# Защита персональных данных при удалённой работе: что требует закон

> Источник: https://ftex.pro/blog/zashchita-pdn-pri-udalennoj-rabote/  
> Опубликовано: 08.10.2026  
> Раздел: Персональные данные  
> Описание: Удалённая работа с персональными данными: что требуют ст. 19, приказ ФСТЭК 21 и ТК о технике, личных устройствах и доступе. Короткий план для оператора.  
> Издатель: Финансово-технологический институт (ftex.pro), образовательная лицензия Л035-01270-29/05390506

**Коротко: закон не снимает защиту персональных данных, когда сотрудник работает из дома. Обязанность принимать необходимые меры лежит на операторе (ч. 1 ст. 19 ФЗ-152) и действует там, где обрабатываются данные. Приказ ФСТЭК № 21 прямо называет защищённый удалённый доступ и регламентацию мобильных средств в базовом наборе мер всех четырёх уровней.** Трудовой кодекс добавляет: оборудование и средства защиты информации обеспечивает работодатель, а личную технику можно использовать с согласия или ведома работодателя (ст. 312.6). На практике это роли и минимальные права, рабочие учётные записи, правила для устройств, мессенджеров и бумаги, а также ознакомление работника.

 

Какие системы, какие данные, кто имеет доступ и откуда · тип угроз, уровень защищённости и перечень мер · только документы · цену называем до договора

 

Опишем ваши системы и доступ к ним — модель угроз от 12 900 ₽

 

[Узнать цену для моей системы →](https://ftex.pro/model-ugroz-pdn/)

 

**Главное об удалёнке и ПДн**

 

- **ФЗ-152 и приказ ФСТЭК № 21 удалённой работы не запрещают,** но меры защиты остаются: защищённый удалённый доступ (УПД.13) и правила для мобильных устройств (УПД.15).
- **Рабочую технику и средства защиты даёт работодатель** (ч. 1 ст. 312.6 ТК). Личную технику допускают с согласия или ведома и с компенсацией (ч. 2).
- **Доступ по ролям,** перечень допущенных лиц утверждает руководитель (подп. «в» п. 13 ПП № 1119).
- **Правила и ознакомление.** Работников знакомят с требованиями (п. 6 ч. 1 ст. 18.1), для дистанционных допустим обмен электронными документами (ст. 312.3 ТК).
- **Бумага дома — отдельный риск:** постановление № 687 требует места хранения и список лиц с доступом.
- **Мы делаем документы,** настройку VPN и защиты устройств не берём.

 

## Что меняется, когда сотрудник работает из дома

 

Дистанционная работа по Трудовому кодексу — это выполнение трудовой функции вне места нахождения работодателя и вне рабочего места, которое он контролирует, с использованием интернета и сетей связи общего пользования (ст. 312.1). Для защиты данных это значит одно: система остаётся вашей, а вход в неё происходит из сети, которой вы не управляете. По нашему прочтению, домашний роутер и сеть кафе находятся за пределами вашей контролируемой зоны.

 

Запрета на удалёнку с персональными данными в ст. 19 ФЗ-152 и в приказе № 21 мы не нашли. Вместо запрета в приказе есть меры именно для этого случая. Общие принципы защиты разобраны в [хабе о защите ПДн](https://ftex.pro/blog/zashchita-personalnyh-dannyh/), а работников и их данные — в материале [о персональных данных работников](https://ftex.pro/blog/personalnye-dannye-rabotnikov/).

 

## Что говорит Трудовой кодекс

 

| Вопрос | Что сказано |
|---|---|
| Кто даёт оборудование и средства защиты | Работодатель обеспечивает дистанционного работника оборудованием, программно-техническими средствами и средствами защиты информации (ч. 1 ст. 312.6) |
| Можно ли работать на личном ноутбуке | Да, с согласия или ведома работодателя и в его интересах. Работодатель выплачивает компенсацию и возмещает расходы в порядке, который задан договором или локальным актом (ч. 2 ст. 312.6) |
| Как знакомить с правилами | Письменно, в том числе под роспись, либо обменом электронными документами, либо в иной форме, предусмотренной договором или локальным актом (ст. 312.3) |
| Как оформить электронный договор | При заключении договора и допсоглашений в электронном виде нужна усиленная квалифицированная подпись работодателя и усиленная квалифицированная или неквалифицированная подпись работника (ст. 312.3) |

 

Обратите внимание на ч. 2 ст. 312.6: личное устройство Кодекс допускает, но оговорку про «с согласия или ведома работодателя» лучше закрепить письменно. Какие устройства разрешены и какие настройки обязательны, ТК не говорит. Это ваши правила.

