Ответственность за нарушение норм, регулирующих обработку и защиту персональных данных работника

Право граждан на неприкосновенность частной жизни в трудовых правоотношениях обеспечено возможностью привлечения к ответственности лиц, виновных в нарушении законодательства об охране персональных данных работника. Статья 90 ТК устанавливает возможность привлечения к ответственности виновных в таких действиях лиц и виды такой ответственности. Так, лица, виновные в нарушении положений законодательства Российской Федерации в области персональных данных при обработке персональных данных работника, могут привлекаться к дисциплинарной (порядок привлечения к дисциплинарной ответственности установлен ст. 192–193 ТК) и материальной ответственности (порядок привлечения к материальной ответственности установлен ст. 234–248 ТК), а также к гражданско-правовой, административной и уголовной ответственности в установленных законом случаях.

В соответствии с ч. 2 ст. 17 Федерального закона «О персональных данных» субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

Следует иметь в виду, что к ответственности за нарушение законодательства в области защиты персональных данных работников может быть привлечен как непосредственно оператор персональных данных (работодатель), так и работники организации при наличии обязанности этих работников о неразглашении таких конфиденциальных сведений. При этом для работников, разгласивших персональные данные другого работника, установлен специальный вид дисциплинарной ответственности - увольнение по инициативе работодателя в соответствии с п. «в» ч. 6 ст. 81 ТК, т. е. за однократное грубое нарушение работником своих трудовых обязанностей. При этом, как указывает п. 43 постановления Пленума Верховного Суда РФ от 17 марта 2004 г. № 2, применение указанного основания увольнения возможно лишь в том случае, если работник обязывался не разглашать такие сведения. При этом условие об обязанности работника не разглашать ставших ему известными в процессе трудовой деятельности персональных данных другого работника должно содержаться в виде отдельного соглашения либо пункта в трудовом договоре. Поскольку увольнение работника по инициативе работодателя является правом, а не обязанностью работодателя, то виновных в разглашении персональных данных работников по усмотрению работодателя возможно привлечь к иным видам дисциплинарной ответственности, установленным в ст. 193 ТК. Кроме того, работников (как физических лиц) за разглашение персональных данных других работников возможно привлечь к материальной или уголовной ответственности.

Привлечение виновного в разглашении персональных данных работника или работодателя к уголовной ответственности возможно в случае совершения ими деяний, предусмотренных следующими статьями Уголовного кодекса РФ: нарушение неприкосновенности частной жизни - ст. 137 УК РФ; нарушение тайны переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений - ст. 138 УК РФ; незаконные получение и разглашение сведений, составляющих коммерческую, налоговую или банковскую тайну, - ст. 183 УК РФ; неправомерный доступ к компьютерной информации - ст. 272 УК РФ; нарушение правил эксплуатации средств хранения, обработки или передачи компьютерной информации и информационно-телекоммуникационных сетей - ст. 274 УК РФ.

Кодекс РФ об административных правонарушениях предусматривает следующие составы административных правонарушений в области защиты персональных данных работников со стороны как работников, так и работодателей: неправомерный отказ в предоставлении гражданину и (или) организации информации, предоставление которой предусмотрено федеральными законами, несвоевременное ее предоставление либо предоставление заведомо недостоверной информации (ст. 5.39 КоАП РФ); нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных) (ст. 13.11 КоАП РФ); нарушение правил и требований защиты информации (ст. 13.12 КоАП РФ); незаконная деятельность в области защиты информации (ст. 13.13 КоАП РФ); разглашение информации с ограниченным доступом (ст. 13.14 КоАП РФ).

Неиздание работодателем локального нормативного акта, которым будет установлен порядок обработки персональных данных работников организации, исходя из сложившейся практики, рассматривается как состав административного правонарушения, предусмотренный ст. 5.27 КоАП РФ (нарушение законодательства о труде).

На основании ч. 2 ст. 17 Федерального закона «О персональных данных» непосредственно субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке. Следует иметь в виду, что во всех случаях нарушения работодателем законодательства о защите персональных данных работника последний на основании ст. 237 ТК вправе требовать возмещения морального вреда в денежной форме в размерах, определяемых соглашением сторон трудового договора. В случае возникновения спора факт причинения работнику морального вреда и размеры его возмещения определяются судом независимо от подлежащего возмещению имущественного ущерба.

При этом споры о неправомерных действиях (бездействии) работодателя при обработке и защите персональных данных работника разрешаются в судах общей юрисдикции в соответствии со ст. 391 ТК и не могут быть предметом рассмотрения комиссии по трудовым спорам. Как указывает ч. 6.1 ст. 29 Гражданского процессуального кодекса РФ, иски о защите прав субъекта персональных данных, в том числе о возмещении убытков и (или) компенсации морального вреда, могут предъявляться в суд по месту жительства истца.