Штрафы для должностных лиц по 152-ФЗ: отличие от ответственности организации

Нарушения в сфере персональных данных давно перестали быть формальностью, которую можно отложить до первой проверки. Для бизнеса это вопрос не только соответствия закону, но и прямых денежных потерь, репутации, устойчивости внутренних процессов и личных рисков руководителей. Именно поэтому штрафы для должностных лиц по 152-ФЗ требуют отдельного внимания. На практике нередко выясняется, что компания уже понимает объем возможных санкций для организации, но недооценивает, как именно возникает личная административная ответственность должностного лица и почему она не исчезает только потому, что к ответственности уже привлекли юридическое лицо.

Проблема особенно заметна там, где персональные данные обрабатываются массово: в торговле, медицине, образовании, IT, HR, логистике, сфере услуг. Ошибки часто выглядят «техническими»: отсутствует корректная политика обработки персональных данных, сайт собирает формы без надлежащего информирования, согласия оформлены с дефектами, а внутренний порядок доступа к базам сотрудников и клиентов существует лишь на бумаге. Но с точки зрения закона последствия вполне конкретны. Штрафы для должностных лиц по 152-ФЗ применяются не автоматически ко всем руководителям подряд, а к тем лицам, чьи обязанности и действия связаны с допущенным нарушением. В этом и состоит главный практический вопрос: кто именно отвечает, за что, в каком объеме и как строить защиту.

На каких нормах основаны штрафы для должностных лиц по 152-ФЗ

Базовое регулирование строится на Федеральном законе от 27.07.2006 № 152-ФЗ «О персональных данных». Он определяет, что считается обработкой персональных данных, кто является оператором, в каких случаях требуется согласие, какие сведения должны быть доведены до субъекта персональных данных, как обеспечивается безопасность данных и какие обязанности возникают у оператора при организации обработки. Для бизнеса это не абстрактные положения: именно из них вытекает необходимость локальных актов, договорных условий, правовых оснований обработки и технических мер защиты.

При этом сами санкции содержатся не в 152-ФЗ, а прежде всего в статье 13.11 КоАП РФ, которая посвящена нарушениям законодательства Российской Федерации в области персональных данных. Эта статья включает несколько составов правонарушений, и в зависимости от характера нарушения меняется размер санкции, субъект ответственности и значимые доказательства. Отдельные составы касаются обработки персональных данных в случаях, не предусмотренных законом, отсутствия письменного согласия, невыполнения обязанности по опубликованию политики оператора, отказа в предоставлении субъекту информации об обработке его данных, а также нарушений требований к обезличиванию, хранению и защите данных, если они образуют именно административный состав.

Когда проверку проводит Роскомнадзор, он оценивает не только наличие документов, но и фактическое соответствие внутренних процессов этим документам. Для организации это означает, что формально принятая политика не освобождает от ответственности, если сотрудники действуют вопреки ей или если в самой политике отсутствуют обязательные положения. В ряде случаев к делу подключаются вопросы трудовой функции, полномочий руководителей подразделений и распределения обязанностей внутри компании. Тогда штрафы для должностных лиц по 152-ФЗ зависят уже не от названия должности, а от того, можно ли установить персональную связь между нарушением и кругом обязанностей конкретного работника.

Если обработка персональных данных встроена в повседневную деятельность компании, разумно оценивать ее не отдельно от бизнеса, а как часть общей системы комплаенса и договорной работы. В этом смысле полезно регулярное абонентское юридическое обслуживание, когда риски выявляются до визита контролирующего органа, а не после составления протокола.

Почему штрафы для должностных лиц по 152-ФЗ не совпадают с санкциями для компании

Самая частая ошибка в оценке риска состоит в попытке смотреть на организацию и должностное лицо как на одного и того же нарушителя. С точки зрения КоАП РФ это разные субъекты. Юридическое лицо отвечает за нарушение как участник гражданского оборота и работодатель, организующий процесс обработки данных. Должностное лицо отвечает персонально, если именно на него были возложены функции, исполненные ненадлежащим образом, либо если нарушение стало следствием его решения, бездействия или контроля, который он обязан был осуществлять.

