Актуальность темы. В условиях цифровой экономики персональные данные — это новая «нефть» XXI века. Утечка информации о зарплате, судимости, состоянии здоровья или даже домашнем адресе может стать причиной дискриминации, мошенничества и фактически уничтожить карьеру человека. Именно поэтому Трудовой кодекс РФ выделил целую Главу 14 «Защита персональных данных работника». Ниже мы подробно разберём, какие статьи регулируют неразглашение персональных данных, какие меры ответственности предусмотрены и как защитить себя работодателю и самому работнику.

Ключевая статья, ст. 90 ТК РФ

Краткая суть

Любое лицо, виновное в нарушении законодательства о персональных данных при обработке сведений о работнике, обязано понести одновременно или по отдельности:

1. Дисциплинарную ответственность (выговор, увольнение по п. 5 ст. 81 ТК РФ);
2. Материальную ответственность (возмещение реального ущерба работодателю);
3. Гражданско-правовую ответственность (компенсация морального вреда работнику);
4. Административную ответственность (ст. 13.11–13.14 КоАП РФ — штрафы до 150 000 ₽);
5. Уголовную ответственность (ст. 137 УК РФ — штраф до 300 000 ₽, исправительные или принудительные работы, арест до 6 мес.).

Кого именно охватывает ст. 90 ТК РФ?

• Работодателя и представителей работодателя (директора, бухгалтеров, HR, секретарей);
• Представителей работников (профсоюз, комиссию по трудовым спорам);
• Внешних операторов и контрагентов (аутсорс бухгалтерии, кадровое агентство, клинику для медосмотров).

Система дополнительных норм Главы 14 ТК РФ

Статья 86 ТК РФ — общие требования при обработке персональных данных

Работодатель обязан:

• Получать письменное согласие работника (п. 3 ст. 86);
• Обеспечивать конфиденциальность и «применять необходимые правовые, организационные и технические меры» (п. 5 ст. 86);
• Хранить данные только в течение срока, необходимого для целей трудовых отношений;

Статья 87 ТК РФ — ограничения по сбору персональных данных

Запрещается требовать сведения о политических взглядах, религии, интимной жизни и членстве в профсоюзах, если это не связано непосредственно с трудовыми обязанностями.

Статья 88 ТК РФ — передача персональных данных третьим лицам

Допускается только:

• при письменном согласии работника;
• по запросу государственных органов в рамках их полномочий;
• в целях оказания социальных гарантий (например, страховым компаниям), но при соблюдении закона 152-ФЗ.

Статья 89 ТК РФ — права работника

Каждый работник может:

1. Требовать удаления или уточнения своих данных;
2. Получать подтверждение факта обработки;
3. Обжаловать в суд любые неправомерные действия работодателя.

Практические сценарии

Ситуация 1: Разглашение зарплаты HR-специалистом

HR-менеджер случайно отправил таблицу со всеми окладами компании в общий чат мессенджера. Что грозит?

• Дисциплинарное взыскание — замечание или увольнение;
• Административный штраф по ч. 1 ст. 13.11 КоАП РФ — от 15 000 до 75 000 ₽ на юрлицо;
• Моральный вред — если сотрудники подадут в суд.

Ситуация 2: Утечка медицинских данных из клиники-партнёра

Медучреждение, проводившее обязательные медосмотры, слило результаты в открытый доступ. Кто отвечает?

1. Клиника, как оператор персональных данных (ст. 152-ФЗ + КоАП РФ);
2. Работодатель, если не проверил договор с клиникой на предмет конфиденциальности;
3. Конкретный врач/админ — возможна уголовная статья 137 УК РФ за публичное распространение сведений о частной жизни.

Как защитить себя работодателю

Трудовой договор: пункт о неразглашении

Внести отдельное условие: «Работник обязан сохранять конфиденциальность персональных данных третьих лиц, ставших ему известными в связи с исполнением трудовых обязанностей». Это прямое основание для дисциплинарного взыскания по ст. 192 ТК РФ.

Политика конфиденциальности и локальные акты

• Утвердить «Положение о защите персональных данных работников»;
• Обучить персонал: ежегодные инструктажи и тесты;
• Назначить ответственного за защиту персональных данных (DPO) по ст. 152-ФЗ.

Технические меры

1. Шифрование баз данных и переписки;
2. Разграничение доступа (ролевая модель: HR видит только свои записи);
3. Логирование доступа и регулярные аудиты.

Как защититься работнику

Алгоритм действий при подозрении на утечку

1. Сбор доказательств: скриншоты, переписка, аудиозаписи;
2. Письменная жалоба в отдел кадров и/или DPO;
3. Жалоба в Роскомнадзор (онлайн-форма на сайте ведомства);
4. Суд — требование компенсации морального вреда (ст. 237 ТК РФ + ст. 152 ГК РФ).

Статья 90 ТК РФ — это «зонтик», под которым собраны все виды ответственности за утечку персональных данных. Незнание этой нормы не освобождает ни работодателя, ни работника от последствий. Самое эффективное средство защиты, профилактика: прописанные в договоре обязанности, локальные акты, технические меры и регулярное обучение. Только комплексный подход позволит избежать миллионных штрафов и репутационных потерь.