7. Предоставление информации, составляющей коммерческую тайну

ТЕРМИНЫ И ОПРЕДЕЛЕНИЯ

1.1. Для целей Соглашения нижеприведённые термины, если контекст и содержание Соглашения не требуют иного, имеют следующее значение.
1.1.1. Конфиденциальная информация – любая информация о лицах, предметах, фактах, событиях, явлениях и процессах, независимо от формы их представления, составляющие банковскую, служебную и коммерческую тайну и/или сведения любого характера (производственные, технические, экономические, организационные и другие), в том числе о результатах интеллектуальной деятельности в научно-технической сфере, а также сведения о способах осуществления профессиональной деятельности, которые имеют действительную или потенциальную коммерческую ценность в силу их неизвестности третьим лицам, к которым нет свободного доступа на законном основании, охраняемые в соответствии с законодательством Российской Федерации, а также документами Сторон по защите конфиденциальной информации. Результаты выписки, обработки, обобщений, аналитических выкладок или иного использования Конфиденциальной информации также являются Конфиденциальной информацией, подлежащей защите на условиях Соглашения.

1.1.2. Носители информации — материальные объекты, в которых Конфиденциальная информация находит своё отражение и фиксацию.

1.1.3. Режим защиты Конфиденциальной информации –комплекс правовых, организационных, технических и иных мероприятий, предпринимаемых Сторонами по охране Конфиденциальной информации, включая ограничение доступа к Конфиденциальной информации, Носителям информации, в целях обеспечения её сохранности и недоступности третьим лицам, предусмотренных законодательством Российской Федерации, документами Сторон по защите Конфиденциальной информации и Соглашением.

1.1.4. Разглашение Конфиденциальной информации – действие или бездействие, в результате которых Конфиденциальная информация в любой возможной форме (устной, письменной, иной форме, в том числе с использованием технических средств) становится известной третьим лицам без согласия Передающей Cтороны.

1.1.5. Передающая Сторона – Сторона, предоставляющая Конфиденциальную информацию.

1.1.6. Получающая Сторона – Сторона, которой предоставляется Конфиденциальная информация.

Штрафы в области персональных данных в 2021 году

С 27 марта 2021 года вступили в силу новые штрафные санкции за нарушения в области персональных данных в соответствии с Федеральным законом от 24 февраля 2021 г. № 19-ФЗ. Суммы штрафов увеличены в 2 раза и более. Кроме этого, по некоторым статьям введено увеличенное наказание за повторное нарушение.
Также увеличился и срок давности привлечения к административной ответственности за нарушения в области персональных данных. Вместо трех месяцев теперь он составляет один год.

Административная ответственность по статье 13.11 предусматривает дифференциацию в зависимости от последствий нарушения. Так ответственность для юридического лица предусматривает наложение штрафа в размере от 30 тысяч до 6 миллионов рублей, а при повторном нарушении — до 18 миллионов рублей.

Максимальный совокупный штраф для должностного лица составляет 336 тысяч рублей, а при повторном нарушении может превышать 1 миллион рублей.

Статья 13.11 Кодекса об административных правонарушениях РФ

КоАП РФ не возлагает на организации, осуществляющие обработку персональных данных, дополнительных обязанностей и не изменяет содержание существующих требований, которые предусмотрены законодательством в области персональных данных (152-ФЗ).

Стоит отметить, что КоАП наделяет должностных лиц органа, осуществляющего функции по контролю и надзору в области персональных данных, которым является Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор), полномочиями по возбуждению дел об административных правонарушениях.

Представляем вашему вниманию сводную таблицу штрафов за нарушения законодательства в области персональных данных (в редакции, действующей с 27.03.2021):

Статья актуализирована с учетом изменений статьи 13.11 Кодекса об административных правонарушениях в соответствии с Федеральным законом от 24 февраля 2021 г. № 19-ФЗ.

ПРЕДМЕТ СОГЛАШЕНИЯ

2.1. Соглашение устанавливает обязательства Сторон по обеспечению Режима защиты Конфиденциальной информации и недопущения разглашения Конфиденциальной информации, которая стала известна Сторонам в ходе переговоров, заключения договоров и (или) соглашений, при исполнении Сторонами обязательств по ним.

2.2. Обязательства по Соглашению распространяются также на Конфиденциальную информацию, полученную Сторонами до заключения Соглашения.

