Менеджер ушёл с клиентской базой: что делать по закону

Сценарий знаком почти каждому владельцу малого бизнеса. Лучший менеджер автосалона, администратор салона или старший мастер уходит, а через месяц постоянные клиенты начинают получать звонки и сообщения из нового места. Оказывается, база клиентов уехала вместе с сотрудником: выгрузка из CRM, фото экрана, копия таблицы, переписка в личном телефоне.

Что можно сделать в такой ситуации, зависит от того, что было сделано до неё. Ниже — разбор правовых инструментов (коммерческая тайна, трудовое право, уголовная ответственность, персональные данные), их реальных ограничений, и практический план защиты базы, который работает лучше любых судебных перспектив.

Сначала — трезвая оценка

Клиенты не принадлежат компании. Клиент вправе пойти к мастеру, к которому привык, и запретить это невозможно. Но база данных клиентов — список с контактами, историей покупок, предпочтениями — это информация, которую компания собирала и защищала. Использовать её без разрешения, переманивая клиентов, — уже другой вопрос. Правовая защита работает, только если вы заранее сделали базу защищаемой информацией.

Инструмент 1. Коммерческая тайна

Федеральный закон № 98-ФЗ «О коммерческой тайне» защищает информацию, только если в отношении неё введён режим коммерческой тайны. Статья 10 закона перечисляет обязательные меры:

1. Определён перечень информации, составляющей коммерческую тайну. Клиентская база должна быть в него включена.
2. Ограничен доступ: установлен порядок обращения с информацией и контроль за его соблюдением.
3. Ведётся учёт лиц, получивших доступ.
4. Отношения с работниками урегулированы трудовыми договорами, с контрагентами — гражданско-правовыми.
5. На документы и носители нанесён гриф «Коммерческая тайна» с указанием обладателя.

Если хотя бы одной из этих мер нет, режим коммерческой тайны не установлен, и все дальнейшие инструменты, основанные на ней, ослабевают. Это самая частая причина, по которой владельцы проигрывают такие споры.

Инструмент 2. Увольнение за разглашение

Подпункт «в» пункта 6 части 1 статьи 81 Трудового кодекса позволяет уволить работника за однократное грубое нарушение — разглашение охраняемой законом тайны, ставшей известной в связи с исполнением трудовых обязанностей, включая разглашение персональных данных другого работника. Ограничения:

• инструмент работает, пока человек ещё работает у вас: если он уже уволился по собственному желанию, этот шаг неприменим;
• нужно доказать факт разглашения и то, что информация была охраняемой тайной, а работник был с этим ознакомлен.

На практике это способ отреагировать, если вы заметили массовую выгрузку до ухода сотрудника.

Инструмент 3. Возмещение ущерба

По части 3 статьи 11 98-ФЗ работник обязан возместить убытки, если виновен в разглашении коммерческой тайны, ставшей ему известной в связи с работой. Часть 4 позволяет требовать возмещения убытков и от бывшего работника, если информация разглашена в течение срока действия режима тайны. Но часть 5 прямо говорит: убытки не возмещаются, если разглашение произошло из-за того, что работодатель не соблюдал меры режима коммерческой тайны. Вторая сложность — доказать размер убытков: какие именно клиенты ушли из-за использования базы, а не по своей воле.

Инструмент 4. Статья 183 УК РФ

Статья 183 Уголовного кодекса устанавливает ответственность за незаконное собирание сведений, составляющих коммерческую тайну, и за незаконные разглашение или использование таких сведений лицом, которому они были доверены или стали известны по службе или работе. Квалифицирующие признаки — крупный ущерб и корыстная заинтересованность.

Это серьёзный инструмент, но с высоким порогом: нужны доказательства режима коммерческой тайны, факта копирования и использования. Заявление в полицию без этих доказательств чаще всего не приводит к возбуждению дела.

Инструмент 5. Персональные данные

Клиентская база — это ещё и персональные данные. Компания — оператор, и она обязана обеспечивать их защиту. Бывший сотрудник, который вывез базу и использует её для своих целей, обрабатывает чужие персональные данные без законного основания. Клиенты, которым звонят из нового места, вправе пожаловаться в Роскомнадзор.

