Вопросы трансграничной передачи персональных данных (ПД) становятся особенно актуальными в контексте интеграции новых регионов в правовое поле Российской Федерации. Передача данных из Луганской Народной Республики (ЛНР) в РФ имеет свою специфику, обусловленную как конституционными изменениями, так и действующим законодательством в сфере персональных данных. Данная статья представляет подробный правовой анализ процедур, оснований и требований, которые необходимо соблюдать операторам персональных данных.

Правовой статус и применимое законодательство

С момента принятия Конституционного закона от № 9-ФКЗ «О принятии в состав Российской Федерации Луганской Народной Республики и образовании внутри Российского Федерации нового субъекта, Луганской Народной Республики» территория ЛНР является неотъемлемым субъектом РФ.

Ключевой момент: С правовой точки зрения, передача персональных данных из ЛНР в другие регионы России (например, в Москву, Санкт-Петербург или Ростовскую область) не является трансграничной передачей в классическом понимании ст. 12 ФЗ-152 (передача на территорию иностранного государства). Это внутригосударственная передача данных между субъектами единой страны.

Однако до полной синхронизации нормативной базы и на практике взаимодействия операторов часто возникают вопросы, регламентируемые:

• Федеральным законом от № 152-ФЗ «О персональных данных» (ФЗ-152) — основным регулятором.
• Конституционным законом РФ от № 9-ФКЗ.
• Федеральным конституционным законом от № 10-ФКЗ «О принятии в состав Российской Федерации Донецкой Народной Республики…» (аналогичные нормы).
• Постановлениями Правительства РФ и розпоряджениями Роскомнадзора, регулирующими переходный период интеграции.

Квалификация передачи: «Трансграничная» vs «Внутригосударственная»

Почему это не трансграничная передача (ст. 12 ФЗ-152)

Согласно ст. 12 ФЗ-152, трансграничная передача, это передача ПД на территорию иностранного государства. Поскольку ЛНР вошла в состав РФ, передача данных из Луганска в Ростов-на-Дону или Москву — это передача внутри одной юрисдикции.

Последствия:

1. Не требуется уведомление Роскомнадзора о трансграничной передаче (п. 2 ст. 22 ФЗ-152).
2. Не требуется проверка адекватности защиты прав субъектов ПД в принимающем государстве (п. 1 ст. 12 ФЗ-152).
3. Не применяются специальные механизмы: Стандартные договорные условия (СДУ), Binding Corporate Rules (BCR), согласие на трансграничную передачу в форме, предусмотренной для иностранных государств.

Режим внутригосударственной передачи

Передача регламентируется общими правилами ФЗ-152 (ст. 6, 7, 22):

• Наличие законного основания (согласие субъекта, договор, закон, защита жизни/прав и т.д.).
• Соблюдение принципов обработки (целевое назначение, достаточность, точность).
• Обеспечение безопасности ПД при передаче (шифрование, защищенные каналы связи).
• Уведомление Роскомнадзора о начале обработки (если оператор не освобожден от уведомления) — стандартная процедура для любого оператора в РФ.

Переходный период и особенности интеграции (2022–2025 гг.)

Несмотря на юридическую ясность статуса, на практике до 2025 года (согласно переходам в 9-ФКЗ) действовали специальные правовые режимы. Важно учитывать следующие аспекты при консультации:

Документы, выданные в ЛНР до вступления в силу 9-ФКЗ

Согласно ст. 3 Конституционного закона № 9-ФКЗ, документы, выданные органами власти ЛНР до принятия Республики в состав РФ, действуют на территории ЛНР до замены их на документы установленного образца, но не дольше установленного перехода.

Риск для оператора: При идентификации субъекта ПД (например, при найме сотрудника или заключении договора) могут предоставляться паспорта образца 1974 г. (советские), паспорта ЛНР (выданные до 2022 г.) или временные удостоверения личности. Оператор должен иметь внутреннюю инструкцию по работе с такими документами, опираясь на:

• Постановление Правительства РФ от № 622 (о порядке выдачи паспортов РФ гражданам ЛНР/ДНР).
• Разъяснения МВД и Росфинмониторинга по идентификации клиентов (115-ФЗ).

Информационные системы и базы данных

Если оператор (юридическое лицо или ИП) зарегистрирован в ЛНР и ведет базу данных на серверах, физически расположенных в ЛНР, а затем решает перенести обработку в ЦОД в Москве:

• Это миграция информационной системы, а не трансграничная передача.
• Требуется аудит соответствия системы требованиям ФСТЭК (приказ № 21, № 17) и ФСБ (для криптозащиты).
• Необходимо обновить реестр операторов ПД в Роскомнадзоре (изменить адрес местонахождения базы данных/серверов).

Основания для передачи ПД (Чек-лист для оператора)

При передаче ПД из ЛНР в другие регионы РФ оператор-получатель (или единый оператор с филиалами) должен зафиксировать основание для каждой категории данных:

Технические и организационные меры защиты при передаче

Даже при внутригосударственной передаче риски утечки сохраняются. Роскомнадзор и ФСТЭК требуют:

Защита каналов передачи

• Использование VPN (IPsec, SSL/TLS) с сертифицированными средствами криптографической защиты информации (СКЗИ) — сертификаты ФСБ/ФСТЭК.
• Применение протоколов TLS 1.2/1.3 для веб-интерфейсов и API.
• Запрет передачи ПД по открытым каналам (email без шифрования, мессенджеры, FTP без SSL) в незашифрованном виде.

