За разглашение персональных данных отвечает прежде всего компания как оператор - по статье 13.11 КоАП РФ, где с 30 мая 2025 года штрафы для юрлиц выросли в разы, а при повторном нарушении применяется оборотный штраф от выручки. Сотрудник, который допустил ошибку, может быть привлечен к дисциплинарной ответственности внутри компании - от выговора до увольнения, если это предусмотрено трудовым договором и должностной инструкцией.
Уголовная ответственность по статье 272.1 УК РФ наступает при незаконном обороте персональных данных в крупном масштабе или из корыстной заинтересованности. Обычная ошибка по невнимательности, без умысла и цели наживы, под эту статью обычно не подпадает, хотя окончательно это решает следствие, а не сам факт пересылки не туда.
Компании в такой ситуации стоит зафиксировать инцидент и оценить, вышли ли данные за пределы организации: в вашем случае это был другой отдел внутри компании, что смягчает ситуацию, но не снимает ответственность полностью. Если данные ушли за пределы компании третьим лицам, уведомление в Роскомнадзор в течение 24 часов уже обязательно, и с этим лучше не затягивать.