Населённый пункт Счастье (Луганская Народная Республика) с 2022 года находится в составе Российской Федерации. Это означает, что на его территории действует федеральное законодательство РФ, в т.ч. Федеральный закон № 152-ФЗ «О персональных данных». Несоблюдение требований этого закона влечёт за собой серьезные административные, гражданско-правовые и в отдельных случаях уголовные последствия.

В данной статье мы подробно разберем, как выстроить работу с персональными данными (ПДн) так, чтобы избежать штрафов, претензий Роскомнадзора и репутационных потерь.

Понимание нормативной базы: что регулирует 152-ФЗ

Главный документ — ФЗ-152 «О персональных данных» (принят ГД , последняя редакция актуальна на 2024–2026 гг.). Дополняется законом:

• КоАП РФ (ст. 13.11), административная ответственность за нарушение законодательства о персональных данных.
• УК РФ (ст. 137, 272, 273, 274) — уголовная ответственность за несанкционированный доступ, распространение, кражу ПДн.
• ГК РФ (ст. 151, 1064) — возмещение морального вреда и убытков.
• Постановления Правительства РФ (например, № 719 «Об утверждении требований к защите ПДн при их обработке в ИСПДн»).
• Приказы ФСТЭК и ФСБ — по технической и криптографической защите информации.

Важно: На территории Счастья (ЛНР) действуют те же штрафные санкции, что и в Москве или Владивостоке. Роскомнадзор осуществляет контроль через свои территориальные управления (Управление Роскомнадзора по ЛНР/ДНР).

Размеры штрафов в 2024–2026 годах (ст. 13.11 КоАП РФ)

Штрафы регулярно индексируются и ужесточаются. На текущий момент основные санкции для юрлиц:

Критический момент: За утечку данных (нарушение режима защиты) штрафы до 500 000 руб. за одно дело. Если утечка затрагивает тысячи субъектов, Роскомнадзор может возбудить несколько протоколов. Плюс гражданские иски — до 100 000 руб. морального вреда с человека (судебная практика растет).

Пошаговый чек-лист соответствия (Compliance) для организации в Счастье

Шаг 1. Инвентаризация и аудит потоков данных (Data Mapping)

Нельзя защитить то, чего не знаете. Проведите аудит:

1. Какие категории ПДн обрабатываете? (ФИО, паспорт, СНИЛС, биометрия, здоровье, платежные данные, геолокация).
2. Откуда поступают? (Сотрудники, клиенты, контрагенты, сайт, видеонаблюдение, СКУД).
3. Куда передаются? (1С, CRM, почта, облака, подрядчики, операторы, госорганы).
4. Где хранятся? (Серверы в Счастье, дата-центры в РФ, зарубежные облака — передача за рубеж требует особых оснований).

Шаг 2. Уведомление Роскомнадзора (Реестр операторов)

Обязательно, если вы не попадаете в исключения (ст. 22 ФЗ-152: только кадровые данные сотрудников по трудовому договору, данные членов НКО, данные из публичных источников и др.).

• Подача уведомления через Госуслуги / Личный кабинет Роскомнадзора.
• Срок: до начала обработки.
• Штраф за неуведомление: до 30 000 руб. (юрлицам).

Шаг 3. Разработка локальных актов (Документальное оформление)

Инспектор в первую очередь попросит «папку оператора». Обязательный минимум:

• Политика обработки ПДн (публикуется на сайте, ст. 18.1 ФЗ-152).
• Приказ об назначении ответственного за обработку ПДн (ст. 22.1 ФЗ-152).
• Модель угроз ИСПДн (по методике ФСТЭК).
• Перечень мер защиты информации (организационных и технических), соответствующий модели угроз (Постановление № 719).
• Инструкции и регламенты: по инцидентам, доступу, учету носителей, уничтожению, работе с СЗИ.
• Согласия на обработку (формы для клиентов, сайтов, сотрудников — где требуется).
• Договоры с операторами/подрядчиками (обязательные условия ст. 28 ФЗ-152).
• Журналы учета: доступа к ПДн, инцидентов, выдачи/уничтожения носителей, обучения персонала.

Шаг 4. Техническая защита информации (ТЗИ) — Уровни защищенности по Пост. № 719

В зависимости от модели угроз (текучесть данных, количество субъектов, категории ПДн) определяется уровень защищенности (УЗ 1, 2, 3, 4 — где 1 максимальный). Для типичного бизнеса в Счастье чаще всего УЗ 3 или 4.

Базовые меры (УЗ 3–4):

• Антивирусная защита (сертифицированная ФСТЭК/ФСБ).
• Средства контроля целостности (СКЦ).
• Средства управления доступом (ИАС, разграничение прав, МФА).
• Журналирование событий безопасности (SIEM / логирование).
• Резервное копирование и восстановление.
• Шифрование ПДн на носителях и в каналах передачи (VPN, TLS, СЗИ ФСБ/ФСТЭК).
• Защита от утечки (DLP-системы — рекомендуется для УЗ 2–3).

Шаг 5. Работа с персоналом (Человеческий фактор — главная уязвимость)

• Добровольное согласие сотрудников на обработку их ПДн (для целей, выходящих за рамки ТК РФ).
• Ознакомление под роспись с локальными актами, инструкциями, политикой.
• Регулярное обучение ИБ (раз в год минимум), закрепление в журнале.
• НДА / соглашения о неразглашении (в т.ч. при увольнении).
• Контроль доступа: принцип минимальных привилегий, отзыв доступов в день увольнения.

