Конфиденциальность персональных данных: ст. 7 и ответственность
Что требует ст. 7 закона № 152-ФЗ, кто обязан хранить конфиденциальность, как её обеспечивают и что грозит за разглашение: ТК, ст. 13.14 КоАП, ст. 137 УК. Таблицы случаев, мер и санкций.
Коротко: конфиденциальность персональных данных — обязанность не раскрывать данные третьим лицам и не распространять их без согласия человека, если иное не предусмотрено федеральным законом (ст. 7 закона № 152-ФЗ). Она лежит на операторах и на любых иных лицах, получивших доступ к данным, в том числе по нашему прочтению на работниках. Подпись работника под обязательством закон не требует, но помогает показать, что правило было известно. За разглашение возможна ответственность по ст. 13.14 КоАП, ТК и в отдельных случаях по УК.
Главное о конфиденциальности
- Источник правила — закон, а не подпись: ст. 7 действует и без обязательства.
- Два запрета: не раскрывать третьим лицам и не распространять без согласия субъекта.
- Исключения даёт только федеральный закон («если иное не предусмотрено федеральным законом»).
- Обработчик по поручению обязан соблюдать конфиденциальность (ч. 3 ст. 6), условие вносят в договор.
- Данные работников дополнительно защищают ст. 86–90 ТК: доступ только уполномоченным (ст. 88).
- Ответственность зависит от случая: ТК, ст. 13.14 КоАП, ст. 137 УК только для сведений о частной жизни, составляющих личную или семейную тайну.
Что говорит ст. 7 закона
Статья состоит из одного предложения: операторы и иные лица, получившие доступ к персональным данным, «обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом». Разберём по словам.
| Слова в статье | Что это значит | Пометка |
|---|---|---|
| «Операторы и иные лица, получившие доступ» | Круг шире оператора: подрядчик, обработчик, работник с доступом | Работников относим к «иным лицам» по нашему прочтению, прямо статья их не называет |
| «Не раскрывать третьим лицам» | Нельзя сообщать данные определённому лицу или кругу лиц, не имеющему права на них (п. 6 ст. 3 называет это предоставлением) | Связка с п. 6 ст. 3 — наше прочтение |
| «Не распространять» | Нельзя раскрывать данные неопределённому кругу лиц (п. 5 ст. 3). Для этого есть особая ст. 10.1 | Разбор — в статье о распространении данных |
| «Без согласия субъекта» | Согласие снимает запрет на конкретные действия, если они подпадают под цель согласия | Форма и состав — ст. 9 |
| «Если иное не предусмотрено федеральным законом» | Исключения вводит закон: суд, органы власти по запросу, обязанности раскрытия | Приказы и внутренние акты исключений не создают |
Что именно считать данными, зависит от п. 1 ст. 3: информация, относящаяся к определённому или определяемому физлицу. Главный материал кластера — что такое персональные данные.
Когда раскрыть данные можно
Запрет не абсолютный. Данные можно передать, когда есть согласие человека или федеральный закон допускает иное. Примеры из текста самого закона и ТК:
| Случай | Основание | Что важно |
|---|---|---|
| Поручение обработки подрядчику | ч. 3 ст. 6 | С согласия субъекта, если иное не предусмотрено федеральным законом, на основании договора; обработчик обязан соблюдать конфиденциальность. См. поручение обработки |
| Работодатель сообщает данные работника третьей стороне | ст. 88 ТК | Нужно письменное согласие работника, кроме угрозы жизни и здоровью и случаев из ТК и федеральных законов. Получателя предупреждают, что данные используют только в целях передачи |
| Работодатель ведёт внутренний обмен | ст. 88 ТК | Передача в пределах организации по локальному акту, с которым работник ознакомлен под роспись |
| Запрос Роскомнадзора | ч. 4 ст. 20 | Оператор обязан дать необходимую информацию в течение десяти рабочих дней |
| Данные, подлежащие обязательному раскрытию по закону | п. 11 ч. 1 ст. 6 | Оператору нужно назвать закон, который требует раскрытия (по нашему прочтению) |
Чего закон не говорит: срока действия обязанности после увольнения работника или окончания договора в ст. 7 нет. На практике (наша рекомендация) в обязательстве и в договоре с подрядчиком фиксируют, что правило сохраняется и после окончания работы. Про образец и структуру документа — статья об обязательстве о неразглашении персональных данных.
