Ответственность генерального директора за нарушение 152-ФЗ: личные риски руководителя

Нарушения в сфере обработки персональных данных давно перестали быть вопросом только для ИТ-отдела или кадровой службы. Для бизнеса это уже зона прямого управленческого риска, а ответственность директора за персональные данные в ряде ситуаций становится не абстрактной угрозой, а предметом проверки Роскомнадзора, прокурорского реагирования, трудового конфликта, гражданского спора и корпоративных претензий со стороны собственников. Ошибка в согласиях, отсутствии локальных актов, незаконной передаче данных или слабой организации доступа к базам может обернуться не только штрафом для компании, но и вопросом о том, исполнил ли руководитель свою обязанность действовать разумно и добросовестно.

Для генерального директора эта тема важна по простой причине. Именно исполнительный орган организует деятельность общества, утверждает внутренние процессы, определяет ответственных лиц, подписывает документы, контролирует подрядчиков и несет риски, если система защиты персональных данных в компании фактически не работает. Поэтому ответственность директора за персональные данные нельзя сводить к формальному упоминанию 152-ФЗ. На практике значение имеют и положения Закона № 152-ФЗ «О персональных данных», и нормы КоАП РФ, и трудовое законодательство, и корпоративные правила о возмещении убытков директором обществу.

Почему ответственность директора за персональные данные выходит за рамки штрафа для компании

Федеральный закон от 27.07.2006 № 152-ФЗ возлагает обязанности на оператора персональных данных. В большинстве коммерческих ситуаций оператором выступает сама организация. Но это не означает, что генеральный директор всегда остается вне поля контроля. Если нарушения возникли из-за отсутствия организационных мер, неполного набора локальных актов, незаконного допуска работников к данным, игнорирования запросов субъектов персональных данных или неисполнения обязанности по уведомлению Роскомнадзора в предусмотренных случаях, вопрос неизбежно переходит к тому, кто управлял компанией и принимал решения.

По статье 22.1 Закона № 152-ФЗ оператор обязан назначить лицо, ответственное за организацию обработки персональных данных, если иное не установлено законом. На практике нередко считают, что после издания приказа весь риск перенесен на назначенного сотрудника. Это неверно. Назначение ответственного лица не освобождает руководителя от обязанности организовать систему обработки и защиты данных в компании в целом. Если приказ существует только на бумаге, а обучение, регламенты, доступы, журналирование действий и договорная обвязка с подрядчиками отсутствуют, ответственность директора за персональные данные остается вполне реальной.

Для бизнеса особенно чувствительны случаи, когда нарушение затрагивает не только сотрудников, но и клиентов, пациентов, контрагентов, пользователей сайта, участников программы лояльности. Тогда помимо административного дела может возникнуть претензия о возмещении убытков, требование о компенсации морального вреда, репутационные потери, а в отношении директора могут быть поставлены вопросы о качестве корпоративного управления. Когда спор касается того, насколько добросовестно исполнительный орган выстроил систему внутренних процессов, часто требуется участие корпоративных юристов, поскольку проблема уже выходит за пределы обычной проверки Роскомнадзора.

Какие обязанности руководителя вытекают из 152-ФЗ и смежных норм

Закон № 152-ФЗ не содержит отдельной главы под названием «ответственность генерального директора», но структура обязанностей оператора прямо показывает, за что в компании отвечает руководство. Статья 18.1 требует принимать правовые, организационные и технические меры для обеспечения выполнения законодательства о персональных данных. Статья 19 устанавливает обязанность обеспечивать безопасность персональных данных при их обработке. Статья 22 регулирует случаи уведомления уполномоченного органа по защите прав субъектов персональных данных о намерении осуществлять обработку. Статья 14 закрепляет права субъекта персональных данных на получение информации об обработке, а статья 21 касается уточнения, блокирования и уничтожения данных в предусмотренных случаях.

Для генерального директора это означает не просто подписание пары внутренних документов. Нужна работающая система, в которой понятно, какие данные и на каком основании собираются, где они хранятся, кто имеет доступ, кому и по каким договорам они передаются, как исполняются запросы субъектов, как фиксируются инциденты, как организована работа с подрядчиками, в том числе с облачными сервисами, CRM-системами, медицинскими платформами и кадровыми провайдерами.

Если компания ведет активную кадровую работу, принимает персонал дистанционно, использует видеонаблюдение, пропускной режим, корпоративную почту и мессенджеры, тема персональных данных тесно связана с трудовым правом. В таких случаях полезен предварительный кадровый аудит, потому что именно в кадровых документах чаще всего обнаруживаются устаревшие формы согласий, избыточные сведения, пробелы в уведомлениях работников и ошибки в порядке доступа к персональным данным.

