Коммерческая тайна и контроль за работником (Слесарев С.)

О разглашении коммерческой и иной охраняемой законом тайны, казалось бы, сказано много, но на практике остается еще немало вопросов. Прежде всего работодателей волнуют основные пути "утечки" информации и то, как можно их "перекрыть". Вправе ли работодатель контролировать активность сотрудника на компьютере, регламентировать использование им средств связи, Интернета? И если да, то как это осуществить на практике?

Сделал селфи - разгласил информацию

Сегодня селфи приобрело массовый характер: людям нравится фотографировать себя по дороге на работу, на отдыхе, на рабочем месте, а потом выкладывать фотографии на странице в соцсети. Это воспринимается как безобидное увлечение, но так ли оно безобидно?
Так, И. обратился в суд с иском о признании незаконным приказа об увольнении по подп. "в" п. 6 ч. 1 ст. 81 Трудового кодекса РФ (разглашение охраняемой законом тайны (государственной, коммерческой, служебной и иной), ставшей известной работнику в связи с исполнением им трудовых обязанностей, в том числе разглашение персональных данных другого работника).
Увольнение работодатель мотивирует тем, что И. выложил в соцсети фотографии с рабочего места. В доказательство работодатель представил пять фотографий с аккаунта И. с изображениями И., клиентов, заполненных бланков служебных документов с указанием Ф.И.О., адресов и номеров телефонов двух граждан.
Истец считал увольнение незаконным, поскольку не был допущен к работе с персональными данными, со своими должностными обязанностями ознакомлен не был, факт размещения фотографий не отрицал, но считает, что никакого материального и других видов ущерба работодателю они не принесли, фотографии не представляли какой-либо тайны.
Суд отказал в иске, поскольку:
- факт размещения фотографий подтвержден и не отрицался И.;
- в кадр попали персональные данные клиентов;
- Правилами внутреннего трудового распорядка (ПВТР) запрещено несанкционированное фотографирование на рабочем месте и разглашение информации, ставшей известной работнику при исполнении должностных обязанностей, а И. ознакомлен с ПВТР.
Довод о том, что на документах не было проставлено грифа об особом статусе информации ("секретно", "коммерческая тайна" или др.), суд отклонил, так как истец был ознакомлен с локальными актами работодателя, в рамках которых он взял на себя обязательство не разглашать конфиденциальную информацию, то есть любую информацию, ставшую известной работнику о работодателе, которая не является общедоступной.
Следовательно, увольнение работника обоснованно и законно (Апелляционное определение Московского городского суда от 02.02.2016 по делу N 33-3266/2016).
Однако не всегда в кадр должны попадать именно документы, содержащие данные о клиенте или работодателе, иногда и снимок самого рабочего помещения, а также изображение клиентов в кадре может привести к увольнению, как это было в другом деле (Апелляционное определение Омского областного суда от 12.02.2014 по делу N 33-649/2014). Суд указал, что размещенные истцом фотографии позволяют безошибочно определить место нахождения клиентов, а также их состояние. Доступ в помещение ограничен, значит, истец могла сделать фотографии только с использованием служебного положения и знала, кого и где фотографирует. Тем самым разгласила охраняемую законом тайну.
Как видим, селфи может привести к разглашению "запретной" информации. Чаще всего непреднамеренно, поскольку работник не ставит цель причинить вред работодателю, но последствия, учитывая особенности соцсетей, могут быть серьезными: из-за репостов, кеширования информации, открытости аккаунтов информация становится известна широчайшему кругу лиц.

