В современных реалиях любого бизнеса работа с персональными данными (ПДн) становится неотъемлемым элементом деятельности. Согласно Федеральному закону от № 152-ФЗ «О персональных данных» (далее — Закон № 152-ФЗ), любая организация, собирающая, хранящая или обрабатывающая информацию о физических лицах, признается оператором персональных данных. Это вменяет на компанию строгие обязанности по защите конфиденциальной информации от несанкционированного доступа и утечки.

Один из ключевых инструментов обеспечения режима конфиденциальности — это соглашение о неразглашении персональных данных (часто называемое обязательством о неразглашении), подписываемое сотрудниками, имеющими доступ к таким сведениям. Ниже подробно разберем, кто должен его подписывать, что в него включать и как правильно оформить документ.

Правовая база и необходимость документа

Статья 19 Закона № 152-ФЗ прямо обязывает оператора и лиц, получивших доступ к персональным данным, не разглашать их без согласия субъекта ПДн, если иное не предусмотрено федеральным законом. Нарушение этого требования влечет за собой административную (ст. 13.11 КоАП РФ), гражданско-правовую (возмещение ущерба и морального вреда по ст. 151, 1064 ГК РФ) и в отдельных случаях уголовную ответственность (ст. 137 УК РФ).

Однако закон не устанавливает единой обязательной формы такого соглашения. Организация вправе разработать его самостоятельно, учитывая специфику обрабатываемых данных и возможные риски. Юридическая сила документа возникает при условии:

• Утверждения формы локальным нормативным актом (ЛНА) компании (например, Положением о защите персональных данных, Политикой конфиденциальности или отдельным Приказом).
• Ознакомления сотрудника с ЛНА под роспись.
• Подписания самим сотрудником соглашения/обязательства.

Важно: Без подписанного обязательства и зафиксированного ознакомления с ЛНА работодателю будет крайне сложно привлечь виновного к дисциплинарной или материальной ответственности за утечку данных.

Кто обязан подписать соглашение?

Подписывать обязательство о неразглашении должны все сотрудники, чьи должностные инструкции предполагают доступ к персональным данным других работников, соискателей, клиентов, поставщиков или иных контрагентов. Типичный перечень должностей:

1. Кадровые специалисты (HR-менеджеры, инспекторы по кадрам) — имеют доступ к личным делам, паспортам, СНИЛС, медкнижкам.
2. Бухгалтерия — обрабатывают данные для начисления зарплаты, налоговых вычетов, страховых взносов.
3. Руководители подразделений и топ-менеджмент, получают сведения о подчиненных для принятия управленческих решений.
4. Юридический отдел — работает с данными при составлении договоров, ведении судебных споров.
5. Секретари и офис-менеджеры — могут принимать и распределять корреспонденцию с личными данными.
6. IT-специалисты и администраторы БД — обеспечивают техническую защиту и имеют технический доступ к базам.
7. Уполномоченный по защите персональных данных (если назначен приказом).

Соглашение подписывается в день приема на работу (одновременно с трудовой книжкой и ознакомлением с ЛНА) или в день назначения на должность, связанную с доступом к ПДн. Если сотрудник переводится на должность без доступа к данным, обязательство может прекратить действие, однако обязанность неразглашении сохраняется бессрочно (даже после увольнения).

Структура и обязательные реквизиты соглашения

Хотя единого бланка нет, судебная практика и рекомендации Роскомнадзора выделяют набор обязательных условий, без которых документ может быть признан недействительным:

Шапка документа

• Наименование организации (полное и сокращенное).
• Название документа: «Соглашение о неразглашении персональных данных» или «Обязательство о неразглашении персональных данных».
• Место составления (город) и дата (число, месяц прописью, год).

Стороны соглашения

• Оператор (Работодатель): Полное наименование, ИНН/КПП, адрес местонахождения, ФИО руководителя, действующего на основании Устава/Доверенности.
• Сотрудник (Получатель доступа): Полные ФИО, паспортные данные (серия, номер, кем выдан, когда, код подразделения) — *, адрес регистрации/проживания — *, контактный телефон — , должность, структурное подразделение, номер трудового договора.

Детализация паспортных данных и адреса необходима для однозначной идентификации лица в суде.

Предмет соглашения (Определение конфиденциальной информации)

Четкий перечень того, что считается ПДн в данной организации. Рекомендуется сослаться на Приказ об утверждении перечня ПДн и категорий субъектов:

• ФИО, дата/место рождения, семейное положение.
• Паспортные данные, СНИЛС, ИНН, водительские удостоверения.
• Образование, квалификация, трудовой стаж.
• Сведения о доходах, банковских счетах, налоговых вычетах.
• Медицинские данные (справки, больничные листы).
• Биометрические данные (если используются СКУД).
• Данные членов семей сотрудников (для соцпакетов, страховок).
• Данные клиентов/партнеров (если сотрудник с ними работает).

Права и обязанности сотрудника

1. Не разглашать ПДн третьим лицам без согласия субъекта и поручения оператора.
2. Не использовать ПДн в личных целях.
3. Обеспечивать физическую и техническую защиту носителей информации (не оставлять документы на столе, блокировать ПК, не передавать пароли).
4. Соблюдать требования ЛНА компании (Положения о защите ПДн, Инструкции по работе с ПДн).
5. Сообщать руководству о фактах или попытках несанкционированного доступа.
6. При увольнении/переводе сдать все носители ПДн, удалить рабочую переписку, вернуть доступы.

