Уволенный сотрудник не отдаёт пароли от корпоративных аккаунтов: что делать

Сотрудник уволился. А вместе с ним внезапно «уволились»:

• пароль от корпоративной почты;
• доступ к Telegram-каналу;
• аккаунты компании в соцсетях;
• рекламные кабинеты;
• облачное хранилище.

На просьбу передать доступ бывший сотрудник отвечает: «Аккаунт создавал я, пароль мой».

Или просто перестаёт отвечать. Что делать компании и можно ли заставить бывшего сотрудника вернуть доступ? Сначала выясняем: чей вообще аккаунт

Если сотрудник зарегистрировал аккаунт:

• при выполнении трудовых обязанностей;
• для деятельности компании;
• использовал фирменное наименование и контент компании;
• получал за эту работу зарплату;
• размещал информацию от имени работодателя;
• оплачивал продвижение деньгами компании.

То у работодателя появляются серьёзные аргументы в пользу того, что аккаунт использовался как корпоративный ресурс.

Но есть проблема. Во многих компаниях вообще нигде не написано, кому принадлежат созданные сотрудниками аккаунты и кто обязан передавать пароли при увольнении.

Пока все дружат, это никого особенно не беспокоит. Проблема почему-то обнаруживается в пятницу вечером, когда бывший SMM-менеджер уже не отвечает, а рекламная кампания продолжает списывать деньги.

Что делать в первую очередь

Не начинать с угроз. Сначала попытайтесь восстановить контроль. 1 Проверьте, к каким системам бывший сотрудник ещё имеет доступ. 2 Заблокируйте его корпоративную почту и учётные записи. 3 Завершите активные сессии там, где это возможно. 4 Смените пароли от связанных аккаунтов. 5 Проверьте резервные email, телефоны и способы восстановления доступа. 6 Смените или отзовите ключи API, токены и иные технические доступы, если сотрудник ими пользовался. 7 Проверьте права администратора в CRM, облачных сервисах, социальных сетях и рекламных кабинетах. 8 Обязательно включите двухфакторную аутентификацию и переведите её на контролируемый компанией номер или устройство.

И только после этого спокойно выясняйте отношения. Потому что пока юристы готовят красивую претензию на четырёх страницах, бывший сотрудник всё ещё может иметь административный доступ к системе.

Зафиксируйте требование передать доступы. Если самостоятельно восстановить доступ невозможно, бывшему сотруднику стоит направить письменное требование.

В нём необходимо перечислить конкретные ресурсы и потребовать:

• передать логины и необходимые данные доступа;
• передать права администратора;
• прекратить использование корпоративных аккаунтов;
• не изменять и не удалять информацию;
• не использовать полученные в период работы данные;
• подтвердить удаление корпоративной информации с личных устройств, если такая обязанность предусмотрена и для этого имеются правовые основания.

Переписку и подтверждение направления требования необходимо сохранить.

А если бывший сотрудник продолжает заходить в аккаунт?

Если после прекращения полномочий бывший сотрудник получает неправомерный доступ к охраняемой законом компьютерной информации и это приводит к её копированию, изменению, блокированию или уничтожению, при наличии предусмотренных законом признаков может ставиться вопрос о применении ст. 272 УК РФ о неправомерном доступе к компьютерной информации.

Можно ли взыскать с бывшего сотрудника убытки?

По ТК РФ работник отвечает за причинённый работодателю прямой действительный ущерб, а не за любую сумму, которую компания решила назвать своими потерями. Неполученные доходы в рамках материальной ответственности работника взысканию не подлежат. (КонсультантПлюс)

Поэтому недостаточно заявить: «Мы три дня не могли зайти в аккаунт и потеряли миллион». Нужно устанавливать конкретный ущерб, противоправность поведения, причинную связь и основания ответственности. В отдельных предусмотренных законом случаях возможна полная материальная ответственность. Например, ТК РФ отдельно называет причинение ущерба вследствие разглашения охраняемой законом тайны при наличии установленных законом условий.