Работодатель сообщил коллегам зарплату, диагноз или другие персональные данные: как удалить информацию

Работодатель не вправе без законного основания сообщать коллегам зарплату, диагноз, инвалидность или другие персональные сведения сотрудника. Если информация уже раскрыта, можно требовать прекратить распространение, удалить сообщения и лишние копии, ограничить доступ и привлечь виновных к ответственности.

При этом требовать удалить абсолютно все сведения из кадровых систем обычно неправильно. Часть информации работодатель обязан законно хранить для расчета зарплаты, пособий, отчетности и исполнения других обязанностей.

Зарплата сотрудника является персональными данными

Размер зарплаты конкретного человека относится к информации, позволяющей определить его имущественное положение, и рассматривается как персональные данные.

Бухгалтер, кадровик или руководитель могут получать такие сведения, если они необходимы им для выполнения должностных обязанностей. Но из этого не следует право сообщать размер зарплаты всему отделу или публиковать индивидуальные выплаты в общем чате.

По статье 88 ТК РФ доступ внутри организации должен предоставляться только специально уполномоченным лицам. Причем этим лицам разрешается получать лишь сведения, необходимые для конкретной функции.

Например, бухгалтеру нужен размер заработка для расчета отпускных. Руководителю могут потребоваться определенные сведения для премирования. Коллеге из соседнего отдела точная сумма зарплаты сотрудника обычно для работы не нужна.

Другое дело - обезличенная информация. Сообщение "средняя зарплата специалистов отдела составляет 80 тысяч рублей" не обязательно позволяет установить доход конкретного человека.

Диагноз и инвалидность защищаются строже

Сведения о состоянии здоровья относятся к специальной категории персональных данных. Это прямо следует из статьи 10 Закона N 152-ФЗ.

К таким сведениям относятся, в частности, информация о заболеваниях, диагнозе и медицинских ограничениях. Данные об инвалидности также непосредственно характеризуют состояние здоровья человека.

Работодатель может законно получать определенные медицинские сведения, когда это предусмотрено трудовым законодательством. Например, для предоставления гарантий работнику с инвалидностью или учета противопоказаний к определенной работе.

Но законная необходимость получить информацию не означает разрешение рассказать ее коллективу.

Кадровику может быть необходимо знать об инвалидности для предоставления льготы. Коллегам диагноз или содержание медицинского заключения для этого знать не требуется.

Подробнее граница между сведениями, которые может получить организация, и врачебной тайной разобрана в материале о том, когда диагноз может быть сообщен работодателю.

Может ли начальник сказать коллективу, что сотрудник находится на больничном

Здесь ситуация не настолько однозначна, как с диагнозом.

Работодателю действительно необходимо учитывать отсутствие человека, перераспределять задачи и вести табель. Поэтому само сообщение о временном отсутствии сотрудника не всегда будет незаконным.

Но необходимо соблюдать принцип минимально необходимого объема информации.

Для организации работы обычно достаточно сказать: "Иванов временно отсутствует" или "вернется после окончания периода нетрудоспособности". Рассказывать коллективу, чем именно человек заболел, где лечится и какие процедуры проходит, для этого не требуется.

Кроме того, в обычном электронном листке нетрудоспособности работодатель не получает диагноз сотрудника. Поэтому если руководитель располагает такой информацией, полезно выяснить источник ее получения.

Подробнее сведения в ЭЛН и порядок их исправления разобраны в статье о том, что делать при ошибке в электронном больничном.

Когда передача сведений коллегам может быть законной

Не каждое внутреннее использование персональных данных требует отдельного письменного согласия.

Работодатель вправе обрабатывать необходимые сведения для исполнения трудового законодательства и трудового договора. Поэтому кадровый отдел, бухгалтерия, специалист по охране труда или непосредственный руководитель могут получать информацию в пределах своих функций.

Значение имеет не только факт передачи, но и четыре вопроса: кому передали сведения, зачем, в каком объеме и существовало ли для этого законное основание.

Например, сообщить специалисту по расчету зарплаты количество дней нетрудоспособности необходимо. Переслать всему коллективу фотографию медицинского заключения с диагнозом - уже совершенно другое действие.

Что делать сразу после разглашения

Сначала сохраните доказательства до того, как сообщение удалят.

