Как защитить конфиденциальную информацию в организации: практические меры и требования закона
Автор: Петухов Олег Анатольевич, юрист, руководитель юридической компании «ЛЕГАС»
Сайт: legascom.ru
Email: petukhov@legascom.ru
Конфиденциальная информация - критический актив бизнеса: её утечка грозит финансовыми потерями, репутационным ущербом и юридическими санкциями. В статье - конкретные шаги, как выстроить защиту внутри компании и с контрагентами, с опорой на действующее законодательство и судебную практику.
Защита персональных данных: обязательные меры
Если организация обрабатывает персональные данные (работников, клиентов, посетителей сайта и т. д.), она признаётся оператором и обязана соблюдать требования Закона о персональных данных и ТК РФ. За нарушения грозит ответственность по ст. 13.11 КоАП РФ.
Что нужно сделать:
Утвердить локальные акты. Разработайте положение об обработке персональных данных или иной документ, где зафиксируйте цели, категории данных, способы и сроки обработки и хранения.
Ознакомить сотрудников под подпись. Каждый работник должен знать, какие данные обрабатываются, как с ними работать и какие последствия за нарушения.
Определить круг лиц с доступом. Доступ должен быть строго по функционалу: сотрудник получает только те данные, которые нужны для работы. Проведите обучение и ознакомьте с политикой обработки данных.
Уведомить Роскомнадзор. До начала обработки данных (если не действует исключение по закону) подайте уведомление в Роскомнадзор.
Разместить политику на сайте. Если собираете данные через сайт (формы, подписки), опубликуйте политику обработки персональных данных на соответствующих страницах и обеспечьте к ней доступ.
Корректно получать согласия. Согласие на распространение данных оформляйте отдельно от других согласий (ст. 10.1 Закона о персональных данных). При необходимости используйте информационную систему Роскомнадзора.
Особое внимание уделите данным лиц, не являющихся сотрудниками (клиенты, кандидаты на вакансии): для них также действуют все перечисленные правила.
Коммерческая тайна: как ввести режим и закрепить ответственность
Режим коммерческой тайны защищает коммерчески ценную информацию (технологии, рецептуры, клиентские базы и т. п.). Он считается установленным только при выполнении требований ст. 10 Закона о коммерческой тайне.
Ключевые действия:
Определите перечень информации, которая составляет коммерческую тайну (не путайте с перечнем документов).
Установите и контролируйте порядок обращения с этой информацией - удобно оформить инструкцией или положением.
Ведите учёт лиц, получивших доступ. Лучше формировать список по должностям, а не по конкретным людям. Каждый получивший доступ должен подписать обязательство о неразглашении.
Закрепите режим в документах. Включите положения о конфиденциальности в трудовые договоры, допсоглашения и договоры с контрагентами.
Нанесите гриф «Коммерческая тайна» на носители и в реквизиты документов. Гриф ставит уполномоченное лицо, чьи полномочия зафиксированы в трудовом договоре или должностной инструкции.
Важно: если не выполнить хотя бы одну из этих мер, режим коммерческой тайны юридически не считается введённым (подтверждено судебной практикой, в том числе Кассационным определением ВС РФ от 30.06.2020 № 5‑КА20‑25).
Организационные и технические меры защиты
Чтобы минимизировать риски утечки, сочетайте правовые, организационные и технические инструменты:
Физические меры: сейфы, контроль доступа в помещения, видеонаблюдение, журналы учёта документов.
Технические меры: шифрование электронной почты, ограничение доступа в интернет, блокировка USB‑портов на рабочих станциях, разграничение прав доступа в информационных системах.
Процессуальные меры: фиксация передачи носителей, ведение реестров документов, регулярные проверки соблюдения режима.
Работа с сотрудниками: как закрепить обязательства и ответственность
Включите обязанность о неразглашении в трудовой договор или отдельное соглашение о конфиденциальности. В нём укажите:
перечень защищаемой информации;
срок сохранения тайны (в том числе после увольнения);
порядок возврата носителей при увольнении (флешки, диски, документы).
Важно: не устанавливайте «штраф» как дисциплинарное взыскание - это запрещено ТК РФ и само по себе может стать основанием для привлечения к ответственности. Вместо этого информируйте сотрудников о возможных последствиях:
увольнение по пп. «в» п. 6 ч. 1 ст. 81 ТК РФ;
материальная и дисциплинарная ответственность;
административная ответственность по ст. 13.14 КоАП РФ;
уголовная ответственность по ст. 183 УК РФ (вплоть до лишения свободы).
Как защитить информацию при работе с контрагентами
Чтобы снизить риски разглашения партнёрами, действуйте системно:
Заключите соглашение о конфиденциальности либо включите условие о конфиденциальности и ответственности в основной договор.
Предусмотрите штраф за нарушение. Это упростит взыскание убытков - не придётся доказывать точный размер ущерба.
Фиксируйте передачу данных. Используйте акт приёма‑передачи документов либо отправляйте материалы почтой с описью вложения и объявленной ценностью. В акте/описи указывайте все реквизиты (номер, дата, количество листов и т. п.) - это будет доказательством в споре.
Частые ошибки и как их избежать
Смешивают «перечень документов» и «перечень информации». По закону защищается именно информация, а не документы.
Не ведут учёт доступа. Без списка допущенных лиц и их обязательств сложно доказать вину при утечке.
Пытаются применять штрафы к сотрудникам. Это противоречит ТК РФ и создаёт дополнительные риски для работодателя.
Не фиксируют передачу данных контрагентам. Без актов и описей доказать факт передачи в суде практически невозможно.
Практические выводы
Для персональных данных - соблюдайте требования Закона о персональных данных: уведомляйте Роскомнадзор, оформляйте согласия, публикуйте политику, обучайте сотрудников.
Для коммерческой тайны - вводите режим строго по ст. 10 Закона о коммерческой тайне: перечень информации, контроль доступа, гриф, обязательства о неразглашении.
С контрагентами - всегда фиксируйте передачу конфиденциальной информации и закрепляйте ответственность в договоре.
Внутри компании - сочетайте правовые документы, организационные процессы и технические средства защиты.
Такой системный подход минимизирует риски утечек, позволит эффективно защищать интересы бизнеса и подтверждать соблюдение требований закона в случае проверок или судебных споров.