Шаг 6. Обеспечение прав субъектов ПДн (Ст. 18, 21 ФЗ-152)

Готовьтесь к запросам. Срок ответа — 30 календарных дней (продлевается до 60 при сложности).

• Право на доступ (что храним, зачем, кому передавали).
• Право на исправление / блокирование / удаление.
• Право на отзыв согласия (вы должны прекратить обработку в срок, установленный законом/договором).
• Автоматизированные решения (профилирование), право на объяснение логики.

Шаг 7. Учет инцидентов и утечек (Ст. 22.1 ФЗ-152, Пост. № 1119)

• Внутренний журнал инцидентов ИБ.
• Уведомление Роскомнадзора о утечке в течение 24 часов после обнаружения (через ЛК Роскомнадзора).
• Уведомление субъектов ПДн, если утечка создает угрозу их правам (в разумные сроки).
• Расследование, устранение причины, отчетность.

Специфика работы в Счастье (ЛНР): практические нюансы

Трансграничная передача данных

Если ваши серверы находятся в Счастье, а резервное копирование идет в дата-центр в Москве — это НЕ трансграничная передача (все в РФ).
Если используете облака (Yandex Cloud, VK Cloud, Selectel, Timeweb) — проверяйте, что дата-центры в РФ.
Запрещено передавать ПДн в «неадекватные» страны без согласия субъекта или международного договора (ст. 12 ФЗ-152).

Видеонаблюдение и СКУД

Обработка биометрии (лицо, отпечатки) требует письменного согласия (ст. 11 ФЗ-152). На визуальном контроле (камеры без распознавания лиц) согласие не нужно, но обязательны таблички «Ведется видеонаблюдение» и локальный акт.

Сайт и интернет-маркетинг

• Политика конфиденциальности в футере (ссылка на каждой форме).
• Cookie-баннер с настройками (необходимые / аналитика / маркетинг).
• Чекбокс согласия на формах (не предзаполненный!).
• Интеграция с Яндекс.Метрикой / GA4 — анонимизация IP, отключение User-ID без согласия.
• Рассылки: только по согласии (двойное подтверждение Double Opt-In), ссылка на отписку в каждом письме (Закон о рекламе + 152-ФЗ).

Работа с подрядчиками (Операторами)

Если передаете ПДн в 1С, колл-центр, курьерскую, маркетинговое агентство — заключайте договор поручения обработки (ст. 28 ФЗ-152). В договоре обязательны: перечень действий, цели, сроки, обязанность удаления/возврата после окончания, ответственность за утечку.

Типичные ошибки, приводящие к штрафам (Топ-10)

1. Отсутствие уведомления в Реестр (или устаревшие данные в уведомлении).
2. Политика конфиденциальности скопирована с конкурента и не соответствует реальным процессам.
3. Нет модели угроз и перечня мер защиты (или они формальные, «для галочки»).
4. Хранение ПДн дольше необходимого срока (нет регламента сроков хранения и уничтожения).
5. Передача ПДн подрядчикам без договора поручения (или в договоре нет ст. 28 условий).
6. Отказ в предоставлении доступа субъекту или пропуск 30-дневного срока.
7. Слабые пароли, отсутствие МФА, открытые RDP/SSH на серверах с ПДн.
8. Отсутствие обучения сотрудников (нет журналов, нет программ).
9. Утечка через личные мессенджеры/почту сотрудников (нет DLP, нет регламента).
10. Игнорирование уведомления Роскомнадзора об утечке в 24 часа.

Алгоритм действий при проверке Роскомнадзора

1. Сохраняйте спокойствие. Проверьте полномочия инспектора (служебное удостоверение, приказ о проверке).
2. Предоставляйте только запрошенное. Не сдавайте всё подряд. Составляйте опись переданных документов.
3. Не признавайтесь в вине устно. Все объяснения — письменные, юридически выверенные.
4. Исправляйте замечания в срок. Часто Роскомнадзор выдает предписание (ст. 19.1 ФЗ-152), исполнение его в срок снимает ответственность за штраф по данному факту.
5. Обращайтесь к юристу по ИБ/ПДн для сопровождения проверки и обжалования протокола (10 дней на апелляцию в суд/вышестоящий орган).

Экономика соответствия: затраты vs риски

Избежать штрафов за нарушение закона о персональных данных в Счастье возможно только при системном подходе. Это не разовая акция «надо к проверке подготовиться», а непрерывный процесс:

• Документирование всех процессов.
• Техническая защита соответствующая реальным угрозам.
• Обучение каждого сотрудника.
• Контроль подрядчиков и инцидентов.
• Прозрачность для клиентов и сотрудников.

В 2024–2026 годах Роскомнадзор усиливает контроль за соблюдением сроков уведомления об утечках, наличием модели угроз и соблюдением прав субъектов. Для организаций, работающих в новых регионах (ЛНР, ДНР, Запорожье, Херсон), внимание регулятора особенно высоко, это зона приоритетного контроля.

Начните с аудита сегодня. Назначьте ответственного, закажите разработку модели угроз и политики, настройте МФА и шифрование. Это дешевле, чем платить штрафы и восстанавливать репутацию после утечки.

Данная статья носит информационный характер и не является правовой консультацией. Для решения конкретных вопросов обратитесь к квалифицированному юристу по защите персональных данных или сертифицированному аудитору ИБ (ФСТЭК/ФСБ).