Уволился сотрудник УК: что делать с его доступами?

Сотрудник сдал ключи, подписал обходной лист и ушёл. Но если его учётная запись всё ещё активна, рабочая почта открывается на личном телефоне, в браузере сохранены пароли, а машиночитаемая доверенность продолжает действовать, для управляющей организации увольнение фактически ещё не закончено.

Для УО, ТСЖ и ЖСК эта тема особенно чувствительна. В их информационных системах находятся сведения о собственниках и нанимателях, лицевых счетах и начислениях, задолженности, обращениях жителей, договорах, общих собраниях, приборах учёта, сотрудниках и контрагентах. Часть сведений размещается в государственных информационных системах и имеет юридическое значение. Поэтому «цифровое увольнение» должно происходить так же организованно, как передача печати, ключей и документов.

В Правовом агентстве «Комфортный дом» рекомендуют воспринимать отключение доступов не как техническую формальность, а как часть юридической процедуры прекращения полномочий работника. Закон прямо обязывает владельцев и операторов информации принимать правовые, организационные и технические меры против несанкционированного доступа: ст. 16 Федерального закона от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации».

Главная поправка к распространённому подходу

Увольнение прекращает трудовые полномочия сотрудника, но технические доступы не всегда прекращаются автоматически. Поэтому опасно рассчитывать на правило: «раз человек больше не работает, он уже ничего не сможет сделать». Система может продолжать принимать его логин и пароль, действующая сессия — не потребовать нового входа, а ранее выданная электронная доверенность — оставаться действующей до её отмены.

При этом само наличие неотключённой учётной записи ещё не означает автоматически ни утечку, ни преступление. Для правовой оценки важны фактические действия: входил ли бывший сотрудник в систему, какие сведения просматривал, копировал, изменял или блокировал, имелось ли у него разрешение, наступили ли последствия. Но для самой управляющей организации сохранение ненужного доступа — это уже очевидный управленческий и доказательственный риск.

Почему обязанность закрывать доступы следует из законодательства

Если в системе обрабатываются персональные данные, УО, ТСЖ или ЖСК как оператор обязаны обеспечить их защиту от неправомерного доступа, копирования, предоставления и иных неправомерных действий. Это следует из ст. 19 Федерального закона № 152-ФЗ «О персональных данных». Та же статья требует установить правила доступа к персональным данным и обеспечивать регистрацию и учёт действий, совершаемых с ними в информационной системе.

Дополнительно ст. 18.1 Закона № 152-ФЗ обязывает оператора принять необходимые и достаточные организационные меры, издать локальные акты, проводить внутренний контроль и ознакомить работников с правилами обработки персональных данных. А ст. 7 Закона № 152-ФЗ закрепляет обязанность лиц, получивших доступ к персональным данным, соблюдать их конфиденциальность.

Отсюда практический вывод: порядок выдачи, изменения и прекращения цифровых прав лучше закрепить во внутренних документах организации. Если бывший работник остаётся в списке пользователей «по привычке», работодателю сложнее объяснить, какие именно меры безопасности он принял и кто был уполномочен работать с данными на конкретную дату.

ГИС ЖКХ: доступ сотрудника — это отдельное полномочие, которое надо администрировать

Для управляющих организаций особенно важна ГИС ЖКХ. ч. 3 ст. 8 Федерального закона от 21.07.2014 № 209-ФЗ возлагает на поставщиков информации обязанность обеспечивать полноту, достоверность, актуальность и своевременность размещаемых сведений. Поэтому доступ бывшего работника создаёт не только риск просмотра данных, но и риск юридически значимых действий от имени организации.

Справка самой ГИС ЖКХ показывает, что права конкретным работникам назначает администратор организации; для работы сотрудник должен быть зарегистрирован в системе и получить соответствующие группы прав доступа. См. официальную инструкцию «Как предоставить работнику права доступа». Роли сотрудников также связаны с личным кабинетом организации на Госуслугах/ЕСИА.

На практике это означает, что при увольнении недостаточно просто «сменить пароль от ГИС ЖКХ». Следует проверить как минимум две ступени: роль/принадлежность сотрудника к организации в учётной записи юридического лица и конкретные права внутри ГИС ЖКХ. Аналогичным образом проверяются региональные и муниципальные жилищные системы, системы электронного документооборота и иные государственные сервисы.

Электронная подпись: увольнение сотрудника не равно автоматическому отзыву его личной КЭП

Это принципиально важный момент. Сегодня представитель юридического лица, как правило, подписывает электронный документ своей квалифицированной электронной подписью физического лица, а полномочия действовать от имени организации подтверждаются доверенностью, в том числе машиночитаемой.

