Что такое разглашение персональных данных
Коротко
Разглашение персональных данных — это передача или раскрытие личной информации о человеке третьим лицам без его согласия или без законного основания. Неважно, как именно данные раскрыли: устно, письменно, по электронной почте, в мессенджере или через публикацию в интернете. Даже передача сведений внутри компании тому, кто не должен их знать, считается разглашением.
Что считается разглашением персональных данных
Персональные данные — любая информация, относящаяся к прямо или косвенно определённому физическому лицу (п. 1 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»). Это фамилия, имя, отчество, дата и место рождения, адрес, номер телефона, электронная почта, паспортные данные, ИНН, СНИЛС, сведения о доходах, семейном положении, образовании, здоровье, биометрические данные.
Разглашением будет любая несанкционированная передача таких сведений третьим лицам: сотрудник переслал резюме кандидата в другую компанию без согласия соискателя, руководитель назвал размер зарплаты коллеги постороннему, бухгалтер отправил таблицу с данными клиентов не тому адресату. Даже передача внутри организации тому, кто не уполномочен работать с персональными данными, приравнивается к распространению третьим лицам.
Обработка и передача данных допускаются при наличии согласия субъекта либо иного законного основания: договора, трудовых отношений, требований закона. Согласие в письменной форме нужно только в случаях, установленных законом, и с 1 сентября 2025 года оформляется отдельным документом, а не включается в трудовой договор или другую подписываемую бумагу (ст. 6, 9 Закона № 152-ФЗ).
Какие данные нельзя разглашать без согласия
- Фамилия, имя, отчество, дата и место рождения, адрес проживания.
- Номер телефона, электронная почта, паспортные данные, ИНН, СНИЛС.
- Сведения о доходах, зарплате, стаже работы, отпусках.
- Медицинские сведения: группа крови, результаты анализов, диагнозы.
- Биометрические данные: отпечатки пальцев, изображение лица, голос, сетчатка глаза.
- Информация из социальных сетей и геолокация.
- Особо защищённые категории: национальность, религиозные и политические взгляды, состояние здоровья, сведения о личной жизни, данные о судимостях. Их обработка и распространение регулируются дополнительными ограничениями.
Как происходит разглашение: типичные сценарии
Ошибочная рассылка: письмо с базой клиентов ушло не тому адресату или на общий ящик. Публикация таблицы в облаке с открытым доступом. Потеря ноутбука или флеш-накопителя с данными. Инсайдерская передача: сотрудник скопировал базу и передал конкуренту. Взлом учётной записи или инцидент у подрядчика, которому передали данные на обработку.
Последствия зависят от объёма утечки, наличия умысла и других обстоятельств. При неправомерной обработке оператор прекращает её в течение трёх рабочих дней; если обеспечить её правомерность невозможно, уничтожает данные в течение десяти рабочих дней. При отзыве согласия без иного основания для обработки данные уничтожают в течение 30 дней, если сохранять их больше не требуется и не действует предусмотренное законом исключение. Об утечке он уведомляет Роскомнадзор: в течение 24 часов — о факте, в течение 72 часов — о результатах внутренней проверки.
Административная ответственность за разглашение
Нарушения в области персональных данных наказывают по статье 13.11 КоАП РФ. Федеральный закон от 30.11.2024 № 420-ФЗ, вступивший в силу с 30 мая 2025 года, ужесточил штрафы. За незаконную обработку персональных данных, в том числе за разглашение без согласия субъекта, гражданин заплатит от 10 до 15 тыс. рублей, должностное лицо — от 50 до 100 тыс. рублей, юридическое лицо — от 150 до 300 тыс. рублей. Это базовые суммы; за отдельные составы, например массовые утечки, штрафы выше.
С 30 мая 2025 года введена отдельная ответственность за нарушение обязанности уведомить Роскомнадзор о намерении обрабатывать персональные данные, а также об утечке персональных данных. За непредставление уведомления тоже штрафуют.
Повышенные штрафы за утечки предусмотрены специальными частями статьи 13.11 КоАП РФ. Их размер зависит, в частности, от категории данных, числа субъектов или идентификаторов и повторности нарушения; за некоторые утечки организации могут оштрафовать на миллионы рублей уже при первом нарушении. К обычному разглашению без массовой утечки действуют базовые суммы.
