Штрафы для должностных лиц по 152-ФЗ: отличие от ответственности организации

Работа с персональными данными давно перестала быть формальностью. Для бизнеса это уже не только вопрос внутреннего документооборота, но и прямой источник финансовых и управленческих рисков. Когда Роскомнадзор выявляет нарушение, ответственность может наступить не только для компании, но и персонально для директора, руководителя подразделения, сотрудника, отвечающего за обработку данных. Именно поэтому штрафы для должностных лиц по 152-ФЗ нужно оценивать отдельно от санкций для самой организации: составы могут совпадать, а круг ответственных лиц, доказательства и линии защиты будут разными.

На практике ошибки возникают в самых обычных ситуациях: форма согласия не соответствует требованиям закона, оператор не опубликовал политику обработки персональных данных, сведения передаются третьим лицам без надлежащего основания, в кадровых документах смешиваются цели обработки, а в локальных актах не определены ответственные лица и порядок доступа. В результате компания получает административное дело, а вместе с ней рискует получить личный штраф и конкретный сотрудник. Для руководителя это не абстрактная угроза, а вопрос личной ответственности, репутации и дальнейших отношений с работодателем.

Почему штрафы для должностных лиц по 152-ФЗ нельзя смешивать с санкциями для компании

Базовое правило закреплено в статье 2.1 КоАП РФ: административной ответственности подлежит лицо, совершившее административное правонарушение, если установлена его вина. Это означает, что привлечение организации не исключает ответственность конкретного должностного лица, если контролирующий орган докажет, что именно это лицо отвечало за соблюдение требований законодательства о персональных данных и допустило нарушение.

Для сферы персональных данных ключевое значение имеет не только Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», но и статья 13.11 КоАП РФ. Именно она предусматривает ответственность за нарушение законодательства в области персональных данных. Составов в этой статье несколько, и для разных нарушений предусмотрены разные санкции. При этом размеры штрафов для организаций и должностных лиц различаются, а иногда существенно.

Здесь важно понимать разграничение ответственности юрлица и физлица. Организация отвечает как оператор персональных данных или работодатель, который не обеспечил законную обработку и защиту сведений. Должностное лицо отвечает не потому, что оно работает в компании вообще, а потому, что в его полномочия входили организация процесса, контроль за соблюдением правил, утверждение документов, принятие решений о сборе, хранении, передаче или публикации персональных данных. Иными словами, сам по себе статус директора или начальника отдела еще не означает автоматической вины.

В компаниях, где вопросы обработки данных встроены в постоянную работу с персоналом, клиентами и подрядчиками, полезно заранее выстраивать систему контроля. В этом смысле регулярное абонентское юридическое обслуживание помогает не только готовить документы, но и вовремя разделять зоны ответственности между подразделениями, чтобы личные риски руководителей не возникали из-за чужих ошибок.

Какие нормы регулируют штрафы для должностных лиц по 152-ФЗ

Штрафы для должностных лиц по 152-ФЗ нельзя оценивать в отрыве от всей нормативной конструкции. Сам Федеральный закон № 152-ФЗ определяет, что такое персональные данные, кто является оператором, в каких случаях допустима обработка, когда требуется согласие субъекта, какие обязанности возлагаются на оператора, как организуется защита данных и какие права есть у гражданина. Для работодателей существенное значение имеют также статьи 86-90 ТК РФ, поскольку персональные данные работников регулируются не только общим законом, но и трудовым законодательством.

Административная ответственность должностного лица возникает, как правило, при нарушении требований, которые можно проверить документально. Это отсутствие предусмотренной законом политики в отношении обработки персональных данных, ненадлежащее содержание согласия, обработка данных без правового основания, непредоставление субъекту информации, несоблюдение обязанностей при взаимодействии с запросами граждан, а также нарушения в части хранения и защиты сведений. Для отдельных сфер, например медицины, требования к режиму конфиденциальности и составу обрабатываемых сведений становятся еще строже, поэтому правовая оценка должна учитывать профильное регулирование и риски проверок, характерные для медицинских организаций.

Сама по себе ссылка на 152-ФЗ в протоколе еще не раскрывает сути претензии. Для защиты принципиально важно установить, какое именно действие или бездействие вменяется должностному лицу и какой состав по статье 13.11 КоАП РФ указан органом. Только после этого можно анализировать, есть ли событие правонарушения, имеются ли доказательства, соблюден ли порядок привлечения и кто именно должен был отвечать за спорный участок работы.