Такой механизм закреплён в ст. 17.2 Федерального закона от 06.04.2011 № 63-ФЗ «Об электронной подписи». Поэтому при увольнении обычного сотрудника часто требуется не «аннулировать его личную электронную подпись», а оперативно отменить выданную ему доверенность/МЧД и прекратить доступ к сервисам организации.

Порядок хранения, использования и отмены таких электронных доверенностей установлен Постановлением Правительства РФ от 21.02.2022 № 223. ФНС также прямо разъясняет, что при изменении или прекращении полномочий действующую МЧД необходимо своевременно отозвать.

Отдельная ситуация — компрометация ключа электронной подписи. Если есть основания полагать, что конфиденциальность ключа нарушена, владелец квалифицированного сертификата обязан прекратить его использование и обратиться в удостоверяющий центр для прекращения действия сертификата (ч. 6 ст. 17 Закона № 63-ФЗ).

Иными словами, в чек-листе увольнения надо разделять: 1) личную КЭП физического лица; 2) доверенность/МЧД, дающую право действовать от имени УО, ТСЖ или ЖСК; 3) технический доступ к конкретному сервису. Это три разных объекта контроля.

Что именно нужно проверить в день увольнения

Практически безопаснее не растягивать процедуру на несколько дней. Критические полномочия желательно прекращать не позднее момента фактического прекращения работы сотрудника, а для конфликтного увольнения — синхронно с завершением его доступа к рабочему месту.

· 🔹 Госуслуги/ЕСИА и личный кабинет организации: удалить или изменить роль сотрудника, если она больше не нужна.

· 🔹 ГИС ЖКХ: прекратить назначенные права, проверить роль администратора и иные расширенные полномочия.

· 🔹 Корпоративная электронная почта: сменить пароль, завершить активные сессии, проверить резервные адреса, номера телефонов, правила пересылки и автоматические фильтры.

· 🔹 Облачные хранилища и общие папки: убрать сотрудника из групп доступа, проверить публичные ссылки и доступ «по ссылке».

· 🔹 1С, CRM, биллинговые программы, сервисы начислений и работы с обращениями жителей: заблокировать учётную запись и выгрузить журнал действий.

· 🔹 Электронный документооборот: прекратить права на подписание, согласование, отправку и получение документов.

· 🔹 Машиночитаемые и обычные доверенности: проверить срок и объём полномочий, отменить ненужные доверенности.

· 🔹 Ключи электронной подписи и токены, находившиеся у сотрудника: принять по акту либо зафиксировать, что они принадлежат самому сотруднику; при признаках компрометации действовать через удостоверяющий центр.

· 🔹 Клиент-банк и финансовые сервисы: отозвать права пользователя, права подписи, лимиты и доверенности.

· 🔹 Налоговая отчётность, СФР, ЕГАИС/ГИС и иные профильные кабинеты: проверить представителей и активные доверенности.

· 🔹 Рабочие компьютеры, смартфоны, SIM-карты, аппаратные токены, ключи доступа: принять по акту и исключить возможность дальнейшего удалённого подключения.

· 🔹 API-ключи, VPN, RDP, удалённый рабочий стол, сервисные учётные записи и пароли Wi-Fi/сетевого оборудования: сменить или отозвать, если сотрудник мог их знать.

Чего лучше не делать

· ❌ Не оставлять общий логин «на отдел». При индивидуальных учётных записях проще установить, кто и когда совершил действие. Для персональных данных это особенно важно с учётом требования регистрации и учёта действий в информационной системе (ст. 19 Закона № 152-ФЗ).

· ❌ Не удалять учётную запись сразу вместе с журналами. Сначала закройте вход и активные сессии, затем сохраните необходимые логи и архив деловой переписки — они могут потребоваться для внутреннего расследования или суда.

· ❌ Не считать, что смена одного пароля закрыла все риски. Нужно проверить восстановление доступа, резервные телефоны, OAuth-токены, пересылку почты, мобильные приложения и другие активные сессии.

· ❌ Не пытаться без правового основания получать полный доступ к личному телефону или личной почте бывшего сотрудника. Работодатель должен контролировать свои информационные ресурсы и заранее регулировать использование личных устройств для работы, а не смешивать корпоративные и личные аккаунты.

· ❌ Не забывать о бумажных и электронных доверенностях. Смена пароля в программе не отменяет полномочия, существующие в силу доверенности.

Если рабочая информация осталась на личном телефоне или компьютере

Такая ситуация часто возникает, когда в организации разрешено работать с личных устройств. Правильнее решать её заранее: локальным актом определить, допускается ли BYOD (использование личных устройств), какие приложения разрешены, можно ли хранить локальные копии документов, как проводится резервное копирование и что работник обязан сделать при увольнении.

