Внедрение законодательства Российской Федерации на территории Луганской Народной Республики (ЛНР) поставило перед государственными структурами задачу полной комплаенс-перестройки процессов работы с персональными данными (ПДн). На 27 августа 2026 года актуальность темы обусловлена не только вступлением в силу новых редакций 152-ФЗ «О персональных данных» и статей Трудового кодекса РФ (ТК РФ), но и существенным ужесточением ответственности (в т.ч. оборотоных штрафов), а также новыми требованиями к ИТ-инфраструктуре и процедуре получения согласий.

Государственные органы, бюджетные учреждения и госкорпорации ЛНР являются операторами особой категории — они обрабатывают массивные объемы данных соискателей и сотрудников, включая специальные категории (здоровье, биометрия, сведения о судимостях) и, порой, сведения, составляющие гостайну. Ошибки здесь стоят не только штрафов, но и репутационных рисков, проверок прокуратуры и Роскомнадзора.

Правовое поле: базовые нормативные акты для гоструктур ЛНР

Деятельность по трудоустройству в гоструктурах регулируется иерархией нормативных актов:

• Конституция РФ (ст. 23, 24) — право на тайну личной жизни, запрет сбора сведений без согласия.
• ТК РФ (Глава 14, ст. 85–90) — специальные нормы для трудовых правоотношений. Ст. 86 ТК РФ устанавливает, что обработка ПДн работника допускается исключительно в целях обеспечения соблюдения законов, содействия работникам в трудовой деятельности и осуществления их прав.
• 152-ФЗ «О персональных данных» — базовый закон для операторов. Ключевые статьи: 6 (принципы), 9 (основания обработки), 11 (особенности обработки при трудоустройстве), 19 (требования к защите), 22 (передача третьим лицам).
• ФЗ-149 «Об информации, информационных технологиях и о защите информации — требования к ИСПДн (информационным системам ПДн).
• Постановления Правительства РФ (в т.ч. № 1119 «Об утверждении требований к защите ПДн»), приказы ФСТЭК, ФСБ, методические рекомендации Роскомнадзора (в т.ч. «Памятка для операторов, осуществляющих деятельность по трудоустройству и подбору персонала», 2020 г., актуализируемая ежегодно).
• Закон ЛНР «О государственной гражданской службе ЛНР», «О муниципальной службе ЛНР» — отраслевая специфика категорий данных и оснований обработки.

Особенности правовых оснований: Согласие vs Прямое указание закона

Одна из самых частых ошибок — попытка получить согласие там, где оно не требуется, или отказ от согласия там, где оно обязательно.

Когда согласие НЕ требуется (ст. 6, 11 152-ФЗ; ст. 86 ТК РФ)

При приеме на государственную службу обработка ПДн, необходимых для заключения и исполнения трудового договора, осуществляется без согласия на основании:

1. Прямого указания закона (ТК РФ, Законы ЛНР о службе).
2. Необходимости исполнения трудового договора.
3. Необходимости исполнения законодательства о госслужбе (прохождение конкурса, аттестация, назначение классного чина).

К таким данным относятся: ФИО, дата/место рождения, паспортные данные, СНИЛС, ИНН, образование, квалификация, трудовой стаж, сведения о награждениях, состояние здоровья (для профосмотра/ВВК), сведения о судимостях (для допуска к гостайне/ответственным должностям).

Когда согласие ОБЯЗАТЕЛЬНО (ст. 9, 11 152-ФЗ; новые правила 2025/2026 гг.)

Согласие субъекта ПДн (соискателя/сотрудника) требуется для:

• Обработки специальных категорий ПДн (раса, национальность, политические взгляды, здоровье — за пределами обязательных медосмотров, интимная жизнь), биометрических данных (фото для пропусков, отпечатки пальцев для СКУД), если это не предусмотрено законом напрямую.
• Обработки ПДн для целей, не связанных с исполнением трудового договора (корпоративный портал, фото на сайте/стенде «Наши сотрудники», рассылки новостей, обучение на сторонних платформах, передача данных в фонды соцстрахования сверх обязательного объема).
• Передачи ПДн третьим лицам (аутсорсинг кадровика, страхование ДМС, банки зарплатных проектов — если не предусмотрено законом).

Важно (новая практика 2025–2026 гг;): Роскомнадзор требует гранулярности согласия. Единое «согласие на всё» (bundled consent) признается недействительным. В форме согласия должен быть перечень конкретных целей (политика обработки), и соискатель должен иметь возможность поставить галочки напротив каждой цели отдельно («Даю согласие на фото на сайте — НЕТ», «Даю согласие на ДМС, ДА»).

Топ-10 частых нарушений работодателей гоструктур ЛНР

Анализ проверочной практики Роскомнадзора, судебной практики и обращений соискателей позволяет выделить системные ошибки.

