
Срок давности для ответственности за персональные данные по трудовому законодательству - один год со дня нарушения (ч. 1 ст. 4.5 КоАП РФ). Кроме административной ответственности за нарушения в области обработки персональных данных могут привлечь к дисциплинарной, материальной и даже к уголовной ответственности.
Пример 1. Должностное лицо без согласия человека разгласило зарплату, премию, вознаграждение по договору, передало данные должников в юридическую фирму, чтобы составить исковые заявления или разместил копию заявления человека в качестве образца на стенде с образцами других заявлений.
С 1 июля 2017 г. инспекторы Роскомнадзора квалифицируют такое нарушение как разглашение персональных данных без письменного согласия от человека или по письменному согласию, которое оформлено с нарушениями, выдают постановление об административном правонарушении и назначают штраф: на учреждение - от 15 000 до 75 000 руб., на должностное лицо - от 10 000 до 20 000 руб. (ч. 2 ст. 13.11 КоАП РФ).
Пример 2. Бухгалтер не предоставил сотруднику расчетный листок, справку, сведения о страховом стаже и другие документы, в которых есть персонифицированные сведения о человеке. С 1 июля 2017 г. инспекторы Роскомнадзора квалифицируют такое нарушение как сокрытие от человека его персональных данных и назначают штраф: на учреждение - от 20 000 до 40 000 руб., на бухгалтера - от 4 000 до 6 000 руб. (ч. 4 ст. 13.11 КоАП РФ).
Пример 3. Должностное лицо отказался принять к обработке новые паспортные данные человека, банковские реквизиты или другую изменяющую информацию - за такое нарушение инспекторы могут назначить штраф на учреждение - от 25 000 до 45 000 руб., а на должностное лицо - от 4 000 до 10 000 руб.
Пример 4. Должностное лицо небрежно работает с документами, персональные сведения о сотруднике стали известны другим лицам из-за того, что должностное лицо оставило на столе без присмотра или вынесло с рабочего места справки, расчетные листки, другие документы с персональными данными или потеряло эти документы.
С 1 июля 2017 г. инспекторы Роскомнадзора квалифицируют такое нарушение как невыполнение требования человека уточнить, блокировать или уничтожить его персональные данные и назначают штраф: на учреждение - от 25 000 до 50 000 руб., а на бухгалтера - от 4 000 до 10 000 руб. (ч. 6 ст. 13.11 КоАП РФ).
Пример 5. Должностное лицо передает имена, адреса, телефоны и другие данные сотрудников организациям, действующим в рекламных целях коллекторским агентствам или другим третьим лицам. С 1 июля 2017 г. инспекторы Роскомнадзора квалифицируют такое нарушение как обработку персональных данных, когда это не предусмотрено законами и не соответствует целям сбора персональных данных и назначают штраф на учреждение - от 30 000 до 50 000 руб., а на бухгалтера - от 5 000 до 10 000 руб. (ч. 1 ст. 13.11 КоАП РФ).
К дисциплинарной ответственности руководитель учреждения может привлечь за нарушения работника, который обязан соблюдать правила работы с личными данными, но нарушил их (ст. 192 ТК РФ). За дисциплинарный проступок руководитель может наказать работника, сделать замечание, объявить выговор и даже уволить (ч. 1 ст. 192 ТК РФ).
Материальная ответственность работника может наступить, если его нарушение привело к ущербу для учреждения (ст. 238 ТК РФ). К примеру, ответственный работник за обработку персональных данных распространил персональные данные сотрудников в сети Интернет, а те в свою очередь подали на работодателя в суд, который постановил: "Выплатить пострадавшим работникам денежную компенсацию - 50 000 руб. каждому".
В таком случае руководитель может привлечь как к ограниченной, так и к полной материальной ответственности.
До 1 июля 2017 г. возбуждать дела по административным делам, связанным с персональными данными, по ст. 13.11 КоАП РФ был вправе исключительно прокурор. Это предусмотрено ч. 1 ст. 28.4 КоАП РФ. С 1 июля 2017 г. участие прокурора будет необязательным. С указанной даты дела по ст. 13.11 КоАП будут вправе возбуждать должностные лица Роскомнадзора.
Такая поправка внесена комментируемым Законом в п. 58 ч. 2 ст. 28.3 КоАП РФ. Следовательно, процедура привлечения к ответственности по делам о персональных данных становится проще.
Анализ судебной практики показывает, что работодатели часто нарушают требования Закона по обработке персональных данных. Рассмотрим два распространенных примера привлечения судом к административной ответственности юридических лиц (работодателей) за нарушение правил обработки и хранения персональных данных. В соответствии со ст. 6, п. 1 ст. 11 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных.
Вместе с тем в результате проверки установлено, что в ООО "Мираж" согласие работников на обработку их персональных данных не получено.
Таким образом, в действиях ООО "Мираж" был выявлен состав административного правонарушения, предусмотренного ст. 13.11 КоАП РФ, то есть нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных).