В день увольнения целесообразно получить от сотрудника письменное подтверждение, что переданные ему рабочие файлы возвращены организации, локальные копии и сохранённые реквизиты доступа удалены в той части, в которой у работодателя есть законное основание требовать это. При этом «проверка всего телефона» бывшего работника без его согласия — плохая идея: безопаснее строить защиту организации вокруг контроля собственных серверов, сессий, токенов, доверенностей и журналов доступа.

Коммерческая тайна: режим работает только тогда, когда его действительно ввели

Если организация хочет ссылаться на коммерческую тайну, одного грифа в трудовом договоре недостаточно. ст. 10 Федерального закона от 29.07.2004 № 98-ФЗ «О коммерческой тайне» требует определить перечень такой информации, ограничить доступ, учитывать лиц, получивших доступ, урегулировать отношения с работниками и маркировать документы в предусмотренных законом случаях.

При этом ст. 11 Закона № 98-ФЗ прямо предусматривает, что обязанность работника не разглашать коммерческую тайну сохраняется и после прекращения трудового договора в течение срока действия режима, а материальные носители такой информации при увольнении должны быть переданы работодателю.

Для УО это может быть актуально, например, в отношении внутренних финансовых моделей, коммерческих условий договоров, отдельных баз контрагентов, технических настроек и иных сведений, которые действительно отвечают критериям коммерческой тайны и в отношении которых организация ввела установленный законом режим. Сведения, которые по закону не могут составлять коммерческую тайну, «закрыть» таким режимом нельзя.

Что говорит судебная практика о доступе бывшего сотрудника

Практика показывает, что сохранённый пароль после увольнения не превращает последующий вход в «разрешённый». В апелляционном постановлении Костромского областного суда по делу № 22-165/2018 суд признал доказанным, что бывший системный администратор после увольнения и утраты права доступа неоднократно входил на сервер электронной почты прежнего работодателя, используя ранее полученные логины и пароли, и копировал сведения. Действия были квалифицированы, в частности, по ст. 272 УК РФ.

Ещё более наглядный пример — апелляционное постановление Тамбовского областного суда по делу № 22-1487/2024: после увольнения бывшая сотрудница продолжала заходить с мобильного устройства в служебную электронную почту ведомства; суд признал правильной квалификацию по ч. 1 ст. 272 УК РФ при установленных последствиях в виде копирования, модификации и блокирования компьютерной информации.

Ключевое разъяснение содержит Постановление Пленума Верховного Суда РФ от 15.12.2022 № 37: применительно к ст. 272 УК РФ неправомерным доступом является получение или использование компьютерной информации без согласия её обладателя лицом, не наделённым необходимыми полномочиями, либо в нарушение установленного порядка. То есть факт, что пароль технически продолжал работать, сам по себе не означает наличие законного полномочия.

Одновременно важно не преувеличивать уголовно-правовую сторону: состав ст. 272 УК РФ зависит от конкретных обстоятельств и предусмотренных законом последствий. Поэтому при подозрении на вход бывшего сотрудника сначала необходимо обеспечить сохранность цифровых доказательств и провести юридическую оценку, а не автоматически объявлять любой вход «уголовным преступлением».

Если доступ уже использовали: что делать УО

1. Немедленно прекратить доступ: заблокировать учётную запись, завершить активные сессии, отозвать токены и доверенности, сменить критические пароли.

2. Сохранить доказательства: журналы входов, IP-адреса, историю действий, сведения о скачивании файлов, пересылке почты, изменениях в карточках и документах. Не «чистить» систему до фиксации.

3. Определить, к каким данным был доступ: персональные данные, коммерческая тайна, сведения ГИС ЖКХ, бухгалтерские документы, платежи, обращения жителей.

4. Проверить, были ли изменены или отправлены юридически значимые документы, сведения в ГИС ЖКХ, заявления, платёжные документы, ответы жителям, договоры.

5. Провести внутреннее расследование и зафиксировать результаты актом/служебной запиской.

6. Оценить обязанность уведомить Роскомнадзор и иные органы, а также необходимость обращения в правоохранительные органы.

7. Оценить гражданско-правовые требования о возмещении убытков, если организации причинён имущественный вред.

Особое правило действует при инциденте с персональными данными. Если установлен факт неправомерной или случайной передачи, предоставления, распространения или доступа к персональным данным, повлекший нарушение прав субъектов, ч. 3.1 ст. 21 Закона № 152-ФЗ предусматривает уведомление Роскомнадзора: первоначально — в течение 24 часов, а о результатах внутреннего расследования — в течение 72 часов.

