Ситуация с защитой персональных данных в Луганской Народной Республике (ЛНР) представляет собой уникальный и крайне сложный кейс на стыке международного права, конституционного права РФ и локального законодательства. Попытка синхронизировать требования GDPR (General Data Protection Regulation) — «золотого стандарта» защиты данных в ЕС — с реалиями действующего в регионе правового поля сталкивается с фундаментальными противоречиями.

Правовой статус территории и применимость нормативных актов

Корень всех проблем кроется в статусе территории. С точки зрения международного права и законодательства Украины, ЛНР — это временно оккупированная территория, где действует украинское законодательство (включая Закон Украины «О защите персональных данных», гармонизированный с GDPR). С точки зрения российского законодательства (с 2022 года), ЛНР — субъект РФ, где действует Конституция РФ, Федеральный закон № 152-ФЗ «О персональных данных» и иные нормативные акты РФ.

Конфликт юрисдикций:

• GDPR (Ст. 3): Имеет экстерриториальное действие, если обработка данных касается предложения товаров/услуг субъектам данных в ЕС или мониторинга их поведения в ЕС. Для бизнеса в ЛНР, ориентированного на российский рынок, прямое действие GDPR минимально, но риски возникают при взаимодействии с европейскими контрагентами или использовании EU-инфраструктуры (облака, SaaS);
• 152-ФЗ: Является основным регулятором для операторов в ЛНР. Он требует локализации баз данных с персональными данными граждан РФ на территории России (Ст. 18, ч. 5), что создает технические барьеры для использования европейских серверов.
• Локальные акты ЛНР: До полной интеграции в правовое поле РФ действовали собственные законы ЛНР (например, Закон ЛНР «О персональных данных» от 2016 г.), которые формально копировали старые версии российского закона, но не обеспечивали механизмов переграничной передачи, совместимых с GDPR.

Ключевые противоречия: GDPR vs 152-ФЗ / Законодательство ЛНР

Даже если абстрагироваться от политики и сравнить чисто правовые механизмы, различия колоссальны:

Специфические проблемы для бизнеса и госсектора в ЛНР

Проблема «двойного соответствия» (Dual Compliance)

Компании, работающие в ЛНР и имеющие связь с ЕС (дочерние структуры, партнеры, клиенты с гражданством ЕС, использование ПО от EU-вендоров), вынуждены строить две параллельные системы комплаенса.

• Документооборот: Политики конфиденциальности, согласия, DPIA (оценка воздействия) должны быть написаны на двух языках и учитывать разные правовые основания (Art. 6 GDPR vs Ст. 6 152-ФЗ).
• Техническая архитектура: Необходимость сегментировать потоки данных: данные граждан РФ, только на серверах в РФ (локализация), данные еврорезидентов — с гарантиями GDPR. В условиях ограниченной ИТ-инфраструктуры ЛНР это критически дорого.

Трансграничная передача данных и санкции

GDPR требует гарантий при передаче данных в третьи страны. Россия (включая ЛНР) не имеет решения об адекватности ЕК. Стандартные договорные клаузулы (SCC) требуют оценки законодательства страны-импортера на предмет доступа спецслужб к данным (дело Schrems II).

Результат: Юридически корректная передача персональных данных из ЕС в ЛНР сейчас практически невозможна. Использование EU-облаков (AWS, Azure, Google Cloud) для обработки данных жителей ЛНР/РФ нарушает 152-ФЗ (локализация), а использование российских облаков для данных еврорезидентов нарушает GDPR (отсутствие адекватности).

Биометрия и спецкатегории данных

Внедрение биометрических систем (доступ на объекты, банковские приложения, госуслуги) в ЛНР идет по российским стандартам (ЕБС — Единая биометрическая система). GDPR относит биометрию к специальным категориям данных (Art. 9), требующим строжайших гарантий и, как правило, явного согласия. Российское законодательство позволяет обработку биометрии на основании закона или согласия, но процедуры защиты и сроки хранения могут не соответствовать стандартам ЕС, что создает риски для лиц с двойным гражданством или работающих в EU-компаниях.

Отсутствие независимого регулятора

GDPR требует наличия независимого контролирующего органа (SA, Supervisory Authority). В ЛНР функции надзора выполняют прокуратура, Роскомнадзор (территориальные управления) и МВД. Их статус не соответствует критериям независимости Art. 51-54 GDPR (подчиненность исполнительной власти, отсутствие собственного бюджета, назначение сверху). Это делает невозможным признание ЛНР «адекватной» зоной со стороны ЕК.

Риски для различных заинтересованных сторон

Для бизнеса (СМСП, крупные холдинги):

1. Штрафные санкции РФ: За нарушение локализации, отсутствие согласия, утечки — реальные финансовые потери и блокировка ресурсов РКН.
2. Потеря доступа к EU-рынку: Невозможность доказать соответствие GDPR партнерам из ЕС ведет к разрыву контрактов.
3. Репутационные риски: Использование ПО, подключенного к серверам в РФ (телеметрия, обновления), может расцениваться EU-партнерами как утечка данных в «небезопасную» юрисдикцию.