2.3. Если одна из Сторон в процессе переговоров по вопросу заключения какого-либо договора (соглашения) информирует другую о том, что предполагаемый договор (соглашение) не будет заключен или не вступит в силу, то Получающая Сторона обязана не использовать Конфиденциальную информацию, полученную при подготовке данного договора (соглашения), ни в своих интересах, ни в интересах третьей стороны без предварительного письменного согласия Передающей Стороны.

2.4. Получающая Сторона обязуется обеспечивать охрану Конфиденциальной информации и принимать все необходимые меры для ее защиты, какие она применяет в отношении собственной Конфиденциальной информации, но не менее требований, согласованных в Соглашении: использовать Конфиденциальную информацию только в целях, оговоренных в Соглашении; не передавать Конфиденциальную информацию третьим лицам без предварительного письменного разрешения Передающей Стороны, кроме как в случаях, когда эта информация:

• стала известна Получающей Стороне из источника, отличного от Получающей Стороны до момента вступления в силу Соглашения;
• законно получена Получающей Стороной без ограничения и нарушения Соглашения от третьих лиц, которые по разумной осведомленности Получающей Стороны не нарушают своей обязанности перед Передающей Стороной по соблюдению Режима защиты конфиденциальной информации;
• независимо разработана Получающей Стороной, то есть является результатом внутренних разработок, добросовестно выполненных её работниками, до вступления в силу Соглашения;
• разрешена к раскрытию письменным разрешением Передающей Стороны в соответствии с условиями Соглашения;
• если информация становится публично доступной после вступления в силу Соглашения, за исключением случаев, когда это произошло в результате нарушения своих обязательств Получающей Стороной.

Что такое персональные данные?

Практически все работодатели имеют дело с персональными данными. Однако, что такое персональные данные, знает не каждый. Как следует из п. 1 ст. 3 Закона о ПД[2], под ПД понимается любая информация, которая прямо или косвенно относится к определенному или определяемому физическому лицу – субъекту персональных данных.

Персональные данные входят в Перечень конфиденциальности[3], согласно которому это сведения о фактах, событиях и обстоятельствах частной жизни гражданина, которые позволяют идентифицировать его личность, за исключением данных, подлежащих распространению в СМИ в случаях, установленных законом.

Персональные данные, с которыми чаще всего имеют дело кадровые службы или бухгалтерия, – это фамилия, имя, отчество, год, месяц, дата и место рождения; адрес, номер телефона, семейное, социальное, имущественное положение; образование, профессия, должность, доходы субъекта.

Обработка персональных данных (далее – обработка) включает любое действие с ними: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление и уничтожение (п. 3 ст. 3 Закона о ПД). Лицо, осуществляющее такую обработку, называется оператором.

Некоторые работодатели полагают, что персональные данные фигурируют, только если организация формирует клиентскую базу. Однако это не так. Даже если организация имеет дело лишь с персональными данными своих сотрудников, она является оператором.

К сведению:

Дополнительные условия для обработки персональных данных соискателей и работников установлены гл. 14 ТК РФ и Разъяснением Роскомнадзора[4].

Следует помнить, что только информация, позволяющая идентифицировать определенное физическое лицо, считается персональными данными. Например, имя и фамилия человека могут быть персональными данными, когда они привязаны к конкретному субъекту (допустим, в виде подписи под его фотографией: Сидоров Иван Петрович), но без такой привязки они персональными данными не являются (как в перечне имен и фамилий без указания места работы, адреса и других дополнительных сведений: мало ли на свете Сидоровых Иванов Петровичей). Другая распространенная ситуация – звонок на мобильный и обращение по имени и отчеству («Здравствуйте, Иван Петрович, Вас беспокоят из такой-то организации…») – это обработка персональных данных, а именно их использование, а аналогичный звонок и безликое обращение («Здравствуйте, Вас беспокоят из такой-то организации…») под категорию обработки ПД не подпадают.

ПЕРЕДАЧА И ПРИЕМ КОНФИДЕНЦИАЛЬНОЙ ИНФОРМАЦИИ

3.1. Информация может передаваться в устной, электронной и письменной форме (в виде документов). Сторона обязуется рассматривать в качестве Конфиденциальной информацию, которая будет предоставлена другой Стороной при соблюдении следующих условий:

• Конфиденциальная Информация предоставляется в письменной форме (в виде документов) или на электронном носителе, такая информация или ее носитель должны содержать гриф ‘Конфиденциально’ или “Коммерческая тайна”;
• Конфиденциальная Информация предоставляется визуально, устно или другим бездокументарным методом, она должна быть ясно определена Стороной как конфиденциальная.