Электронная почта и флешка - враг номер один

И все же наиболее распространенным путем "увода" информации остаются электронная почта и флешки, что подтверждается значительной долей судебных споров о разглашении информации.
Так, Ч. с корпоративного почтового ящика на свою электронную почту отправила личные карточки новых сотрудников, в которых содержались сведения о Ф.И.О. сотрудников, месте работы и должности, адреса почты и телефоны и другая информация. За это Ч. была уволена по подп. "в" п. 6 ч. 1 ст. 81 ТК РФ, но обратилась в суд, считая увольнение незаконным, так как информацию не разглашала, личные карточки не включены в специальной перечень охраняемой информации, а только содержат номера телефонов сотрудников.
Между тем суд согласился с работодателем, поскольку:
- факт отправки данных Ч. не отрицала, это подтверждено и материалами служебной проверки;
- Ч. отправила данные на почту ***@mail.ru, при этом компания ООО "Мэйл.Ру" оказывает услуги с использованием своей информационно-телекоммуникационной сети, в состав которой входят и почтовые серверы. Следовательно, в силу ст. 2 ФЗ "Об информации, информационных технологиях и защите информации" названная компания является обладателем информации;
- Ч. ознакомлена с локальными нормативными актами работодателя, которыми установлен запрет на передачу информации о сотрудниках за пределы компании без надлежащего оформления и разрешения (Апелляционное определение Московского городского суда от 14.02.2017 по делу N 33-5694/2017).
Подобное разглашение информации происходит довольно часто, сотрудники не задумываются, что, направляя данные на внешний почтовый сервер, они предоставляют информацию третьему лицу, ведь владелец почтового сервера, компания, оказывающая услуги электронной почты, получает в распоряжение "секретные" данные, а значит, потенциально может использовать их. Кроме того, возрастает риск несанкционированного доступа к почте третьим лицом (например, при взломе почты).
Так, суд при мотивировании своего решения указал: работник направил информацию по электронной почте с использованием сервиса Рамблер и Яндекс, а значит, она стала доступной и адресату, и ООО "Рамблер Интернет Холдинг", и ООО "Яндекс" (Апелляционное определение Московского городского суда от 08.09.2014 по делу N 33-18661/2014).
Работники могут направить данные на личную почту, чтобы "поработать из дома", "для памяти", "для защиты от кадровой службы" и т.п., но мотивы сотрудника при этом не имеют правового значения, работодатель вправе не учитывать их при решении вопроса о привлечении работника к ответственности. Главное - это установление факта разглашения информации.
Например, работник направил на электронную почту материалы страхового дела, при этом сослался на просьбу страхователей переслать им информацию, суд же отверг такой довод, так как значение имеет только факт несанкционированной отправки "охраняемой" информации (Апелляционное определение Московского городского суда от 08.02.2017 по делу N 33-1393/2017). Не сыграл роли мотив и в других спорах (Апелляционное определение Московского городского суда от 04.08.2015 по делу N 33-24617/15, Определение Московского городского суда от 20.10.2014 N 4г/9-9007/2014, Апелляционное определение Свердловского областного суда от 24.04.2015 по делу N 33-5570/2015).
Еще чаще случается двойное копирование: данные направляются на почту и копируются на флеш-карту.
Так, например, сотрудница скопировала рабочие файлы с компьютера на флеш-карту, а затем продублировала некоторые файлы отправкой на свою электронную почту. Мотивировала свои действия целью изучения материалов дома, а также возможностью работать с ними в случае болезни. Однако и копирование на флешку, и пересылка по электронной почте являются разглашением "секретной" информации (Апелляционное определение Московского городского суда от 20.04.2015 по делу N 33-12843).
Стоит учесть: сама по себе ссылка работника на отсутствие специального грифования или невключение документа в специальный перечень не имеет значения, если в организации установлен особый режим работы с "секретной" информацией и работник ознакомлен с соответствующими локальными актами. Суд будет учитывать прежде всего характер передаваемой информации, то, насколько из содержания информации и характера работы сотрудник мог понять правовой режим, который действует в отношении документа (Апелляционное определение Санкт-Петербургского городского суда от 28.03.2017 N 33-5352/2017 по делу N 2-4884/2016).

Выброшенные документы - халатность или злонамеренный умысел?

Время от времени в СМИ мелькают сообщения о выброшенных на помойку медкартах, договорах, копиях паспортов и прочей информации, в том числе содержащей коммерческую или иную охраняемую законом тайну. К сожалению, разглашение информации таким способом распространено. Причиной зачастую является халатность или высокая загруженность работников, а также отсутствие адекватного контроля за их деятельностью.
Например, Г., руководитель отделения банка, была уволена за разглашение персональных данных клиентов. В блогосфере появилась информация об обнаружении в мусорном контейнере папок с личными делами клиентов банка. По результатам проверки информация подтвердилась, выяснилось, что при уборке помещения сотрудниками банка стопки карт дополнительных возможностей с данными клиентов были сложены в мешок, который вместе с коробками и мусором вынесли к мусорным контейнерам.
Суд пришел к выводу, что разглашение данных произошло вследствие нарушения руководителем Г. возложенных на нее должностных обязанностей, а именно неосуществления контроля за исполнением работниками требований по хранению, уничтожению документов, содержащих персональные данные клиентов. Это позволило иным сотрудникам беспрепятственно получить доступ к банковским документам, выбросить их в мусорный контейнер.
Довод о том, что Г. не подчиняются сотрудники, которые осуществляли уборку, суд отверг, поскольку именно на Г. как на руководителя внутренними документами банка возложена обязанность организовать правильное хранение "секретной" информации. В случае необходимости уничтожения документов они должны уничтожаться путем измельчения, исключающим восстановление текста документа (Апелляционное определение Московского городского суда от 16.02.2017 по делу N 33-2761/2017).

Своя рука владыка, или Может ли работодатель ограничить свободу работников?

