Сотрудник скопировал персональные данные: что грозит по УК РФ

Как рабочая ситуация становится уголовным эпизодом

Чаще всего компания обнаруживает массовую выгрузку незадолго до увольнения, отправку архива на личную почту, подключение внешнего носителя или появление клиентов у конкурента. Руководство блокирует учётную запись, проводит внутреннюю проверку и обращается в правоохранительные органы.

Но временная близость событий ещё не доказывает преступление. Файл мог быть сформирован по рабочему заданию, синхронизирован автоматически или создан другим пользователем общей учётной записи. Клиенты могли перейти самостоятельно. Следствие должно восстановить конкретную цепочку, а не строить её только на конфликте сторон.

Иная ситуация — сотрудник заранее договаривается с покупателем, выгружает поля, не нужные для работы, удаляет журнал и получает оплату. Здесь технические, финансовые и коммуникационные доказательства способны подтвердить направленный умысел. Однако даже тогда необходимо определить содержание базы и применимую часть закона.

Общий состав новой нормы разобран в статье «Статья 272.1 УК РФ: состав и наказание». Если речь идёт именно о клиентской CRM, полезен параллельный материал о копировании базы клиентов.

Техническое право открыть систему и служебные полномочия

CRM, кадровая программа или медицинская система допускает пользователя по роли. Но роль может быть шире должностных задач. Администратор видит все записи для поддержки, хотя не вправе читать их из любопытства. Менеджер способен экспортировать отдел, хотя должен работать только со своими клиентами.

Для оценки собирают трудовой договор, должностную инструкцию, матрицу ролей, политику доступа, соглашение о конфиденциальности, приказы и конкретные задания. Важна версия документов на дату события и подтверждение ознакомления. Правило, созданное после конфликта, не доказывает прежний запрет.

Фактическая практика тоже имеет значение. Если руководство разрешало работать с личных устройств и само отправляло таблицы в мессенджере, утверждение о заведомо незаконном способе требует проверки. Однако сложившаяся небрежность не даёт права продавать данные или использовать их для стороннего бизнеса.

После увольнения полномочия обычно прекращаются независимо от того, успела ли компания закрыть логин. Но обвинение должно доказать осознание прекращения доступа и собственные действия человека. Активная сессия сама по себе не устанавливает, кто ею воспользовался.

Почему копирование и хранение нельзя смешивать

Статья 272.1 называет сбор и хранение, а также использование и передачу. Копирование как техническое последствие характерно для статьи 272, но в делах о персональных данных фактическая выгрузка объясняет, как возникли сбор и хранение специального предмета. Формула обвинения должна отражать конкретное действие.

Наличие файла в кэше почтового клиента не равно умышленному хранению. Следствие смотрит, открывал ли сотрудник архив, переименовывал, переносил, искал по нему сведения, создавал резервные копии. Защита проверяет автоматические процессы и общий доступ к устройству.

Сбор предполагает целенаправленное получение. Обычная рабочая выборка может быть законной обработкой от имени оператора. Если человек формирует массив для личной цели вне поручения, правовая оценка меняется. Момент выхода из полномочий нужно указать точно.

Кадровые, клиентские и медицинские сведения

Кадровая база содержит ФИО, контакты, паспортные сведения, зарплату, документы об образовании, семейное положение и иногда сведения о здоровье. Клиентская — контакты, договоры, историю покупок, обращения и записи разговоров. Каждое поле относят к конкретной категории и субъекту.

Данные несовершеннолетних, специальные категории и биометрия образуют предмет части 2. Сведения о здоровье относятся к специальной категории, даже если диагноз записан в примечании менеджера. Но обычная фотография пропуска не всегда биометрическая: нужно установить, использует ли оператор физиологические особенности для идентификации.

Работодатель иногда называет персональными данными всю коммерческую документацию. Прайс, обезличенная статистика и сведения юридических лиц могут иметь иной режим. Защита должна потребовать описание конкретных записей, а не согласиться с общим названием папки.

Обезличивание имеет значение только тогда, когда без дополнительной информации нельзя определить принадлежность данных. Замена фамилии номером не помогает, если у сотрудника есть таблица соответствия или система легко раскрывает человека.

Подробные критерии биометрии разобраны в статье «Биометрические персональные данные и статья 272.1».

Когда применяется признак служебного положения

Пункт «г» части 3 статьи 272.1 предусматривает совершение деяния с использованием служебного положения. Максимальный срок лишения свободы по части 3 — до шести лет. Но наличие должности и рабочего компьютера ещё не подтверждает этот признак.

Нужно показать, что служебные полномочия, специальный допуск, авторитет должности или доступ к инфраструктуре реально использовались для совершения незаконного действия. Системный администратор применил привилегированную роль; руководитель потребовал выгрузку у подчинённого; менеджер использовал разрешённый интерфейс не по назначению.

Если посторонний нашёл забытый сотрудником ноутбук и скопировал файл, сам работник может нарушить требования безопасности, но не обязательно совершает умышленное преступление с использованием положения. Его роль в утечке и ответственность третьего лица разделяются.

Корыстная заинтересованность — другой самостоятельный признак части 3. Переход к конкуренту не доказывает корысть автоматически. Следствие ищет оплату, бонус, обещание трудоустройства, экономию затрат или иную имущественную выгоду.

