Штрафы по 152-ФЗ до 15 млн ₽ — проверьте сайт бесплатно Проверить сайт →
Проверить сайт
Главная›База знаний›Утечка ПД
База знаний · инструкция для оператора

Утечка персональных данных: пошаговый план оператора за 24 и 72 часа

Инциденты 8 мин чтения

При утечке оператор обязан уведомить Роскомнадзор. За 24 часа — первичное уведомление. За 72 часа — уточнённые сведения. Штраф за неуведомление — до 3 млн ₽, за саму утечку — до 15 млн ₽.

ч. 3.1 ст. 21 152-ФЗ портал pd.rkn.gov.ru индикатор риска № 2

Что считается утечкой и кто попадает под требования

Утечка — это не только взлом базы хакерами. Закон трактует инцидент гораздо шире.

Утечка — это любая ситуация, при которой персональные данные стали доступны тем, кому не должны. Даже если это произошло случайно, без злого умысла.

Типичные сценарии утечек на обычных сайтах

  • Уволился менеджер. У него остался доступ к CRM или почте — он скачал клиентскую базу.
  • Открытый доступ к папке. На сервере или в облаке папка с договорами оказалась публичной по ошибке.
  • Неправильная настройка трекеров. Данные форм уходят в сторонние сервисы до согласия пользователя.
  • База выложена в интернет. Резервная копия с ФИО и телефонами оказалась в открытом доступе.
  • Фишинговый доступ. Сотрудник перешёл по вредоносной ссылке и передал пароль от админки.

Все эти случаи — инциденты. Уведомить РКН нужно в любом случае. Даже если вы считаете, что «ничего страшного». Скрытие — отдельный штраф до 3 млн ₽.

Требования ч. 3.1 ст. 21 152-ФЗ распространяются на всех операторов: интернет-магазины, сайты услуг, компании с CRM, работодателей. Исключений для малого бизнеса нет.

Таймлайн

Пошаговый план: что делать в первые 72 часа

0–1 час:

Обнаружили инцидент. Закрываем доступ к базам, отключаем внешние интеграции, фиксируем точное время.

1–8 часов:

Собираем комиссию. Определяем перечень затронутых данных и возможные причины.

до 24 часов:

Отправляем первичное уведомление через портал РКН (pd.rkn.gov.ru). Фиксируем суточный срок.

24–72 часа:

Собираем факты: какие данные затронуты, сколько субъектов, какой вред.

до 72 часов:

Отправляем уточнённые сведения и оценку вреда. Закрываем требования регулятора.

Что писать в первичном уведомлении (24 часа)

На этом этапе не нужны точные цифры. Достаточно зафиксировать факт:

  • Дата и время обнаружения инцидента.
  • Предполагаемый перечень затронутых данных (можно общими словами).
  • Предполагаемые причины (если известны).
  • Контактное лицо оператора.

Первичное уведомление фиксирует суточный срок. Это ключевой шаг — он снимает риск штрафа по ч. 11.

Что писать в уточнённых сведениях (72 часа)

Здесь нужна конкретика:

  • Точный перечень затронутых данных.
  • Количество субъектов.
  • Оценка вреда (финансовый, репутационный, иной).
  • Принятые меры по устранению.
Сроки считаются с момента обнаружения. Не уведомили за 24 часа — штраф по ч. 11 ст. 13.11 до 3 млн ₽. Даже если утечку уже закрыли.
Штрафы

Сколько стоит утечка

СитуацияШтраф для юрлица
Утечка 1–10 тыс. субъектов3–5 млн ₽ (ч. 12)
Утечка 10–100 тыс. субъектов5–10 млн ₽ (ч. 13)
Утечка более 100 тыс. субъектов10–15 млн ₽ (ч. 14)
Повторная утечка1–3% выручки (20–500 млн ₽, ч. 15)
Не уведомили РКН1–3 млн ₽ (ч. 11)

Источник: ст. 13.11 КоАП в редакции 420-ФЗ, ч. 3.1 ст. 21 152-ФЗ. Дела рассматривают мировые судьи по 508-ФЗ.

