Утечка ПДн: алгоритм действий и уведомление РКН

Утечка данных — что делать в первые часы: алгоритм 2026 года

Если у вас произошла утечка персональных данных (взлом, потеря базы, случайная публикация) — у вас есть 24 часа на первичное уведомление РКН и 72 часа на уточнённое уведомление с деталями инцидента. Это требование ч. 3.1 ст. 21 152-ФЗ.

Алгоритм действий:

— Час 1–3: зафиксируйте факт инцидента, остановите утечку (отключите скомпрометированный сервис, смените доступы)

— До 24 часов: отправьте первичное уведомление в РКН через portal.rkn.gov.ru — что случилось, какие данные, предварительный масштаб

— До 72 часов: подайте уточнённое уведомление — точное число пострадавших, причины, принятые меры

— Параллельно: уведомите самих субъектов ПДн, чьи данные утекли

Важный нюанс: не ждите завершения внутреннего расследования, чтобы отправить первое уведомление. Лучше подать с тем, что есть, и дополнить в течение 72 часов. За неуведомление — штраф от 1 до 3 млн ₽ по ч. 11 ст. 13.11 КоАП РФ. За саму утечку при небольшом объёме данных санкция может быть ниже, чем за молчание.