Сотрудник ушёл с клиентской базой: что делать и как защититься

Сценарий знакомый почти каждому бизнесу: менеджер увольняется, а через месяц ваши клиенты начинают получать предложения от конкурента — с точным знанием того, что и когда они у вас покупали. Обидно, но главная неприятность в другом: в такой ситуации компания рискует получить не только потерю клиентов, но и штраф от Роскомнадзора. Разбираем, почему так и как выстроить защиту заранее.

Двойной удар: почему страдает пострадавший

Когда происходит инсайдерская утечка, ситуация развивается сразу по двум линиям:

Логика регулятора простая: если рядовой менеджер смог одним действием выгрузить всю клиентскую базу — оператор не выполнил обязанность по защите данных. То, что вы сами пострадали, ответственности не снимает.

Ключевой момент: в глазах закона утечка есть утечка. Не имеет значения, вынес данные хакер снаружи или собственный сотрудник изнутри. Оператор обязан был построить систему, при которой это невозможно.

Почему без коммерческой тайны вы ничего не докажете

Многие руководители уверены: раз база наша, значит воровство очевидно. На практике суды часто признают увольнения за разглашение незаконными, потому что работодатель обязан доказать сразу две вещи:

1. Сам факт разглашения — что именно эти данные и именно этот сотрудник передал
2. Наличие в организации режима коммерческой тайны — оформленного по закону

Второй пункт заваливает большинство дел. Режим коммерческой тайны — это не «мы всем сказали, что база секретная». Это формальная процедура с конкретными элементами.

Что должно быть оформлено заранее

Режим коммерческой тайны

• Положение о коммерческой тайне, утверждённое приказом
• Перечень сведений, составляющих коммерческую тайну (клиентская база должна быть в нём прямо указана)
• Ознакомление сотрудников под подпись с положением и перечнем
• Гриф «Коммерческая тайна» на носителях и в системах
• Учёт лиц, получивших доступ к таким сведениям

Если хотя бы один элемент отсутствует, режим считается неустановленным, и взыскать что-либо с сотрудника будет крайне сложно.

Документы по 152-ФЗ

Параллельно нужны документы, которые защитят вас перед Роскомнадзором:

• Приказ о назначении ответственного за обработку ПДн
• Перечень лиц, допущенных к обработке персональных данных
• Регламент работы с ПДн и инструкции для сотрудников
• Обязательства о неразглашении, подписанные каждым сотрудником
• Журнал ознакомления с документами

Техническая защита: главное, на что смотрит регулятор

Документы важны, но при проверке РКН первым делом выяснит: а мог ли технически один сотрудник выгрузить всю базу?

Что должно быть настроено:

1. Разграничение доступа — менеджер видит только своих клиентов, а не всю базу целиком
2. Запрет массовой выгрузки для рядовых сотрудников на уровне прав в CRM
3. Логирование — фиксация того, кто, когда и какие данные просматривал и экспортировал
4. Контроль каналов — блокировка отправки массивов данных на личную почту и внешние носители
5. Отзыв доступов при увольнении — в день увольнения, по чек-листу

Практика показывает: логи выгрузок — это одновременно и доказательство вины сотрудника в суде, и доказательство вашей должной заботы перед Роскомнадзором. Один инструмент закрывает обе задачи.

Чек-лист увольнения сотрудника с доступом к данным

Отработайте эту процедуру как стандартную:

1. Отзыв доступа ко всем системам в день увольнения (CRM, почта, облака, мессенджеры рабочих групп)
2. Смена общих паролей, к которым сотрудник имел доступ
3. Выгрузка и сохранение логов его активности за последние месяцы
4. Подписание обязательства о неразглашении после увольнения
5. Возврат корпоративной техники и носителей с фиксацией в акте
6. Проверка логов на аномальные выгрузки перед датой увольнения

Если утечка уже произошла

Действовать нужно быстро и по порядку:

1. Зафиксируйте факт — соберите логи, составьте акт с подписями ответственного и руководителя
2. Оцените объём — сколько субъектов затронуто, какие категории данных
3. Уведомите Роскомнадзор в течение 24 часов, расширенный отчёт — в течение 72 часов
4. Уведомите затронутых клиентов
5. Закройте уязвимость — отзовите доступы, ограничьте права
6. Документируйте все действия — это ваша должная забота, которая снизит штраф

Своевременное уведомление регулятора и доказательства принятых мер могут снизить штраф в несколько раз, а при первом инциденте — привести к предупреждению вместо санкции.

Что делать прямо сейчас

1. Проверьте: может ли ваш менеджер выгрузить всю клиентскую базу за одно действие
2. Введите режим коммерческой тайны, если его нет — без него вы юридически беззащитны
3. Настройте разграничение доступа в CRM по принципу минимально необходимого
4. Включите логирование просмотров и выгрузок
5. Утвердите чек-лист увольнения и применяйте его без исключений
6. Соберите подписи об ознакомлении с регламентом работы с ПДн у всех сотрудников

Главный вывод

Инсайдерская утечка бьёт по компании дважды: вы теряете клиентов и получаете штраф за то, что не смогли защитить их данные. Защита строится заранее и состоит из трёх слоёв: режим коммерческой тайны (чтобы взыскать с сотрудника), документы по 152-ФЗ (чтобы отбиться от регулятора) и техническое разграничение доступа с логированием (чтобы утечка была невозможна, а если случилась — доказуема).

Источники

• Федеральный закон № 98-ФЗ «О коммерческой тайне»
• Статья 272.1 УК РФ (незаконный оборот персональных данных)
• Статья 18.1 Федерального закона № 152-ФЗ (обязанности оператора)
• Судебная практика по делам о разглашении коммерческой тайны

---

Не уверены, что ваша клиентская база защищена от собственных сотрудников? Закажите аудит — настроим разграничение доступа и оформим режим коммерческой тайны. Или пройдите бесплатный экспресс-аудит за 5 минут.