Персональные данные

Защита персональных данных при удалённой работе: что требует закон

Редактор ФТИ 8 октября 2026 10 мин чтения

Коротко

Закон не запрещает удалённую работу с персональными данными, но меры защиты остаются. Что говорят ст. 19, приказ ФСТЭК № 21 и ТК о технике, личных устройствах, мессенджерах и бумаге, и что сделать оператору.

Коротко: закон не снимает защиту персональных данных, когда сотрудник работает из дома. Обязанность принимать необходимые меры лежит на операторе (ч. 1 ст. 19 ФЗ-152) и действует там, где обрабатываются данные. Приказ ФСТЭК № 21 прямо называет защищённый удалённый доступ и регламентацию мобильных средств в базовом наборе мер всех четырёх уровней. Трудовой кодекс добавляет: оборудование и средства защиты информации обеспечивает работодатель, а личную технику можно использовать с согласия или ведома работодателя (ст. 312.6). На практике это роли и минимальные права, рабочие учётные записи, правила для устройств, мессенджеров и бумаги, а также ознакомление работника.

Какие системы, какие данные, кто имеет доступ и откуда · тип угроз, уровень защищённости и перечень мер · только документы · цену называем до договора

Опишем ваши системы и доступ к ним — модель угроз от 12 900 ₽

Узнать цену для моей системы →

Главное об удалёнке и ПДн

ФЗ-152 и приказ ФСТЭК № 21 удалённой работы не запрещают, но меры защиты остаются: защищённый удалённый доступ (УПД.13) и правила для мобильных устройств (УПД.15).
Рабочую технику и средства защиты даёт работодатель (ч. 1 ст. 312.6 ТК). Личную технику допускают с согласия или ведома и с компенсацией (ч. 2).
Доступ по ролям, перечень допущенных лиц утверждает руководитель (подп. «в» п. 13 ПП № 1119).
Правила и ознакомление. Работников знакомят с требованиями (п. 6 ч. 1 ст. 18.1), для дистанционных допустим обмен электронными документами (ст. 312.3 ТК).
Бумага дома — отдельный риск: постановление № 687 требует места хранения и список лиц с доступом.
Мы делаем документы, настройку VPN и защиты устройств не берём.

Что меняется, когда сотрудник работает из дома

Дистанционная работа по Трудовому кодексу — это выполнение трудовой функции вне места нахождения работодателя и вне рабочего места, которое он контролирует, с использованием интернета и сетей связи общего пользования (ст. 312.1). Для защиты данных это значит одно: система остаётся вашей, а вход в неё происходит из сети, которой вы не управляете. По нашему прочтению, домашний роутер и сеть кафе находятся за пределами вашей контролируемой зоны.

Запрета на удалёнку с персональными данными в ст. 19 ФЗ-152 и в приказе № 21 мы не нашли. Вместо запрета в приказе есть меры именно для этого случая. Общие принципы защиты разобраны в хабе о защите ПДн, а работников и их данные — в материале о персональных данных работников.

Что говорит Трудовой кодекс

Вопрос	Что сказано
Кто даёт оборудование и средства защиты	Работодатель обеспечивает дистанционного работника оборудованием, программно-техническими средствами и средствами защиты информации (ч. 1 ст. 312.6)
Можно ли работать на личном ноутбуке	Да, с согласия или ведома работодателя и в его интересах. Работодатель выплачивает компенсацию и возмещает расходы в порядке, который задан договором или локальным актом (ч. 2 ст. 312.6)
Как знакомить с правилами	Письменно, в том числе под роспись, либо обменом электронными документами, либо в иной форме, предусмотренной договором или локальным актом (ст. 312.3)
Как оформить электронный договор	При заключении договора и допсоглашений в электронном виде нужна усиленная квалифицированная подпись работодателя и усиленная квалифицированная или неквалифицированная подпись работника (ст. 312.3)

Обратите внимание на ч. 2 ст. 312.6: личное устройство Кодекс допускает, но оговорку про «с согласия или ведома работодателя» лучше закрепить письменно. Какие устройства разрешены и какие настройки обязательны, ТК не говорит. Это ваши правила.

Какие меры приказа № 21 относятся к удалёнке

Ниже меры из приложения к приказу, которые прямо связаны с удалённой работой. Уровни указаны по таблице приложения, где мера включена в базовый набор. Про устройство самого приказа мы писали в статье о мерах защиты по приказу ФСТЭК № 21.