Отдельный пласт обязанностей связан с подзаконным регулированием. Для ряда операторов значимы требования к защите персональных данных в информационных системах, включая акты Правительства РФ и нормативные документы уполномоченных органов в части организационных и технических мер. Генеральный директор не обязан лично настраивать серверы, но обязан обеспечить, чтобы защита данных была организована не номинально, а по реальным процессам компании. Поэтому ответственность директора за персональные данные нередко оценивается через вопрос, предпринимал ли он разумные действия для соблюдения закона или ограничился формальной подписью под шаблонными документами.

Административная ответственность директора за персональные данные и риск дисквалификации

Основной массив санкций сосредоточен в статье 13.11 КоАП РФ. Эта норма предусматривает ответственность за нарушения законодательства Российской Федерации в области персональных данных. Составы в ней дифференцированы: незаконная обработка, обработка без надлежащего письменного согласия там, где оно требуется, непредоставление субъекту информации, невыполнение обязанности по опубликованию политики, несоблюдение требований к локализации отдельных баз данных, нарушения при обеспечении безопасности и другие случаи. По отдельным составам к ответственности могут привлекаться должностные лица, а значит, ответственность директора за персональные данные становится не теоретической, а персональной.

Нельзя считать, что протокол всегда составят только на компанию. Если материалы проверки показывают, что нарушения связаны с управленческими решениями или бездействием руководства, должностное лицо нередко фигурирует в деле отдельно. Для директора это означает личный штраф, а при повторности и совокупности нарушений на первый план выходят уже не только деньги, но и деловая репутация, отношения с участниками общества и контрагентами.

Вопрос о том, возможна ли дисквалификация за нарушение ПДн, нужно оценивать аккуратно и только по конкретному составу. Не каждое нарушение в сфере персональных данных влечет такое последствие. Однако для руководителя опасность состоит в ином: при накоплении административных эпизодов, выявлении системных нарушений и параллельных претензиях по иным нормам КоАП РФ положение первого лица компании заметно ухудшается. Поэтому сама по себе дисквалификация за нарушение ПДн не должна обсуждаться как автоматический итог любой проверки, но игнорировать этот риск в управленческой модели нельзя.

Особенно небезопасна ситуация, когда организация после первого предписания или привлечения не устраняет нарушения по существу, а лишь корректирует внешнюю часть документов. Тогда последующая проверка оценивает не отдельную ошибку, а устойчивое неисполнение обязанностей оператора. В такой модели ответственность директора за персональные данные усиливается, потому что у контролирующего органа появляются доказательства осведомленности руководства о нарушениях и отсутствия адекватной реакции.

• личный административный штраф для должностного лица по соответствующему составу статьи 13.11 КоАП РФ;
• риск прокурорского реагирования, если нарушение затрагивает права неопределенного круга лиц или социально чувствительные данные;
• усиление позиции работников, клиентов и контрагентов в параллельных спорах о законности действий компании;
• негативные последствия для деловой репутации руководителя внутри группы компаний или перед собственниками бизнеса.

Именно поэтому личная ответственность руководителя в делах о персональных данных обычно формируется не в один момент, а как результат цепочки управленческих просчетов: нет инвентаризации данных, нет законных оснований обработки, не определены уровни доступа, не проверены подрядчики, не исполняются требования субъектов, не выстроена реакция на инцидент.

Когда ответственность директора за персональные данные перерастает в корпоративный спор

Для собственников бизнеса нарушение 152-ФЗ нередко выглядит не как частная юридическая ошибка, а как убытки общества, вызванные некачественным управлением. Если компания получила крупные штрафы, потеряла клиента, столкнулась с блокировкой процессов, утечкой базы или судебными исками из-за того, что руководство не организовало законную обработку данных, участники общества могут поставить вопрос о взыскании убытков с директора. Здесь уже работают статьи 53 и 53.1 ГК РФ, а также положения корпоративного законодательства о действиях исполнительного органа в интересах общества, разумно и добросовестно.

Суд в таком споре будет смотреть не на громкость формулировок, а на факты. Были ли у директора сведения о проблеме. Давались ли поручения по устранению нарушений. Выделялись ли ресурсы на приведение процессов в порядок. Утверждались ли локальные акты. Контролировалось ли исполнение договоров с обработчиками персональных данных. Если этого не было, личная ответственность руководителя может приобрести уже имущественный характер, когда общество требует возместить причиненные убытки.