У этого инструмента есть обратная сторона: факт копирования базы сотрудником — это и ваш инцидент. Если произошла неправомерная передача персональных данных, оператор обязан уведомить Роскомнадзор в течение 24 часов, а результаты внутреннего расследования направить в течение 72 часов (часть 3.1 статьи 21 152-ФЗ). За неуведомление предусмотрен штраф для организаций от 1 до 3 млн рублей, а сама утечка данных от 1 тыс. человек грозит штрафом от 3 млн рублей. План действий — в статье утечка ПДн: уведомление Роскомнадзора за 24 и 72 часа.

Что делать прямо сейчас, если база уже ушла

1. Зафиксируйте доказательства: журнал выгрузок и действий в CRM, логи доступа, переписку, сообщения клиентов о звонках с новым местом. Не удаляйте учётную запись сотрудника до сохранения журналов.
2. Немедленно отключите доступы: CRM, почта, мессенджеры компании, облачные хранилища, общие пароли. Смените пароли, которые знал сотрудник.
3. Оцените масштаб: какие данные и сколько клиентов. Это нужно и для претензии, и для решения об уведомлении Роскомнадзора.
4. Если есть признаки утечки персональных данных, выполните обязанность по уведомлению в сроки — это защищает вас от отдельного штрафа.
5. Свяжитесь с ключевыми клиентами сами: не обвиняя бывшего сотрудника, напомните о себе и предложите удобные условия. Это работает лучше любой претензии.
6. Проконсультируйтесь с юристом по перспективам претензии, иска или заявления, исходя из того, какие меры режима тайны у вас были.

Как защититься: технические меры

Юридические инструменты помогают после, технические — до. В нормальной CRM для малого бизнеса должны быть:

• персональные учётные записи без общих логинов;
• роли: продавец или мастер видит своих клиентов, а не всю базу;
• запрет массовой выгрузки для всех, кроме владельца, или подтверждение экспорта;
• журнал действий: кто открыл, изменил, выгрузил;
• оповещение владельца о необычной активности — например, просмотре сотен карточек за час;
• быстрое отключение доступа одним действием при увольнении.

Подробнее о технических мерах — в статье защита CRM от утечки клиентской базы, о правах доступа — права доступа: «всем всё» заканчивается плохо.

В наших системах эти механизмы встроены: в A777AA для автосалонов есть роли и подтверждение перед экспортом базы, в homade для салонов мастер видит только свои записи, в Auto555 для проката доступ разграничен по ролям.

Как защититься: организационные меры

• Введите режим коммерческой тайны по статье 10 98-ФЗ: перечень, порядок доступа, учёт, ознакомление под подпись.
• Включите условие о неразглашении в трудовые договоры.
• Не ведите работу с клиентами в личных мессенджерах сотрудников: используйте рабочие номера и аккаунты, которые остаются у компании.
• Привязывайте клиента к компании, а не к человеку: единый номер, единая запись, программа лояльности от имени бизнеса.
• Проводите выходное интервью и отключайте доступы в день ухода, а не через неделю.

Документы по персональным данным, которые одновременно помогают защищать базу, перечислены в статье документы по 152-ФЗ для малого бизнеса.

Чек-лист дня увольнения сотрудника с доступом к базе

Этот порядок не требует юриста и занимает час. Он не гарантирует, что сотрудник ничего не скопировал заранее, но сильно сокращает окно возможностей и даёт вам доказательства, если что-то всё-таки произошло.

Сколько стоит профилактика

Посчитайте на своём бизнесе: если уходящий менеджер уводит 10% постоянных клиентов, а каждый приносит в год условные 30 тыс. рублей выручки, при базе в 1 000 клиентов это 3 млн рублей в год. Настройка ролей и журнала в CRM, ознакомление сотрудников с режимом тайны и переход с личных мессенджеров на рабочие стоят в десятки раз меньше. Оценить ущерб от инцидента с данными поможет калькулятор ущерба от утечки данных, а аудит доступов в вашей CRM мы проводим в рамках услуги кибербезопасности.