Уголовная ответственность
Статья 272.1 УК РФ введена за незаконные использование, передачу, сбор, хранение компьютерной информации, содержащей персональные данные, а также за создание и обеспечение функционирования информационных ресурсов, предназначенных для незаконного хранения и распространения такой информации. Наказание — штраф до определённого размера, принудительные работы или лишение свободы. Точные санкции зависят от квалифицирующих признаков.
Кроме того, статья 137 УК РФ устанавливает ответственность за нарушение неприкосновенности частной жизни, в том числе за незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия.
Гражданско-правовая ответственность
Если разглашение персональных данных повлекло убытки или причинило моральный вред субъекту, наступает гражданско-правовая ответственность. Размер денежной компенсации определяет суд с учётом вины причинителя вреда и степени страданий потерпевшего (ст. 151, п. 2 ст. 1101 ГК РФ). Компенсацию морального вреда можно требовать и без имущественных потерь.
Частые вопросы
Что такое разглашение персональных данных простыми словами?
Это когда личная информация о человеке становится известна тем, кому он её не разрешал передавать. Например, сотрудник отдела кадров переслал резюме соискателя в другую компанию без его согласия или менеджер назвал зарплату коллеги постороннему человеку. Неважно, как именно раскрыли данные — устно, письменно или по электронной почте.
Какие данные нельзя разглашать без согласия?
Любые персональные данные, по которым можно определить человека: ФИО, дата рождения, адрес, телефон, паспортные данные, ИНН, СНИЛС, сведения о доходах, здоровье, биометрия. Особо защищены специальные категории — национальность, религиозные и политические взгляды, состояние здоровья, сведения о личной жизни, судимости. Их обработка требует дополнительных ограничений.
Какая ответственность за разглашение персональных данных?
Административная по ст. 13.11 КоАП РФ: штраф для граждан от 10 до 15 тыс. рублей, для должностных лиц от 50 до 100 тыс. рублей, для юридических лиц от 150 до 300 тыс. рублей (базовые суммы; за отдельные нарушения выше). Уголовная по ст. 272.1 УК РФ за незаконные действия с компьютерной информацией, содержащей персональные данные. Гражданско-правовая — компенсация морального вреда и убытков по ст. 151, 1101 ГК РФ.
Считается ли разглашением передача данных внутри компании?
Да, если данные передали тому, кто не уполномочен с ними работать. Например, бухгалтер отправил ведомость с зарплатами сотруднику из другого отдела, которому эти сведения не нужны для работы. Внутренняя передача ограниченному кругу уполномоченных лиц не является разглашением, если данные нужны им для работы и обработка имеет законное основание. Таким основанием может быть согласие субъекта или другое основание, предусмотренное законом.
Что делать, если персональные данные уже разглашены?
При неправомерной обработке оператор прекращает её в течение трёх рабочих дней; если обеспечить её правомерность невозможно, уничтожает данные в течение десяти рабочих дней. При отзыве согласия без иного основания для обработки данные уничтожают в течение 30 дней, если сохранять их больше не требуется и не действует предусмотренное законом исключение. Об утечке он уведомляет Роскомнадзор в течение 24 часов — о факте, в течение 72 часов — о результатах внутреннего расследования. С 30 мая 2025 года за неуведомление предусмотрен отдельный штраф. Пострадавший может потребовать компенсацию морального вреда через суд.
Можно ли привлечь к ответственности за разглашение данных работника?
Да. Организация-работодатель отвечает административно по ст. 13.11 КоАП РФ, гражданско-правово (моральный вред, убытки) и по ст. 90 ТК РФ. По ст. 272.1 УК РФ отвечает конкретное физическое лицо, виновное в незаконных действиях с компьютерной информацией, содержащей персональные данные: работник, руководитель или ответственный за обработку. Трудовой кодекс (ст. 86, 88) устанавливает общие требования к обработке данных работников и порядок их передачи.
Когда нужно проверить, как компания обращается с персональными данными
Чтобы найти слабые места до проверки или утечки
Разглашение персональных данных чаще происходит из-за внутренних процессов: кто имеет доступ к базам, как передают данные подрядчикам, где хранят согласия. Проверить это самостоятельно сложно, а штрафы за утечку достигают миллионов рублей.
Я провожу аудит маркетинга и продаж, в том числе проверяю, как в компании собирают, хранят и передают данные клиентов. Это помогает найти риски и устранить их до того, как ими заинтересуются проверяющие или злоумышленники.