Поэтому разграничение ответственности юрлица и физлица имеет не теоретическое, а прикладное значение. Если, например, компания не разместила на сайте обязательную политику обработки персональных данных, проверяющий орган будет выяснять не только сам факт отсутствия документа в публичном доступе, но и то, кто отвечал за правовое наполнение сайта, кто утверждал порядок публикации, кто должен был контролировать соответствие ресурса закону. В одной ситуации это может быть генеральный директор, в другой — директор по правовым вопросам, руководитель IT-направления или иной сотрудник, если круг обязанностей закреплен документально.

Именно поэтому штрафы для должностных лиц по 152-ФЗ нельзя рассчитывать как «уменьшенную версию» санкции для компании. Во-первых, составы в статье 13.11 КоАП РФ предусматривают разные размеры штрафов для юридических лиц и для должностных лиц. Во-вторых, доказательства вины оцениваются раздельно. Для организации важны факт нарушения и ненадлежащая организация процесса. Для должностного лица существенны должностная инструкция, приказы, положения о подразделениях, переписка, распределение полномочий и реальная возможность предотвратить нарушение.

На практике встречается и обратная ситуация. Формально нарушение есть, организацию привлекают, но персональная административная ответственность должностного лица не подтверждается, потому что обязанность, на которую ссылается орган, не была закреплена ни трудовым договором, ни локальными актами, ни приказом. В таком споре значение имеет не общая логика управления компанией, а конкретная доказательная база.

Кого могут признать должностным лицом и как это влияет на штрафы для должностных лиц по 152-ФЗ

Для целей административного законодательства должностным лицом может быть не только генеральный директор. По смыслу статьи 2.4 КоАП РФ к должностным лицам относятся, в частности, лица, постоянно, временно или по специальному полномочию осуществляющие функции представителя власти, а также выполняющие организационно-распорядительные или административно-хозяйственные функции в организациях. В коммерческой компании это открывает более широкий круг потенциально привлекаемых лиц, чем кажется на первый взгляд.

Если нарушение связано с кадровыми документами, анкетами соискателей, личными делами работников, локальными актами по персональным данным и режимом доступа к HR-системам, под проверку часто попадают руководители кадровых служб. Если спор возникает из-за некорректной работы сайта, CRM или кол-центра, внимание могут обратить на руководителя профильного подразделения, если за ним закреплены обязанности по внедрению и контролю таких процессов. Иногда протокол составляется в отношении директора филиала или начальника отдела. В бытовом языке это часто называют штраф на руководителя отдела, но юридически значимо не само наименование должности, а подтвержденные полномочия и зона ответственности.

По этой причине компаниям важно заранее выстраивать документы без разрывов между формальными и фактическими обязанностями. Когда должностная инструкция говорит об одном, приказ о распределении функций — о другом, а реальная работа строится по третьей схеме, риски возрастают сразу для всех. Контролирующему органу проще вменить нарушение и организации, и конкретному управленцу, чем участникам спора потом объяснить, кто действительно отвечал за участок обработки данных.

Отдельное значение имеет кадровая документация. Если обязанности по соблюдению режима обработки и защиты персональных данных не зафиксированы в трудовых договорах, локальных актах, положениях о подразделениях и приказах, защита по делу обычно становится сильнее. В то же время отсутствие таких документов само по себе может создавать дополнительный риск для работодателя. Поэтому в компаниях, где есть постоянная работа с персональными данными работников и клиентов, полезен предварительный кадровый аудит, позволяющий сопоставить реальное распределение функций с документами.

Какие нарушения встречаются чаще всего и как по ним оценивают штрафы для должностных лиц по 152-ФЗ

В практике Роскомнадзора и в судебных спорах обычно повторяются одни и те же группы нарушений. Речь идет не о редких технических дефектах, а о системных пробелах в правовом сопровождении обработки данных. Чаще всего проблемы возникают там, где бизнес полагается на типовые шаблоны из интернета или передает вопрос только IT-специалистам, не выстроив правовую модель обработки.

• Отсутствует или некорректно оформлена политика оператора в отношении обработки персональных данных, либо она не размещена в открытом доступе при наличии такой обязанности.
• Согласия на обработку составлены слишком общо, не соответствуют конкретным целям обработки или не подтверждают волеизъявление субъекта в требуемой форме.
• Сайт, личный кабинет, формы обратной связи, записи на прием или анкеты собирают данные без надлежащего информирования пользователя о целях, составе данных и правах субъекта.
• Внутренний доступ к данным организован без учета принципа необходимости, отсутствуют приказы, журналы, положения, регламенты или меры защиты, которые должны подтверждать контролируемую обработку.