3.2. Передача Конфиденциальной информации в письменной форме между Сторонами осуществляется заказным письмом или непосредственно представителями Сторон и в последнем случае сопровождается подписанием акта приема-передачи.

3.3. Передача Конфиденциальной информации по открытым каналам телефонной, телеграфной и факсимильной связи, а также с использованием сети Интернет без принятия соответствующих мер защиты, удовлетворяющих требованиям законодательства Российской Федерации, запрещена.

3.4. При выполнении обязательств в рамках заключенных договоров и (или) соглашений Стороне может быть предоставлен доступ на сервер, содержащий Конфиденциальную информацию. Данный доступ может использоваться Стороной исключительно для программирования, последующего тестирования изменений, передачи информации, необходимой для исполнения обязательств по договору и(или) соглашению.

ЗАЩИТА КОНФИДЕНЦИАЛЬНОЙ ИНФОРМАЦИИ

4.1. Каждая Сторона обязуется использовать полученную от другой Стороны Конфиденциальную информацию лишь в целях заключения договоров (соглашений) между Сторонами и исполнения Сторонами обязательств по заключенным договорам и (или) соглашениям.

4.2. Любая Конфиденциальная информация, полученная Сторонами, в том числе при последующем копировании, воспроизведении и дублировании, остаётся собственностью Передающей Стороны и, в случае письменного истребования Носителей информации Передающей Стороной, они должны быть возвращены в соответствии с Соглашением.

4.3. Получающая Сторона обязуется не осуществлять продажу, обмен, опубликование, либо разглашение иными возможными способами Конфиденциальной информации без прямо выраженного письменного согласия Передающей Стороны, которое будет иметь силу только в том случае, если оно подписано надлежаще уполномоченным представителем Передающей Стороны.

4.4. Конфиденциальная информация, полученная Сторонами, может быть передана уполномоченным органам государственной власти Российской Федерации только по основаниям и в порядке, установленным законодательством Российской Федерации. При этом Получающая Сторона должна уведомить Передающую Сторону посредством электронной почты о предоставлении Конфиденциальной информации уполномоченным органам государственной власти Российской Федерации.

4.5. Соглашение не должно толковаться как предоставление лицензий или полномочий Получающей Стороне на использование Конфиденциальной Информации, за исключением случаев использования Конфиденциальной Информации в порядке и на условиях, предусмотренных Соглашением.

4.6. При утрате или разглашении Конфиденциальной информации Получающая Сторона незамедлительно информирует Передающую Сторону об утрате или разглашении Конфиденциальной информации, далее обе Стороны принимают все необходимые меры по предотвращению любого дальнейшего раскрытия, возникновения убытков или иных отрицательных последствий, вызванных утратой или разглашением Конфиденциальной информации.

4.7. Стороны гарантируют, что доступ к Конфиденциальной информации имеют лишь работники Сторон в пределах выполнения своих должностных обязанностей, принявшие на себя обязательства по охране и неразглашению Конфиденциальной информации при условии оформления данных обязательств надлежащим образом (в трудовом договоре либо в ином отдельном документе). Стороны несут ответственность за действия любых своих работников, имеющих доступ к Конфиденциальной информации.

4.8. Передающая Сторона вправе потребовать от Получающей Стороны вернуть Носители информации в любое время, направив Получающей Стороне уведомление в письменной форме. В течение 15 рабочих дней после получения такого уведомления Получающая Сторона должна вернуть все оригиналы Носителей информации и уничтожить по акту все копии Носителей информации, имеющиеся у нее до степени невозможности восстановления Конфиденциальной Информации, или удалить данную информацию с таких Носителей информации до степени невозможности ее восстановления.

Секрет фирмы. Что скрывает коммерческая тайна

Под коммерческой тайной можно понимать многое, так как право на отнесение информации к такой, которая составляет коммерческую тайну, и на определение перечня и состава такой информации принадлежит ее обладателю с учетом положений федерального закона «О коммерческой тайне». Проще сказать, руководитель предприятия сам определяет, что в его производстве является коммерческой тайной, а что — нет. Но чаще всего под этим понимают информацию: научно-техническую, технологическую, производственную, финансово-экономическую и — наиболее распространенную в разглашении — персональные данные клиентов. Но чтобы информация получила статус коммерческой тайны, ее обладатель должен соблюсти определенные процедуры, а именно:

• составить перечень;
• ограничить доступ к информации;
• нанести гриф «Коммерческая тайна»;
• ввести учет лиц, имеющих доступ к информации;
• регулировать отношения по использованию информации.

