- Директор несёт личную ответственность наряду с компанией
- Штрафы для должностных лиц достигают сотен тысяч рублей
- Делегирование задач не снимает ответственность полностью
- При серьёзных нарушениях возможна уголовная ответственность
- Минимизировать риски помогают внутренние документы и контроль процессов
Директор как должностное лицо
По статье 13.11 КоАП РФ ответственность несут три субъекта:
- Физические лица (граждане)
- Должностные лица (директор)
- Юридические лица (компания)
Компания и директор привлекаются независимо. По одному нарушению обоих могут оштрафовать одновременно.
На практике директор отвечает за:
- организацию обработки персональных данных;
- назначение ответственных лиц;
- утверждение внутренних документов;
- контроль соблюдения требований ФЗ-152;
- выбор подрядчиков и сервисов обработки ПД.
Даже если обработкой занимается IT-отдел или подрядчик, регулятор рассматривает директора как лицо, обязанное организовать систему compliance внутри компании.
Размеры штрафов для должностных лиц
| Нарушение | Штраф |
|---|---|
| Обработка без согласия | 20 000 – 40 000 ₽ |
| Нет политики ПД | 10 000 – 20 000 ₽ |
| Нарушение прав субъекта | 10 000 – 15 000 ₽ |
| Нарушение локализации | 200 000 – 500 000 ₽ |
При повторных нарушениях или совокупности нескольких эпизодов штрафы могут суммироваться.
Если Роскомнадзор выявляет системное нарушение (нет документов, отсутствует локализация, утечка данных), протокол часто составляется одновременно на организацию и руководителя.
Когда директор отвечает лично
Личная ответственность возникает, если:
- отсутствуют обязательные документы;
- не назначен ответственный за ПД;
- не подано уведомление в РКН;
- сотрудники не обучены работе с ПД;
- используются зарубежные сервисы без соблюдения локализации;
- произошла утечка данных из-за отсутствия организационных мер.
Особенно высокие риски возникают после жалобы субъекта персональных данных или инцидента с утечкой.
Можно ли делегировать ответственность
Директор вправе:
- назначить ответственного за организацию обработки ПД;
- передать технические задачи IT-службе;
- привлечь внешнего консультанта или DPO;
- передать обработку подрядчику по договору поручения.
Но полностью снять ответственность нельзя.
Если директор формально назначил ответственного, но не обеспечил реальную работу процессов, ответственность всё равно останется на руководителе.
Чтобы делегирование действительно снижало риски, необходимо:
- оформить приказ о назначении;
- определить обязанности и полномочия;
- утвердить регламенты;
- вести журналы инструктажей;
- фиксировать внутренние проверки и аудиты.
Уголовная ответственность
ФЗ-152 сам по себе устанавливает административную ответственность, но отдельные нарушения могут привести и к уголовным последствиям.
Статья 137 УК РФ — нарушение неприкосновенности частной жизни
Применяется при незаконном сборе или распространении сведений о частной жизни без согласия лица.
Примеры:
- публикация клиентской базы;
- передача медицинских данных третьим лицам;
- раскрытие персональных данных сотрудников.
Статьи 272–274 УК РФ
Связаны с неправомерным доступом к компьютерной информации и нарушением правил эксплуатации информационных систем.
Риски возникают:
- при сокрытии утечки;
- при отсутствии мер защиты;
- при сознательном игнорировании требований безопасности.
Если нарушение привело к крупному ущербу, массовой утечке или нарушению тайны частной жизни, дело может перейти из административной плоскости в уголовную.
Дисквалификация
Дисквалификация — запрет занимать руководящие должности от 6 месяцев до 3 лет.
Обычно применяется:
- при повторных нарушениях;
- при игнорировании предписаний регулятора;
- при грубых системных нарушениях;
- при доказанной недобросовестности руководства.
Для бизнеса это один из самых тяжёлых сценариев, поскольку директор временно теряет право управлять организацией.
Как директору снизить риски
Практический минимум:
- назначить ответственного приказом;
- провести аудит обработки ПД;
- утвердить политику и регламенты;
- проверить локализацию данных;
- обучить сотрудников;
- заключить договоры поручения с подрядчиками;
- организовать реагирование на инциденты.
Важно не только наличие документов, но и реальное выполнение процедур.
- Назначен ответственный за обработку ПД приказомобязательно
- Утверждены политика и регламенты работы с ПДобязательно
- Сотрудники прошли инструктаж
- Проведён аудит подрядчиков и облачных сервисов
- Настроены процедуры реагирования на утечкиобязательно
- Документально подтверждены меры защиты ПД