Для организации такой набор нарушений означает риск штрафа по статье 13.11 КоАП РФ, а для конкретного управленца — вопрос о персональном участии в нарушении. Именно здесь штрафы для должностных лиц по 152-ФЗ становятся предметом отдельного анализа. Если, например, кадровая служба продолжает хранить копии документов, которые не требуются для целей трудовых отношений, орган будет выяснять, по чьему указанию это происходило, кто утвердил порядок хранения, кто отвечал за локальные акты и мог ли руководитель подразделения устранить нарушение.

Нельзя забывать и о специальных сферах. Для медицинских организаций, образовательных учреждений, работодателей с большим штатом и компаний с развитой клиентской базой требования к обработке данных тесно связаны с профильным регулированием. Ошибки в этих сегментах редко ограничиваются одной претензией Роскомнадзора. Они могут затронуть трудовые споры, претензии пациентов, конфликты с контрагентами и вопросы внутреннего контроля. Если нарушение персональных данных пересекается с управленческими решениями, иногда дополнительно требуется правовая оценка действий исполнительных органов и возможное сопровождение корпоративных споров, особенно когда участники общества ставят вопрос об убытках или ненадлежащем управлении.

Как доказывают вину и можно ли оспорить штрафы для должностных лиц по 152-ФЗ

Административная ответственность должностного лица не может строиться на предположении, что любой руководитель отвечает за все нарушения компании. Орган, рассматривающий дело, должен установить событие правонарушения, конкретный состав, статус лица, его полномочия и вину. Это следует из общих положений КоАП РФ, включая статьи 1.5 и 2.1, закрепляющие принцип вины и презумпцию невиновности в административном производстве.

Если протокол составлен формально, без анализа обязанностей конкретного лица, защита получает серьезный аргумент. Нередко в материалах дела отсутствуют документы, из которых следовало бы, что именно этот работник должен был организовать публикацию политики, обеспечить получение согласий, ограничить доступ к базе или отреагировать на запрос субъекта персональных данных. В таких случаях штрафы для должностных лиц по 152-ФЗ могут быть оспорены по мотиву недоказанности субъекта и вины.

Существенное значение имеет и процессуальная сторона. Нужно оценивать, соблюдены ли полномочия должностного лица, составившего протокол, надлежащим ли образом извещено привлекаемое лицо, вручены ли копии документов, зафиксированы ли объяснения, приложены ли документы, подтверждающие нарушение. Для организаций и предпринимателей споры о привлечении к административной ответственности обычно рассматриваются арбитражными судами по правилам главы 25 АПК РФ, если спор связан с предпринимательской и иной экономической деятельностью. В иных случаях применяются правила КоАП РФ и подсудность судов общей юрисдикции с учетом характера лица и состава дела.

Когда спор доходит до суда, уже недостаточно ссылаться на то, что «в компании за это отвечал кто-то другой». Нужны документы, подтверждающие распределение полномочий, внутреннюю переписку, приказы, положения, служебные записки, журналы ознакомления, версии локальных актов, доказательства устранения нарушения. Если одновременно оспариваются санкции, наложенные на компанию, и штрафы для должностных лиц по 152-ФЗ, правовая позиция должна быть согласованной. Противоречивые объяснения между юридическим лицом и его сотрудником часто ухудшают перспективу обоих.

Когда возможно снижение штрафа должностному лицу

Сам по себе факт нарушения не означает, что размер санкции всегда останется максимальным. Снижение штрафа должностному лицу возможно, но не в форме свободного усмотрения по просьбе нарушителя, а в рамках правил КоАП РФ о назначении административного наказания. При рассмотрении дела учитываются характер совершенного правонарушения, имущественное положение лица, обстоятельства, смягчающие и отягчающие ответственность, а также иные данные, имеющие значение для индивидуализации наказания.

Для практики особенно важны статьи 4.1, 4.2 и 4.3 КоАП РФ. Смягчающими обстоятельствами могут быть, в зависимости от фактической ситуации, предотвращение вредных последствий, добровольное прекращение противоправного поведения, оказание содействия в установлении обстоятельств дела, добровольное исполнение обязанности до вынесения постановления. Но такие обстоятельства должны быть не заявлены в общем виде, а подтверждены документально. Если нарушение устранено, это нужно показывать через новую редакцию локальных актов, публикацию корректной политики, пересмотр форм согласий, приказы о разграничении доступа, журналы ознакомления сотрудников.