При рассмотрении примеров выше упоминалось о том, что разглашение информации может быть неосторожным, ведь работник часто не задумывается о последствиях своих действий. Чтобы минимизировать риск такого непреднамеренного разглашения информации, а также сократить "пустые траты" времени работником, работодатель вправе устанавливать особый режим использования систем связи и компьютерной техники. Это прямо следует из ст. 8, ч. 1 ст. 22 ТК РФ: работодатель вправе регулировать труд работников через принятие локальных нормативных актов и требовать от работников исполнения ими трудовых обязанностей и бережного отношения к имуществу работодателя, в том числе к имуществу третьих лиц, находящемуся у работодателя (а информация - своего рода особый актив, "имущество"). А работник, в свою очередь, добросовестно исполнять свои трудовые обязанности и бережно относиться к имуществу работодателя (ст. 21 ТК РФ).
Судебной практикой такое право работодателя поддерживается.
В самом первом примере с И., разместившим фотографии с рабочего места в соцсети, у работодателя в локальном нормативном акте (ЛНА), в частности в Правилах внутреннего трудового распорядка, был закреплен запрет на несанкционированное фотографирование на рабочем месте, а также установлен особый режим работы с информацией, регламентирован порядок работы с документами, попавшими в руки работнику. И суд, принимая решение, активно ссылался на соответствующие положения ЛНА, с которыми работник был ознакомлен и которые обязан был соблюдать.
Таким образом, работодатель вправе запретить фотографироваться на рабочем месте без соответствующего разрешения, помимо этого в судебной практике признается законным запрет на выход в Интернет вообще или через конкретные ПК, иные устройства или же посещение отдельных сайтов. Так, суд признал законным привлечение работника к ответственности за посещение развлекательных сайтов, поскольку ЛНА работодателя установлен запрет на выход в Интернет через указанный сервер, а также запрет менять настройки компьютера и устанавливать самостоятельно программное обеспечение (Определение Самарского областного суда от 29.06.2011 по делу N 33-6586/2011).
Работник должен использовать оборудование работодателя только для исполнения трудовой функции, поэтому работодатель вправе регламентировать, какие виды работы (деятельности) сотрудник может осуществлять на оборудовании, например ПК или ином устройстве. В частности, запрет на компьютерные игры и прочие развлекательные программы законен. Даже если работник по какой-то причине свободен от работы (например, "окно" в обслуживании), он не вправе использовать рабочее время в непроизводственных целях (Апелляционное определение Тульского областного суда от 26.05.2016 по делу N 33-1715/2016, Кассационное определение Ростовского областного суда от 30.08.2010 по делу N 33-9782).
Запрет посещения развлекательных сайтов, самовольной установки программного обеспечения, компьютерных игр на первый взгляд, кажется, не имеет отношения к охране информации с особым статусом, но обычно именно через бесконтрольную установку программ, игр, посещение сомнительных сайтов пользователи ПК заражают компьютеры шпионским ПО, "троянами" и прочими вредоносными программами, которые могут "увести" данные работодателя.
Для контроля за соблюдением запрета, а также активностью пользователя работодатель может использовать различные методы контроля - от визуального (в т.ч. видеонаблюдение) до специального программного обеспечения, которое отслеживает трафик, использование ресурсов компьютера (в т.ч. копирование и изменение файлов). Суды при этом принимают в качестве доказательств акты осмотров компьютера и браузера Интернета или электронной почты со скриншотами, сведения (распечатки) протоколов (отчетов) специальных программ отслеживания активности пользователя или контроля за сетью, докладные / служебные записки и т.п. (Апелляционное определение Рязанского областного суда от 11.02.2015 N 33-335, Апелляционное определение Свердловского областного суда от 12.07.2016 по делу N 33-12012/2016, Апелляционное определение Московского городского суда от 16.06.2016 по делу N 33-23105/2016, Апелляционное определение Московского городского суда от 08.09.2014 по делу N 33-18661/2014).

Некоторые выводы

1. Основной путь разглашения информации - отправка данных по электронной почте или через программы-мессенджеры, соцсети и т.п. На втором месте - копирование информации на флеш-карты, случайное разглашение через селфи. На третьем - вынос документов, в том числе в результате неправильного уничтожения документов.
2. В связи с этим работодателю рекомендуется:
а) принять локальные нормативные акты, в которых установить запрет:
- на несанкционированную фото- и видеосъемку в отдельных помещениях, где может содержаться "секретная" информация;
- на посещение соцсетей в личных целях, развлекательных сайтов, на самовольное изменение настроек ПК, ноутбуков и т.п., а также на самовольную установку программного обеспечения;
б) при необходимости ограничить доступ в Интернет, в том числе через личные устройства сотрудников. Такое право работодателю дано ст. ст. 21 - 22 ТК РФ. Работник не вправе использовать рабочее время для непроизводственных целей;
в) детально регламентировать порядок хранения, обработки и уничтожения носителей с "секретной" информацией;
г) разработать систему контроля за соблюдением сотрудниками режима работы с "особой" информацией;
д) разработать систему управления персоналом и кадровую политику, "работать" над лояльностью сотрудников к компании, поскольку нередко информация разглашается с намерением перейти в другую компанию (к конкурентам) из-за недовольства условиями работы или оценкой работы со стороны начальства (Апелляционное постановление Московского городского суда от 15.08.2013 по делу N 10-7264/2013).
При этом обратите внимание: соответствующие локальные нормативные акты становятся обязательными для работника с момента его ознакомления с ними под роспись.