Судом ООО "Мираж" был признан виновным в совершении административного правонарушения, предусмотренного ст. 13.11 КоАП РФ, и было назначено административное наказание в виде предупреждения (Постановление мирового судьи судебного участка N 12 Зуевского судебного района Кировской области от 08.04.2015 по делу N 5-199/15).
Следующий пример из судебной практики.
ООО АНО ДПО "Учебный Центр Газ-Нефть" было привлечено к административной ответственности по ст. 13.11 КоАП РФ за отсутствие письменного согласия Тряскиной Н.Г. и Зотовой Ю.С. на передачу их персональных данных третьим лицам и их обработку.
Таким образом, нарушен порядок сбора персональных данных Тряскиной Н.Г. и Зотовой Ю.С., которые в обязательном порядке должны быть ознакомлены под подпись с Положением "О разграничении прав доступа к обрабатываемым персональным данным в АНО "Учебный центр Газ-Нефть", а также дать свое согласие на обработку своих персональных данных (Постановление мирового судьи судебного участка N 8 судебного района г. Уфы Республики Башкортостан по делу N 5-203/2015).
В соответствии со ст. 86 ТК РФ обработка персональных данных может осуществляться работодателем лишь с целью обеспечения соблюдения нормативных правовых актов, содействия работникам в трудоустройстве, обучения и продвижения по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества.
Нарушения могут быть и при назначении ответственного лица, которое осуществляет обработку данных в организации.
Согласно ч. 1 ст. 22.1 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" оператор, являющийся юридическим лицом, назначает лицо, ответственное за организацию обработки персональных данных. Так, в нарушение п. 1 ч. 1 ст. 18.1, ч. 1 ст. 22.1 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" в ООО "Ясмин" не назначен ответственный за организацию обработки персональных данных.
Согласно п. 2 ч. 1 ст. 18.1 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" оператор обязан принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных законом и принятыми в соответствии с ним нормативными правовыми актами (Постановление мирового судьи Вологодской области по судебному участку N 9 по делу N 5-1303/2015 г.).
В некоторых случаях суд может признать законность действий работодателя при обработке и защите персональных данных работника.
Так, в исковом заявлении Б.П. ссылался на то обстоятельство, что в период его работы у ответчика при разработке конструкторской документации на ряде документов, которые он не видел и не подписывал или с содержанием которых не был согласен, представители работодателя указали его фамилию.
В связи с чем он в докладной записке потребовал от работодателя удалить свою фамилию из всех конструкторских документов, которые он не подписывал или с содержанием которых не был согласен, однако работодатель никаких действий по защите персональных данных Б.П. не предпринял, чем нанес ему моральный вред.
Отказывая в удовлетворении исковых требований Б.П., суд указал, что использование работодателем персональных данных Б.П. в виде указания его фамилии в конструкторской документации было обусловлено выполнением им трудовых обязанностей и было осуществлено в соответствии с должностной инструкцией Б.П. и действующими нормами трудового права. Суд при этом отметил, что каких-либо доказательств того, что документы, в которых была указана фамилия истца, не относились к области его трудовых обязанностей, в материалах дела не имеется (Решение судебной коллегии по гражданским делам Санкт-Петербургского городского суда от 24.01.2012 по делу N 33-712/2012).
При хранении материальных носителей должны соблюдаться условия, обеспечивающие сохранность персональных данных и исключающие несанкционированный доступ к ним.
Исходя из толкования ст. 90 ТК РФ в совокупности со ст. 237 ТК РФ следует, что в результате незаконного распространения информации о персональных данных работника последнему может быть причинен моральный вред, подлежащий возмещению работодателем.
Так, Апелляционным определением Верховного суда Республики Саха (Якутия) от 23.10.2013 по делу N 33-4172/13 было установлено незаконное бездействие акционерной компании "АЛРОСА", выразившееся в нарушении норм защиты персональных данных работника Д. при их получении и обработке, содержавшихся в дополнительном соглашении б/н от 30 апреля 2008 г. к трудовому договору.
При таких обстоятельствах, вопреки выводам суда первой инстанции, распечатка с интернет-сайта и протокол осмотра с участием нотариуса указывают на неправомерное использование третьими лицами персональных данных работника, находившихся, кроме истца, только у работодателя. Таким образом, акционерная компания "АЛРОСА" (ОАО) нарушила действующее законодательство по защите персональных данных работника.
В соответствии с п. 4 ст. 86 ТК РФ работодатель не имеет права получать и обрабатывать данные работника о его политических, религиозных и иных убеждениях и частной жизни без его письменного согласия, если это не связано с трудовыми отношениями. Обязанность работодателя обеспечивать защиту персональных данных работника подтверждается судебной практикой.
Так, суд указал, что работодатель правомерно не представил акционерам общества копию трудового договора с генеральным директором, поскольку ст. 88 ТК РФ установлен запрет на передачу персональных данных работника третьей стороне, а в соответствии со ст. 90 ТК РФ лица, виновные в нарушении норм, регулирующих защиту персональных данных, несут административную, гражданско-правовую или уголовную ответственность (Постановление ФАС Московского округа от 14.01.2010 по делу N А40-38438/09-17-269).