Сбор избыточных данных на этапе конкурса/собеседования

Суть: Требование от соискателя документов, не предусмотренных ст. 65 ТК РФ и профильными законами ЛНР (например: справки о доходах супруга, характеристики с прошлых мест работы за 10 лет, медицинские карты формы 086-у без основания, согласие на проверку по базам МВД/ФССП без основания ст. 64 ТК РФ).

Риск: Нарушение принципа минимальности и целевого назначения (ст. 5, 6 152-ФЗ). Штрафы по ст. 13.11 КоАП РФ (до 75 тыс. руб. для юрлиц за повторное нарушение).

Нарушение процедуры информирования соискателя (ст. 86 ТК РФ, ст. 8, 9 152-ФЗ)

Суть: Отсутствие подписанного сотрудником/соискателем уведомления о правах и обязанностях при обработке ПДн. Использование устаревших форм без указания: категории ПДн, целей, сроков хранения, перечня третьих лиц, меры защиты, права субъекта (ст. 14 152-ФЗ).

Риск: Невозможность доказать законность обработки. Признание обработки недопустимой.

Использование ПДн в целях, выходящих за рамки ст. 86 ТК РФ

Примеры из практики:

• Публикация фото сотрудников на официальном сайте ведомства/в соцсетях без отдельного согласия (нарушение ст. 152.1 ГК РФ + 152-ФЗ).
• Использование личных телефонов/почты сотрудников для рассылки приказов/справок через мессенджеры (WhatsApp/Telegram) без согласия на передачу третьим лицам (операторам связи).
• Передача данных в профильные министерства/ведомства сверх установленных отчетных форм.

Несоблюдение новых требований к ИТ-инфраструктуре (актуально с 2025 г.)

Суть: Хранение баз ПДн (Excel-таблицы, 1С:ЗУП, локальные базы) на рабочих станциях без средств защиты информации (СЗИ), сертифицированных ФСТЭК/ФСБ. Отсутствие журналирования доступа, шифрования носителей, разграничения прав доступа по ролям (HR-специалист видит всё, начальник отдела — только своего подчиненного).

Последствие: Несоответствие требованиям Постановления № 1119. Штрафы до 500 тыс. руб. (ст. 13.11 ч. 3 КоАП РФ) и предписания об устранении нарушений.

Нарушение режима хранения и уничтожения ПДн соискателей, не прошедших конкурс

Суть: Хранение анкет, копий паспортов, дипломов «на всякий случай» годами после отказа в приеме. Отсутствие акта об уничтожении (уничтожении) ПДн по истечении срока действия согласия или достижении цели (обычно — 3–6 месяцев после отказа, если иное не установлено архивным делом/законом).

Некачественная работа со специальными категориями ПДн (здоровье, биометрия)

• Хранение заключений ВВК/профосмотров в общем доступе у HR-менеджера, а не у врача/заведующего медчастью (нарушение врачебной тайны + 152-ФЗ).
• Сбор биометрии (лицо, отпечатки) для СКУД/электронных подписей без отдельного согласия и без оценки последствий (ОППДн).
• Передача данных о здоровье в бухгалтерию для расчета больничных без обезличивания (диагноз не нужен для расчета).

Игнорирование прав субъектов ПДн (ст. 14, 18, 21 152-ФЗ)

Частые кейсы:

• Отказ в предоставлении копии обрабатываемых данных по требованию сотрудника (срок — 30 дней).
• Отказ в исправлении неверных данных (например, ошибка в дате рождения в приказе) или неисполнение требования об удалении/обезличивании (ст. 21 152-ФЗ, ст. 86 ТК РФ).
• Отсутствие канала приема обращений (электронная почта, форма на сайте, письменные заявления).

Ошибки при передаче данных при аутсорсинге кадровика/бухгалтерии

Передача ПДн подрядчику (аутсорсеру) без заключения договора с условиями ст. 28 152-ФЗ (перечень действий, цели, меры защиты, обязанность уничтожить после завершения работ). Отсутствие контроля за подрядчиком.

Отсутствие или формальность Локального акта (Политики) по обработке ПДн

Документ есть, но он: не утвержден приказом руководителя, не знакомлен с подписью сотрудниками, не содержит перечня ИСПДн, не описывает меры защиты по уровням (УЗ 1–4), не актуализировался после изменений 2025 года.

Нарушение порядка оформления доступа к гостайне/спецсредствам

Сбор сведений для формы допуска (Анкета НС, доп. листы) без разъяснения цели и основания (ФЗ «О гостайне», ФЗ «О допуске к гостайне»). Хранение анкет НС в общих кадровых делах, а не в спецхранилище.