Сделайте скриншоты корпоративного чата, электронной почты, внутренней страницы или общего диска. На снимках должны быть видны дата, автор, получатели и содержание сообщения.

Если документ открыт всему подразделению через корпоративное хранилище, зафиксируйте его название, путь и список лиц, имеющих доступ. Сохраните переписку, в которой коллеги обсуждают полученные сведения.

При устном разглашении доказать нарушение сложнее. Запишите дату, место, присутствовавших работников и максимально точно содержание сказанного. Впоследствии свидетели могут подтвердить обстоятельства.

После фиксации доказательств направьте руководителю или ответственному за персональные данные жалобу работодателю о нарушении трудовых прав.

Не стоит начинать с удаления сообщения, если единственное доказательство нарушения находится именно в нем.

Что именно требовать удалить

Формулировка "удалите все мои персональные данные" обычно слишком широкая.

Работодатель продолжает законно хранить трудовой договор, кадровые документы, сведения о выплатах и другую обязательную информацию. Одного требования работника недостаточно, чтобы уничтожить документы, которые организация обязана сохранять по закону.

Требование лучше сформулировать точнее.

Например, нужно удалить сообщение с диагнозом из общего рабочего чата, закрыть доступ к медицинскому документу в общей папке, убрать опубликованный список индивидуальных зарплат и уничтожить лишние копии, которые не нужны для законной цели.

Одновременно потребуйте прекратить дальнейшую передачу этих сведений и сообщить, каким лицам они были предоставлены.

Для получения информации об обработке можно направить запрос работодателю о предоставлении документов и сведений.

В какие сроки должны прекратить незаконную обработку

Закон устанавливает специальные сроки.

Если оператор сам установил неправомерную обработку персональных данных, ее необходимо прекратить не позднее трех рабочих дней с момента выявления нарушения.

Если привести обработку в соответствие с законом невозможно, соответствующие данные должны быть уничтожены не позднее десяти рабочих дней после выявления нарушения.

Когда работник представляет доказательства того, что конкретные сведения получены незаконно либо вообще не нужны для заявленной цели, действует отдельный семидневный срок для их уничтожения.

Кроме того, гражданин вправе непосредственно потребовать прекратить обработку своих данных. По общему правилу оператор рассматривает такое требование в срок до десяти рабочих дней, который при наличии оснований может быть продлен максимум еще на пять рабочих дней.

Однако исключения сохраняются. Работодатель вправе продолжить ту обработку, для которой существует самостоятельное законное основание.

Что делать с информацией, уже разосланной коллегам

Полностью "стереть" сведения из памяти людей невозможно. Поэтому требования должны быть реалистичными.

Компания может удалить публикацию из корпоративного чата, отозвать письмо, закрыть общий файл, удалить лишние электронные копии и ограничить дальнейший доступ.

Также работодатель может потребовать от получателей удалить незаконно направленные копии и не использовать полученную информацию.

Если сведения вышли уже за пределы компании, значение имеет круг получателей. Например, бывший руководитель может после увольнения продолжить сообщать конфиденциальные данные другим работодателям.

Для такой ситуации есть отдельная инструкция о том, что делать, если бывший работодатель распространяет сведения о сотруднике и мешает трудоустройству.

Если сведения опубликованы публично вместе с фотографией, видео или другими материалами работника, дополнительно следует проверить основания такого размещения. Похожий механизм прекращения распространения разобран в статье о том, как запретить работодателю использовать фото, видео и голос бывшего сотрудника.

Куда жаловаться на разглашение персональных данных

Основной профильный орган - Роскомнадзор. Он контролирует соблюдение законодательства о персональных данных.

В обращении укажите работодателя, конкретные раскрытые сведения, способ передачи, круг получателей и дату нарушения. Приложите скриншоты, письма и собственное требование работодателю.

Для подробного описания самого нарушения можно дополнительно использовать жалобу на обработку персональных данных, адаптировав ее под трудовые отношения.

Если одновременно нарушены требования главы 14 ТК РФ, можно обратиться и в Государственную инспекцию труда через жалобу в трудовую инспекцию.

Роскомнадзор и ГИТ проверяют разные аспекты одного события. Первый занимается законодательством о персональных данных, второй - соблюдением работодателем трудовых гарантий.

