Уволился и унес переписку: чем это грозит компании и как доказать утечку

Дмитрий Вощуков, специалист по связям с государственными органами «СёрчИнформ»

Рабочая почта и чаты – обычный корпоративный инструмент, который сотрудники используют постоянно. Однако, после увольнения доступ к этим средствам становится каналом, по которому из компании могут утечь базы клиентов, коммерческая тайна, персональные данные и пр. Уберечься от этого после того, как сотрудник покинул компанию – сложно. Защиту информации на случай увольнения необходимо выстраивать заранее.

Утечки по вине бывших сотрудников – одна из основных угроз внутренней безопасности. На практике они сводятся к трем сценариям.

«Вынос» информации за пределы корпоративной инфраструктуры – перенос данных на личные устройства, аккаунты, адреса работника или ресурсы посторонних лиц. Сюда же относится сценарий перехода к конкуренту с «приданым» - клиентской базой, наработками, планами, стратегиями прежнего работодателя.

Сторонняя занятость. Сотрудник открывает собственное предприятие параллельно с работой или сразу после увольнения переманивает клиентов, используя похищенные данные и связи.

Шантаж: публикация сведений, порочащих компанию или отдельных людей, вымогательство под угрозой распространения данных.

Ущерб в таких историях трудно предсказать заранее, но ликвидация последствий требует материальных и трудовых затрат, а репутационного ущерба в случае огласки не избежать. Если говорить об утечках персональных данных, раскрытие информации об инциденте обязательно. Компания обязана уведомить Роскомнадзор, а само событие становится поводом для проверки. Штрафы за утечку по ст.13.11 КоАП РФ для юридических лиц исчисляются миллионами рублей, при повторном нарушении – до 3% годовой выручки. За неуведомление регулятора об инциденте предусмотрен отдельный штраф – от 1 до 3 млн рублей.

Кроме того, аудит учетных записей и блокировка тех из них, что принадлежали уволенным, обязательная мера защиты информации по требованиям ФСТЭК, ФСБ и Банка России для организаций разных отраслей. Поэтому, если при проверке регулятор найдет «живые» учетки бывших сотрудников, компания получит предписание об устранении нарушений, также возможен штраф за нарушение правил защиты информации, например по ст. 13.12, 13.12.2 КоАП РФ.

Помимо штрафа, утечка информации грозит и убытками от неправомерного использования ценной информации третьими лицами. Возместить такой ущерб на практике удается далеко не всегда. Причины типичные: в компании не введен режим коммерческой тайны, не удается доказать размер вреда или причастность конкретного человека.

Для сотрудника набор последствий зависит от того, работал ли он в компании на момент инцидента, и от того, какие данные пострадали.

Если трудовой договор еще действует, работодатель вправе применить любое дисциплинарное взыскание вплоть до увольнения за разглашение охраняемой законом тайны (ст. 81 ТК РФ). Но это решение можно обжаловать. Тогда компании в суде придется доказать четыре вещи: что режим коммерческой тайны введен и соблюдается, что инцидент имел место быть и что виноват именно этот сотрудник. Проигранный спор в большинстве случаев означает компенсацию уволенному.

Уголовные дела по ст. 183 и 272 УК РФ – распространенный сценарий для действующих и бывших работников. Их могут возбудить по заявлению пострадавшей компании. Такой порядок позволяет компенсировать часть нанесенного нарушителем ущерба через гражданский иск в рамках уголовного дела. Здесь есть ограничение: по ст. 44 УПК РФ взыскивается только ущерб, причиненный преступлением. Возмещения упущенной выгоды, расходов на восстановление данных и споры с контрагентами придется требовать в отдельном гражданском процессе. При этом судимость – серьезное пятно в биографии, поэтому нарушители нередко соглашаются добровольно возместить ущерб ради прекращения дела за примирением сторон.

Сразу удалить всю переписку уволенного нельзя: для многих категорий данных закон устанавливает сроки хранения, и соблюдать их обязывает ч.1 ст. 17 ФЗ «Об архивном деле в Российской Федерации». Так, по приказу Росархива №236 от 20.12.2019 переписка по вопросам профильной деятельности организации или рекламы хранится пять лет. Для финансовых организаций действуют отраслевые нормы: обращения клиентов и ответы на них нужно хранить три года (ст. 30.1 ФЗ «О банках и банковской деятельности»).

Если сведения не попадают ни в одну из категорий с установленными сроками, компания вправе определить его сама – например, привязать к сроку действия договора с контрагентом или согласия на обработку персональных данных.

Из этого следует вывод, что при расторжении отношений с работником данные должны остаться в инфраструктуре компании, а доступ сотрудника к ним необходимо прекратить.

До.

Проверить, ознакомлен ли сотрудник с положением о коммерческой тайне, правилами обработки персональных данных, правилами внутреннего распорядка, должностной инструкцией и другими документами, которые закрепляют его обязанности по конфиденциальности. Ознакомление должно быть подтверждено подписью сотрудника.

Если в компании принято заключать соглашения о неразглашении (NDA), подписать его. Полезно включить в такое соглашение обязанность при увольнении сдать все документы и носители работодателя и уничтожить конфиденциальные сведения на личных устройствах и в личных аккаунтах.

Когда об уходе известно заранее, стоит усилить технический контроль. Следует заново проверить учетные записи и права доступа, убедиться, что у сотрудника нет удаленного подключения к системам с личных устройств, отслеживать передачу и печать данных с корпоративной техники.

Если есть техническая возможность, уместно контролировать фотографирование экрана и документов. Это один из самых частых способов вынести информацию. По данным исследования «СёрчИнформ», в 2024 году 29% компаний столкнулись с такой проблемой.

В день увольнения.

Необходимо заблокировать или удалить все учетные записи во всех системах, сменить пароли на устройствах, которыми пользовался сотрудник, закрыть удаленный доступ. Нужно принять по акту приема-передачи устройства, носители информации и документы – журналы выдачи техники и съемных устройств заметно упрощают эту задачу. Если конфиденциальные данные передавались в сторонних мессенджерах (что само по себе небезопасно и может быть признано утечкой), следует удалить сообщения и файлы у обоих участников диалога.

После.

Внимательно следить за коммуникациями коллег уволенного. Слив данных «по старой дружбе» - хорошо известный на практике сценарий.

Отдельное соглашение о неразглашении, действующее после увольнения, уместно, если сотрудник имел доступ к критичной для бизнеса информации. Документ сохранит в силе обязанности бывшего работника в части конфиденциальности данных и станет дополнительным аргументом в суде, если дело дойдет до взыскания ущерба. При этом само по себе прекращение трудовых отношений не снимает с информации охраняемого статуса: неправомерный доступ к персональным данным или коммерческой тайне наказуем для всех лиц, не имеющих необходимых прав, в т.ч. для бывших сотрудников.

Главный источник доказательства – показатель средств защиты информации и отчеты ИБ-служб. Суды принимают отчеты, скриншоты систем предотвращения утечек (DLP), которые подтверждают неправомерные действия работников. Если бывший сотрудник воспользовался оставшимся доступом или коллега переслал ему данные со своего рабочего места, система это зафиксирует. В уголовных делах правоохранительные органы могут закрепить результаты работы таких систем при осмотре. Дополняют картинку показания и отчеты ИБ-специалистов, которые обнаружили и расследовали нарушение.

Доказательства должны отвечать трем требованиям.

Достоверность. Ее подтверждает пометка «копия верна» на распечатке скриншота или отчета ИБ-решения. На случай сомнений в подлинности данных уместно получить заключение из организации, осуществляющей судебную экспертизу или заверить доказательства у нотариуса.

Относимость. Суд примет сведения, которые напрямую касаются нарушения, – например, скриншот пересылки файла. Переписка, в которой сотрудник обсуждал руководство или свое увольнение, доказательством утечки не станет.

Допустимость. Данные должны быть получены законно. Не подойдут сведения со скрытых камер и других средств негласного получения информации, а также с программ, установленных на личные устройства работника.

Последнее требование означает, что контроль в компании должен быть строго регламентирован. В локальных актах нужно закрепить цели применения средств контроля, их правовые основания (законы о персональных данных и коммерческой тайне, требования ФСТЭК, Банка России), перечень устройств и ресурсов, на которые контроль распространяется, и круг лиц с доступом к показателям ИБ-решений. Там же стоит зафиксировать запрет использовать корпоративные устройства в личных целях и право компании применять технические средства защиты информации и контролировать действия пользователей в ИС на основании ст. 22 и 56 ТК РФ. Со всеми этими документами сотрудники должны быть ознакомлены, а на обработку их персональных данных в целях защиты информации берется согласие.

При таких условиях суд оценивает не сам факт наблюдения, а его правовое основание. Обеспеченная заранее защита информации и легитимизация ИБ-средств позволяют компании доказать факты нарушений в случае инцидентов за счет законно собранной «фактуры».