Документ компании раскрыл данные сотрудника: что делать с файлом

Чаще всего компанию никто не взламывал: файл с паспортом, подписью или личным телефоном сотрудника выложили сами — как приложение, презентацию или шаблон. Чтобы закрыть такую утечку, нужно убрать исходник по его прямому адресу, оставить безопасную публичную версию документа, если она нужна, и отдельно разобраться с поиском и копиями.

✍️ Антон Таранов, помогаю компаниям и людям убирать лишнее из поиска, — Pantera Digital.

Откуда на сайте берутся файлы с паспортом и подписью

PDF с паспортом работника на сайте почти всегда рождается в обычной работе. Отдел продаж выкладывает приложение к договору, чтобы партнёрам было удобно скачать. Кадровик публикует доверенность или скан приказа. Маркетолог загружает презентацию, в которой на последнем слайде остался реальный договор с подписью руководителя. В разделе «Вакансии» годами висит резюме кандидата с домашним адресом. В шаблон, который должен быть пустым, кто-то однажды вписал данные живого человека.

Дальше файл живёт своей жизнью. Страницу переделали, сотрудник уволился, а PDF лежит на сервере, и поисковик находит его по фамилии, названию компании или номеру договора. Так и выходит, что данные сотрудника индексируются по компании, а приложение к договору индексируется вместе с паспортными данными, хотя сама компания про этот файл давно забыла. Корпоративный файл попал в Google не потому, что его кто-то украл, а потому, что его никто не убрал. Особенно часто это касается бывших сотрудников: их паспорт может стоять в старом документе, который не открывали несколько лет.

Почему убрать ссылку со страницы недостаточно

Страница сайта и файл на ней — два разных объекта. Когда со страницы убирают кнопку «Скачать», сам файл остаётся на месте и по прямому адресу открывается как раньше. Вот где он продолжает жить:

1. медиатека сайта. Большинство систем управления сайтом (CMS — та «админка», через которую публикуют материалы) хранят загруженный файл отдельно от страницы. Удалили страницу — файл остался.
2. кэш CDN. Если сайт работает через сеть доставки контента (сервис, который хранит копии файлов ближе к посетителям), копия может отдаваться ещё какое-то время после удаления с сервера.
3. поисковый индекс. Поисковик помнит адрес файла и его текст, пока не перепроверит страницу.
4. старая версия рядом с новой. Новый обезличенный PDF не удаляет прежний: если загрузить его под другим именем, в сети будут жить оба.

Отсюда ответ на частый вопрос, нужно ли менять адрес файла. Старый адрес нужно закрыть так, чтобы он отвечал «страница не найдена» (это коды ответа сервера 404 или 410). Чистую версию — выложить по новому адресу. Если просто заменить содержимое по старому адресу, в поиске ещё долго может висеть прежний текст.

Опись документов и безопасная версия файла

Первым делом составьте опись: прежде чем удалить старый документ с сайта, соберите все похожие файлы, а не только первый найденный. Обычно за одним PDF стоят ещё несколько из того же отдела. В опись входят: список документов, подразделение, которое их выкладывало, дата публикации, живые адреса и поисковые запросы, по которым файл находится. Без неё легко закрыть один документ и пропустить три соседних.

Для каждого файла решение одно из трёх:

1. убрать совсем, если документ больше никому не нужен;
2. заменить безопасной версией, если публичный документ обязателен — например, типовой договор для клиентов;
3. закрыть доступом — паролем или личным кабинетом, если файл нужен только партнёрам.

На этом шаге утечка данных через PDF компании чаще всего случается второй раз. Безопасную версию лучше собрать заново из исходного документа, вычеркнув лишнее ещё в редакторе, чем закрашивать готовый PDF. Чёрный прямоугольник поверх текста не удаляет сам текст. В декабре 2025 года в опубликованных документах по делу Эпштейна закрашенные места удалось скопировать простым выделением; по версии журналистов, чёрным закрасили фон текста, а не сами буквы. С подписью директора в открытом документе и паспортом сотрудника это работает так же.

Отдельно стоит проверить две вещи, которых не видно на экране. Первая — метаданные: в свойствах файла часто записаны автор, организация, имя компьютера. Вторая — скрытый текстовый слой: у сканов, прогнанных через распознавание, под картинкой лежит текст, и поисковик читает именно его. Особо чувствительный файл не стоит загружать в бесплатный онлайн-редактор, не понимая, где он потом будет храниться: так документ попадает ещё на один чужой сервер.

Как убрать файл из поиска и с чужих сайтов

Когда исходник закрыт, поиск забывает его не сразу. Яндекс удаляет страницу из базы в течение недели после того, как робот увидит запрет или ответ 404/410. У владельца сайта есть и инструмент «Удаление страниц из поиска» в Яндекс Вебмастере — до 500 адресов в сутки, но по справке Яндекса он срабатывает, только если адрес закрыт запретом в файле robots.txt (директива Disallow). Без такого запрета остаётся ждать, пока робот сам увидит ответ 404 или 410. Google через Search Console скрывает адрес до шести месяцев, и сам Google называет это лишь первым этапом: файл должен быть удалён или закрыт по-настоящему.

Сотрудник, чьи данные оказались в файле, может подать заявку и сам. Google удаляет из выдачи номер паспорта, личные контакты и изображение подписи или удостоверения личности. Российские поисковики по требованию человека прекращают показывать сведения, распространяемые с нарушением закона, в течение десяти рабочих дней.