Для обеспечения сохранности коммерческой тайны нужно прописать некоторые обязательства в трудовом договоре работников компании:

• не передавать третьим лицам и не раскрывать публично информацию, составляющую коммерческую тайну, без согласия администрации организации;
• сохранять информацию, составляющую коммерческую тайну тех организаций, с которыми имеются деловые отношения;
• не использовать информацию, составляющую коммерческую тайну организации, для занятия другой деятельностью, которая в качестве конкурентного действия может нанести ущерб организации;
• в случае попытки посторонних лиц получить от работника информацию, составляющую коммерческую тайну организации, незамедлительно известить об этом соответствующее должностное лицо;
• незамедлительно сообщать об утрате или недостаче носителей информации, составляющей коммерческую тайну, и о других фактах, которые могут привести к разглашению организации, а также о причинах и условиях возможной утечки информации, составляющей коммерческую тайну;
• в случае увольнения все носители информации, составляющей коммерческую тайну организации, которые находились в распоряжении работника, передать соответствующему должностному лицу.

Портал kdelo.ru, опросив 410 респондентов, задавал им вопрос: «Что вы предпринимаете для того, чтобы секретная информация не стала достоянием конкурентов?» Посмотрим на статистику:

— 73% ответили, что берут с сотрудников обязательство о неразглашении коммерческой тайны;

— 11% заявили, что у них нет конкурентов;

— 9% проводят коллективные профилактические беседы;

— 7% увольняют сотрудников, виновных в утечке информации, чтобы «другим неповадно было».

А ведь наказание за разглашение коммерческой тайны может быть дисциплинарным, административным, гражданско-правовым и даже уголовным. Если все-таки произошла ситуация с раскрытием секретной информации, первое, что нужно сделать, — это оценить размер предполагаемого ущерба, далее действовать по ситуации. Большое значение имеет быстрота обнаружения утечки, степень важности информации и вины сотрудника.

Нарушения коммерческой тайны можно условно разделить на два вида — осознанные и неосознанные. Неосознанные более безобидны. Это связано с неактивной гражданской позицией, малым пониманием ответственности сотрудника за хранение конфиденциальной информации и возможным отсутствием документов, регламентирующих действия. Осознанное разглашение связано с убежденностью в безнаказанности. Ведь широкой общественности известно довольно малое количество прецедентов наказания за подобные действия. Так происходит потому, что далеко не каждая компания захочет заявлять и обсуждать в СМИ, что ее сотрудник нарушил коммерческую тайну, чем нанес компании серьезный ущерб.

Частыми бывают разглашения персональных данных клиентов, но в этих случаях найти виновника довольно сложно. Так как в больших корпорациях, располагающих такой секретной информацией, работает огромное количество сотрудников, найти того, кто сливает данные, тяжело.

Американская юридическая фирма KamberLaw подала иск к Apple от лица жителя пригорода Лос-Анджелеса Джонатана Лало, сообщает Bloomberg. Истец обвиняет Apple в передаче подробной информации о пользователе рекламным агентствам без разрешения. По словам Лало, смартфоны Apple iPhone и планшеты iPad передают агентствам информацию о том, какие приложения пользователь загружает на мобильное устройство, как часто он их запускает и как долго использует. «Некоторые приложения передают и такую информацию, как местонахождение пользователя, его возраст, пол, расовая принадлежность, политические взгляды и сексуальная ориентация», — говорится в заявлении. Под прицел, в частности, попали приложения Pandora, Paper Toss, Weather Channel и Dictionary.com, авторов которых истец также планирует привлечь к ответственности, заодно присвоив иску статус коллективного. Заявитель утверждает, что Apple нарушает законы о защите частной жизни и федеральный закон о мошенничестве с использованием вычислительной техники, а также закон о сохранении коммерческой тайны.

Чаще всего, если предприятие небольшое и урон, нанесенный работником, который нарушил закон о коммерческой тайне, невелик, наказание может колебаться от исправительной беседы до увольнения. В некоторых компаниях предпочитают налагать на болтунов штрафные санкции.

ОТВЕТСТВЕННОСТЬ СТОРОН

5.1. За неисполнение или ненадлежащее исполнение обязанностей по Соглашению Стороны несут ответственность в соответствии с законодательством Российской Федерации.