Группа по предварительному сговору требует договорённости исполнителей до начала действий. Руководитель конкурента, получивший уже готовый файл, не становится участником первичной выгрузки без доказательства предварительного плана.

Как разграничивают статьи 272.1, 272 и 183 УК РФ

Статья 272.1 специально регулирует незаконный оборот компьютерной информации с персональными данными. Статья 272 применяется к неправомерному доступу к другой охраняемой компьютерной информации, повлёкшему уничтожение, блокирование, модификацию или копирование. Сравнение норм есть в статье «272 или 272.1 УК РФ».

Сотрудник мог изменить настройки CRM, заблокировать коллег и отдельно передать персональный массив. Тогда возможна оценка разных действий по разным нормам. Но одно копирование персональной базы нельзя без обоснования дважды квалифицировать общей и специальной статьёй.

Статья 183 защищает коммерческую, налоговую и банковскую тайну. Для клиентского массива компания должна подтвердить реальный режим коммерческой тайны: перечень сведений, ограничение доступа, учёт допущенных лиц, договорное регулирование и маркировку в предусмотренных случаях.

Если данные использовали для хищения, вымогательства или нарушения тайны переписки, возможны другие статьи при их самостоятельных признаках. Трудовое нарушение и дисциплинарное взыскание не подменяют уголовное доказывание.

Что показывают логи, флешка и корпоративная переписка

В журнале CRM могут быть вход, экспорт, фильтр, число записей и идентификатор учётной записи. На компьютере — время создания файла, подключение накопителя, отправка по почте и облачная синхронизация. В переписке — задача, предупреждение, обсуждение продажи или рабочая цель.

Каждый источник ограничен. Учётная запись могла быть общей; адрес подключения — принадлежать офису; USB использовался несколькими людьми; время сервера отличаться. Поэтому техническую цепочку сопоставляют с видеозаписями, пропускной системой, задачами и устройствами.

Работодатель заинтересован в исходе конфликта, поэтому его внутренний отчёт нужно проверять. Кто выгрузил логи, когда, какой запрос использовал, сохранялась ли полная история, менялась ли система после события? Скриншот таблицы не заменяет исходный журнал.

Сходство файла с базой подтверждают структура, порядок столбцов, уникальные ошибки, служебные идентификаторы и контрольные суммы. Но одинаковая копия могла ранее законно передаваться подрядчику. Следствие должно исключить альтернативные каналы.

Что делать работодателю после обнаружения инцидента

1. Сохранить доказательства. Сделать неизменяемую копию журналов, писем и конфигурации доступа.
2. Ограничить риск. Закрыть сессии и ключи, фиксируя время и ответственного.
3. Определить объём. Какие субъекты и категории данных затронуты, кто получил доступ.
4. Проверить версии документов. Локальные акты и роли именно на дату события.
5. Провести внутреннее расследование. Не назначать виновного заранее и не изменять исходные данные.
6. Уведомить Роскомнадзор. Первично в течение 24 часов, о результатах расследования — в течение 72 часов.

Уведомление об инциденте — обязанность оператора, а не признание уголовного состава. В нём указывают предполагаемые причины и вред, меры и контактное лицо. Сведения о лицах, действия которых стали причиной, сообщаются по результатам расследования при наличии.

Не просите сотрудника переслать базу через личный мессенджер «для проверки»: это создаёт новую копию. Лучше организовать осмотр с фиксацией и специалистом. Не публикуйте обвинение до установления фактов.

Что делать сотруднику после претензии или вызова

Сохраните рабочие задания, историю ролей, переписку о личных устройствах и примеры аналогичных выгрузок. Запишите хронологию: когда и зачем создан файл, куда сохранился, открывался ли после увольнения, кому передавался. Отдельно укажите автоматические процессы.

Не удаляйте архив и не очищайте облако. Даже если хотите показать добросовестность, уничтожение лишит защиты данных о дате получения и рабочем назначении. Не возвращайте файл через случайный канал без согласованной фиксации.

На допросе отделяйте то, что знаете лично, от предположений о системе. Не называйте автоматическую синхронизацию «выгрузкой», если механизм не исследован. Право по статье 51 Конституции можно использовать, а конкретную позицию нужно выбрать с защитником.

Если изымают устройство, просите указать модель, номер, состояние, упаковку и действия специалиста. Подробнее — в материале об изъятии компьютера.

Компьютерная экспертиза и стратегия защиты

До экспертизы сторона защиты вправе знакомиться с постановлением, заявлять отвод, предлагать учреждение и вопросы. Стоит спросить о механизме создания файла, настройках синхронизации, пользователях, системном времени, следах открытия и передачи, полноте образа и контрольных значениях.

Эксперту нельзя поручать юридическую оценку: имел ли сотрудник полномочия, незаконен ли доступ, применима ли часть 3. Он устанавливает технические факты. Полномочия доказываются документами и практикой, умысел — всей совокупностью.

Защита проверяет каждый элемент: персональный характер данных, незаконный путь, конкретную операцию, автора, умысел и признаки части. Отсутствие одного обязательного элемента меняет квалификацию, даже если трудовое нарушение действительно было.

Первичный разбор проводят юристы правового агентства. После анализа цифрового эпизода и процессуального статуса подключается адвокат-партнёр с подходящей уголовной практикой.

Частые вопросы