Утечка не всегда выглядит как выложенная в интернет база на миллион строк. Чаще все скромнее: письмо со списком клиентов ушло не тому адресату, ссылка на таблицу оказалась открыта для всех, сотрудник потерял ноутбук, у бывшего менеджера остался доступ к CRM, подрядчик ошибся в настройках.
Если данные стали доступны тем, кому не предназначались, и это нарушило права людей, часть 3.1 статьи 21 Закона № 152-ФЗ требует уведомить Роскомнадзор. Первое сообщение нужно отправить в течение 24 часов. Часы считают с момента выявления инцидента, а не с того дня, когда руководитель вернулся из отпуска.
Сначала поймите, что произошло
Не каждый технический сбой считается утечкой. Сервер лежал десять минут, но никто посторонний данных не получил? Порядок уведомления об инциденте, скорее всего, не нужен. А вот файл, отправленный по ошибке одному человеку, вполне может оказаться инцидентом, даже если о нем никто не узнал.
В первые минуты ответьте на четыре вопроса:
- Были ли в затронутой системе персональные данные?
- Получил или мог получить к ним доступ тот, кому он не предназначался?
- Что именно произошло: передача, распространение, копирование, доступ?
- Могло ли это нарушить права людей?
Не тратьте первые часы на спор о том, как назвать событие. Фиксируйте факты и одновременно ограничивайте последствия.
Первые действия команды
На старте важно не найти виноватого, а остановить развитие инцидента:
- закрыть публичную ссылку или заблокировать скомпрометированную учетную запись;
- отозвать ключи доступа и активные сессии;
- ограничить доступ к затронутой системе;
- связаться с подрядчиком, если инцидент на его стороне;
- сохранить журналы событий, письма и время обнаружения;
- назначить одного координатора;
- завести список подтвержденных фактов и отдельно список предположений.
Журналы и переписку не удаляйте, даже если очень хочется «почистить следы». Без них невозможно установить объем утечки и провести внутреннее расследование, а уничтожение следов само по себе вызовет вопросы.
| Роль | Первая задача |
|---|---|
| Координатор | Фиксирует время выявления, решения и контрольные сроки |
| IT-специалист | Закрывает доступ, сохраняет журналы, определяет затронутые системы |
| Юрист | Оценивает событие по статье 21 и готовит уведомление |
| Владелец процесса | Объясняет, что за база, зачем она и чьи там данные |
| Подрядчик | Передает технические сведения и выполняет срочные меры |
В небольшой компании один человек часто совмещает несколько ролей, это нормально. Плохо, когда роли распределяют в чате посреди инцидента, а не заранее.
Сроки уведомления Роскомнадзора
| Срок с момента выявления | Что сообщается |
|---|---|
| В течение 24 часов | Сам инцидент, предполагаемые причины и вред, принятые меры, контактное лицо для взаимодействия с Роскомнадзором |
| В течение 72 часов | Результаты внутреннего расследования и сведения о виновных, если их удалось установить |
Для первого уведомления не нужно знать все ответы. Закон специально разделил первое сообщение и итоги расследования. Опасно как раз обратное: ждать полной картины и пропустить 24 часа.
Порядок взаимодействия с Роскомнадзором по инцидентам установлен приказом от 14.11.2022 № 187. Уведомление направляют через официальный канал, обычно это форма на портале персональных данных Роскомнадзора, и обязательно сохраняют подтверждение отправки. Скриншот заполненной формы без подтверждения не доказывает, что обязанность исполнена.
Есть и вторая линия. Статья 19 закона обязывает операторов взаимодействовать с ГосСОПКА, государственной системой обнаружения компьютерных атак, и сообщать о компьютерных инцидентах, которые привели к утечке. Если утечка случилась из-за взлома, проверьте и эту обязанность.
Сколько стоит промедление
С 30 мая 2025 года за утечки действуют отдельные штрафы в статье 13.11 КоАП. ИП по этим составам отвечают как юридические лица.
| Нарушение | Штраф для организации и ИП |
|---|---|
| Не уведомили Роскомнадзор об утечке или опоздали (ч. 11) | от 1 до 3 млн рублей |
| Утечка данных от 1 000 до 10 000 человек (ч. 12) | от 3 до 5 млн рублей |
| Утечка данных от 10 000 до 100 000 человек (ч. 13) | от 5 до 10 млн рублей |
| Утечка данных более 100 000 человек (ч. 14) | от 10 до 15 млн рублей |
| Утечка специальных категорий данных, например о здоровье (ч. 16) | от 10 до 15 млн рублей |
| Утечка биометрических данных (ч. 17) | от 15 до 20 млн рублей |
| Повторная утечка (ч. 15) | от 1 до 3% выручки, но не меньше 20 млн и не больше 500 млн рублей |
Количество считают по людям либо по идентификаторам записей в базе, для каждой части закон задает оба порога. Обратите внимание на первую строку. Штраф за неуведомление может оказаться больше, чем за саму утечку небольшого объема. Поэтому вовремя отправленное уведомление дешевле любой попытки «тихо разобраться».