Здесь возникает и еще одна важная тема. Собственники иногда пытаются автоматически отождествить любой штраф компании с виной директора. Такой подход слишком прямолинеен. Для взыскания убытков нужно доказать состав гражданско-правовой ответственности: противоправность поведения, убытки, причинную связь и вину. Но если проверка выявила не разовую ошибку исполнителя, а системный управленческий провал, перспектива такого требования становится существенно серьезнее. В корпоративных конфликтах это часто перерастает в полноценное разрешение корпоративных споров, где персональные данные становятся лишь частью более широкого спора об ответственности исполнительного органа.

По этой же логике оцениваются и риски первого лица компании перед инвестором, материнской структурой, советом директоров или новым собственником, который получает бизнес после сделки и обнаруживает, что обработка персональных данных велась с существенными нарушениями. Тогда предмет претензий выходит далеко за пределы одного административного постановления.

Субсидиарная ответственность директора и персональные данные: где проходит граница

Фраза «субсидиарная ответственность директора» нередко используется слишком широко, хотя в строгом юридическом смысле она прежде всего связана с делами о банкротстве и регулируется Федеральным законом «О несостоятельности (банкротстве)». Само по себе нарушение 152-ФЗ автоматически не образует оснований для такой ответственности. Однако полностью исключать связь нельзя.

Если системные нарушения в области персональных данных сопровождались общим ненадлежащим управлением, сокрытием документов, искажением учета, неисполнением обязанностей по хранению информации и иными действиями, которые в деле о банкротстве будут оцениваться как недобросовестное поведение контролирующего лица, эти обстоятельства могут войти в общую картину. Иными словами, субсидиарная ответственность директора не возникает из-за одного неверного согласия на обработку данных, но грубые нарушения информационных и управленческих процессов иногда становятся частью доказательственной базы о ненадлежащем руководстве компанией.

На практике чаще встречается другой сценарий. После утечки или претензий регулятора компания несет расходы на уведомления, техническое восстановление системы, защиту в спорах, выплату штрафов, урегулирование с клиентами. Если бизнес и без того находится в тяжелом финансовом положении, любой такой эпизод усугубляет неплатежеспособность. В деле о банкротстве кредиторы и конкурсный управляющий анализируют совокупность управленческих решений директора. Поэтому ответственность директора за персональные данные может стать частью общего вопроса о том, насколько добросовестно руководитель вел дела общества.

Здесь особенно важны документы. Приказы о назначении ответственных, политика обработки персональных данных, положения о доступе, договоры с обработчиками, служебные записки о выявленных рисках, заявки на техническую защиту, отчеты внутренних проверок и переписка с собственниками позволяют показать, предпринимал ли директор реальные действия. При отсутствии такой доказательной базы защитить позицию руководителя значительно сложнее.

Какие ошибки руководителей чаще всего ухудшают позицию при проверке и в суде

Самая распространенная ошибка состоит в том, что персональные данные воспринимаются как техническая тема, которую можно полностью передать ИТ-службе, кадровику или внешнему подрядчику. Для закона это неверная логика. Обработку данных организует оператор, а руководитель отвечает за то, чтобы система была встроена в работу компании. Если же в договоре с подрядчиком нет условий о поручении обработки, о целях, составе действий, конфиденциальности и мерах безопасности, формальная передача функции не снижает, а увеличивает риски первого лица компании.

Вторая ошибка связана с документами, которые существуют только в виде шаблонов. Политика размещена на сайте, но не соответствует фактическим процессам. Согласия собираются без учета целей обработки. Локальные акты не обновлялись годами. Нет порядка ответа на обращения субъектов данных. Не определены сроки хранения и уничтожения. В такой ситуации проверяющий орган быстро видит разрыв между бумажной и реальной моделью работы. Тогда ответственность директора за персональные данные подкрепляется тем, что организация имитировала соблюдение закона, а не обеспечивала его.

Третья группа ошибок появляется после инцидента. Руководство пытается решить проблему не через юридическую и техническую фиксацию обстоятельств, а через стихийные действия: ограничить обсуждение, быстро изменить документы задним числом, устно распределить ответственность. Для суда и контролирующего органа это обычно только ухудшает картину. Значение имеют дата выявления инцидента, состав затронутых данных, круг лиц, основания доступа, договоры с подрядчиками, внутренние акты расследования, сообщения в уполномоченные органы, переписка по устранению последствий. Без этого позиция компании и директора становится уязвимой.

• отсутствие инвентаризации процессов обработки персональных данных по подразделениям и сервисам;
• использование шаблонных согласий и политик без связи с реальными целями обработки;
• допуск сотрудников и подрядчиков к данным без надлежащего разграничения прав;
• неподготовленность к запросам субъектов персональных данных и к проверке Роскомнадзора;
• попытка исправить нарушения только после жалобы или составления протокола.

