В современном трудовом праве персональные данные работника играют ключевую роль. Их защита регулируется не только гражданским и трудовым законодательством, но и Уголовным кодексом Российской Федерации (УК РФ). В статье мы подробно разберём, какие деяния, связанные с обработкой персональных данных работников, квалифицируются как уголовные преступления, какие нормы УК РФ применяются, а также какие особенности имеет ответственность работодателя.

Что такое персональные данные работника?

Согласно Федеральному закону № 152‑ФЗ «О персональных данных», персональными данными работника являются любая информация, относящаяся к конкретному физическому лицу‑работнику и позволяющая его идентифицировать. К таким данным относятся:

• ФИО, дата и место рождения;
• паспортные данные, СНИЛС, ИНН;
• медицинская информация (в т.ч. сведения о состоянии здоровья, инвалидности);
• контактные данные (телефон, e‑mail, адрес проживания);
• информация о трудовой деятельности (должность, стаж, заработная плата, дисциплинарные взыскания);
• информация о семейном положении, наличии детей и т.д.

Нормативно‑правовая база, регулирующая уголовную ответственность

Уголовно‑правовые нормы, касающиеся персональных данных, находятся в нескольких главах УК РФ:

1. Статья 137 УК РФ – «Нарушение неприкосновенности частной жизни»;
2. Статья 138 УК РФ – «Нарушение тайны переписки, телефонных переговоров, почтовой, телеграфной или иной связи»;
3. Статья 272 УК РФ – «Незаконный доступ к компьютерной информации»;
4. Статья 273 УК РФ – «Создание, использование и распространение вредоносных программ» (в контексте утечки данных);
5. Статья 274 УК РФ – «Нарушение правил эксплуатации ЭВМ и их сети» (в т.ч. несанкционированный доступ к базам данных персональных данных);
6. Статья 275 УК РФ – «Нарушение правил обработки персональных данных» (специальная статья, введённая в 2022 году).

Основные составы преступлений, связанных с персональными данными работника

Статья 137 УК РФ – «Нарушение неприкосновенности частной жизни»

Привлекает к ответственности лицо, которое без законных оснований раскрывает или использует персональные данные другого лица, причиняя ему вред. В контексте трудовых отношений преступление может быть совершено, если:

• работодатель без согласия работника раскрывает его медицинские сведения, сведения о семейном положении и т.п.;
• сотрудник службы безопасности компании распространяет личные данные коллег в интернете.

Статья 138 УК РФ – «Нарушение тайны переписки и связи»

Применяется, когда личные сообщения, электронные письма, телефонные переговоры работника перехватываются или записываются без его согласия.

Статья 272 УК РФ – «Незаконный доступ к компьютерной информации»

Квалифицируется, если лицо без разрешения получает доступ к базе данных персональных данных работников, например, к HR‑системе компании.

Статья 275 УК РФ – «Нарушение правил обработки персональных данных»

Эта статья специально предназначена для регулирования вопросов, связанных с обработкой персональных данных в соответствии с 152‑ФЗ. Преступление наступает, если:

1. Обработчик (работодатель, а также подрядчики) нарушает требования закона о согласии субъекта данных;
2. Отказывается прекратить обработку по требованию работника (ч. 2 ст. 9 Закона 152‑ФЗ);
3. Не уничтожает или не обезличивает данные после окончания их необходимости;
4. Не сообщает о факте утечки данных в установленный срок.

Практика применения: примеры типичных нарушений

Отказ работодателя прекратить обработку данных по требованию работника

Согласно ч. 2 ст. 9 Закона № 152‑ФЗ, работник в любое время вправе отозвать своё согласие на обработку персональных данных. Если работодатель игнорирует такое требование, он нарушает закон и может быть привлечён к уголовной ответственности по ст. 275 УК РФ.

Утечка медицинских данных в результате кибератаки

Если хакеры получают доступ к базе данных, где хранятся сведения о состоянии здоровья работников, виновными могут быть признаны как сами киберпреступники (ст. 272, 273), так и лицо, ответственно за недостаточную защиту данных (ст. 275).

Публикация личных данных в открытом доступе

Размещение в интернете ФИО, паспортных данных и адреса бывшего сотрудника без его согласия может квалифицироваться по ст. 137 УК РФ, а также по ст. 275, если такое раскрытие происходило в результате нарушения правил обработки.

Как работодателю избежать уголовной ответственности?

Для минимизации рисков необходимо соблюдать следующие рекомендации:

• Получать согласие на каждый вид обработки персональных данных (ст. 9 Закона 152‑ФЗ).
• Обеспечить возможность отзыва согласия и немедленно прекращать обработку данных после получения соответствующего требования.
• Внедрять технические и организационные меры защиты (шифрование, ограничение доступа, регулярные аудиты).
• Обучать персонал вопросам конфиденциальности и кибербезопасности.
• Разрабатывать и поддерживать политику обработки данных, согласованную с требованиями 152‑ФЗ и рекомендациями Роскомнадзора.
• Вести журнал обработки персональных данных, фиксируя цели, сроки и категории данных.
• Своевременно уведомлять органы о факте утечки персональных данных (в течение 72 часов после обнаружения).

Последствия уголовного преследования

В зависимости от тяжести нарушения суд может назначить:

1. Штраф от 200 000 до 5 000 000 рублей (для юридических лиц) и от 100 000 до 500 000 рублей (для физических лиц);
2. Ограничение свободы на срок до 2 лет;
3. Лишение права заниматься определённой деятельностью, в т.ч. управлять персональными данными;
4. Конфискацию имущества, использованного при совершении преступления.

Персональные данные работника находятся под двойной защитой: гражданско‑правовыми нормами (трудовой кодекс, закон о персональных данных) и уголовным законодательством. Нарушения в этой сфере могут привести к серьезным последствиям, включая уголовную ответственность. Поэтому работодателям необходимо тщательно следить за соблюдением требований законодательства, обеспечивать возможность отзыва согласия и принимать адекватные меры по защите данных.

Краткий чек‑лист для работодателя

• Есть ли письменное согласие работника на каждый тип обработки?
• Обеспечен ли быстрый процесс прекращения обработки по требованию работника?
• Внедрены ли современные средства защиты (шифрование, двухфакторная аутентификация)?
• Проводятся ли регулярные аудиты и обучение персонала?
• Существует ли план действий при утечке данных?

Соблюдая эти простые, но важные правила, компания снижает риск уголовного преследования и укрепляет доверие сотрудников.

Дата публикации: