Конфиденциальная информация: фиксация, разглашение, расследование

В данной статье эксперты Два ПиЭр.Консалтинг (https://2pir.org) подскажут:
- как юридически «обезопаситься» от утечки данных, а при разглашении – как расследовать данные инциденты;
- какие ИТ-меры предпринять, чтобы защитить конфиденциальную информацию.

К сведениям конфиденциального характера согласно Указу № 188 относятся:

Для бизнеса наиболее актуальными являются коммерческая тайна и персональные данные.

С 5 июля 2025 г. штраф за разглашение коммерческой тайны составляет до 5 млн. рублей (ст. 183 УК РФ). Предусмотрены серьёзные санкции за нарушение законов о персональных данных: при массовой утечке - до 15 млн. рублей, а при повторной утечке - штраф в размере 1-3% годового оборота компании, но не менее 20-25 млн. рублей и не более 500 млн. рублей. Кроме того, существуют отдельные виды нарушений, связанные с несоблюдением порядка обработки персональных данных, предоставлением некорректной информации субъекту персональных данных и пр.

Ошибки при обращении с данными могут влететь в копеечку. Опыт крупных компаний подтверждает, что инциденты утечек происходят независимо от качества технической защиты. Однако компании с отлаженными бизнес-процессами способны преодолевать подобные ситуации более эффективно. Важную роль играет также грамотная юридическая подготовка.

Если законодательство о персональных данных императивно для всех, то в отношении режима коммерческой тайны каждая компания решает сама, устанавливать ли его или нет, т.к. это ее право, а не обязанность. Если решение положительное, то компания обязана соблюдать положения ФЗ № 98-ФЗ и осуществлять следующие меры:

Важно, чтобы вся информация всегда передавалась по акту за подписью сторон (передающей и принимающей). При работе с персональными данными – передача должна осуществляться согласно закону № 152-ФЗ (с согласия субъекта, по поручению на обработку и пр.)

Чем тщательнее организован процесс, тем проще зафиксировать случаи утечки или разглашения информации и привлечь виновных к юридической ответственности. Иначе последствия негативных действий можно обнаружить, но доказать их в суде окажется невозможно.

При утечке данных или разглашении коммерческой тайны нужно зафиксировать произошедшие факты, организовать служебное расследование, собрать доказательства внутри ИТ-ресурсов (логи серверов, системные журналы), задокументировать все действия через юриста и/или нотариуса, незамедлительно уведомить Роскомнадзор о произошедшем инциденте (при утечке персональных данных) и о результатах внутреннего расследования (по форме: https://pd.rkn.gov.ru/incidents/form/), оценить последствия, постараться определить виновных и (возможно) провести комплаенс всех документов и систем, чтобы предотвратить подобные инциденты в будущем.

Практика судов свидетельствует о том, что компании часто сталкиваются с трудностями при попытке доказать законность увольнения сотрудника за нарушение режима коммерческой тайны. Основная проблема в том, что работодатель обязан представить доказательства, подтверждающие факт передачи закрытой информации третьим лицам, её принадлежность к коммерческой тайне и наличие обязательства сотрудника хранить такую информацию в тайне. Если какой-то из этих факторов останется неподтверждённым, судебное решение, скорее всего, будет принято в пользу работника.

В подобной ситуации важно реально взглянуть на состояние внутренней документации компании и определить, какие шаги в области информационной технологии необходимо предпринять, а какие бизнес-процессы оптимизировать. Обычно информационная безопасность сосредоточена на профилактике угроз, а не на расследованиях. Без грамотно оформленных соглашений и локальных актов доказать чьи-то проступки станет крайне проблематично.

Эксперты Два ПиЭр.Консалтинг готовы предложить своим клиентам комплексный подход к защите конфиденциальных сведений путём сочетания правового сопровождения и современных ИТ-технологий: