Переход на удаленный и гибридный режимы работы стал новой нормой для бизнеса. Для компаний, зарегистрированных и действующих на территории Луганской Народной Республики (ЛНР), это создает специфические правовые вызовы. С вступлением в силу Конституции РФ и федеральных законов на территории новых регионов, основным регулятором стал Федеральный закон от № 152-ФЗ «О персональных данных».

Данная статья подробно разбирает обязанности работодателя, технические и организационные меры защиты, а также нюансыграничной передачи данных, актуальные для луганских организаций в 2026 году;

Правовая база: какой закон действует в ЛНР?

Согласно Федеральному конституционному закону № 9-ФКЗ от «О принятии в состав Российской Федерации Луганской Народной Республики», на территории Республики действует законодательство РФ. Ключевые нормативные акты для HR и ИБ:

• 152-ФЗ «О персональных данных» — основной закон, регулирующий сбор, хранение, использование и защиту ПДн.
• Трудовой кодекс РФ (ТК РФ), ст. 312.1–312.9 (удаленная работа), ст. 86 (обязанность работодателя защищать ПДн работников).
• Постановление Правительства РФ № 1119 — требования к защите ПДн при их обработке в ИСПДн (Информационных системах персональных данных).
• ФСТЭК/ФСБ приказы — требования к средствам защиты информации (СЗИ) и криптографической защите.
• Приказы Роскомнадзора, методические рекомендации по составу документации и уведомлению.

Важно: Локальные нормативные акты ЛНР (если приняты) применяются только в части, не противоречащей федеральному законодательству. На практике руководствуются именно 152-ФЗ и подзаконными актами РФ.

Специфика удаленной работы: что меняется для оператора ПДн?

При переводе сотрудника на удаленку (ст. 312.1 ТК РФ) работодатель не теряет статус оператора персональных данных; Более того, зона ответственности расширяется: периметр ИСПДн выходит за пределы офисного серверной комнаты и включает домашние рабочие места, личные устройства сотрудников (BYOD) и каналы связи.

Ключевые действия оператора (работодателя):

1. Локализация целей обработки: Добавить в локальные акты цель «Обеспечение режима удаленной работы / предоставление доступа к ИСПДн дистанционно».
2. Оценка угроз (Модель угроз): Обновить модель угроз ИСПДн с учетом новых векторов атак (небезопасные Wi-Fi, утечки через личные устройства, социальная инженерия в бытовой обстановке).
3. Категорирование ИСПДн: Подтвердить или пересчитать уровень значимости объекта (1–4 уровень) и класс защищенности (К1–К4) с учетом удаленных сегментов.
4. Документирование процессов: Описать в Положении об обработке ПДн и Инструкции по защите ПДн процедуры выдачи/отзыва доступа, работы с ВПН, использования МФА (многофакторной аутентификации).

Обязательный пакет документов для удаленки (Чек-лист 2026)

Роскомнадзор при проверке (плановой или внеплановой) запросит именно эти документы. Отсутствие любого из них — основание для штрафа (ст. 13.11 КоАП РФ).

Технические меры защиты: «Золотой стандарт» для удаленки

Организационных мер (подписанных бумажек) недостаточно. 152-ФЗ (ст. 19) и Постановление № 1119 требуют технических мер, обеспечивающих защиту от НСД и утечек.

Организация защищенного канала доступа

• VPN с МФА: Обязательное использование корпоративного VPN (IPsec, SSL VPN, WireGuard) с двухфакторной аутентификацией (токен, SMS, Push, аппаратный ключ — Rutoken, JaCarta). Доступ по логину/паролю без второго фактора — грубое нарушение.
• Zero Trust Network Access (ZTNA): Современный подход: доступ дается не к «всей сети», а к конкретному приложению/сервису (1С, CRM, почта) после проверки состояния устройства (Posture Check).

Защита конечной точки (Endpoint Security)

• Корпоративные устройства (COBO/COPE): Идеальный вариант. Ноутбук компании + полный контроль ИТ-отдела (MDM/UEM: Kaspersky, Astra, Mobile Iron, Intune). Шифрование диска обязательно.
• Личные устройства (BYOD): Только через контейнерызацию (Knox, Work Profile, VDI/DaaS). ПДн не должны «утекать» в личную часть телефона/ПК (буфер обмена, скриншоты, сохранение файлов).
• DLP-агенты: Установка легкого агента контроля утечек (SearchInform, Solar Dozor, InfoWatch) на удаленные хосты для мониторинга печати, копирования на флешки, отправки в личные почты/мессенджеры.

Виртуальные рабочие столы (VDI / DaaS) — лучшая практика для 1С и БД

Данные никогда не покидают контур ЦОД/облака. Сотрудник видит только видеопоток. Это снимает 90% рисков утечки ПДн при краже ноутбука или взломе домашнего Wi-Fi. Для луганских компаний актуально развертывание в российских облаках (Яндекс.Облако, VK Cloud, Selectel, локальные ЦОД ЛНР/Ростов-на-Дону).

Организационные меры и работа с персоналом

Техника бесполезна без дисциплины. Статья 19 152-ФЗ требует обучения сотрудников.

Обязательные процедуры:

1. Инструктаж по защите ПДн при удаленной работе: Отдельный от общего. Темы: фишинг, безопасность домашнего роутера (смена дефолтных паролей, WPA3), запрет работы в кафе/коворкингах без приватного экрана и VPN, процедура действий при потере устройства.
2. Подписка на ознакомление: Каждый удаленник подписывает «Обязательства по неразглашению конфиденциальной информации» и «Инструкцию по ИБ при удаленной работе» (электронная подпись / ЭДО допустима).
3. Контроль доступа (Принцип минимальных привилегий): Бухгалтер не должен иметь доступ к базе клиентов маркетинга. Ревокация (отзыв) прав в день увольнения/перевода, за минуты, а не дни.
4. Инцидент-менеджмент: Регламент: «Что делать, если сотрудник потерял ноутбук с ПДн?» (блокировка учетки, удаленное стирание диска через MDM, уведомление Роскомнадзора при утечке — в течение 24 часов по ст. 22 152-ФЗ).

Кросcграничные аспекты: работа из РФ, зарубежьем и «серых зон»

Для Луганска это критично. Сотрудники могут физически находиться:

• В ЛНР / ДНР / Запорожской / Херсонской областях / РФ: Действует 152-ФЗ. Требования стандартны. Данные не должны выходить за пределы РФ (локализация БД — ст. 18 152-ФЗ).
• В Украине (неконтролируемые территории РФ) или за рубежом:
  • Физическое нахождение субъекта ПДн (сотрудника) за границей не отменяет действия 152-ФЗ для оператора (компании ЛНР).
  • Передача ПДн за границу: Если сотрудник за границей обрабатывает ПДн граждан РФ (в т.ч. коллег), это считается трансграничной передачей (ст. 12 152-ФЗ).
  • Основания: Согласие субъекта (сложно получить от всех сотрудников/клиентов) или исполнение трудового договора (ст. 6, ч. 2, п. 2 152-ФЗ — «обработка необходима для исполнения договора»). Второе основание основное для работников.
  • Риск: Роскомнадзор может расценить доступ из «недружественных» юрисдикций как угрозу безопасности. Рекомендация: максимально изолировать такие доступы через VDI/браузерную изоляцию, запретить скачивание файлов.

Важно про облака: Использование Google Drive, Dropbox, OneDrive, Notion, Trello для хранения ПДн сотрудников/клиентов компании ЛНР — прямое нарушение ст. 18 152-ФЗ (локализация) и ст. 12 (передача за границу без оснований). Только российские облачные провайдеры (сертифицированные ФСТЭК/ФСБ) или собственные серверы.