Если действия бывшего работника причинили организации убытки, их взыскание возможно по общим правилам гражданского законодательства. При этом пп. 11–13 Постановления Пленума Верховного Суда РФ от 23.06.2015 № 25 разъясняют подходы к доказыванию убытков: необходимо показать нарушение, причинную связь и размер потерь с разумной степенью достоверности.

Какие документы стоит иметь УО, ТСЖ или ЖСК заранее

· 🔹 локальный акт о порядке выдачи, изменения и прекращения доступа к информационным системам;

· 🔹 реестр информационных ресурсов и ответственных администраторов;

· 🔹 матрицу ролей: кто имеет доступ к ГИС ЖКХ, почте, 1С, банку, ЭДО, облакам и другим критичным системам;

· 🔹 чек-лист приёма и увольнения сотрудника (onboarding/offboarding);

· 🔹 порядок работы с персональными данными и информационными инцидентами;

· 🔹 порядок использования личных устройств для рабочих целей, если такая практика допускается;

· 🔹 реестр выданных доверенностей и МЧД с ответственным за их своевременную отмену;

· 🔹 форму акта передачи цифровых ресурсов: устройства, токены, SIM-карты, пароли к служебным аккаунтам, администраторские права, резервные коды;

· 🔹 регламент резервного администратора — чтобы критический сервис не зависел от одного сотрудника.

Полезное правило: ни один критически важный сервис не должен находиться под фактическим единоличным контролем одного сотрудника. У организации должен быть административный доступ, понятный порядок восстановления и хотя бы один резервный ответственный.

Мини-чек-лист руководителю в день увольнения

· ☑ Приказ об увольнении и перечень передаваемых дел подписаны.

· ☑ Корпоративные устройства, токены, SIM-карты, ключи и носители приняты.

· ☑ Аккаунты заблокированы, активные сессии завершены.

· ☑ Доступы ГИС ЖКХ и других государственных систем прекращены.

· ☑ Роль в личном кабинете организации на Госуслугах/ЕСИА проверена.

· ☑ МЧД и иные доверенности отозваны или ограничены.

· ☑ Критические пароли и резервные коды изменены.

· ☑ Почта и облачные сервисы проверены на пересылку и внешние привязки.

· ☑ Логи сохранены.

· ☑ Назначен новый ответственный и проверено, что организация не потеряла доступ к сервисам.

Чем может помочь ПА «Комфортный дом»

На практике проблема обычно обнаруживается уже после увольнения: пароль знает только бывший сотрудник, в ГИС ЖКХ остались его полномочия, электронная доверенность не отозвана, служебная почта привязана к личному телефону, а руководство не понимает, какие действия уже были совершены.

Правовое агентство «Комфортный дом» работает именно с управляющими организациями, ТСЖ, ЖСК и иными организациями жилищной сферы. Мы можем:

· 🔹 провести юридический аудит цифровых полномочий сотрудников и выявить «висящие» доступы;

· 🔹 подготовить внутренний регламент управления доступами и чек-лист увольнения;

· 🔹 разработать формы приказов, актов передачи, служебных записок и обязательств о конфиденциальности;

· 🔹 проверить доверенности и МЧД, помочь организовать их своевременную отмену;

· 🔹 оценить правовые последствия уже произошедшего несанкционированного доступа;

· 🔹 подготовить документы для внутреннего расследования, Роскомнадзора, правоохранительных органов или суда;

· 🔹 выстроить доказательственную позицию, если бывший сотрудник скопировал документы, изменил сведения или причинил организации убытки.

Цель такой работы — не усложнить увольнение дополнительной бюрократией, а сделать так, чтобы после ухода одного сотрудника УО не потеряла управление своими информационными ресурсами и не получила проблему с персональными данными, ГИС ЖКХ, электронной подписью или доказательствами.

Если в вашей управляющей организации, ТСЖ или ЖСК увольняется сотрудник, у которого были доступы к ГИС ЖКХ, расчётным программам, почте, ЭДО, банку или электронной подписи, лучше проверить цифровые полномочия до того, как они превратятся в спор. ПА «Комфортный дом» поможет провести такую проверку и оформить процедуру юридически корректно.🤝

✍ Напишите ваш вопрос сюда

🙂 Правовое агентство "Комфортный дом"

📘 Юридическая помощь ТСЖ, УК, ЖСК, ТСН, ГСК, ЖК

🌍 Работаем по всей РФ

📞 Телефон: +7 (991) 180-70-20

📍 Адрес: Москва, шоссе Энтузиастов, д. 10/2

🌐 Наш сайт

📲 Есть ли в вашей организации установленный порядок закрытия всех цифровых доступов при увольнении сотрудника?