Для госорганов и критической инфраструктуры:

• Обработка данных сотрудников с доступом к гостайне/персонал ВС РФ подпадает под строгие режимы 152-ФЗ и ФЗ-187 (КИИ). Любые попытки применить GDPR-стандарты (например, минимизация данных, сокращение сроков хранения) могут противоречить российским архивным и секретностным законам.
• Цифровизация госуслуг (портал «Госуслуги ЛНР» / интеграция с ЕПГУ РФ) требует сбора избыточных по меркам GDPR объемов данных.

Для граждан (субъектов данных):

Наиболее уязвимая группа. Жители ЛНР часто имеют паспорта двух образцов (РФ и Украины). Их данные обрабатываются в двух правовых полях одновременно.

• Нет эффективного механизма реализации «права на забвение» в поисковиках РФ (Яндекс) и ЕС (Google) одновременно.
• Риск несанкционированного доступа спецслужб обеих сторон к данным без судебного контроля, соответствующего стандартам ЕСПЧ или GDPR.
• Сложность защиты прав: в каком суде искать защиту? В суде ЛНР/РФ (по 152-ФЗ) или в суде ЕС (по GDPR)? Признание решений судов ЛНР в ЕС отсутствует.

Перспективы и рекомендации: как выжить в правовом хаосе

Полная гармонизация в текущих геополитических условиях невозможна. Стратегия «выбора одного регулятора» не работает из-за экстерриториальности GDPR и императивности 152-ФЗ.

Практические шаги для операторов данных в ЛНР:

Картирование данных (Data Mapping) — фундамент всего

Необходимо четко знать: где лежат данные, чьи это данные (граждане РФ, ЕС, ЛНР, двойное гражданство), какие категории (обычные, спец., биометрия) и по какому основанию обрабатываются. Без реестра обработки (Art. 30 GDPR / Ст. 22 152-ФЗ) комплаенс невозможен.

Сегментация инфраструктуры (Data Segregation)

• Контур «Россия/ЛНР»: Российские дата-центры (Selectel, Yandex Cloud, VK Cloud, локальные ЦОД), отечественное ПО (Астра Линукс, 1С, МойОфис), 152-ФЗ, локализация, ФЗ-152/187/374. Для граждан РФ и госзаказов.
• Контур «International/EU» (если критически необходимо): Изолированные среды, возможно, на базе приватных облаков или колокаций в нейтральных юрисдикциях (Сербия, Турция, Казахстан, с осторожностью), с применением SCC, Transfer Impact Assessment (TIA) и доп. мер (шифрование, псевдонимизация). Только для данных еврорезидентов.

Документирование «в двух экземплярах»

• Политика конфиденциальности: версия RU (под 152-ФЗ) + версия EN/EU (под GDPR Art. 13/14).
• Согласия: раздельные формы, раздельные логи хранения согласий.
• DPIA (GDPR) + Оценка воздействия на безопасность ПДн (по Постановлению № 1119 / ФСТЭК) — проводить параллельно.

Локализация как приоритет №1 (требование 152-ФЗ)

Даже если вы хотите соблюдать GDPR, нарушение ст. 18 ч. 5 152-ФЗ (локализация) грозит блокировкой ресурса в РФ (РКН) и огромными штрафами. Это «красная линия». Архитектура должна быть построена так, чтобы БД с ПДн граждан РФ физически находились в РФ. GDPR при этом соблюдается «по остаточному принципу» для не-РФ данных.

Импортозамещение программного обеспечения

Отказ от EU/US SaaS (Bitrix24, AmoCRM, Jira Cloud, Office 365, Google Workspace) в пользу on-premise решений или российских SaaS (Битрикс24 Коробка, Яндекс 360, МойОфис, ПланФикс, Redmine/Jira на своих серверах). Это снимает проблему трансграничной передачи телеметрии и метаданных в неадекватные страны.

Работа с персоналом (HR Data)

Сотрудники с двойным гражданством — зона повышенного риска. Трудовые договоры, приказы, личные карточки, строго по ТК РФ и 152-ФЗ. Не пытаться применить GDPR-стандарты (например, сокращение срока хранения личных дел до 3 лет вместо 75/50 лет), это прямое нарушение архивного законодательства РФ.

Проблема соблюдения GDPR в ЛНР — это не просто техническая задача по настройке чек-боксов на сайте. Это фундаментальный конфликт суверенитетов. В текущих реалиях приоритетом выживания для любого оператора данных в регионе является жесткое соблюдение законодательства РФ (152-ФЗ, ФЗ-187, требования ФСТЭК/ФСБ), так как именно оно обеспечивает физическую работоспособность бизнеса и доступ к российскому рынку.

GDPR-комплаенс в ЛНР возможен только как надстройка над базой 152-ФЗ для изолированных потоков данных, связанных с ЕС (если такие остаются). Попытка построить единую систему «под GDPR» на территории ЛНР приведет к гарантированному нарушению российского закона о локализации и блокировке инфраструктуры.

Главный вывод: В ЛНР не существует «GDPR-комплаенса» в чистом виде. Существует только «152-ФЗ-комплаенс» с элементами управления рисками для международных передач, которые с каждым месяцем становятся все более теоретическими из-за санкционного давления и разрыва цифровых связей с ЕС.

Данная статья носит информационный характер и не является юридической консультацией. Для принятия управленческих решений рекомендуется обратиться к квалифицированным юристам, специализирующимся на трансграничной передаче данных и законодательстве РФ.