Снижение штрафа должностному лицу может обсуждаться и в связи с малозначительностью, однако рассчитывать на это как на стандартный сценарий не стоит. Применение статьи 2.9 КоАП РФ зависит от конкретных обстоятельств и не должно подменять собой обычную оценку состава. По делам о персональных данных суды и органы, как правило, довольно осторожны в признании нарушений малозначительными, особенно если затронуты права неопределенного круга лиц, публичный доступ к данным или системные дефекты внутренней организации.

Иногда защита сосредоточена не на полном отрицании факта нарушения, а на корректной квалификации и объеме участия конкретного лица. Это оправдано в ситуациях, когда юридическое лицо уже устранило нарушение, а персональная роль управленца была ограниченной или опосредованной. Тогда штрафы для должностных лиц по 152-ФЗ можно оспаривать либо по основанию отсутствия состава, либо добиваться более взвешенного наказания в зависимости от обстоятельств дела.

Что важно сделать бизнесу до проверки и после составления протокола

Профилактика в делах о персональных данных работает лучше, чем защита постфактум. Но профилактика здесь не сводится к формальному набору документов. Сначала нужно определить, какие именно персональные данные обрабатывает компания, на каких правовых основаниях, для каких целей, где они хранятся, кто имеет доступ, кому передаются, каков порядок получения согласия и как выполняются запросы субъектов. После этого уже корректируются локальные акты, формы, регламенты, трудовые документы и договоры с подрядчиками.

Когда протокол уже составлен, важна быстрая и точная реакция. Ошибка многих компаний в том, что они спешат признать все обстоятельства, не отделяя ответственность организации от персональной ответственности работника. Между тем разграничение ответственности юрлица и физлица должно быть отражено и в объяснениях, и в доказательственной базе. Нельзя механически дублировать одну и ту же позицию для всех участников дела, если их правовой статус различается.

• Проверить, какой именно состав вменяется по статье 13.11 КоАП РФ и какие элементы нарушения должен доказать орган.
• Поднять документы о распределении полномочий: трудовой договор, должностную инструкцию, приказы, положения о подразделениях, локальные акты по персональным данным.
• Зафиксировать, какие меры уже приняты: публикация корректной политики, изменение форм согласия, ограничение доступа, пересмотр внутренних процессов.
• Оценить процессуальные нарушения при возбуждении и рассмотрении дела, поскольку они могут повлиять на допустимость доказательств и итоговую квалификацию.

Если дело уже перешло в судебную плоскость, подготовка должна учитывать не только сам эпизод нарушения, но и последствия формулировок для смежных споров. Для собственника бизнеса санкция в сфере персональных данных может стать поводом для внутренних претензий к директору или руководителю функции, а для самого управленца — источником дальнейшего трудового или корпоративного конфликта. В сложных ситуациях требуется не точечный ответ на протокол, а полное юридическое сопровождение бизнеса, где позиция по административному делу увязана с трудовыми, договорными и корпоративными рисками.

Штрафы для должностных лиц по 152-ФЗ редко возникают внезапно. Как правило, им предшествуют давно существующие пробелы: неактуальные документы, неработающие регламенты, отсутствие контроля за сайтом, неверно распределенные функции между подразделениями. Если этот узел проблем не распутан заранее, то даже относительно небольшой штраф на руководителя отдела может стать началом более широкого спора о качестве управления, убытках и персональной ответственности менеджмента.

Поэтому оценивать штрафы для должностных лиц по 152-ФЗ нужно не изолированно, а в связи с доказательствами, полномочиями и устройством внутренних процессов. Для организации принципиально важно понимать, кто является оператором, какие обязанности вытекают из 152-ФЗ и статьи 13.11 КоАП РФ, где проходит граница между ответственностью компании и конкретного сотрудника, а также на каких основаниях возможно снижение штрафа должностному лицу или полное оспаривание привлечения. Юридическая работа здесь начинается не с общих советов, а с точной проверки документов, фактической модели обработки данных и доказательственной позиции по каждому эпизоду.

Если вам нужна надежная команда юристов с большим практическим опытом, обращайтесь в ООО ЮК Шмелева и партнеры. Заявку можно оставить на сайте нашей юридической компании или позвонить по телефону 8 (800) 201 56 52. Отзывы о нашей работе можно посмотреть на Яндекс.Картах.