Персональные данные при дистанционной работе сотрудников: риски удаленного доступа

Когда сотрудники работают из дома, из командировки или подключаются к корпоративным системам с личных устройств, вопрос конфиденциальности перестает быть внутренней технической задачей ИТ-отдела. Для работодателя персональные данные при удаленной работе становятся предметом прямой правовой ответственности. Ошибка в настройке удаленного доступа, передача файлов через незащищенный канал, отсутствие локальных актов или формальный подход к согласию работника могут привести не только к утечке, но и к претензиям Роскомнадзора, трудовым спорам, убыткам и репутационным потерям.

Проблема затрагивает сразу несколько блоков регулирования. Здесь пересекаются нормы Трудового кодекса РФ о дистанционной работе, Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», требования к безопасности информации, а в ряде случаев и положения КоАП РФ об административной ответственности. На практике персональные данные при удаленной работе часто обрабатываются шире, чем работодатель предполагает: это не только кадровые документы, но и переписка, пропускные сведения, данные о клиентах, медицинские документы, сведения о заработной плате, реквизиты счетов и информация, к которой сотрудник получает доступ вне офиса.

Особую сложность создает то, что правовой риск возникает не в момент проверки, а гораздо раньше, когда организация разрешает подключение к внутренним ресурсам без четкого порядка, допускает BYOD и персональные данные оказываются на личных ноутбуках и телефонах, либо не разграничивает полномочия сотрудников. Если спор доходит до проверки или суда, формулировки трудового договора и локальных документов уже оцениваются через призму фактической организации работы, а не по названию файла на корпоративном портале.

Почему персональные данные при удаленной работе создают повышенный риск для работодателя

Удаленный формат сам по себе не нарушает закон. Трудовой кодекс РФ прямо регулирует дистанционную работу в главе 49.1, а статьи 312.1-312.9 ТК РФ позволяют закрепить порядок взаимодействия, обмен документами и особенности режима труда. Но наличие трудовой конструкции еще не означает, что обработка данных организована надлежащим образом. По смыслу статьи 3 и статьи 19 Закона № 152-ФЗ оператор обязан не просто иметь доступ к данным, а обеспечить их обработку на законной основе и принять необходимые правовые, организационные и технические меры для защиты.

Когда персональные данные при удаленной работе обрабатываются через домашний интернет, публичные сети, личные устройства или облачные сервисы без надлежащей настройки, увеличивается риск неправомерного доступа, копирования, утраты или распространения сведений. Для работодателя это означает не абстрактную угрозу, а вполне конкретные вопросы контролирующего органа: кто имеет доступ, на каком основании, в каких информационных системах ведется обработка, как ограничены полномочия, где закреплен порядок передачи документов, как обеспечивается хранение и удаление информации.

В деловой практике особенно уязвимы компании, где дистанционные сотрудники работают с кадровыми материалами, клиентскими базами, медицинской информацией, сведениями о контрагентах и платежными документами. Если доступ к данным вне офиса выдается по общему логину, через мессенджеры или без журналирования действий, организация теряет возможность доказать, кто именно совершил копирование, изменение или передачу файла. Это уже не техническая недоработка, а слабая доказательственная позиция на случай проверки, внутреннего расследования или судебного спора.

В трудовых конфликтах подобные обстоятельства тоже имеют значение. Если работодатель ссылается на нарушение работником режима конфиденциальности, он должен подтвердить, что сам установил понятные правила обработки и защиты информации, довел их до сотрудника и обеспечил выполнимый порядок доступа. Поэтому для компаний с распределенной командой разумно заранее выстраивать не только ИТ-контур, но и кадровые документы. В этой части нередко требуется предварительный кадровый аудит, особенно если дистанционный формат внедрялся быстро и локальные акты не обновлялись под фактические процессы.

Какие нормы права регулируют персональные данные при удаленной работе

Базовым актом остается Закон № 152-ФЗ. Он определяет, что персональные данные при удаленной работе должны обрабатываться на конкретной и законной цели, в объеме, не избыточном по отношению к этой цели. Статья 5 Закона № 152-ФЗ закрепляет принципы обработки, статья 6 устанавливает основания обработки, статья 18.1 требует принятия мер, направленных на соблюдение законодательства, а статья 19 обязывает оператора обеспечить безопасность персональных данных при их обработке.