Если спор доходит до арбитражного суда, существенную роль играют переписка, акты внутреннего контроля, договоры, технические журналы, приказы, протоколы совещаний, положения о защите информации. Когда одновременно возникают требования о взыскании убытков, оспаривание штрафа или спор с подрядчиком, может потребоваться комплексное сопровождение арбитражного спора, поскольку ошибки в одной линии защиты быстро влияют на другую.

Как выстроить защиту руководителя, если нарушение уже выявлено

Когда проверка уже началась или инцидент с персональными данными произошел, директору важно не ограничиваться общей позицией «этим занимался ответственный сотрудник». Такая линия редко убеждает контролирующий орган и почти никогда не помогает в корпоративном споре. Защита строится вокруг фактических действий руководства, документов, даты их принятия, ресурсов, выделенных на соблюдение закона, и характера самого нарушения.

Если речь идет об административном деле, нужно анализировать, на кого именно составлен протокол, как описан состав правонарушения, имеются ли доказательства вины должностного лица, соблюдена ли процедура привлечения, относится ли конкретное действие к обязанностям директора либо речь идет о нарушении на уровне исполнителя вопреки установленным регламентам. Это не формальность. Для квалификации по КоАП РФ значение имеет, можно ли вменить директору личное неисполнение конкретной обязанности или доказательства говорят лишь о нарушении со стороны организации в целом.

При корпоративной претензии логика иная. Здесь важно показать, что директор действовал разумно и добросовестно, внедрил необходимые процедуры, делегировал задачи надлежащим образом, контролировал исполнение и не игнорировал сигналы о рисках. В ряде случаев спор удается сместить с темы «директор допустил нарушение» на тему «компания столкнулась с инцидентом несмотря на принятые меры», а это уже совершенно иной уровень оценки поведения исполнительного органа.

Если обработка персональных данных является постоянным элементом бизнес-модели, безопаснее не ждать претензии, а выстроить регулярное абонентское юридическое обслуживание, при котором локальные акты, договоры, формы согласий, кадровые документы и порядок реагирования на запросы обновляются вместе с изменением процессов компании. Для руководителя это не только вопрос комплаенса, но и инструмент защиты от упреков в бездействии.

Что снижает личные риски генерального директора на практике

Снижение риска начинается не с одного приказа, а с управленческой модели, в которой обработка персональных данных описана и проверяема. Руководителю необходимо понимать, какие категории данных используются в бизнесе, какие из них относятся к специальным категориям, какие системы и подрядчики участвуют в обработке, где есть трансграничные элементы, какие подразделения отвечают за прием, хранение, передачу и уничтожение информации. Именно такая детализация, а не набор общих фраз, потом определяет, можно ли говорить о том, что директор контролировал ситуацию.

Практически работают те меры, которые можно подтвердить документами и фактическим исполнением. Внутренние проверки, корректные поручения обработки в договорах, актуальные формы согласий, локальные акты по доступу и хранению, обучение сотрудников, регламент реакции на запросы субъектов и инциденты безопасности создают ту доказательственную среду, в которой ответственность директора за персональные данные становится существенно менее уязвимой. При этом важно не количество документов, а их связь с реальными процессами компании.

Личная ответственность руководителя в этой сфере особенно чувствительна для медицинских организаций, работодателей с большим штатом, компаний с активными онлайн-продажами, образовательных проектов, сервисных платформ и бизнеса, который работает с подрядчиками по модели постоянного обмена клиентскими базами. Чем сложнее маршрут данных внутри компании, тем выше требования к качеству управленческого контроля.

Поэтому ответственность директора за персональные данные лучше рассматривать не как узкий вопрос административного штрафа, а как часть общей модели безопасности бизнеса. Она затрагивает личную ответственность руководителя, может усилить позицию участников общества в споре о взыскании убытков, влияет на оценку добросовестности исполнительного органа и при неблагоприятном развитии событий становится элементом более широких претензий к качеству управления. Для генерального директора это одна из тех сфер, где профилактика всегда дешевле, чем защита после проверки, а документально подтвержденная система управления рисками имеет самостоятельную юридическую ценность.

Если вам нужна надежная команда юристов с большим практическим опытом, обращайтесь в ООО ЮК Шмелева и партнеры. Заявку можно оставить на сайте нашей юридической компании или позвонить по телефону 8 (800) 201 56 52. Отзывы о нашей работе можно посмотреть на Яндекс.Картах.