Штрафы для должностных лиц по 152-ФЗ нередко становятся следствием не одного грубого нарушения, а нескольких связанных просчетов. Например, компания собирает данные через сайт без надлежащей формы согласия, не размещает обязательную информацию о политике обработки, а внутри организации не оформлены локальные акты и не назначены ответственные за отдельные этапы работы с данными. Тогда в материалах проверки появляется не один эпизод, а целая цепочка нарушений, и это ухудшает позицию и организации, и конкретного руководителя.

Кого действительно могут привлечь и как доказывается административная ответственность должностного лица

Один из самых частых практических вопросов звучит так: кого именно Роскомнадзор считает должностным лицом. В административном праве этот вопрос решается не по названию должности, а по содержанию полномочий. Значение имеют должностная инструкция, трудовой договор, приказы о распределении обязанностей, локальные акты, доверенности, переписка, служебные записки и фактический порядок принятия решений. Если сотрудник лишь технически исполнял указания и не определял правила обработки данных, основания для его привлечения нужно проверять особенно внимательно.

Поэтому штрафы для должностных лиц по 152-ФЗ далеко не всегда должны налагаться на генерального директора. В ряде случаев орган пытается привлечь первое лицо по умолчанию, исходя из общего статуса руководителя компании. Но такая позиция не всегда устойчива. Если в организации назначен ответственный за организацию обработки персональных данных, утверждены локальные процедуры, а спорный эпизод относится к компетенции конкретного подразделения, требуется отдельное доказывание вины именно того лица, которое реально допустило нарушение либо не обеспечило контроль в пределах своих полномочий.

Внутри компании нередко возникает вопрос, возможен ли штраф на руководителя отдела, если нарушения допущены в работе кадровой службы, маркетинга, службы безопасности или клиентского сервиса. Да, такой риск существует, если руководитель отдела утверждал формы документов, организовывал сбор данных, определял порядок их передачи, не исполнил внутренние регламенты или проигнорировал обязательные требования закона. Но и здесь автоматизма нет. Для законного привлечения нужно установить причинную связь между его обязанностями и нарушением.

Особенно часто спорные ситуации возникают в кадровом блоке. Работодатель обрабатывает значительный объем сведений о работниках, кандидатах, бывших сотрудниках, членах их семей, а иногда и специальные категории данных. Когда локальные акты составлены формально, а согласия используются по шаблону без учета целей обработки, риск личной ответственности возрастает не только для директора, но и для кадровых руководителей. Поэтому предварительный кадровый аудит нередко позволяет выявить уязвимые места до проверки и убрать основания для персональных штрафов.

В чем состоит разграничение ответственности юрлица и физлица на практике

Разграничение ответственности юрлица и физлица имеет не теоретическое, а вполне прикладное значение. Организация обычно несет ответственность за сам факт неправомерной обработки данных как оператор. Должностному лицу вменяется ненадлежащее исполнение управленческих или организационно-распорядительных функций. Если этот элемент не доказан, дело в отношении конкретного сотрудника может быть прекращено, даже если к самой компании претензии сохраняются.

Например, нарушение связано с содержанием формы согласия на обработку персональных данных на сайте. Для организации это вопрос законности сбора данных от пользователей. Для должностного лица нужно установить, кто утверждал текст формы, кто определял порядок ее размещения, имел ли сотрудник возможность устранить нарушение, получал ли он замечания ранее, входило ли это в его компетенцию. Если форму подготовил внешний подрядчик, а приемку выполнял иной сотрудник, линия защиты будет одной. Если же решение принято внутри компании профильным руководителем, оценка будет иной.

Штрафы для должностных лиц по 152-ФЗ также отличаются по правовым последствиям внутри самой организации. Для компании это имущественные потери и возможные дополнительные проверки. Для сотрудника или руководителя подразделения это личное административное наказание, которое может повлиять на трудовые отношения, вопрос о дисциплинарной ответственности, оценку качества управления и доверие собственников бизнеса. В обществах с несколькими участниками такие эпизоды иногда становятся частью более широкого конфликта по поводу управления компанией, и тогда спор выходит за рамки проверки Роскомнадзора, затрагивая внутренние полномочия исполнительных органов и основания для взыскания убытков. В подобных ситуациях может потребоваться отдельная правовая оценка в рамках корпоративного спора.

