Положение о неразглашении персональных данных

Персональные данные работников, клиентов и контрагентов попадают в кадровые, расчётные и клиентские документы, в информационные системы и в переписку. Пока порядок работы с ними не закреплён документом, каждый сотрудник решает сам, что можно назвать вслух, а что нельзя.

Положение о неразглашении закрывает этот пробел: в нём перечислены сведения, которые компания считает конфиденциальными, кто и в каком объёме получает к ним доступ, что обязан делать работник и чем грозит нарушение. Для работника это основание дисциплинарной ответственности, для компании — доказательство того, что режим конфиденциальности введён и доведён до людей.

Положение работает вместе с двумя другими документами: политикой обработки персональных данных, которую оператор публикует по статье 18.1 Закона № 152-ФЗ, и согласиями на обработку. Политика объясняет, что компания делает с данными, положение — кто из сотрудников и на каких условиях к ним допущен.

Работника, который передал персональные данные посторонним, можно привлечь к дисциплинарной ответственности вплоть до увольнения по подпункту «в» пункта 6 части 1 статьи 81 ТК РФ — разглашение охраняемой законом тайны, ставшее известным в связи с исполнением трудовых обязанностей.

Компанию за утечку данных наказывают по статье 13.11 КоАП РФ: штраф зависит от состава нарушения и категории данных. Если работник передал данные из личной заинтересованности или из корыстных побуждений, возможна уголовная ответственность по статье 137 УК РФ — незаконное собирание или распространение сведений о частной жизни.

Отдельно стоит помнить: с 30.05.2025 действует статья 13.11 КоАП РФ в редакции, где за утечку предусмотрены самостоятельные составы и повышенные штрафы. Точный размер штрафа зависит от того, сколько людей пострадало и какие данные утекли, — смотрите действующую редакцию статьи на дату нарушения.

Как только стало известно о передаче данных посторонним, компания фиксирует обстоятельства: что утекло, кто и когда узнал, какие системы затронуты. Дальше — уведомление Роскомнадзора об инциденте: по части 3.1 статьи 21 Закона № 152-ФЗ при выявлении предусмотренного этой нормой инцидента оператор уведомляет Роскомнадзор в течение 24 часов, а о результатах внутреннего расследования — в течение 72 часов.

Параллельно — внутренняя проверка: опрос работников, просмотр журналов доступа, ограничение доступа виновного. По итогам издают приказ, при необходимости — привлекают работника к дисциплинарной ответственности и требуют возмещения ущерба.

Если данные касаются клиентов, им направляют уведомление и объясняют, что произошло и что они могут сделать. Молчание здесь обходится дороже, чем сам инцидент.