Что грозит сотруднику страховой компании за разглашение личных данных?

Сотрудник страховой компании, допустивший разглашение личных данных клиента, может быть привлечен к различным видам ответственности: дисциплинарной, административной, гражданско-правовой и, в некоторых случаях, уголовной.

Обоснование:

Разглашение персональных данных является нарушением законодательства Российской Федерации. В зависимости от обстоятельств и последствий такого разглашения, сотрудник может столкнуться со следующими видами ответственности:

Дисциплинарная ответственность: Если сотрудник нарушил свои трудовые обязанности, связанные с обеспечением конфиденциальности персональных данных, работодатель может применить к нему дисциплинарные взыскания, такие как замечание, выговор или увольнение. Это предусмотрено статьей 192 Трудового кодекса РФ. Для применения такого взыскания необходимо, чтобы сотрудник был ознакомлен с локальными нормативными актами, регулирующими порядок обработки и защиты персональных данных, и дал обязательство о неразглашении.
Административная ответственность: За нарушение законодательства в области персональных данных предусмотрена административная ответственность по статье 13.11 Кодекса Российской Федерации об административных правонарушениях (КоАП РФ). Санкции могут варьироваться в зависимости от характера нарушения и количества затронутых субъектов персональных данных.
Гражданско-правовая ответственность: Лицо, чьи персональные данные были разглашены, имеет право требовать возмещения убытков и компенсации морального вреда. Это регулируется статьей 151 Гражданского кодекса РФ и частью 2 статьи 17 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных».
Уголовная ответственность: В случаях, когда разглашение персональных данных совершено путем неправомерного доступа к компьютерной информации или иным незаконным путем, а также при наличии отягчающих обстоятельств (например, использование служебного положения, причинение крупного ущерба, тяжкие последствия), может наступить уголовная ответственность по статье 272.1 Уголовного кодекса РФ.
Страховщик, как субъект, обрабатывающий персональные данные, обязан сохранять их конфиденциальность. Статья 946 Гражданского кодекса РФ устанавливает обязанность страховщика сохранять тайну страхования, не раскрывая сведения о страхователе, застрахованном лице и выгодоприобретателе. Статья 18.2 Федерального закона от 24.07.1998 N 125-ФЗ «Об обязательном социальном страховании от несчастных случаев на производстве и профессиональных заболеваний» также запрещает разглашение информации о страхователе должностными лицами, за исключением случаев, прямо предусмотренных законом.

Ссылки на нормативные акты и судебную практику:

Статья 192 Трудового кодекса РФ. Предусматривает дисциплинарную ответственность работников за неисполнение или ненадлежащее исполнение трудовых обязанностей, включая нарушение правил обращения с персональными данными.
Статья 13.11 Кодекса Российской Федерации об административных правонарушениях (КоАП РФ). Устанавливает административную ответственность за нарушение законодательства в области персональных данных.
Статья 272.1 Уголовного кодекса РФ. Определяет уголовную ответственность за незаконные использование, передачу, сбор и хранение компьютерной информации, содержащей персональные данные.
Статья 151 Гражданского кодекса РФ. Регулирует компенсацию морального вреда, причиненного гражданину действиями, нарушающими его личные неимущественные права.
Статья 946 Гражданского кодекса РФ. Устанавливает обязанность страховщика сохранять тайну страхования.
Статья 18.2 Федерального закона от 24.07.1998 N 125-ФЗ «Об обязательном социальном страховании от несчастных случаев на производстве и профессиональных заболеваний». Регламентирует ограничение доступа к информации о страхователе и запрещает ее разглашение.
Статья 7 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных». Устанавливает обязанность операторов и иных лиц, получивших доступ к персональным данным, не раскрывать их третьим лицам без согласия субъекта персональных данных.
Часть 2 статьи 17 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных». Предусматривает право субъекта персональных данных требовать возмещения убытков и компенсации морального вреда.

Дисциплинарная. Это внутренняя мера со стороны работодателя. Если сотрудник подписал обязательство о неразглашении (а с теми, кто работает с персональными данными, это обычная практика), за нарушение ему могут объявить замечание, выговор или даже уволить. Основание — подпункт «в» пункта 6 части 1 статьи 81 ТК РФ (за однократное грубое нарушение трудовых обязанностей). 
Материальная. Если действиями сотрудника компании причинён прямой действительный ущерб (например, из-за утечки пришлось компенсировать клиенту расходы), работодатель вправе взыскать этот ущерб с виновного. Но важно: упущенную выгоду или штраф, который компания заплатила Роскомнадзору, с работника обычно взыскать не получится, если нет специального договора о полной материальной ответственности. 
Административная. Здесь речь о статье 13.14 КоАП РФ — она как раз предусматривает ответственность за разглашение информации с ограниченным доступом, которую человек получил в связи с исполнением служебных обязанностей. Для рядового сотрудника штраф составит от 5 000 до 10 000 рублей. 
Уголовная. Это крайняя мера, которая наступает при определённых условиях. Чаще всего применяют статью 137 УК РФ («Нарушение неприкосновенности частной жизни»). Ключевой момент: она срабатывает, если разглашены сведения, составляющие личную или семейную тайну человека (например, диагноз, детали личной жизни, финансовое положение). Наказание варьируется от штрафа (до 200 тысяч рублей или в размере дохода за период до 18 месяцев) до лишения свободы (до двух лет). Если деяние совершено с использованием служебного положения — наказание строже (штраф от 100 до 300 тысяч рублей, либо лишение права занимать определённые должности, либо принудительные работы, либо лишение свободы). 

Отдельно стоит упомянуть статью 272.1 УК РФ. Она появилась в конце 2024 года и касается ситуаций, когда данные получены незаконным путём (например, через взлом системы, неправомерный доступ к базе). За передачу такой компьютерной информации с персональными данными тоже предусмотрена уголовная ответственность — вплоть до лишения свободы. 
Важное уточнение: сам по себе факт разглашения (даже по неосторожности — например, отправил файл не тому адресату) уже может повлечь ответственность. Закон не делает скидки на «я случайно»: если информация ушла к тем, кому не положена по должности, это нарушение. 

Ещё один момент: пострадавший клиент вправе пойти в суд и потребовать от сотрудника (или от компании) компенсацию морального вреда. 

Мой совет: чтобы минимизировать риски, в страховых компаниях обычно чётко прописывают в должностных инструкциях и отдельных соглашениях, какие данные конфиденциальны и в каких случаях их можно передавать. Если у вас есть сомнения по поводу конкретной ситуации (например, можно ли поделиться данными с коллегой из другого отдела), лучше сразу обсудить это с юристом компании или службой безопасности.