Сложнее всего с копиями. PDF, который пролежал в открытом доступе несколько месяцев, обычно успевают забрать агрегаторы документов, архивы и сайты-«читалки». У каждой такой копии свой владелец, и закрытие исходника на них не действует. Здесь работает принцип айсберга: убрали верхние строки выдачи — на их место поднимается то, что лежало глубже, и кажется, что ссылок не стало меньше. Мгновенного результата не будет ни у кого: поисковик перепроверяет страницы по своему расписанию.

Если копий много и они на чужих сайтах, эту часть разумно отдать специалистам. Мы убираем копии документа из поиска: по нашей практике, деиндексация ссылки из Яндекса занимает 1–3 дня, по сложному сайту — до двух недель. Если владелец сайта-копии отказывается что-то делать, пригодится разбор о том, что проверить и куда жаловаться, когда сайт не удаляет персональные данные.

Что делать с подписью руководителя и паспортом, которые уже скачали

Скачанные копии не отозвать: стереть файл с чужого компьютера невозможно ни технически, ни через суд. Поэтому после уборки сайта и поиска стоит закрыть то, чем такая копия опасна.

1. предупредить сотрудника. Ему стоит поставить самозапрет на кредиты и внимательнее относиться к звонкам «от банка» и «от работодателя».
2. отозвать доверенность, если в открытом доступе оказалась она, и выпустить новую.
3. предупредить партнёров и банк, что документы с подписью руководителя появились в сети, и договориться, как подтверждать подлинные бумаги.

Есть и обязательная часть, которую уборка выдачи не заменяет. Закон запрещает раскрывать и распространять чужие персональные данные без согласия человека, кроме прямо названных законом случаев, а Трудовой кодекс — сообщать данные работника третьим лицам без его письменного согласия.

Если компания выявила такое раскрытие, она должна прекратить его не позднее трёх рабочих дней, уведомить Роскомнадзор об инциденте в течение 24 часов, а о результатах внутреннего расследования — в течение 72 часов. Это работа юриста или ответственного за персональные данные, и её стоит начать параллельно с поиском, а не после.

Если паспорт сотрудника попал в документацию закупки

С госзакупками своя особенность: документы в единой информационной системе (ЕИС) размещает заказчик. Поэтому, чтобы убрать персональные данные в ЕИС закупок или удалить приложение из госзакупки, начинать стоит с письма заказчику: какой файл, какие данные в нём лишние и просьба заменить документ обезличенной версией.

Обязателен ли скан паспорта в приложении к контракту, зависит от требований к самому документу, и эти требования стоит проверить в документации конкретной закупки.

Публикация — отдельный вопрос. По позиции Роскомнадзора, данные в ЕИС без согласия обрабатываются в том объёме, который требует законодательство о закупках, а в реестр контрактов о поставщике попадают ФИО, место жительства, телефоны, электронная почта и ИНН. Этот перечень сам по себе не отвечает, нужен ли паспорт в конкретном приложении, но показывает: то, что нужно для оформления, не обязательно должно быть видно всем. Поэтому, если в документе есть паспорт работника, подпись работника в конкурсной документации или личный телефон в заявке поставщика, стоит заранее спросить заказчика, можно ли разместить обезличенную публичную версию, и обезличить закупочный документ до публикации.

Пример по дням: доверенность с паспортом в поиске

Типичный случай из тех, с которыми к нам приходят. Сотрудница вбила в поиск свою фамилию и нашла доверенность компании: разворот паспорта и подпись директора.

1. день 1. Компания закрыла файл на сайте. Опись показала ещё три документа из того же отдела: старое приложение к договору и два резюме бывших сотрудников.
2. день 2. Старые адреса отдают «не найдено», типовой договор выложен заново, уже без данных, по новому адресу. Мы подали заявки на удаление из поиска.
3. день 3. Яндекс перестал показывать доверенность по фамилии сотрудницы.
4. дни 4–10. Нашлись две копии на агрегаторе документов. Мы убрали их из выдачи, исходники на чужом сайте закрыл его владелец.

Через две недели по фамилии сотрудницы и названию компании документы больше не находились. Скачанные раньше копии вернуть было нельзя, поэтому сотрудница поставила самозапрет на кредиты, а компания отозвала доверенность.

Как не выложить такой файл снова

Повторная утечка почти всегда случается там же, где первая: у отдела, который публикует документы без второй пары глаз. Помогает простой порядок.

1. один ответственный за загрузку документов на сайт, а не каждый, у кого есть доступ к админке.
2. проверка перед загрузкой: есть ли в файле данные людей, подписи, номера документов; очищены ли метаданные; нет ли скрытого текста под сканом.
3. шаблоны без живых данных — с пометками вроде «ФИО» и «подпись» вместо реальных.
4. поиск по названию компании раз в квартал вместе со словами «паспорт», «доверенность», «приложение».

Дальше выбор простой. Скрыть кнопку скачивания со страницы можно самим за полчаса, но файл останется доступен по прямому адресу и в поиске. Если нужно отозвать опубликованный файл: закрыть исходник, разобраться с публичными копиями на других сайтах и убрать след документа в поисковой выдаче, — поручите это нам, начнём с описи всего, что находится по компании. Уже скачанные файлы отозвать нельзя, поэтому параллельно стоит закрыть риски для сотрудника, о которых шла речь выше.