5.2. Получающая Сторона, допустившая утрату или разглашение Конфиденциальной информации, несёт ответственность за документально подтвержденные убытки (включая штрафы государственных органов), понесённые Передающей Стороной в связи с утратой или разглашением Конфиденциальной информации, в соответствии с законодательством Российской Федерации, за исключением случаев, предусмотренных п.п.4.4 и 5.3 Соглашения.

5.3. В случае утраты или разглашения Конфиденциальной информации сторона, допустившая ее утрату или разглашение, не несёт ответственности, если данная Конфиденциальная информация:

5.3.1. стала известна Получающей Стороне из других источников до момента вступления в силу Соглашения;

5.3.2. была или стала публичным достоянием до её утраты или разглашения из источника, отличного от Получающей Стороны;

5.3.3. была получена от третьей стороны до момента её получения от Передающей Стороны;

5.3.4. независимо разработана Получающей Стороной до вступления в силу Соглашения, то есть является результатом внутренних разработок, добросовестно выполненных её работниками, не имевшими доступа к Конфиденциальной информации;

5.3.5. была разглашена с согласия Передающей Стороны в соответствии с условиями Соглашения.

ПОРЯДОК РАЗРЕШЕНИЯ СПОРОВ

6.1. Все разногласия и споры, возникающие при исполнении Соглашения или в связи с ним, Стороны обязуются решать путём переговоров.

6.2. При невозможности достижения согласия Сторон все споры, разногласия или требования, возникающие из Соглашения или в связи с ним, в том числе касающиеся его исполнения, нарушения, прекращения или недействительности, подлежат разрешению в арбитражном суде по месту нахождения истца, в соответствии с законодательством Российской Федерации.

6.3. Соглашение регулируется и толкуется в соответствии с законодательством Российской Федерации.

Примеры нарушений обработки ПДю

На примерах судебных решений рассмотрим случаи обработки ПД, содержащие состав нарушений, предусмотренных новой редакцией ст. 13.11 КоАП РФ.

Апелляционное определение Нижегородского областного суда от 11.10.2016 по делу № 33-12355/2016: адвокат в рамках оказания юридических услуг, позвонил со своего телефонного номера в банк для получения информации по задолженности клиента, с которым был заключен договор. Впоследствии представители банка стали регулярно звонить адвокату по вопросу погашения задолженности, не реагируя на требования уничтожить его персональные данные. Суд первой инстанции, куда обратился адвокат с требованием об уничтожении персональных данных и взыскании компенсации морального вреда, счел действия представителей банка неправомерными. Апелляционный суд поддержал этот вывод.

Напомним, что использование ПД, в том числе с целью совершения адресных звонков абоненту, является одним из видов обработки ПД. Данная обработка производилась без согласия субъекта: это случай, не предусмотренный Законом о ПД (санкции по п. 1 ст. 13.11 КоАП РФ – штраф для должностного лица до 10 тыс. руб., для банка до 50 тыс. руб.).

Банк посчитал: поскольку персональные данные адвоката (в том числе номер его телефона) размещены в открытом доступе, то есть в Интернете, согласие на их обработку не требуется. Суд указал, что телефонный номер адвоката был размещен в Сети в целях оказания юридических услуг, в то время как банк воспользовался его персональными данными с другой целью, а именно с целью доведения до заемщика через адвоката информации в связи с задолженностью по кредиту, – санкции по п. 1 ст. 13.11 КоАП РФ.

Мы видим другое нарушение: в силу ч. 1 ст. 14 Закона о ПД субъект вправе требовать от оператора уничтожения его персональных данных в случае, если персональные данные являются незаконно полученными, а также принимать предусмотренные законом меры по защите своих прав. Банк не отреагировал на требование адвоката и продолжал использовать персональные данные субъекта, что может быть расценено как нарушение п. 5 ст. 13.11 КоАП РФ (штраф для должностного лица до 10 тыс. руб., для организации – до 45 тыс. руб.).

Постановление Волгоградского областного суда от 15.04.2011 по делу № 7а-391/11: при проверке колледжа прокуратурой было выявлено, что в организации отсутствуют документы об установлении мест хранения персональных данных, перечня мер, обеспечивающих их сохранность и исключающих несанкционированный доступ к ним, не определен круг лиц, ответственных за реализацию вышеуказанных мер. Должностное лицо было оштрафовано на 500 руб. по ст. 13.11 КоАП РФ. По новым нормам это нарушение п. 6 ст. 13.11 КоАП РФ, предусматривающее штраф для должностных лиц до 10 тыс. руб., для организаций – до 50 тыс. руб.