 

## Какие меры приказа № 21 относятся к удалёнке

 

Ниже меры из приложения к приказу, которые прямо связаны с удалённой работой. Уровни указаны по таблице приложения, где мера включена в базовый набор. Про устройство самого приказа мы писали в статье [о мерах защиты по приказу ФСТЭК № 21](https://ftex.pro/blog/prikaz-fstek-21-mery-zashchity-pdn/).

 

| Мера | Что это на практике | Уровни |
|---|---|---|
| УПД.13 Защищённый удалённый доступ через внешние сети | Вход в систему извне идёт по защищённому каналу. Способ выбирает оператор по своим угрозам, приказ технологию не называет | 4, 3, 2, 1 |
| УПД.15 Регламентация и контроль мобильных технических средств | Правила: какие ноутбуки, телефоны и планшеты допущены и что на них можно делать | 4, 3, 2, 1 |
| УПД.14 Регламентация беспроводного доступа | Правила для Wi-Fi, через который идёт работа с системой | 4, 3, 2, 1 |
| УПД.16 Взаимодействие с внешними системами | Облачные сервисы и системы сторонних организаций: [как их подключать](https://ftex.pro/blog/oblachnye-servisy-i-pdn/) | 4, 3, 2, 1 |
| ИАФ.4 Управление средствами аутентификации | Выдача, блокирование и замена паролей и ключей, действия при утрате | 4, 3, 2, 1 |
| ЗИС.3 Защита при передаче по каналам за пределы контролируемой зоны | Данные не раскрываются и не подменяются в пути | 4, 3, 2, 1 |
| ЗТС.4 Расположение экранов | Экран не виден посторонним: дома, в поезде, в кафе | 4, 3, 2, 1 |
| УПД.10 Блокировка сеанса при бездействии | Компьютер блокируется сам и по запросу | 3, 2, 1 |
| ЗНИ.8 Уничтожение данных на носителях при передаче техники | Перед ремонтом, передачей или сдачей техники данные стирают и проверяют это | 3, 2, 1 |
| АВЗ.1 и АНЗ.2 | Антивирус и установка обновлений | 4, 3, 2, 1 |

 

Если ваша система получила 4-й уровень (п. 12 ПП № 1119), эти меры, кроме УПД.10 и ЗНИ.8, входят в базовый набор и 4-го уровня. Какие из них и как реализовать, решает оператор на основе модели угроз. Удалённая работа обычно расширяет перечень угроз, поэтому её стоит описать в [модели угроз](https://ftex.pro/blog/model-ugroz-bezopasnosti-pdn/).

 

## Личные устройства: что можно закрепить в правилах

 

Закон личную технику допускает (ч. 2 ст. 312.6 ТК), поэтому вопрос в условиях. Ниже наша рекомендация, а не норма:

 

- **Рабочая учётная запись отдельно от домашней.** Домашний компьютер не должен использоваться вместе с семьёй под одним профилем.
- **Данные не копируются на устройство.** Работа идёт в системе, а не в файлах, сохранённых на ноутбуке.
- **Блокировка экрана и обновления.** Это перекликается с УПД.10 и АНЗ.2.
- **Антивирус и запрет сторонним пользоваться техникой.**
- **Порядок при потере или краже:** кому и как быстро сообщить, как заблокировать доступ.

 

## Мессенджеры и почта

 

Требований к мессенджерам «по имени» в ст. 19 ФЗ-152 и в постановлении № 1119 мы не нашли. Работают общие правила: обработку защищают от неправомерного доступа (ч. 1 ст. 19), данные не раскрывают без согласия, если иное не предусмотрено законом (ст. 7), а базы данных граждан России должны быть на территории России, с исключениями (ч. 5 ст. 18). Что из этого значит для конкретного мессенджера, зависит от того, где хранятся сообщения. Подробнее про внешние сервисы — в статье [об облачных сервисах и ПДн](https://ftex.pro/blog/oblachnye-servisy-i-pdn/). Наша рекомендация: сканы паспортов, договоры с реквизитами и медицинские сведения не пересылать в личные чаты, использовать систему или корпоративную почту.

 

## Доступ по ролям, инструкция и обязательство

 

Для всех уровней постановление № 1119 требует документ, утверждённый руководителем, с перечнем лиц, доступ которых необходим для работы (подп. «в» п. 13). Удалёнка делает этот перечень особенно важным: по нашему прочтению, дистанционному работнику открывают только те разделы, которые нужны ему для работы. Права выдают по ролям (УПД.2, УПД.4) и минимально необходимые (УПД.5). Образец таблицы — в статье [о перечне ИСПДн и матрице доступа](https://ftex.pro/blog/perechen-ispdn/).