Отсюда следует важный вывод: защита компании и защита конкретного должностного лица не всегда совпадают полностью. Аргументы организации могут строиться вокруг отсутствия события нарушения или недоказанности самой незаконной обработки. Позиция должностного лица часто дополняется доводами о пределах его полномочий, отсутствии вины, ненадлежащем распределении обязанностей, нарушениях при составлении протокола и рассмотрении дела.

Какие документы и обстоятельства влияют на штрафы для должностных лиц по 152-ФЗ

Когда анализируются штрафы для должностных лиц по 152-ФЗ, центральное значение приобретают документы, которые подтверждают организацию процесса обработки данных. Именно по ним видно, кто принимал решения, кто должен был контролировать соблюдение требований закона и какие меры предпринимались до проверки. Если доказательная база подготовлена грамотно, это может повлиять и на вывод о наличии вины, и на вопрос о размере наказания.

Обычно в деле оцениваются:

• приказы о назначении ответственных лиц и распределении полномочий;
• политика обработки персональных данных, положения о защите информации, локальные регламенты доступа;
• формы согласий, уведомления субъектам, тексты на сайте, внутренние журналы и реестры;
• должностные инструкции, трудовые договоры, доверенности, переписка между подразделениями.

Одних документов мало. Имеет значение, применялись ли они реально. Если политика размещена на сайте, но внутри компании сотрудники продолжают собирать лишние данные без законной цели, формальное наличие документа не спасает. Точно так же назначение ответственного лица не освобождает генерального директора автоматически, если распределение обязанностей фиктивно и управленческие решения по спорному вопросу принимались на другом уровне.

Для бизнеса риск особенно велик там, где обработка данных встроена в продажи, подбор персонала, медицину, маркетинг, программы лояльности, пропускной режим и видеонаблюдение. Ошибка в таких процессах часто затрагивает сразу несколько категорий субъектов данных. В результате штрафы для должностных лиц по 152-ФЗ могут сопровождаться несколькими эпизодами, а защиту приходится строить отдельно по каждому факту.

Можно ли оспорить штраф на руководителя отдела или директора

Да, постановление по делу об административном правонарушении можно обжаловать. Порядок зависит от того, кем вынесено постановление и кто его обжалует. Для юридических лиц и индивидуальных предпринимателей споры о привлечении к административной ответственности нередко рассматриваются арбитражными судами по правилам АПК РФ. Для должностных лиц возможен порядок, установленный КоАП РФ и процессуальными нормами, применимыми к конкретной категории дела. В любом случае значение имеют сроки обжалования, содержание жалобы и полнота доказательств уже на начальном этапе.

Штрафы для должностных лиц по 152-ФЗ чаще всего оспариваются по нескольким основаниям. Во-первых, орган не доказал, что именно это лицо являлось субъектом ответственности по конкретному эпизоду. Во-вторых, в материалах дела отсутствуют доказательства вины либо причинной связи между обязанностями лица и выявленным нарушением. В-третьих, допущены процессуальные нарушения при возбуждении и рассмотрении дела: неполное описание события, неправильная квалификация, отсутствие надлежащего извещения, неприобщение документов, на которые ссылалась защита.

Иногда спор возникает вокруг самой квалификации. Не каждое нарушение внутри компании автоматически образует состав по статье 13.11 КоАП РФ. Необходимо, чтобы были установлены конкретные обстоятельства незаконной обработки или несоблюдения предусмотренных законом обязанностей. Если орган ограничился общей ссылкой на формальные недостатки документации без связи с диспозицией соответствующей части статьи, постановление может быть уязвимым.

Когда дело доходит до суда, важно учитывать не только доводы по существу, но и общую стратегию защиты. Если спор затрагивает значимые для бизнеса процессы, в том числе договорные отношения с подрядчиками по IT, CRM, колл-центрам или кадровому аутсорсингу, иногда параллельно требуется анализ договорной базы и перспективы отдельного арбитражного спора о распределении убытков или ответственности между участниками цепочки обработки данных.

Когда возможно снижение штрафа должностному лицу

Снижение штрафа должностному лицу возможно, но не в автоматическом порядке и не по одной лишь ссылке на добросовестность. Для этого нужны конкретные обстоятельства, которые подтверждаются документами и объясняют, почему назначение минимальной или более мягкой санкции соответствует целям административного наказания. Суд или орган оценивает характер нарушения, его последствия, наличие вреда субъектам персональных данных, поведение лица после выявления нарушения, принятие мер к устранению недостатков.