Как обеспечивают конфиденциальность на практике
Закон не говорит «подписать обязательство». Он требует мер, необходимых и достаточных для выполнения обязанностей (ч. 1 ст. 18.1), и защиты данных (ст. 19). Конкретный набор определяет оператор. Что обычно ставят (наша рекомендация, с опорой на нормы):
| Мера | Опора в законе | Как выглядит |
|---|---|---|
| Доступ только тем, кому нужно для работы | ст. 88 ТК; п. 8 ч. 2 ст. 19 (правила доступа в информационных системах) | Список допущенных, права по ролям в CRM и 1С |
| Ознакомление работников с правилами и (или) обучение | п. 6 ч. 1 ст. 18.1; п. 8 ч. 1 ст. 86 ТК для данных работников | Лист ознакомления, инструктаж |
| Обязательство о неразглашении | Прямой нормы нет, практика на основе ст. 7 | Подпись при допуске к данным |
| Условие о конфиденциальности в договорах | ч. 3 ст. 6 | Пункт в договоре поручения |
| Учёт носителей и контроль доступа | п. 5 и 8 ч. 2 ст. 19 | Журнал носителей, пароли, блокировка экрана |
| Внутренний контроль | п. 4 ч. 1 ст. 18.1 | Проверка, кто видел карточки клиентов |
Общую картину мер даёт хаб о защите персональных данных. Если данные ушли не туда, действуют сроки 24 и 72 часа: что делать при утечке.
Ответственность за нарушение конфиденциальности
Единой «статьи за нарушение ст. 7» нет. Нужная норма зависит от того, кто нарушил и какие сведения раскрыл.
| Норма | Кому и за что | Что может последовать |
|---|---|---|
| Ст. 13.14 КоАП | Разглашение информации, доступ к которой ограничен федеральным законом, лицом, получившим доступ в связи со служебными или профессиональными обязанностями | Граждане 5–10 тыс. ₽; должностные лица 40–50 тыс. ₽ или дисквалификация до трёх лет; юридические лица 100–200 тыс. ₽ |
| Ст. 90 ТК | Нарушение норм о данных работника | Дисциплинарная и материальная ответственность по ТК, а также иные виды по федеральным законам |
| Ст. 24 закона № 152-ФЗ | Нарушение требований закона | Предусмотренная законодательством ответственность; моральный вред подлежит возмещению (ч. 2) |
| Ст. 137 УК | Незаконное собирание или распространение сведений о частной жизни, составляющих личную или семейную тайну, без согласия | Ч. 1: штраф до 200 тыс. ₽ и другие наказания; ч. 2 — при использовании служебного положения и других признаках строже |
Подходит ли ст. 13.14 к конкретному случаю, решает орган, рассматривающий дело. Ст. 137 УК не про любые персональные данные: она касается сведений о частной жизни, составляющих личную или семейную тайну. Утечки данных у оператора наказываются по другим нормам — ч. 12–18 ст. 13.11 КоАП, они разобраны в статье об оборотных штрафах за утечку. Положение работника подробно описано здесь: ответственность работника за разглашение.
Конфиденциальность и врачебная тайна
Врачебная тайна — отдельный режим: сведения о факте обращения за медицинской помощью, состоянии здоровья и диагнозе составляют её по ст. 13 закона № 323-ФЗ. Он действует вместе со ст. 7 закона о персональных данных. Подробности — в статье о врачебной тайне и персональных данных.
Как мы помогаем
ФТИ — учебный центр, а услуги по персональным данным ведёт юрист по образованию. По странице услуги:
- Документы по 152-ФЗ — 9 900 ₽. Локальные акты, инструкции и журналы по вашей ситуации. Нужно ли обязательство о неразглашении и в какой форме, решаем на разборе и называем состав до оплаты. Правки включены до «принимаю».
- Сопровождение — 1 990 ₽ в месяц или 19 900 ₽ в год: обновление документов, консультации в мессенджере, проверка сайта раз в полгода.
- Пакет «Старт» — 14 900 ₽ вместо 18 700 ₽ (уведомление, документы, документы для сайта): подробности на странице услуг ФТИ.
