HR загрузила мой трудовой договор в нейросеть без согласия - что делать?

Действия сотрудницы отдела кадров, скорее всего, неправомерны.

Трудовой договор содержит персональные данные работника. Загрузка необезличенного документа в сторонний сервис является обработкой персональных данных с использованием внешней информационной системы.

Согласно ст. 86 ТК РФ обработка персональных данных работника допускается только для законных и заранее определенных целей, связанных с трудовыми отношениями. По ст. 88 ТК РФ работодатель не вправе сообщать персональные данные работника третьей стороне без его письменного согласия, кроме случаев, прямо предусмотренных законом. Доступ к таким сведениям должен предоставляться только специально уполномоченным лицам и только в объеме, необходимом для выполнения их обязанностей.

Само по себе использование нейросети в работе законом не запрещено. Однако работодатель должен был заранее определить порядок такой обработки, проверить условия сервиса, обеспечить защиту информации, ограничить круг пользователей, а при необходимости оформить поручение на обработку персональных данных. Загрузка договора в личную общую учетную запись без обезличивания указанным требованиям явно не соответствует.

При этом нельзя без доказательств утверждать, что сотрудники компании — владельца нейросети лично прочитали трудовой договор. Как правило, владельцы сервиса не просматривают вручную каждый запрос. Но сервис технически получил и обработал содержащиеся в документе данные, а порядок их хранения и использования зависит от условий конкретной платформы. Включенная функция использования запросов для улучшения модели дополнительно усиливает риск дальнейшей обработки данных.

Данную ситуацию можно расценивать как нарушение законодательства о персональных данных.

Работодатель является оператором персональных данных и обязан обеспечить их конфиденциальность и безопасность. В силу ст. 19 Федерального закона от 27.07.2006 N 152-ФЗ организация должна защищать данные от неправомерного или случайного доступа, копирования, предоставления и распространения.

Особенно существенным является то, что одной учетной записью пользовались не менее 15 сотрудников. Эти лица потенциально могли открыть историю запросов и получить доступ к паспортным данным и домашнему адресу работника. Это не обязательно означает, что утечка уже произошла: для такого вывода нужны доказательства фактического просмотра, копирования или распространения документа. Однако общий доступ к аккаунту свидетельствует о ненадлежащей организации защиты данных и создает реальную угрозу неправомерного доступа.

Удаление договора из истории аккаунта не отменяет уже состоявшуюся передачу и не подтверждает, что все копии документа удалены с серверов сервиса.

Рекомендуемый порядок действий.

Сначала необходимо сохранить доказательства: скриншоты истории запросов, переписку с кадровиком и руководителем, сведения о названии сервиса, настройках аккаунта, круге пользователей и факте удаления документа.

После этого следует подать работодателю письменное заявление и потребовать:

— провести служебное расследование;

— сообщить, когда, кем и в какой сервис был загружен договор;

— указать всех сотрудников, имевших доступ к учетной записи;

— предоставить сведения о целях, основаниях и способах обработки данных;

— направить владельцу сервиса требование об удалении переданных данных;

— прекратить незаконную обработку;

— принять меры, исключающие повторение подобных случаев;

— рассмотреть вопрос о дисциплинарной ответственности виновного работника.

Работник имеет право получать сведения об обработке своих персональных данных и требовать устранения нарушений. Обязанности оператора по прекращению неправомерной обработки, блокированию и уничтожению данных предусмотрены ст. 20 и 21 Федерального закона N 152-ФЗ.

Если работодатель ограничится формальной отпиской, можно направить жалобы:

— в Роскомнадзор — по факту незаконной обработки и ненадлежащей защиты персональных данных;

— в Государственную инспекцию труда — по факту нарушения ст. 86–90 ТК РФ;

— в прокуратуру — для проведения проверки соблюдения законодательства.

За незаконную либо не соответствующую заявленным целям обработку персональных данных предусмотрена административная ответственность по ст. 13.11 КоАП РФ. По общему составу штраф для должностных лиц составляет от 50 000 до 100 000 рублей, для юридических лиц — от 150 000 до 300 000 рублей. Конкретная часть статьи и размер штрафа будут зависеть от обстоятельств нарушения.

При наличии нравственных переживаний, опасений использования паспортных данных либо иных негативных последствий можно обратиться в суд с требованием признать обработку незаконной, обязать прекратить ее и взыскать компенсацию морального вреда по ст. 237 ТК РФ и ст. 151 ГК РФ.

Верховный Суд РФ подтверждает возможность судебной защиты при незаконной обработке персональных данных и взыскания компенсации морального вреда, однако ее размер определяется индивидуально, с учетом характера нарушения, последствий и поведения ответчика.

Таким образом, основания для обращения в Роскомнадзор и трудовую инспекцию имеются уже сейчас. Фактическая утечка данных другим сотрудникам пока не доказана, но общий доступ к учетной записи является серьезным нарушением правил конфиденциальности и безопасности персональных данных.