Для работодателя это означает, что одного согласия работника недостаточно там, где обработка уже вытекает из закона и трудового договора, и, наоборот, нельзя заменять реальный порядок защиты бумаги о согласии. Если сотрудник получает доступ к кадровой системе, CRM, базе клиентов или архиву договоров, компания обязана определить состав обрабатываемых сведений, круг допущенных лиц, порядок передачи информации и режим хранения документов. Иначе персональные данные при удаленной работе фактически обрабатываются без необходимой организационной модели.

Значимы и нормы ТК РФ. Статья 86 ТК РФ устанавливает общие требования к обработке персональных данных работника, статья 87 говорит о хранении и использовании таких данных, статья 88 ограничивает их передачу. Для дистанционных сотрудников эти положения действуют в полном объеме, а глава 49.1 ТК РФ дополняет их специальными правилами о взаимодействии сторон. Если обмен кадровыми документами ведется в электронном виде, работодатель должен учитывать не только удобство процесса, но и то, каким образом удостоверяется отправитель, обеспечивается неизменность документа и фиксируется дата направления.

Отдельное значение имеют подзаконные акты и требования регуляторов в сфере защиты информации, в том числе при использовании информационных систем персональных данных. Набор обязательных мер зависит от того, какие именно данные обрабатываются, в какой системе, с каким уровнем защищенности и кто имеет к ним доступ. Поэтому универсальной формы «политики для удаленки» не существует. Для одних организаций будет достаточно корректной внутренней регламентации и технического ограничения прав, для других потребуется более сложная модель с сегментацией доступа, шифрованием, журналированием и применением сертифицированных средств защиты.

Удаленный доступ, личные устройства и корпоративные системы

Один из самых частых источников проблем связан не с внешней атакой, а с повседневной организацией работы. Сотрудник открывает служебную почту на личном ноутбуке, сохраняет файл на домашний диск, пересылает документ в личный мессенджер, использует один пароль для нескольких сервисов. Формально работа выполняется, но персональные данные при удаленной работе начинают циркулировать вне корпоративного контура, а у работодателя нет ни полного контроля, ни понятного механизма реагирования.

Если компания допускает использование личных устройств, вопрос BYOD и персональные данные нельзя оставлять на уровне устной договоренности. Нужны локальные правила, которые определяют, какие устройства допускаются к работе, какие средства защиты обязательны, можно ли сохранять документы локально, как осуществляется удаленное удаление информации при увольнении или утрате устройства, кто отвечает за инцидент и в каком порядке проводится служебная проверка. Без такой регламентации спор почти всегда смещается в неблагоприятную для работодателя плоскость: сотрудник утверждает, что конкретных запретов не было, а организация не может показать, какие именно требования действовали.

С правовой точки зрения личное устройство не становится автоматически корпоративной средой только потому, что на нем открыт рабочий доступ. Если персональные данные при удаленной работе обрабатываются на таком устройстве, работодателю важно разделить минимум три вопроса: правовое основание обработки, режим безопасности и пределы контроля над устройством. Иначе возникает конфликт между защитой данных и правом работника на неприкосновенность личной информации. Особенно это заметно, когда организация пытается изъять устройство, получить доступ к личной переписке или установить средства контроля без надлежащего оформления.

На практике безопаснее модель, при которой чувствительные сведения не выгружаются на устройство пользователя, а обрабатываются в корпоративной системе с ограничением прав. Здесь имеют значение VPN и безопасность данных сотрудников: защищенный канал сам по себе не решает все вопросы, но позволяет снизить риск перехвата трафика, особенно при подключении из гостиниц, коворкингов и публичных сетей. При этом даже корректно настроенный VPN не заменяет разграничение ролей, двухфакторную аутентификацию и запрет на произвольное копирование баз.

Документы работодателя: без них персональные данные при удаленной работе плохо защищены

В большинстве споров проблема начинается не с отсутствия технологии, а с разрыва между фактическими процессами и документами компании. Если сотрудник работает дистанционно, но его трудовой договор ничего не говорит о формате взаимодействия, если положение о защите данных написано общими фразами, а порядок удаленного доступа не утвержден, персональные данные при удаленной работе оказываются вне понятной правовой рамки. При проверке такой пробел обычно не удается компенсировать ссылкой на внутренние инструкции ИТ-службы, которые не доведены до работников надлежащим образом.