Ответственному за обработку данных пригодится курс «Защита персональных данных»: повышение квалификации, 72 часа, дистанционно, удостоверение с записью в ФИС ФРДО, приём с образованием не ниже среднего профессионального (ч. 3 ст. 76 закона № 273-ФЗ). Курс не выдаёт готовых документов и не подаёт уведомление. Закон говорит об «ознакомлении и (или) обучении» (п. 6 ч. 1 ст. 18.1), и не требует именно курса.
Нормативные документы
На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.
- Федеральный закон № 152-ФЗ, статья 7 — конфиденциальность персональных данных
- Статья 3 закона № 152-ФЗ — основные понятия, пункты 1, 5 и 6
- Статья 6 закона № 152-ФЗ — условия обработки, часть 3 о поручении
- Статья 18.1 закона № 152-ФЗ — меры оператора, в том числе ознакомление работников
- Статья 19 закона № 152-ФЗ — меры по обеспечению безопасности данных
- Статья 24 закона № 152-ФЗ — ответственность за нарушение требований закона
- Трудовой кодекс РФ, статья 86 — общие требования при обработке данных работника
- Трудовой кодекс РФ, статья 88 — передача персональных данных работника
- Трудовой кодекс РФ, статья 90 — ответственность за нарушение норм о данных работника
- КоАП РФ, статья 13.14 — разглашение информации с ограниченным доступом
- Уголовный кодекс РФ, статья 137 — нарушение неприкосновенности частной жизни
- Закон № 323-ФЗ об основах охраны здоровья, статья 13 — соблюдение врачебной тайны
Частые вопросы
Что такое конфиденциальность персональных данных?
Обязанность операторов и иных лиц, получивших доступ к данным, не раскрывать их третьим лицам и не распространять без согласия субъекта, если иное не предусмотрено федеральным законом (ст. 7 закона № 152-ФЗ).
Нужно ли брать с работников обязательство о неразглашении?
Закон такого документа не требует. Обязанность не раскрывать данные следует из ст. 7. Обязательство мы рекомендуем как практику: оно подтверждает, что работник знал правило.
Кто обязан соблюдать конфиденциальность персональных данных?
Операторы и иные лица, получившие доступ к данным. Подрядчики по поручению оператора обязаны соблюдать конфиденциальность прямо по ч. 3 ст. 6. Работников мы относим к «иным лицам» по нашему прочтению.
В каких случаях можно раскрыть персональные данные без согласия?
Когда иное предусмотрено федеральным законом: например, ответ на запрос Роскомнадзора (ч. 4 ст. 20) или случаи обязательного раскрытия (п. 11 ч. 1 ст. 6). Для данных работников ст. 88 ТК задаёт свои условия передачи.
Какой штраф за разглашение персональных данных по ст. 13.14 КоАП?
Граждане от 5 до 10 тыс. ₽, должностные лица от 40 до 50 тыс. ₽ или дисквалификация на срок до трёх лет, юридические лица от 100 до 200 тыс. ₽. Применима ли статья в конкретном случае, решает орган, рассматривающий дело.
Грозит ли уголовная ответственность за разглашение персональных данных?
В отдельных случаях, например при незаконном разглашении сведений о частной жизни, составляющих личную или семейную тайну (ст. 137 УК); ст. 272.1 УК касается данных, полученных незаконным путём, а не утечки у добросовестного оператора. Для обычной утечки у оператора применяются нормы КоАП.
Чем конфиденциальность отличается от врачебной тайны?
Врачебная тайна — отдельный режим по ст. 13 закона № 323-ФЗ для сведений об обращении за медпомощью, здоровье и диагнозе. Он действует вместе со ст. 7 закона о персональных данных.
Распространяется ли обязанность на подрядчика и бухгалтера на аутсорсе?
Да, если они получили доступ к данным. Поручение обработки по ч. 3 ст. 6 допускается с согласия субъекта, если иное не предусмотрено федеральным законом, и оформляется договором, в котором закреплена обязанность соблюдать конфиденциальность; для данных работников ст. 88 ТК требует письменного согласия на передачу третьей стороне.
Сколько стоит оформить документы по защите конфиденциальности?
Пакет документов по 152-ФЗ в ФТИ — 9 900 ₽, правки включены до «принимаю», состав называем после разбора до оплаты. Сопровождение по персональным данным — 1 990 ₽ в месяц.