Коротко
- О факте утечки нужно уведомить Роскомнадзор в течение 24 часов.
- О результатах внутреннего расследования — в течение 72 часов.
- За утечки предусмотрены оборотные штрафы, за неуведомление — отдельный штраф.
- Незаконное использование и передача персональных данных — уголовное преступление (ст. 272.1 УК).
Сроки: 24 и 72 часа
При неправомерной или случайной передаче персональных данных, которая повлекла нарушение прав субъектов, оператор обязан (ч. 3.1 ст. 21 закона № 152-ФЗ):
- В течение 24 часов уведомить Роскомнадзор об инциденте: что произошло, предполагаемые причины, предполагаемый вред, принятые меры, контактное лицо.
- В течение 72 часов сообщить результаты внутреннего расследования и, если удалось, сведения о виновных.
Отсчёт идёт с момента выявления инцидента — самим оператором, Роскомнадзором или другим лицом.
План действий
- Остановите утечку: закройте доступ, смените пароли, изолируйте скомпрометированные системы.
- Зафиксируйте инцидент: время выявления, источник информации, затронутые базы и объём данных.
- Подайте уведомление в Роскомнадзор в течение 24 часов.
- Проведите внутреннее расследование и сохраните доказательства — логи, переписку, отчёты.
- Направьте результаты расследования в Роскомнадзор в течение 72 часов.
- Решите, как защищать интересы компании: заявление в правоохранительные органы, претензии к подрядчикам, позиция для проверки.
Ответственность
С 30 мая 2025 года за утечки персональных данных действуют повышенные штрафы, а за повторные — оборотные. Размер зависит от количества затронутых записей и категорий данных. Отдельно штрафуют за неуведомление Роскомнадзора об инциденте.
Для тех, кто незаконно получает, использует или передаёт персональные данные, предусмотрена уголовная ответственность (ст. 272.1 УК).
Как снизить риски заранее
- Проведите аудит: какие данные, где хранятся, у кого доступ.
- Утвердите регламент реагирования на инциденты с ответственными и сроками.
- Проверьте договоры с подрядчиками, которые получают доступ к данным: поручение обработки, ответственность, уведомления.
- Обучите сотрудников: большинство утечек начинается с фишингового письма.
Частые вопросы
В какой срок нужно сообщить Роскомнадзору об утечке?
О факте инцидента — в течение 24 часов с момента выявления, о результатах внутреннего расследования — в течение 72 часов.
Что будет, если не уведомить Роскомнадзор?
Это самостоятельное нарушение со своим штрафом — вдобавок к ответственности за саму утечку.
Отвечает ли компания за утечку у подрядчика?
Оператор отвечает перед субъектами данных и регулятором, даже если обработку по его поручению вёл подрядчик. Подрядчик отвечает перед оператором — поэтому важны условия договора.
Материал носит общий характер и не заменяет консультацию: в каждом деле важны детали. Законодательство и судебная практика меняются — проверяйте актуальность на дату обращения.