Минимальный комплект документов зависит от модели работы и вида данных, но обычно работодателю необходимы не только политика в отношении персональных данных и положение об их обработке, но и локальный акт о дистанционной работе, правила информационной безопасности, соглашения о конфиденциальности, матрица доступа к системам, а также документы, подтверждающие ознакомление работников с установленными правилами. Если речь идет о передаче устройств, носителей, токенов или средств электронной подписи, эти действия тоже должны быть оформлены.

Содержательно в документах важно закрепить не формальные запреты, а работающие правила. К ним обычно относятся:

• перечень систем и видов сведений, к которым допускается дистанционный сотрудник;
• порядок идентификации работника и использования учетных записей;
• запрет либо ограничение на хранение служебных файлов на личных устройствах и внешних носителях;
• правила обмена документами, включая корпоративную почту, электронный документооборот и защищенные каналы связи;
• действия сотрудника при утрате устройства, подозрении на компрометацию пароля или обнаружении несанкционированного доступа.

Такие положения полезны не сами по себе, а как доказательство того, что работодатель исполнил обязанности оператора персональных данных и организовал процесс разумно и предсказуемо. Когда документы согласованы между кадровой, ИТ- и юридической функцией, проще объяснить и контролирующему органу, и суду, как именно обеспечивается защита данных на удаленке, кто отвечает за разные этапы обработки и какие ограничения установлены для персонала.

Для компаний, где дистанционная модель затрагивает договорную переписку, коммерческие базы и текущую претензионную работу, такие вопросы нередко входят в более широкий контур абонентского юридического обслуживания, поскольку один локальный акт без актуализации договоров, кадровых документов и внутренних регламентов обычно не решает проблему системно.

Ответственность за нарушения и что проверяют на практике

Если персональные данные при удаленной работе обрабатываются с нарушениями, последствия могут быть разными в зависимости от характера нарушения. Административная ответственность предусмотрена статьей 13.11 КоАП РФ. Составы там дифференцированы: отдельно оцениваются обработка без законного основания, нарушение обязанностей оператора, непредоставление субъекту информации, несоблюдение требований к опубликованию политики, нарушение правил хранения и иные случаи. Размер санкции зависит от конкретной части статьи и статуса нарушителя, поэтому его нужно оценивать по фактическому составу, а не по общим представлениям.

Наряду с административным риском возможны трудовые споры и гражданско-правовые требования. Работник может оспаривать дисциплинарное взыскание, если нарушение конфиденциальности вменено при отсутствии ясных правил доступа и обращения с данными. Клиент или контрагент вправе ссылаться на убытки, если утечка затронула переданную информацию и повлияла на исполнение договора. В некоторых сферах, например в медицине, образовании, финансовых услугах, чувствительность последствий значительно выше из-за характера самих сведений и отраслевых требований.

Проверяющие обычно оценивают не декларации, а связку документов и фактических действий. Их интересует, есть ли утвержденная политика, назначено ли ответственное лицо, как организован доступ к данным вне офиса, ведется ли учет носителей, каким образом ограничен круг лиц, имеющих доступ к специальным категориям сведений, и соответствует ли фактическая схема обработки заявленным целям. Если компания утверждает, что доступ имеют только сотрудники отдела кадров, а на деле документы пересылаются через общие чаты руководителям и бухгалтерам, формальная бумага не поможет.

В договорных отношениях дополнительные риски возникают там, где инцидент уже влияет на спор о нарушении обязательств, конфиденциальности или компенсации убытков. Если утечка привела к претензии контрагента или к конфликту о ненадлежащем исполнении обязательств, вопрос может перейти в плоскость арбитражного спора, где придется доказывать и факт нарушения, и причинную связь, и объем неблагоприятных последствий.

Какие доказательства имеют значение при внутреннем расследовании и споре

Когда инцидент уже произошел, первое, что становится критичным, это качество фиксации обстоятельств. Персональные данные при удаленной работе редко «утекают» в виде одного очевидного события. Чаще речь идет о цепочке действий: вход в систему с нового устройства, выгрузка файла, пересылка на внешний адрес, изменение прав доступа, удаление журналов, использование незащищенного канала. Поэтому доказательственная база должна складываться из технических и организационных материалов одновременно.

Для работодателя обычно значимы журналы доступа, логи почтовых сервисов и VPN-подключений, акты служебного расследования, сведения о выданных учетных записях, документы об ознакомлении работника с локальными актами, переписка по рабочим каналам, акты передачи оборудования, условия трудового договора и документы, подтверждающие состав обрабатываемых сведений. Если организация пытается привлечь сотрудника к дисциплинарной ответственности или взыскать ущерб, без такой доказательственной связки позиция часто оказывается уязвимой.