Мера	Что это на практике	Уровни
УПД.13 Защищённый удалённый доступ через внешние сети	Вход в систему извне идёт по защищённому каналу. Способ выбирает оператор по своим угрозам, приказ технологию не называет	4, 3, 2, 1
УПД.15 Регламентация и контроль мобильных технических средств	Правила: какие ноутбуки, телефоны и планшеты допущены и что на них можно делать	4, 3, 2, 1
УПД.14 Регламентация беспроводного доступа	Правила для Wi-Fi, через который идёт работа с системой	4, 3, 2, 1
УПД.16 Взаимодействие с внешними системами	Облачные сервисы и системы сторонних организаций: как их подключать	4, 3, 2, 1
ИАФ.4 Управление средствами аутентификации	Выдача, блокирование и замена паролей и ключей, действия при утрате	4, 3, 2, 1
ЗИС.3 Защита при передаче по каналам за пределы контролируемой зоны	Данные не раскрываются и не подменяются в пути	4, 3, 2, 1
ЗТС.4 Расположение экранов	Экран не виден посторонним: дома, в поезде, в кафе	4, 3, 2, 1
УПД.10 Блокировка сеанса при бездействии	Компьютер блокируется сам и по запросу	3, 2, 1
ЗНИ.8 Уничтожение данных на носителях при передаче техники	Перед ремонтом, передачей или сдачей техники данные стирают и проверяют это	3, 2, 1
АВЗ.1 и АНЗ.2	Антивирус и установка обновлений	4, 3, 2, 1

Если ваша система получила 4-й уровень (п. 12 ПП № 1119), эти меры, кроме УПД.10 и ЗНИ.8, входят в базовый набор и 4-го уровня. Какие из них и как реализовать, решает оператор на основе модели угроз. Удалённая работа обычно расширяет перечень угроз, поэтому её стоит описать в модели угроз.

Личные устройства: что можно закрепить в правилах

Закон личную технику допускает (ч. 2 ст. 312.6 ТК), поэтому вопрос в условиях. Ниже наша рекомендация, а не норма:

Рабочая учётная запись отдельно от домашней. Домашний компьютер не должен использоваться вместе с семьёй под одним профилем.
Данные не копируются на устройство. Работа идёт в системе, а не в файлах, сохранённых на ноутбуке.
Блокировка экрана и обновления. Это перекликается с УПД.10 и АНЗ.2.
Антивирус и запрет сторонним пользоваться техникой.
Порядок при потере или краже: кому и как быстро сообщить, как заблокировать доступ.

Мессенджеры и почта

Требований к мессенджерам «по имени» в ст. 19 ФЗ-152 и в постановлении № 1119 мы не нашли. Работают общие правила: обработку защищают от неправомерного доступа (ч. 1 ст. 19), данные не раскрывают без согласия, если иное не предусмотрено законом (ст. 7), а базы данных граждан России должны быть на территории России, с исключениями (ч. 5 ст. 18). Что из этого значит для конкретного мессенджера, зависит от того, где хранятся сообщения. Подробнее про внешние сервисы — в статье об облачных сервисах и ПДн. Наша рекомендация: сканы паспортов, договоры с реквизитами и медицинские сведения не пересылать в личные чаты, использовать систему или корпоративную почту.

Доступ по ролям, инструкция и обязательство

Для всех уровней постановление № 1119 требует документ, утверждённый руководителем, с перечнем лиц, доступ которых необходим для работы (подп. «в» п. 13). Удалёнка делает этот перечень особенно важным: по нашему прочтению, дистанционному работнику открывают только те разделы, которые нужны ему для работы. Права выдают по ролям (УПД.2, УПД.4) и минимально необходимые (УПД.5). Образец таблицы — в статье о перечне ИСПДн и матрице доступа.

Закон обязывает знакомить работников, которые обрабатывают данные, с законодательством, политикой и локальными актами и (или) обучать их (п. 6 ч. 1 ст. 18.1). Для дистанционных работников это можно сделать электронным обменом документами (ст. 312.3 ТК). Готовые образцы: инструкция ответственного, обязательство о неразглашении и материал об обучении по ПДн.

Бумага дома и потеря устройства

Если сотрудник забирает домой бумажные документы с данными, действует постановление № 687: по каждой категории данных можно определить места хранения и перечень лиц с доступом (п. 13), нужны условия, исключающие несанкционированный доступ (п. 15). За невыполнение условий сохранности материальных носителей (п. 15 Положения), если это повлекло неправомерный доступ, уничтожение или иные неправомерные действия, ч. 6 ст. 13.11 КоАП предусматривает штраф: для должностных лиц от 8 до 20 тыс. рублей, для ИП от 20 до 40 тыс., для организаций от 50 до 100 тыс. (границы диапазонов, а не фиксированные суммы). Наша рекомендация: бумажные данные домой не выносить, а если приходится, вести журнал выдачи.

Если украден или потерян ноутбук с доступом к данным, оцените, была ли неправомерная или случайная передача или доступ (утеря обычно случайная) и повлекло ли это нарушение прав людей. Тогда действует ч. 3.1 ст. 21: уведомление Роскомнадзора в течение 24 часов с момента выявления и результаты расследования в течение 72 часов. Подробности — в статьях об утечках за 24 и 72 часа и о регламенте реагирования.

