Далее он распространил информацию о моей КИ руководителю моего подразделения, следом этот Руководитель за моей спиной начал распространять эту информацию по КИ моим коллегам, законно ли это?

Добрый день Евгения. Информацию из бюро работодатель сможет получить после заключения отдельного договора, имея на руках согласие сотрудника на проверку, а также выполнив требования по защите и обработке персональных данных. На лицо ряд нарушений которые сделал ваш работодатель. Вы говорите о том что  вы не давали согласия это нарушение так как без вашего согласия директор получил эти данные так же ваш директор нарушил требования по защите и обработке ваших персональных данных. 

Лицам, нарушившим требования закона о персональных данных, в зависимости от конкретных обстоятельств и серьезности деяния может грозить не только административная и уголовная ответственность, но также гражданско-правовая и даже дисциплинарная. При этом административная ответственность с 1 июля 2017 года ужесточилась – вместо одного состава правонарушения ст. 13.11 КоАП РФ теперь предусматривает семь, а максимальный штраф составляет 75 тыс. руб.

Добрый день, Евгения!

Несомненно работодатель допустил нарушение положений Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных». Так, ст.3 указанного ФЗ 

под персональными данными понимается любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных); обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

В силу пункта 1 части 1 статьи 6 указанного Федерального закона

обработка персональных данных должна осуществляться с соблюдением принципов и правил, предусмотренных настоящим Федеральным законом, обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных.

Согласно части 3 статьи 18 данного Федерального закона, если персональные данные получены не от субъекта персональных данных, оператор до начала обработки таких персональных данных обязан предоставить субъекту персональных данных информацию: наименование либо фамилия, имя, отчество и адрес оператора или его представителя; цель обработки персональных данных и ее правовое основание; предполагаемые пользователи персональных данных; установленные настоящим Федеральным законом права субъекта персональных данных; источник получения персональных данных.

Таким образом, обязанность оператора о предоставлении необходимой информации субъекту персональных данных в случае получения таких данных не от самого субъекта возникает до начала обработки персональных данных.

Действия, выразившиеся в нарушении установленного порядка обработки персональных данных, образуют объективную сторону состава административного правонарушения, предусмотренного ст.13.11. КоАП РФ, поэтому указанное правонарушение не может рассматриваться как длящееся административное правонарушение.

Согласно пункту 14 Постановления Пленума Верховного Суда Российской Федерации от 24.03.2005 «О некоторых вопросах, возникающих у судов при применении КоАП РФ об адм.правонарушениях» в случае совершения административного правонарушения, выразившегося в форме бездействия, срок привлечения к административной ответственности исчисляется со дня, следующего за последним днем периода, предоставленного для исполнения соответствующей обязанности.

Срок давности привлечения к административной ответственности (ст. 4.5. ч.1 КоАП)  по  делу об административном правонарушении, предусмотренном ст.13.11. КоАП РФ, составляет три месяца и начинает исчисляться с момента получения работодателем сведений, содержащих Ваши персональные данные без Вашего  согласия.

 Таким образом, если срок на данный момент более 3 месяцев, то срок давности привлечения к административной ответственности по такому деянию истек. 

Если указанный срок не истек, то рекомендую обратиться в прокуратуру с соответствующей жалобой.