Суд оценивает не только сам факт доступа, но и то, мог ли работник разумно понимать пределы допустимого поведения. Если локальный акт запрещает копирование клиентских баз на личные носители, работник подписал ознакомление, доступ предоставлялся по индивидуальной учетной записи, а нарушение подтверждается логами системы, у работодателя появляется содержательная позиция. Если же правила размыты, учетных записей несколько на отдел, а документы пересылались через обычные мессенджеры с одобрения руководителя, спор становится гораздо сложнее.

С точки зрения профилактики полезно заранее определить, какие цифровые следы организация действительно хранит и как долго. Иначе персональные данные при удаленной работе будут защищаться только на бумаге: формальный запрет есть, а проверить конкретное событие уже невозможно. Это особенно заметно в компаниях с высокой текучестью персонала, удаленными подрядчиками и филиальной структурой, где доступ к данным вне офиса стал повседневной практикой.

Как выстроить правовую модель дистанционной работы без лишних деклараций

Надежная система строится не вокруг громких запретов, а вокруг соразмерности. Работодатель определяет, какие сведения действительно нужны сотруднику, какие системы доступны из внешней сети, можно ли использовать личные устройства, как оформляется дистанционный режим и кто принимает решения о допуске. После этого уже подбираются документы и технические меры. Иначе персональные данные при удаленной работе начинают регулироваться «на всякий случай», а такие конструкции плохо работают и в повседневной деятельности, и при проверке.

Обычно разумный подход включает несколько направлений, которые должны согласовываться между собой:

• корректное оформление дистанционной работы в трудовых договорах и локальных актах с учетом главы 49.1 ТК РФ;
• определение целей и объема обработки данных в соответствии со статьями 5 и 6 Закона № 152-ФЗ;
• разграничение прав доступа, журналирование действий и применение защищенных каналов связи;
• отдельная регламентация случаев, когда допускаются BYOD и персональные данные обрабатываются на личных устройствах;
• порядок реагирования на инциденты, внутреннего расследования и уведомления ответственных лиц.

В такой модели VPN и безопасность данных сотрудников рассматриваются как элемент общей системы, а не как самостоятельное решение. Даже самый надежный канал не исправит ситуацию, если уволенный сотрудник сохраняет доступ к базе, руководитель пересылает кадровые документы в личную почту, а кадровая служба не понимает, какие согласия действительно нужны, а какие используются по инерции. Ровно поэтому юридическая часть здесь не меньше технической.

Для бизнеса с несколькими участниками, распределенными полномочиями руководства и чувствительными коммерческими данными вопрос может выходить за пределы трудового регулирования. Если утечка или спор затрагивают права собственников, управление обществом, контроль над цифровыми активами и ответственность директора, уже требуется оценка корпоративной структуры и полномочий органов управления. В таких случаях проблема может пересекаться с работой корпоративных юристов, потому что доступ к данным нередко связан не только с персоналом, но и с внутренним распределением контроля в компании.

Когда персональные данные при удаленной работе уже стали источником конфликта, юристу обычно приходится решать несколько задач одновременно. Сначала анализируется правовое основание обработки и набор действующих документов, затем проверяется, как фактически был организован доступ к данным вне офиса, какие доказательства сохранились и есть ли основания для дисциплинарных мер, претензии к работнику, ответа на запрос субъекта персональных данных или подготовки позиции перед Роскомнадзором. Если спор развивается дальше, подключаются вопросы досудебной переписки, защиты интересов работодателя в суде и корректировки внутренних документов, чтобы аналогичная ситуация не повторялась.

Для руководителя здесь важен один трезвый вывод. Персональные данные при удаленной работе нельзя считать частной темой кадровика или системного администратора. Это зона, где одновременно проверяются качество локальных актов, дисциплина доступа, добросовестность работников и способность компании доказать, что защита данных на удаленке была организована не формально, а по правилам закона и с учетом реальных процессов бизнеса.

Если вам нужна надежная команда юристов с большим практическим опытом, обращайтесь в ООО ЮК Шмелева и партнеры. Заявку можно оставить на сайте нашей юридической компании или позвонить по телефону 8 (800) 201 56 52. Отзывы о нашей работе можно посмотреть на Яндекс.Картах.