Специфика гоструктур ЛНР: зоны повышенного риска

Ответственность в 2026 году: что изменилось

С 2025 года вступил в силу механизм оборотоных штрафов (ст. 13.11 КоАП РФ):

• За повторные нарушения — от 0,1% до 3% выручки за предшествующий год (но не менее 15 млн и не более 500 млн руб.).
• За утечки ПДн (ст. 13.11 ч. 3) — до 500 тыс. руб. для юрлиц.
• За нарушение прав субъектов (отказ в доступе, исправлении) — до 100 тыс. руб.

Дополнительно: дисциплинарная ответственность должностных лиц (в т.ч. руководителей ведомств) за неисполнение предписаний Роскомнадзора; гражданско-правовая (возмещение морального вреда — суды все чаще взыскивают 50–200 тыс. руб. за утечку/незаконное распространение); уголовная (ст. 137, 272, 273 УК РФ) — за неный сбор/распространение сведений о частной жизни или уничтожение/модификацию ПДн.

Чек-лист аудита комплаенса для HR-отдела гоструктуры (Express-проверка)

1. Локальные акты: Утверждена Политика обработки ПДн (версия 2025/2026)? Приказ о назначении ответственного за обработку ПДн? Перечень ИСПДн с уровнями защищенности?
2. Документы соискателя: Форма анкеты соответствует ст. 65 ТК РФ и профильному закону ЛНР? Нет лишних полей (национальность, религия, членство в профсоюзах без основания)?
3. Согласия: Разработаны гранулярные формы согласий (отдельно: фото на сайте, ДМС, обучение, биометрия, передача банку)? Есть отказ в согласии (форма) и процедура работы с отказом?
4. Информирование: Каждый сотрудник/соискатель подписал уведомление о правах (ст. 86 ТК РФ, ст. 8 152-ФЗ) ПЕРЕД началом обработки?
5. ИСПДн и СЗИ: 1С:ЗУП/Электронный архив сертифицированы? Внедрены СЗИ (контроль доступа, антивирус, шифрование, журналирование)? Проведена аттестация объекта ИСПДн?
6. Медицинские данные: Заключения ВВК хранятся у врача/в запечатанных конвертах в личном деле? В 1С/ЭДО только выводы «годен/не годен» без диагнозов?
7. Сроки хранения: Утвержден Перечень документов со сроками хранения (архивное дело)? Есть график уничтожения анкет отвергнутых соискателей? Акты уничтожения оформлены?
8. Права субъектов: Работает почта/форма для обращений (pd@organ.lnr.ru)? Срок ответа 30 дней соблюдается? Есть журнал учета обращений?
9. Аутсорсинг: Договоры с подрядчиками (кадровый аутсорсинг, ДМС, обучение) содержат п. 4 ст. 28 152-ФЗ? Проведена проверка защищенности подрядчика?
10. Обучение: Прошли обучение по 152-ФЗ: руководитель, ответственный за ПДн, HR-специалисты, системные администраторы? Есть протоколы заседаний комиссии?

Алгоритм действий при выявлении нарушения (Инцидент-менеджмент)

Если выявлена утечка, несанкционированный доступ или жалоба соискателя:

1. Локализация: Остановить обработку в уязвимом сегменте, изъять носитель, заблокировать учетную запись.
2. Оценка: Определить категорию ПДн, объем пострадавших, причину (человеческий фактор, сбой ПО, хакерская атака).
3. Уведомление: В течение 24 часов уведомить Роскомнадзор (через ЛК на госуслугах/сайте РКН) и пострадавших субъектов (если угроза их правам).
4. Расследование: Внутренняя комиссия (юрист, ИБ, HR, руководитель). Протокол расследования.
5. Устранение: Установить патчи, изменить пароли, доработать локальные акты, провести внеплановое обучение.
6. Документирование: Сохранить логи, скриншоты, переписку для проверяющих органов.

Резюме: как построить безупречный процесс в 2026 году

Обработка ПДн при трудоустройстве в гоструктурах ЛНР — это не «бумажная работа для галочки», а элемент национальной безопасности и правопорядка. Ключевые принципы успеха:

• Legal Design: Перевод юридического языка в понятные формы согласий и уведомлений для соискателей.
• Privacy by Design: Внедрение защиты ПДн на этапе закупки/разработки ИС (1С, ЭДО, порталы госслужб), а не постфактум.
• Data Minimization: Собираем только то, что прямо требуется законом для конкретной должности (ст. 65 ТК РФ + профильный закон ЛНР).
• Accountability: Документирование каждого шага (журналы, акты, протоколы, логи), главное доказательство добросовестности при проверке.
• Continuous Education: Ежеквартальные брифинги для HR и администраторов БД по актуальной практике Роскомнадзора и судам.

Статья подготовлена на основании действующего на года законодательства РФ (152-ФЗ, ТК РФ, КоАП РФ, УК РФ), нормативных актов ЛНР, разъяснений Роскомнадзора, ФСТЭК и судебной практики. Не является правовой консультацией по конкретному случаю. Для разрешения индивидуальных споров обращайтесь к юристу по защите ПДн.