Какая ответственность грозит работодателю и кадровику за нарушения с персональными данными работников?

Штрафы для юридических лиц по ст. 13.11 КоАП РФ: обработка без основания или несовместимая с целями — 150–300 тыс. рублей (ч. 1), повторно 300–500 тыс. (ч. 1.1); обработка без письменного согласия, когда оно обязательно, или с согласием без обязательных реквизитов — 300–700 тыс. (ч. 2), повторно 1–1,5 млн (ч. 2.1); неопубликование политики — 30–60 тыс. (ч. 3); непредоставление информации субъекту — 40–80 тыс. (ч. 4); неисполнение требования об уточнении, блокировании или уничтожении — 50–90 тыс. (ч. 5); нарушение локализации — 1–6 млн, повторно 6–18 млн (ч. 8, 9); неуведомление РКН о намерении обрабатывать — 100–300 тыс. (ч. 10); неуведомление об инциденте — 1–3 млн (ч. 11); утечки — от 3 млн, повторная утечка — 1–3 % выручки, не менее 20 и не более 500 млн (ч. 12–15), утечка специальных категорий — 10–15 млн, биометрии — 15–20 млн (ч. 16, 17). Должностные лица отвечают по ч. 1–9 в своих размерах; для ч. 10–18 примечание к ст. 13.11 определяет круг должностных лиц особо, поэтому ответственность руководителя HR по этим частям нужно проверять по тексту примечания.

Работник, разгласивший данные коллеги, может быть уволен (подп. «в» п. 6 ч. 1 ст. 81 ТК РФ); виновные лица несут дисциплинарную, материальную, гражданско-правовую, административную и уголовную ответственность (ст. 90 ТК РФ). Работник вправе требовать компенсации морального вреда (ч. 2 ст. 24 152-ФЗ, ст. 237 ТК РФ, ст. 151 ГК РФ; подробно в Q98). Уголовная ответственность возможна за незаконное собирание или распространение сведений о частной жизни (ст. 137 УК РФ) и за незаконные использование и передачу компьютерной информации с персональными данными, полученной путём неправомерного доступа или иным незаконным путём (ст. 272.1 УК РФ, введена 421-ФЗ от 30.11.2024, действует с 11.12.2024): по ч. 1 — штраф до 300 тыс. рублей, принудительные работы или лишение свободы до 4 лет; по ч. 2, если это данные несовершеннолетних, специальные категории или биометрия, — штраф до 700 тыс., лишение свободы до 5 лет. 251-ФЗ от 26.07.2026 (в силе с 06.08.2026) ужесточил ч. 2 ст. 137 и ст. 138 УК РФ за деяния с использованием служебного положения, из корысти или группой лиц; ст. 272.1 он не затронул.

Практические шаги: назначить ответственного за организацию обработки (ст. 22.1 152-ФЗ); утвердить и опубликовать политику; ревизия согласий на соответствие ч. 4 ст. 9 и требованию отдельного документа; регламент ответов работникам; регламент реагирования на инциденты; обучение кадровиков с подписью об ознакомлении.