Что выяснить в расследовании
Ответьте на вопросы:
- Какие данные стали доступны?
- Каких людей это касается и сколько их?
- Когда и как произошел доступ?
- Кто мог получить данные?
- Продолжается ли инцидент?
- Какие права людей могли быть нарушены?
- Какие меры уже приняты?
- Что не даст этому повториться?
Отдельно запишите хронологию: когда сотрудник увидел проблему, кому сообщил, когда закрыли доступ, что было известно на момент первого уведомления. Через пару дней эти детали путаются даже у тех, кто участвовал с самого начала.
Если данные обрабатывал подрядчик, он должен быстро передать оператору все нужные сведения. Поэтому срок и состав такого сообщения закрепляют в договоре заранее. Формулировка «уведомить в разумный срок» может съесть почти все 24 часа оператора.
Нужно ли сообщать людям
Общего правила, по которому оператор обязан при каждом инциденте писать всем затронутым людям, в Законе № 152-ФЗ нет. Решение зависит от обстоятельств и возможного вреда.
Но обсудить этот вопрос нужно сразу. Если утекли данные, по которым мошенники могут позвонить клиентам от имени компании, честное и своевременное предупреждение помогает людям защититься. В таком сообщении пишут только подтвержденные факты, объясняют, что делать, и не раскрывают новых персональных данных.
Чего не стоит делать
Ждать решения руководителя несколько дней. Срок идет с момента выявления, поэтому у команды должны быть полномочия начать процедуру без лишних согласований.
Называть событие техническим сбоем без проверки. Юридическая оценка зависит от того, был ли доступ к данным и могли ли пострадать права людей, а не от удобного названия.
Выдавать предположения за установленные факты. В первом уведомлении подтвержденное и предполагаемое разделяют явно.
Закрыть доступ и считать задачу решенной. После локализации остаются расследование, второе уведомление и меры против повторения.
Как подготовиться заранее
Регламент реагирования не предотвратит все утечки, но сэкономит самые дорогие часы. В нем стоит закрепить:
- кто координирует работу и кто его заменяет;
- как сотрудник сообщает об инциденте, в том числе ночью и в выходные;
- где лежит шаблон уведомления и кто его подписывает;
- контакты подрядчиков, которые отвечают за инциденты;
- как сохраняются журналы и сколько они хранятся.
Раз в год полезно провести учебный прогон: взять условную ситуацию, например «менеджер отправил выгрузку клиентов не тому адресату», и пройти все шаги по регламенту. Слабые места обычно находятся за первые полчаса.
После реального инцидента обновите карту рисков, права доступа, договоры с подрядчиками и обучение сотрудников. Смысл не в том, чтобы найти формальную причину, а в том, чтобы та же ошибка не повторилась.
Частые вопросы
Письмо с данными клиента ушло не тому адресату. Это утечка?
Если в письме были персональные данные и их получил посторонний, это неправомерная передача. Оцените, могли ли пострадать права человека, и если да, уведомляйте Роскомнадзор. Попросить получателя удалить письмо стоит в любом случае и сохранить его ответ.
Утечка произошла у подрядчика. Кто уведомляет Роскомнадзор?
Оператор, то есть вы. Подрядчик обязан сообщить вам об инциденте, а вы отвечаете перед регулятором и людьми.
С какого момента считаются 24 часа?
Закон говорит о выявлении инцидента оператором, Роскомнадзором или иным заинтересованным лицом. На практике срок начинает идти, как только об утечке узнал кто-то из ваших сотрудников или вам сообщили со стороны. Поэтому время обнаружения фиксируют сразу и точно.
Можно ли исправить уведомление, если выяснились новые факты?
Да, для этого и нужно второе уведомление в течение 72 часов с результатами расследования. Первое сообщение строится на том, что известно в момент отправки.