В делах, где рассматриваются штрафы для должностных лиц по 152-ФЗ, значение могут иметь устранение нарушения до рассмотрения дела, отсутствие повторности, отсутствие негативных последствий для субъектов данных, фактическое ограничение полномочий лица, его зависимость от утвержденных корпоративных процедур, а также несоразмерность санкции при малозначительности эпизода. Вопрос о малозначительности всегда решается осторожно, поскольку для персональных данных суды обычно оценивают эту категорию строго, особенно если затронуты права граждан на неприкосновенность частной жизни и конфиденциальность сведений.

Отдельно стоит оценивать, заявлялось ли ходатайство о смягчающих обстоятельствах еще на стадии административного рассмотрения. Если защита не представила документы вовремя, в суде восполнить этот пробел бывает сложнее. Поэтому снижение штрафа должностному лицу обычно требует не общей ссылки на тяжелое финансовое положение или большую нагрузку, а точной правовой позиции с приложением подтверждающих материалов.

Иногда штраф на руководителя отдела удается оспорить полностью именно потому, что в деле не подтвержден его статус надлежащего субъекта ответственности. Но если событие правонарушения и роль лица доказаны, более реалистичной задачей становится не отмена, а снижение штрафа должностному лицу. Такой результат зависит от того, насколько последовательно собрана доказательная база и насколько точно разграничены полномочия внутри компании.

Как выстроить защиту до проверки и после составления протокола

Лучший способ снизить риск персональной ответственности состоит не в формальной подготовке шаблонов, а в выстраивании работающей системы обработки данных. Для этого нужно, чтобы внутренние документы соответствовали фактическим бизнес-процессам, а обязанности были распределены не номинально, а реально. В противном случае штрафы для должностных лиц по 152-ФЗ становятся следствием управленческого разрыва между тем, что написано на бумаге, и тем, как компания действует ежедневно.

До проверки обычно имеет смысл проверить несколько узловых направлений:

• законные основания обработки по каждой категории персональных данных и по каждой цели;
• корректность форм согласий, уведомлений, текстов на сайте и внутренних регламентов;
• полномочия и обязанности должностных лиц, которые принимают решения в отношении данных;
• порядок ответов на запросы субъектов персональных данных и взаимодействия с Роскомнадзором.

После составления протокола защита строится уже иначе. Нужно анализировать формулировки вменяемого состава, проверять, соблюдены ли требования КоАП РФ к протоколу и постановлению, сопоставлять выводы органа с реальными полномочиями лица, поднимать локальные акты и служебную переписку, при необходимости готовить письменные объяснения и жалобу. Если спорный эпизод затрагивает сразу организацию и руководителя, позиции следует согласовывать заранее, чтобы аргументы не противоречили друг другу.

Штрафы для должностных лиц по 152-ФЗ редко бывают изолированной проблемой. Почти всегда они показывают более глубокий сбой в управлении персональными данными: неверное распределение обязанностей, формальный комплаенс, отсутствие контроля за подрядчиками, ошибки кадровой службы или отдела маркетинга, слабую договорную базу и неготовность к проверке. Поэтому правовая работа в таких делах полезна не только для конкретного спора, но и для пересборки внутренних процессов на более устойчивой основе.

Если проверка уже началась или постановление вынесено, важно оценивать дело одновременно в двух плоскостях: есть ли основания для самой ответственности и правильно ли определен ее субъект. Именно здесь чаще всего и проходит граница между санкцией для компании и личным наказанием конкретного лица. Штрафы для должностных лиц по 152-ФЗ требуют отдельного анализа по документам, полномочиям и доказательствам, а не формального копирования позиции организации. Такой подход позволяет точнее оценить перспективы обжалования, возможность пересмотра квалификации и основания для того, чтобы добиваться отмены постановления либо ставить вопрос про снижение штрафа должностному лицу.

Если вам нужна надежная команда юристов с большим практическим опытом, обращайтесь в ООО ЮК Шмелева и партнеры. Заявку можно оставить на сайте нашей юридической компании или позвонить по телефону 8 (800) 201 56 52. Отзывы о нашей работе можно посмотреть на Яндекс.Картах.