Полная таблица всех 15 составов по ст. 13.11.

Как РКН узнаёт об утечке раньше вас

РКН не ждёт, пока оператор сам признается. Ведомство использует автоматические инструменты.

Ключевой — индикатор риска № 2 (приказ РКН № 1187). Он срабатывает, когда сведения об утечке появляются в открытых источниках: теневые форумы, Telegram-каналы, базы в открытом доступе.

Схема работы индикатора:

  1. База попадает в открытый доступ.
  2. Мониторинг РКН фиксирует публикацию.
  3. Индикатор риска включается автоматически.
  4. Оператору приходит запрос — объяснить, что произошло.
  5. Если оператор не уведомил сам — штраф по ч. 11.

Поэтому стратегия простая: обнаружить и уведомить за 24 часа — до того, как инцидент станет публичным.

Заранее подготовленный план реагирования сокращает время от обнаружения до отправки. В составе внедрения мы готовим шаблон уведомления, порядок действий и список ответственных.

Запросить расчёт плана реагирования

Кто должен уведомлять РКН и пострадавших

В законе нет требования «уведомить в течение 24 часов лично директором». Но есть ответственный за организацию обработки ПД.

Именно ответственный должен:

  • Зафиксировать факт инцидента.
  • Заполнить первичное уведомление.
  • Отправить его через портал РКН.
  • Собрать сведения для уточнённого отчёта.

Если ответственный не назначен — это нарушение само по себе (ст. 18.1). При утечке руководителю придётся действовать лично. Назначение ответственного — под ключ.

Нужно ли уведомлять пострадавших?

Закон напрямую не требует уведомлять каждого субъекта. Но РКН может обязать это сделать в предписании.

Обычно уведомление пострадавших требуется, если:

  • Утечка затрагивает финансовые данные.
  • Есть риск мошенничества с использованием данных.
  • Утечка затронула несовершеннолетних.
  • Данные попали в публичный доступ и широко разошлись.
Как предотвратить

Профилактика: что сделать до инцидента

Утечку проще предотвратить, чем уведомлять о ней. Три шага, которые закрывают основные риски:

Блокировка трекеров

Метрика и пиксели не должны работать до согласия. Data Privacy Firewall закрывает этот риск технически.

Журнал согласий

Каждое согласие фиксируется. При проверке это доказательная база.

План реагирования

Готовый шаблон уведомления и порядок действий. Сокращает время реакции до минимума.

Ответственный назначен

Приказ + инструкция. Сотрудник знает, что делать при инциденте.

Проверить сайт бесплатно Оставить заявку
Связанные материалы

Что ещё почитать

Вопросы и ответы

Частые вопросы

Как Роскомнадзор узнаёт об утечке?

Через индикатор риска № 2 (приказ РКН № 1187). Ведомство мониторит открытые источники. Если данные появились в публичном доступе — РКН узнает раньше вас.

Что грозит за неуведомление?

Штраф по ч. 11 ст. 13.11 КоАП — до 3 млн ₽ для юрлиц. Даже если утечку уже закрыли, но не уведомили за 24 часа — штраф.

Что делать, если нет программистов?

Не молчать. Первичное уведомление можно отправить с общими формулировками. Это даст 72 часа на сбор фактов.

Куда отправлять уведомление?

Через портал pd.rkn.gov.ru, раздел об инцидентах. Всё в электронном виде.

Что считать утечкой?

Любой технический сбой: утечка базы, открытый доступ к папке, ошибка в настройке трекеров. Даже если данные ушли случайно.

Кто должен уведомлять РКН?

Ответственный за обработку ПД. Его контакты должны быть в приказе о назначении.

Нужно ли уведомлять пострадавших?

Да. РКН может обязать оператора уведомить субъектов, если утечка создаёт риск для их прав. Решение принимается после оценки вреда.

Нужно внедрить комплаенс 152-ФЗ на ваш сайт?

Проверьте сайт бесплатно, получите план исправлений и оставьте заявку — рассчитаем точную смету внедрения за 1 рабочий день.

Оставить заявку