 

Закон обязывает знакомить работников, которые обрабатывают данные, с законодательством, политикой и локальными актами и (или) обучать их (п. 6 ч. 1 ст. 18.1). Для дистанционных работников это можно сделать электронным обменом документами (ст. 312.3 ТК). Готовые образцы: [инструкция ответственного](https://ftex.pro/blog/instrukciya-otvetstvennogo-za-obrabotku-pdn/), [обязательство о неразглашении](https://ftex.pro/blog/obyazatelstvo-o-nerazglashenii-pdn/) и материал [об обучении по ПДн](https://ftex.pro/blog/obuchenie-po-personalnym-dannym/).

 

## Бумага дома и потеря устройства

 

Если сотрудник забирает домой бумажные документы с данными, действует постановление № 687: по каждой категории данных можно определить места хранения и перечень лиц с доступом (п. 13), нужны условия, исключающие несанкционированный доступ (п. 15). За невыполнение условий сохранности материальных носителей (п. 15 Положения), если это повлекло неправомерный доступ, уничтожение или иные неправомерные действия, ч. 6 ст. 13.11 КоАП предусматривает штраф: для должностных лиц от 8 до 20 тыс. рублей, для ИП от 20 до 40 тыс., для организаций от 50 до 100 тыс. (границы диапазонов, а не фиксированные суммы). Наша рекомендация: бумажные данные домой не выносить, а если приходится, вести журнал выдачи.

 

Если украден или потерян ноутбук с доступом к данным, оцените, была ли неправомерная или случайная передача или доступ (утеря обычно случайная) и повлекло ли это нарушение прав людей. Тогда действует ч. 3.1 ст. 21: уведомление Роскомнадзора в течение 24 часов с момента выявления и результаты расследования в течение 72 часов. Подробности — в статьях [об утечках за 24 и 72 часа](https://ftex.pro/blog/utechka-personalnyh-dannyh-24-chasa/) и [о регламенте реагирования](https://ftex.pro/blog/reglament-reagirovaniya-na-incidenty-pdn/).

 

## Короткий план для оператора

 

1. Составьте список удалённых работников и систем, к которым у них есть доступ.
2. Решите, какие устройства допустимы, и закрепите это в договоре или локальном акте вместе с компенсацией (ст. 312.6 ТК).
3. Выберите способ защищённого входа (УПД.13) и, наша рекомендация, отключите прямой доступ извне. Реализует это ваш ИТ-специалист или лицензиат.
4. Выдайте права по ролям и утвердите перечень допущенных лиц.
5. Ознакомьте работников с правилами и возьмите обязательство. Электронный обмен подходит для дистанционных работников.
6. Опишите, что делать при потере устройства и подозрении на утечку.
7. Пересматривайте правила при новой системе или смене способа работы. Срок — наша рекомендация.

 

## Как мы помогаем

 

ФТИ делает документы. В [модель угроз персональных данных](https://ftex.pro/model-ugroz-pdn/) от 12 900 ₽ входит описание системы: какие системы и данные, где хранятся и кто имеет доступ. Дальше мы определяем тип угроз и уровень защищённости и составляем перечень мер, без внедрения. Пакет [документов по 152-ФЗ](https://ftex.pro/dokumenty-po-152-fz/) за 9 900 ₽ включает положение, приказ об ответственном, перечни, инструкции и журналы. Состав называем на разборе до оплаты.

 

Положение, приказ об ответственном, перечни, инструкции и журналы под ваши системы · правки до вашего «принимаю» · состав называем до оплаты

 

Документы по 152-ФЗ под ваш бизнес — 9 900 ₽

 

[Собрать пакет под мой бизнес →](https://ftex.pro/dokumenty-po-152-fz/)

 

Чего мы не делаем: не настраиваем VPN, не защищаем устройства сотрудников, не устанавливаем и не настраиваем средства защиты, не проводим аттестацию и мониторинг. Мы их не оказываем; установка и наладка средств защиты, аттестация и мониторинг — лицензируемые работы (п. 4 Положения, постановление № 79). Реализовать перечень мер можно силами вашего ИТ или у лицензиата.

