Бывший сотрудник не возвращает пароли от корпоративных аккаунтов

Ситуация знакома любому, кто увольнял сотрудников из digital-сферы: специалист исчезает, а вместе с ним «уходят» пароли от корпоративной почты, Telegram-канала, аккаунтов в соцсетях и рекламных кабинетов. На просьбу восстановить доступ бывший работник отвечает фразой: «Аккаунт создавал я, пароль мой» или просто перестаёт выходить на связь. Компания оказывается в позиции, где рекламная кампания продолжает расходовать бюджет, а доступ к ресурсам утрачен.

Первое, что нужно понять, — кому принадлежат эти аккаунты. По закону и сложившейся практике работодатель имеет веские доводы, если аккаунт зарегистрирован при выполнении трудовых обязанностей, используется для деятельности компании, содержит фирменное наименование и контент работодателя. Дополнительными аргументами выступают факт получения зарплаты за эту работу, размещение информации от имени компании и оплата продвижения за счёт корпоративных средств. Всё это указывает на то, что ресурс является рабочим инструментом, а не личной собственностью сотрудника.

Проблема усугубляется тем, что во многих компаниях нигде не прописано, кому принадлежат созданные сотрудниками профили и кто обязан передавать ключи при расставании. Обычно о проблеме узнают в неудачный момент, когда бывший менеджер не отвечает, а деньги продолжают списываться. В такой ситуации начинать диалог с угроз — плохая идея. Сначала необходимо восстановить контроль над инфраструктурой.

Практический алгоритм действий включает несколько шагов. Сначала проверьте, к каким системам бывший сотрудник всё ещё имеет доступ. Обязательно смените пароли от связанных аккаунтов и проверьте резервные электронные адреса и телефоны, указанные для восстановления доступа. Если сотрудник пользовался ключами API, токенами или иными техническими доступами, их также нужно сменить или отозвать. Рекомендуется включить двухфакторную аутентификацию и перевести её на номер или устройство, находящиеся под полным контролем компании.

После того как техническая сторона урегулирована, можно переходить к юридической. Если самостоятельно восстановить доступ не удалось, бывшему сотруднику направляют письменное требование. В документе необходимо чётко перечислить конкретные ресурсы и потребовать передать логины, данные доступа и права администратора. Также в требовании прописывают запрет на дальнейшее использование корпоративных аккаунтов, изменение или удаление информации, а также использование данных, полученных в период работы. Если в договоре или ином документе предусмотрена обязанность удалить корпоративную информацию с личных устройств, это тоже стоит включить, при наличии для этого правовых оснований. Переписку и подтверждение направления требования обязательно сохраняем.

Если бывший сотрудник игнорирует требование и продолжает заходить в систему, ситуация может перерасти в уголовную. Согласно ст. 272 УК РФ, неправомерный доступ к охраняемой законом компьютерной информации, если он повлёк её копирование, изменение, блокирование или уничтожение, при наличии соответствующих признаков может стать основанием для привлечения к ответственности.

Вопрос о взыскании убытков с экс-сотрудника имеет свои ограничения. По Трудовому кодексу РФ работник отвечает за причинённый работодателю прямой действительный ущерб. Это значит, что взысканию не подлежат неполученные доходы. Недостаточно просто заявить, что компания три дня не могла зайти в аккаунт и потеряла миллион рублей. Нужно документально установить конкретный ущерб, доказать противоправность поведения, наличие причинной связи и само основание ответственности. В отдельных случаях, предусмотренных законом, возможна полная материальная ответственность, например, при причинении ущерба вследствие разглашения охраняемой законом тайны, если соблюдены все установленные условия.