Ответственность и штрафы (Актуально на 2026 год)

Нарушение режима удаленной работы влечет ответственность по ст. 13.11 КоАП РФ:

• Ч. 1: Нарушение правил обработки ПДн (нет политики, нет согласия, нарушение сроков) — 3 000 – 5 000 руб. (должностные лица), 15 000 – 75 000 руб. (юридические лица).
• Ч. 2: Нарушение прав субъектов ПДн (отказ в доступе к своим данным, неисполнение требования удаления) — 5 000 – 10 000 руб. / 30 000 – 100 000 руб.
• Ч. 3: Нарушение требований защиты ПДн (нет СЗИ, нет модели угроз, утечка из-за отсутствия МФА/шифрования) — 15 000 – 30 000 руб. / 100 000 – 300 000 руб.
• Ч. 4: Повторное нарушение в течение года, 50 000 – 100 000 руб. / 300 000 – 500 000 руб. (или приостановка деятельности до 90 дней).

Доп. риск: ст. 13.14 КоАП РФ (нарушение режима локализации БД) — до 6 млн руб. для юрлиц (повторное).

Практический алгоритм внедрения (Roadmap для ИТ-директора / ДПО Луганска)

1. Аудит текущего состояния: Инвентаризация ИСПДн, где есть удаленный доступ. Определение уровней защищенности.
2. Обновление документации: Политика, Положение, Модель угроз, Перечень мер — с пометками «Remote Access».
3. Выбор технологии доступа: VDI (приоритет для 1С/БД) или VPN+MDM+DLP (для офисных задач). Закупка лицензий СЗИ (сертифицированных ФСТЭК).
4. Настройка инфраструктуры: Развертывание VPN-шлюза, MFA-сервера, MDM-консоли, DLP-сервера. Настройка журналов аудита (SIEM / лог-сервер).
5. Пилотная группа: 5-10 человек (ИТ, бухгалтерия, HR). Тестирование 2 недели. Исправление багов.
6. Масштабирование и обучение: Раскатка на всех удаленников. Обязательный онлайн-инструктаж с тестом.
7. Подписание доп. соглашений: К трудовому договору о режиме удаленной работы с приложением «Требования к ИБ».
8. Мониторинг и аудит: Еженедельный разбор логов VPN/VDI/DLP. Ежеквартальный внутренний аудит соответствия 152-ФЗ.

Частые ошибки луганских компаний (Анти-паттерны)

Для компаний Луганска в 2026 году обработка персональных данных при удаленной работе — это не про «галочки», а про управление рисками. Регулятор (Роскомнадзор) усиливает контроль за новыми регионами. Наличие настроенного VDI/VPN с МФА, актуальной Модели угроз, подписанных инструктажей и журналов аудита — это ваш главный щит от штрафов и утечек.

Финальный чек-лист для руководителя / ДПО:

• [ ] Уведомление Роскомнадзора подано / актуализировано (учтены удаленные сегменты).
• [ ] Политика обработки ПДн опубликована на сайте с учетом удаленной работы.
• [ ] Модель угроз ИСПДн обновлена (угрозы удаленного доступа учтены).
• [ ] Внедрены СЗИ: VPN + МФА (обязательно), Шифрование дисков, DLP/MDM (по классу защищенности).
• [ ] Используются только российские облака / свои серверы (Локализация ст. 18 152-ФЗ соблюдена).
• [ ] Сотрудники прошли инструктаж по ИБ при удаленной работе (протоколы есть).
• [ ] Подписаны доп. соглашения / обязательства по неразглашению с удаленниками.
• [ ] Настроен автоматический аудит доступа (логи VPN, VDI, 1С, AD) и алертинг на аномалии.
• [ ] Есть регламент инцидент-менеджмента (утечка/потеря устройства) с таймингами 24ч для РКН.
• [ ] Проводился внутренний аудит за последние 12 месяцев (акт проверки на руках).

Грузитесь системно, документируйте всё и используйте отечественные сертифицированные решения. Это единственный рабочий путь для бизнеса в ЛНР в текущих реалиях.

Статья подготовлена на основе действующего на года законодательства РФ (152-ФЗ, ТК РФ, Пост. № 1119, требования ФСТЭК/ФСБ) и практики применения норм на территории Луганской Народной Республики. Данная информация носит справочный характер. Для правового сопровождения конкретных случаев обращайтесь к юристам по защите ПДн и сертифицированным аудиторам ИСПДн.