Обязанности оператора

• Обеспечить сотрудника необходимыми средствами защиты (шредеры, замки, антивирусы, ДЛП-системы, VPN).
• Проводить обучение по защите ПДн (не реже 1 раза в год).
• Ограничить доступ к ПДн по принципу «minimum necessary» (минимально необходимый).

Ответственность сторон

Ссылка на виды ответственности, установленные законодательством РФ:

• Дисциплинарная: замечание, выговор, увольнение (п. «б» ч. 6 ст. 81 ТК РФ — грубое нарушение трудовых обязанностей).
• Материальная: возмещение прямого реального ущерба (ст. 238 ТК РФ), в т.ч. штрафов Роскомнадзора, судебных издержек.
• Административная: штрафы на физлиц до 50 000 руб. (ст. 13.11 КоАП РФ).
• Уголовная: до 4 лет лишения свободы (ст. 137 УК РФ).

Срок действия

Действует с момента подписания и бессрочно (в т.ч. после прекращения трудового договора), пока информация сохраняет статус персональных данных и не будет уничтожена/обезличена оператором.

Заключительные положения

• Порядок разрешения споров (досудебныйclaim, суд по месту нахождения оператора).
• Подписи сторон с расшифровкой и датой.
• Отметка сотрудника о ознакомлении с ЛНА по защите ПДн (отдельной строкой или отдельным листом).

Образец заполнения ключевых блоков (Пример)

Процедура внедрения и хранения

Этап 1: Разработка и утверждение ЛНА

Перед введением обязательства компания должна иметь утвержденный Приказом Генерального директора пакет документов:

• Политика в отношении обработки ПДн (опубликована на сайте).
• Положение о защите персональных данных (внутренний документ).
• Перечень обрабатываемых ПДн и категорий субъектов.
• Модель угроз и Перечень мер защиты (технических и организационных).
• Приказ о назначении ответственного за организацию обработки ПДн.

Этап 2: Ознакомление и подписание

1. Сотруднику на роспись выдается экземпляр Положения о защите ПДн и Инструкции.
2. Составляется Соглашение в 2-х экземплярах (один у оператора в личном деле/папке ПДн, второй у сотрудника).
3. В трудовом договоре (или доп. соглашении к нему) обязательно должна быть ссылка на обязательство о неразглашении ПДн.

Этап 3: Учет и хранение

• Подписанные оригиналы хранятся в личных делах сотрудников (раздел «Конфиденциальность») или в отдельном журнале/папке «Обязательства о неразглашении».
• Срок хранения: не менее 75 лет (согласно перечню типовых управленческой документации) или до истечения срока действия ПДн + 3 года. Рекомендуется хранить постоянно.
• Ведется журнал учета ознакомления и подписания (номер, дата, ФИО, должность, подпись сотрудника, подпись HR).

Типичные ошибки работодателей

Ответственность за разглашение: практика применения

Наличие подписанного соглашения — это «входной билет» для привлечения виновного к ответственности. Без него Роскомнадзор может оштрафовать компанию за нарушение режима защиты (ст. 19 Закона № 152-ФЗ), а работодатель не сможет уволить виновного по п. «б» ч. 6 ст. 81 ТК РФ (грубое нарушение), так как не будет доказано, что сотрудник был предупрежден об обязанности неразглашения.

Примеры из практики:

• Административные дела: Штрафы на должностных лиц 10 000 – 20 000 руб., на юрлиц 30 000 – 75 000 руб. за нарушение режима защиты (отсутствие обязательств, отсутствие ЛНА).
• Трудовые споры: Суды восстанавливают уволенных сотрудников, если работодатель не доказал: 1) наличие ЛНА, 2) ознакомление под роспись, 3) подписание обязательства, 4) факт утечки именно этим лицом.
• Гражданские иски: Компании взыскивают с бывших сотрудников ущерб (штрафы Роскомнадзора, расходы на расследование, репутационные потери), если есть подписанное обязательство и доказательства вины (логи ДЛП, показания свидетелей).

Чек-лист для HR и юриста перед введением документа

1. [ ] Утверждено Положение о защите ПДн (Приказ ДИР).
2. [ ] Утвержден Перечень обрабатываемых ПДн и категорий субъектов.
3. [ ] Назначен Ответственный за обработку ПДн (Приказ).
4. [ ] Разработан образец Соглашения с юристом с учетом специфики бизнеса.
5. [ ] Подготовлен Журнал учета ознакомления/подписания.
6. [ ] Организовано обучение сотрудников (лекция, тест, протокол).
7. [ ] В трудовой договор/доп. соглашение внесена ссылка на обязательство.
8. [ ] Настроена техническая защита (ДЛП, контроль доступа, шифрование), обязательство на бумаге не работает без технических барьеров.

Соглашение о неразглашении персональных данных — это не просто формальность для проверки Роскомнадзора, а рабочий инструмент управления рисками информационной безопасности. Грамотно составленный, подписанный в срок и обеспеченный техническими мерами защиты документ позволяет:

• Сформировать у персонала культуру конфиденциальности.
• Иметь правовые основания для дисциплинарных взысканий и взыскания ущерба.
• Демонстрировать регулятору добросовестное исполнение требований ст. 19 Закона № 152-ФЗ.

Используйте приведенный выше образец как базу, но обязательно адаптируйте его под структуру вашей компании, перечень обрабатываемых данных и утвержденные локальные акты. Помните: документ работает только в связке с Положением о защите ПДн, обучением сотрудников и технической защитой.

Данная статья носит информационный характер и не является правовой консультацией. Для подготовки документов, учитывающих специфику вашей организации, рекомендуется обратиться к профильному юристу или специалисту по защите персональных данных. Актуально на .