Какие штрафы грозят работодателю

Размер административного штрафа зависит от того, какие данные раскрыты и каким образом квалифицировано нарушение.

За обработку персональных данных без предусмотренного законом основания либо несовместимую с целями их сбора по общему составу статьи 13.11 КоАП РФ для организации предусмотрен штраф от 150 000 до 300 000 рублей. Для должностного лица - от 50 000 до 100 000 рублей.

Но при неправомерной передаче, распространении или предоставлении доступа именно к специальной категории персональных данных санкции значительно выше.

Если нарушение подпадает под часть 16 статьи 13.11 КоАП РФ, штраф составляет от 10 до 15 млн рублей для организации и от 1 до 1,3 млн рублей для должностного лица.

Такая квалификация возможна, например, при неправомерном раскрытии медицинских сведений. Но она не применяется автоматически при каждом упоминании болезни. Состав правонарушения и виновных лиц устанавливает уполномоченный орган или суд с учетом конкретных обстоятельств.

Может ли отвечать конкретный кадровик, бухгалтер или начальник

Да. Ответственность не обязательно ограничивается организацией.

Статья 90 ТК РФ предусматривает дисциплинарную, материальную, гражданско-правовую, административную и уголовную ответственность лиц, виновных в нарушении правил обработки персональных данных работников.

Например, кадровик или бухгалтер, которому зарплата или медицинские сведения стали известны в связи с работой, может быть привлечен к дисциплинарной ответственности за незаконное разглашение.

В определенных обстоятельствах применима и статья 13.14 КоАП РФ о разглашении информации с ограниченным доступом. Конкретная квалификация зависит от источника сведений, статуса нарушителя и характера нарушения.

Уголовная ответственность возможна значительно реже. Статья 137 УК РФ применяется, когда незаконно собираются или распространяются сведения о частной жизни человека, составляющие его личную или семейную тайну, при наличии всех признаков преступления.

Не каждое нарушение Закона о персональных данных является преступлением. Обычный спор из-за отправленного в рабочий чат файла чаще начинается с требования к работодателю, Роскомнадзора и трудовой инспекции.

Обязан ли работодатель сообщить об утечке в Роскомнадзор

В некоторых ситуациях - да.

Если произошла неправомерная или случайная передача, предоставление, распространение либо доступ к персональным данным, которые повлекли нарушение прав человека, оператор должен исполнить специальную обязанность по уведомлению Роскомнадзора.

Первичное уведомление направляется в течение 24 часов после выявления инцидента. Затем в течение 72 часов передаются результаты внутреннего расследования и сведения о причинах и виновных лицах, если они установлены.

Поэтому при серьезном раскрытии медицинских или других конфиденциальных сведений в обращении работодателю можно попросить сообщить, признан ли случай инцидентом и направлялось ли обязательное уведомление.

Это обязанность работодателя как оператора. Сам сотрудник вместо компании уведомление об инциденте подавать не должен.

Можно ли получить компенсацию морального вреда

Да. Для этого не требуется доказывать потерю конкретной суммы денег.

По статье 237 ТК РФ моральный вред, причиненный неправомерными действиями работодателя, компенсируется в денежной форме. Если стороны не договорятся о размере, его определяет суд.

При оценке суммы учитываются характер нарушения, его последствия и степень нравственных переживаний.

Публикация диагноза перед большим коллективом объективно серьезнее случайной передачи зарплатного файла одному уполномоченному сотруднику, который сразу его удалил.

Имеет значение и поведение работодателя после инцидента. Быстрое удаление сведений и извинение не устраняют уже произошедшее нарушение, но могут учитываться при оценке последствий.

До суда можно направить претензию о компенсации морального вреда.

Можно ли взыскать материальные убытки

Иногда разглашение вызывает и прямые финансовые потери.

Например, незаконная публикация сведений могла повлечь конкретные расходы, которые сотрудник способен подтвердить документами. Тогда вопрос о возмещении необходимо рассматривать отдельно от морального вреда.

Недостаточно просто указать, что разглашение "могло навредить карьере". Для взыскания имущественных потерь потребуются доказательства их размера и причинной связи с действиями работодателя.