Короткий план для оператора

Составьте список удалённых работников и систем, к которым у них есть доступ.
Решите, какие устройства допустимы, и закрепите это в договоре или локальном акте вместе с компенсацией (ст. 312.6 ТК).
Выберите способ защищённого входа (УПД.13) и, наша рекомендация, отключите прямой доступ извне. Реализует это ваш ИТ-специалист или лицензиат.
Выдайте права по ролям и утвердите перечень допущенных лиц.
Ознакомьте работников с правилами и возьмите обязательство. Электронный обмен подходит для дистанционных работников.
Опишите, что делать при потере устройства и подозрении на утечку.
Пересматривайте правила при новой системе или смене способа работы. Срок — наша рекомендация.

Как мы помогаем

ФТИ делает документы. В модель угроз персональных данных от 12 900 ₽ входит описание системы: какие системы и данные, где хранятся и кто имеет доступ. Дальше мы определяем тип угроз и уровень защищённости и составляем перечень мер, без внедрения. Пакет документов по 152-ФЗ за 9 900 ₽ включает положение, приказ об ответственном, перечни, инструкции и журналы. Состав называем на разборе до оплаты.

Положение, приказ об ответственном, перечни, инструкции и журналы под ваши системы · правки до вашего «принимаю» · состав называем до оплаты

Документы по 152-ФЗ под ваш бизнес — 9 900 ₽

Собрать пакет под мой бизнес →

Чего мы не делаем: не настраиваем VPN, не защищаем устройства сотрудников, не устанавливаем и не настраиваем средства защиты, не проводим аттестацию и мониторинг. Мы их не оказываем; установка и наладка средств защиты, аттестация и мониторинг — лицензируемые работы (п. 4 Положения, постановление № 79). Реализовать перечень мер можно силами вашего ИТ или у лицензиата.

Нормативные документы

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

Частые вопросы

Можно ли работать с персональными данными из дома?

Запрета в ст. 19 ФЗ-152 и в приказе ФСТЭК № 21 мы не нашли. Но меры защиты остаются: приказ включает в базовый набор всех уровней защищённый удалённый доступ (УПД.13) и регламентацию мобильных средств (УПД.15). Отвечает за это оператор.

Кто должен обеспечить сотрудника техникой для удалённой работы?

Работодатель. Он обеспечивает дистанционного работника оборудованием, программно-техническими средствами и средствами защиты информации (ч. 1 ст. 312.6 ТК). Личную технику работник может использовать с согласия или ведома работодателя, и тогда ему выплачивают компенсацию (ч. 2).

Можно ли разрешить работать с личного ноутбука?

Трудовой кодекс это допускает при согласии или ведома работодателя. Условия, то есть какие настройки обязательны и что нельзя хранить на устройстве, закон не называет. Закрепите их в договоре или локальном акте. Это наша рекомендация.

Нужен ли VPN для удалённого доступа?

Приказ № 21 требует защищённого удалённого доступа (УПД.13), но технологию не называет. Способ выбирает оператор по своим угрозам. Настройкой мы не занимаемся: мы описываем требование в документах, а реализует ваш ИТ-специалист или лицензиат.

Как ознакомить удалённых сотрудников с правилами?

С локальными актами дистанционного работника знакомят письменно, в том числе под роспись, либо обменом электронными документами, либо в иной форме, предусмотренной договором или локальным актом (ст. 312.3 ТК). Закон о персональных данных требует ознакомить работников, обрабатывающих данные (п. 6 ч. 1 ст. 18.1).

Можно ли пересылать документы с персональными данными в мессенджерах?

Специальных запретов для мессенджеров по названию мы не нашли. Действуют общие правила: защита от неправомерного доступа (ч. 1 ст. 19), конфиденциальность (ст. 7) и требование о базах данных на территории России (ч. 5 ст. 18). Наша рекомендация: сканы документов и сведения о здоровье не отправлять в личные чаты.

Что делать, если сотрудник потерял ноутбук?

Оцените, была ли неправомерная или случайная передача или доступ к данным и повлекло ли это нарушение прав людей. Если да, уведомление Роскомнадзора направляют в течение 24 часов с момента выявления, результаты расследования в течение 72 часов (ч. 3.1 ст. 21). Заранее пропишите порядок в регламенте.

Что с бумажными документами, которые сотрудник забирает домой?

Для них действует постановление № 687: места хранения и перечень лиц с доступом (п. 13), условия, исключающие несанкционированный доступ (п. 15). Выносить бумагу домой лучше не стоит. Если без этого нельзя, фиксируйте выдачу и возврат. Журнал - наша рекомендация.

Вы настроите защищённый доступ и защиту устройств сотрудников?

Нет, это внедрение и средства защиты, мы их не оказываем. Мы делаем документы: описываем системы и доступ, определяем уровень защищённости, составляем модель угроз и перечень мер, от 12 900 ₽ для типичной малой системы. Пакет документов по 152-ФЗ с инструкциями и перечнями стоит 9 900 ₽, состав называем до оплаты.