Утечка персональных данных: что делать оператору

Утечка — это неправомерная или случайная передача персональных данных, доступ к ним или их распространение, повлёкшие раскрытие данных лицам, которые не должны были их получить. Это может быть взлом, ошибка сотрудника, некорректная настройка доступа, потеря носителя. Значение имеет сам факт того, что данные стали доступны посторонним, независимо от того, умышленно это произошло или случайно.

По части 3.1 статьи 21 152-ФЗ оператор, установивший факт утечки, обязан уведомить Роскомнадзор в течение 24 часов о самом факте инцидента и в течение 72 часов — о результатах внутреннего расследования. Сроки очень короткие, поэтому порядок реагирования и шаблоны уведомлений имеет смысл подготовить заранее, а не в момент инцидента.

С 30 мая 2025 года за утечки персональных данных введены отдельные, значительно более строгие санкции: за сам факт утечки — крупный фиксированный штраф, размер которого зависит от объёма затронутых данных, а за повторную утечку — оборотный штраф, привязанный к выручке компании. Конкретные размеры определяются по актуальной редакции КоАП. Отдельно учитывается соблюдение сроков уведомления Роскомнадзора.

Зафиксировать факт и время обнаружения, ограничить дальнейшее распространение данных, запустить внутреннее расследование и подготовить уведомление в Роскомнадзор в течение 24 часов. Параллельно оцениваются последствия и меры по их устранению. Действовать нужно по заранее подготовленному порядку реагирования: он позволяет уложиться в срок и не упустить обязательные шаги. Мы помогаем отработать инцидент корректно.

Начать с аудита: понять, какие данные, где и как обрабатываются и защищаются. Затем выстроить организационные и технические меры под реальные процессы: модель угроз, порядок доступа, порядок реагирования на инцидент, назначенного ответственного, обучение сотрудников. Полностью исключить риск нельзя, но системная защита снижает и вероятность утечки, и её последствия, включая размер возможной санкции.