Учет и контроль доступа

• Разграничение прав доступа по принципу «минимально необходимых привилегий».
• Двухфакторная аутентификация (2FA) для администраторов БД и сотрудников, имеющих доступ к ПД.
• Ведение журналов доступа (логи) к ПД с хранением не менее 3 лет (требования ФСТЭК).

Локализация данных (Ст. 18 ФЗ-152)

Важно: Ст. 18 ФЗ-152 требует, чтобы сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение ПД граждан РФ осуществлялись с использованием баз данных, находящихся на территории РФ.

Поскольку ЛНР, территория РФ, серверы в ЛНР формально соответствуют требованию локализации. Однако, если головной офис и основные ЦОД находятся в «старых» регионах, перенос «горячей» базы в центральный ЦОД является стандартной практикой и не нарушает ст. 18.

Роль согласия субъекта ПД: нюансы для ЛНР

Частая ошибка — использование старых форм согласий, разработанных по законодательству ЛНР (до 2022 г.) или по устаревшим образцам.

Требования к форме согласия (ст. 9 ФЗ-152)

Согласие должно быть специфическим, информированным, сознательным и безусловным. В тексте согласия обязательно указывать:

1. ФИО/наименование и адрес оператора (получателя данных).
2. Цели обработки и передачи.
3. Перечень ПД, подлежащих передаче.
4. Способы обработки и передачи (в т.ч. автоматизированные).
5. Срок действия согласия и порядок его отзыва.
6. Подпись субъекта ПД (или ЭП/ЭЦП при дистанционном взаимодействии).

Передача между afiliрованными лицами (внутри холдинга)

Если данные передаються от филиала в ЛНР к головной организации (ООО/АО) в Москве — это передача между разными операторами (если филиал не является отдельным оператором по уставу) или внутри одного оператора.

• Один оператор (филиал без прав оператора): Передача не требует нового согласия, если цели обработки не меняются и зафиксированы в локальном акте/Политике конфиденциальности.
• Разные операторы: Требуется основание (договор поручения ст. 22 ФЗ-152, согласие субъекта или иное основание ст. 6). Обязателен договор поручения с требованиями ст. 22 (п. 3: обеспечение безопасности, конфиденциальность, возврат/уничтожение).

Ответственность за нарушения

Нарушение режима передачи ПД влечет ответственность по Кодексу об административных правонарушениях (КоАП РФ):

• Ст. 13.11 КоАП РФ: Нарушение законодательства о персональных данных (штрафы на должностных лиц до 50 тыс. руб., на юрлиц — до 15 млн руб. за повторные нарушения или утечку).
• Ст. 13.11.1 КоАП РФ: Неисполнение требований о локализации БД (штрафы до 18 млн руб.).
• Ст. 19.7.12 КоАП РФ: Неисполнение требований Роскомнадзора (штрафы до 500 тыс. руб.).

Дополнительно возможны гражданско-правовые иски (моральный вред, ст. 151, 1101 ГК РФ) и блокировка доступа к информационным ресурсам (ст. 15.1 ФЗ-152).

Алгоритм действий для юриста/комплаенс-офицера (Roadmap)

1. Инвентаризация: Выявить все потоки ПД из ЛНР в другие регионы РФ (HR, CRM, бухгалтерия, видеонаблюдение, СКУД).
2. Квалификация операторов: Определить, является ли филиал/представительство в ЛНР отдельным оператором ПД или обрабатывает данные от имени головной организации.
3. Аудит оснований: Проверить наличие законных оснований для каждой передачи. Обновить согласия, заключенные по старому праву ЛНР или не соответствующие ст. 9 ФЗ-152.
4. Договорное оформление: Заключить договоры поручения (ст. 22 ФЗ-152) при передаче между разными операторами. Прописать требования к защите ПД (приложение по ИБ).
5. Техническая защита: Внедрить/аудит шифрования каналов, СКЗИ, настройку ДЛП-систем, контроль целостности БД.
6. Обновление документации: Политика конфиденциальности, Положение о защите ПД, Уведомление Роскомнадзора (при изменении адресов БД/серверов), Карта обработки ПД.
7. Обучение персонала: Провести инструктаж сотрудников ЛНР и центрального офиса по новым процедурам работы с ПД.
8. Мониторинг: Настроить регулярный аудит (внутренний/внешний) соответствия требованиям ФЗ-152 и подзаконных актов.

Трансграничная передача ПД из ЛНР в РФ в чистом виде юридически не существует с октября 2022 года. Это внутригосударственный обмен данными. Главная задача оператора — не искать механизмы ст. 12 ФЗ-152 (СДУ, адекватность), а обеспечить полное соответствие общим требованиям ФЗ-152: законность оснований, безопасность передачи, актуальность документации и уведомление регулятора о местонахождении баз данных.

Ключевые рекомендации:

• Проводите аудит «наследия» — старые согласия, локальные акты, договоры поручения, заключенные до вступления в силу 9-ФКЗ.
• Унифицируйте документацию по стандартам РФ (ФЗ-152, Постановление Правительства РФ № 1119, Приказы ФСТЭК/ФСБ).
• Обратите внимание на идентификацию субъектов ПД с документами переходного периода.
• Используйте сертифицированные российские СКЗИ для защиты каналов связи между ЛНР и центральными офисами.

Необходима профессиональная консультация?

Специфика интеграции новых регионов требует глубокой экспертизы в области законодательства о персональных данных, криптографической защиты и административно-правовых рисков. Наши специалисты готовы провести аудит ваших процессов, подготовить пакет документов (Политики, Согласия, Договоры поручения, Уведомления) и сопроводить взаимодействие с Роскомнадзором.

Свяжитесь с нами для первичной оценки рисков и разработки дорожной карты соответствия (Compliance Roadmap).