На практике основной денежной мерой защиты при нарушении конфиденциальности трудовых персональных данных чаще становится именно компенсация морального вреда.

Как обратиться в суд

Спор о неправомерных действиях работодателя при обработке и защите персональных данных работника прямо относится ТК РФ к индивидуальным трудовым спорам, которые рассматриваются непосредственно судом.

Обращаться сначала в комиссию по трудовым спорам не требуется. Обязательной досудебной претензии для такого иска также нет.

В суде можно потребовать признать действия работодателя незаконными, обязать прекратить нарушение и взыскать компенсацию морального вреда. Конкретные требования зависят от того, продолжает ли информация распространяться.

Для подготовки обращения подойдет исковое заявление по трудовому спору.

Иск о восстановлении трудовых прав можно предъявить в районный суд, в том числе по месту жительства работника. Работник по требованиям, вытекающим из трудовых отношений, освобожден от уплаты госпошлины и судебных расходов.

Для обычного индивидуального трудового спора действует срок три месяца со дня, когда сотрудник узнал или должен был узнать о нарушении.

Если требование о моральном вреде заявляется после отдельного решения суда, которым уже восстановлены трудовые права, ТК РФ предусматривает специальный трехмесячный срок после вступления такого решения в законную силу.

Что делать, если информация была ложной

В этом случае появляется еще одно требование - исправить персональные данные.

Например, руководитель сообщил коллективу, что сотрудник имеет заболевание, которого у него никогда не было. Недостаточно просто удалить первоначальное сообщение.

Следует письменно потребовать исправления неверных сведений и, если информация уже передавалась другим лицам, уведомления этих лиц об исправлении.

Работник вправе требовать исключить или исправить неверные и неполные сведения, которые работодатель обрабатывает с нарушением законодательства.

Если ложная информация одновременно порочит честь, достоинство или профессиональную репутацию, могут дополнительно возникнуть гражданско-правовые способы защиты.

Практический порядок действий

После обнаружения разглашения лучше действовать в следующем порядке:

1. Зафиксируйте сообщение, письмо, файл, публикацию и круг получателей.
2. Не удаляйте единственное доказательство до сохранения копии.
3. Письменно потребуйте прекратить распространение, удалить незаконные копии и ограничить доступ.
4. Запросите сведения о том, кому и на каком основании передавались данные.
5. При отсутствии реакции обратитесь в Роскомнадзор и, при трудовом нарушении, в ГИТ.
6. Сохраните ответы государственных органов для возможного судебного дела.
7. При существенном нарушении потребуйте компенсацию морального вреда и при необходимости обратитесь в суд.

Главная задача - не заставить работодателя уничтожить весь кадровый архив, а прекратить именно незаконное распространение. Законно необходимые сведения могут оставаться у работодателя, но доступ к ним должен иметь только ограниченный круг лиц и только в необходимом объеме.

FAQ: работодатель разгласил персональные данные сотрудника

Может ли начальник сказать коллегам размер моей зарплаты?

Без законной рабочей необходимости сообщать индивидуальную зарплату посторонним сотрудникам не следует. Размер заработка относится к персональным данным, а внутренний доступ должен предоставляться только тем, кому сведения нужны для выполнения функций.

Может ли работодатель сообщить коллегам мой диагноз?

Как правило, нет. Диагноз относится к сведениям о состоянии здоровья и специальной категории персональных данных. Для организации работы обычно достаточно информации о временном отсутствии без медицинских подробностей.

За сколько дней работодатель должен удалить незаконно опубликованные данные?

Если выявлена неправомерная обработка, ее нужно прекратить не позднее трех рабочих дней. Если привести ее в соответствие с законом невозможно, данные уничтожаются в срок до десяти рабочих дней. Для отдельных требований субъекта действуют специальные сроки.

Можно ли получить моральный вред за разглашение диагноза или зарплаты?

Да. Работник вправе требовать компенсацию по статье 237 ТК РФ. Размер законом не установлен и при споре определяется судом с учетом характера нарушения и его последствий.

Куда лучше жаловаться - в Роскомнадзор или трудовую инспекцию?

При незаконной обработке и разглашении персональных данных профильным органом является Роскомнадзор. Если одновременно нарушены трудовые гарантии главы 14 ТК РФ, можно обратиться и в Государственную инспекцию труда.