 

## Нормативные документы

 

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

 

- [Статья 312.1 ТК РФ — общие положения о дистанционной работе](https://www.consultant.ru/document/cons_doc_LAW_34683/adca37e8038a44ab5499c589bf6205dce6af12d6/)
- [Статья 312.3 ТК РФ — порядок взаимодействия дистанционного работника и работодателя, электронный обмен документами](https://www.consultant.ru/document/cons_doc_LAW_34683/b25f3ceaed375099ba9819406f2405cd05b71f58/)
- [Статья 312.6 ТК РФ — оборудование, средства защиты информации и личные устройства дистанционного работника](https://www.consultant.ru/document/cons_doc_LAW_34683/c4d2fdfd8d3dcffc305bdc93b7d5fa48583f21b7/)
- [Приказ ФСТЭК России от 18.02.2013 N 21 — меры защиты ПДн, группы УПД, ИАФ, ЗИС, ЗНИ](https://www.consultant.ru/document/cons_doc_LAW_146520/)
- [Постановление Правительства РФ от 01.11.2012 № 1119 — требования к защите ПДн, подпункт «в» пункта 13](https://base.garant.ru/70252506/)
- [Постановление Правительства РФ от 15.09.2008 № 687 — обработка ПДн без средств автоматизации, пункты 13-15](https://base.garant.ru/193875/)
- [Статья 19 ФЗ-152 — меры по обеспечению безопасности персональных данных](https://www.consultant.ru/document/cons_doc_LAW_61801/ca9e5658710519f09ab2fdb8196fcb3eb024a051/)
- [Статья 13.11 КоАП РФ — нарушение законодательства о персональных данных, часть 6](https://www.consultant.ru/document/cons_doc_LAW_34661/1f421640c6775ff67079ebde06a7d2f6d17b96db/)

## Частые вопросы

### Можно ли работать с персональными данными из дома?

Запрета в ст. 19 ФЗ-152 и в приказе ФСТЭК № 21 мы не нашли. Но меры защиты остаются: приказ включает в базовый набор всех уровней защищённый удалённый доступ (УПД.13) и регламентацию мобильных средств (УПД.15). Отвечает за это оператор.

### Кто должен обеспечить сотрудника техникой для удалённой работы?

Работодатель. Он обеспечивает дистанционного работника оборудованием, программно-техническими средствами и средствами защиты информации (ч. 1 ст. 312.6 ТК). Личную технику работник может использовать с согласия или ведома работодателя, и тогда ему выплачивают компенсацию (ч. 2).

### Можно ли разрешить работать с личного ноутбука?

Трудовой кодекс это допускает при согласии или ведома работодателя. Условия, то есть какие настройки обязательны и что нельзя хранить на устройстве, закон не называет. Закрепите их в договоре или локальном акте. Это наша рекомендация.

### Нужен ли VPN для удалённого доступа?

Приказ № 21 требует защищённого удалённого доступа (УПД.13), но технологию не называет. Способ выбирает оператор по своим угрозам. Настройкой мы не занимаемся: мы описываем требование в документах, а реализует ваш ИТ-специалист или лицензиат.

### Как ознакомить удалённых сотрудников с правилами?

С локальными актами дистанционного работника знакомят письменно, в том числе под роспись, либо обменом электронными документами, либо в иной форме, предусмотренной договором или локальным актом (ст. 312.3 ТК). Закон о персональных данных требует ознакомить работников, обрабатывающих данные (п. 6 ч. 1 ст. 18.1).

### Можно ли пересылать документы с персональными данными в мессенджерах?

Специальных запретов для мессенджеров по названию мы не нашли. Действуют общие правила: защита от неправомерного доступа (ч. 1 ст. 19), конфиденциальность (ст. 7) и требование о базах данных на территории России (ч. 5 ст. 18). Наша рекомендация: сканы документов и сведения о здоровье не отправлять в личные чаты.

### Что делать, если сотрудник потерял ноутбук?

Оцените, была ли неправомерная или случайная передача или доступ к данным и повлекло ли это нарушение прав людей. Если да, уведомление Роскомнадзора направляют в течение 24 часов с момента выявления, результаты расследования в течение 72 часов (ч. 3.1 ст. 21). Заранее пропишите порядок в регламенте.

### Что с бумажными документами, которые сотрудник забирает домой?

Для них действует постановление № 687: места хранения и перечень лиц с доступом (п. 13), условия, исключающие несанкционированный доступ (п. 15). Выносить бумагу домой лучше не стоит. Если без этого нельзя, фиксируйте выдачу и возврат. Журнал - наша рекомендация.

### Вы настроите защищённый доступ и защиту устройств сотрудников?

Нет, это внедрение и средства защиты, мы их не оказываем. Мы делаем документы: описываем системы и доступ, определяем уровень защищённости, составляем модель угроз и перечень мер, от 12 900 ₽ для типичной малой системы. Пакет документов по 152-ФЗ с инструкциями и перечнями стоит 9 900 ₽, состав называем до оплаты.