Утечка персональных данных: что сделать за 24 и 72 часа
Утечка персональных данных: два срока из части 3.1 статьи 21 закона № 152-ФЗ, что включить в первичное и дополнительное уведомление, как отправить и какие штрафы по статье 13.11 КоАП. Порядок действий без паники.
Коротко: при утечке оператор обязан в течение 24 часов уведомить Роскомнадзор об инциденте, а в течение 72 часов сообщить результаты внутреннего расследования. Сроки идут с момента выявления инцидента (часть 3.1 статьи 21 закона № 152-ФЗ). Первое уведомление подают, не дожидаясь расследования: в нём достаточно предполагаемых причин и предполагаемого вреда. Действовать нужно по шагам, и паниковать не надо.
Главное
- 24 часа — первичное уведомление: что произошло, почему, какой вред, что сделано, кто на связи.
- 72 часа — результаты внутреннего расследования и сведения о лицах, чьи действия стали причиной (если они есть).
- Отсчёт идёт с момента выявления инцидента оператором, Роскомнадзором или иным заинтересованным лицом.
- Подать можно на бумаге или электронно через Портал персональных данных Роскомнадзора.
- Штрафы: за молчание — часть 11 статьи 13.11 КоАП, за саму утечку — части 12–14, 16 и 17.
Что считается инцидентом
Часть 3.1 статьи 21 говорит об «установлении факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкшей нарушение прав субъектов». Перечня примеров в законе нет. Признаков два: передача или доступ были неправомерными или случайными, и от этого пострадали права людей. Порога по числу записей в части 3.1 нет, обязанность не зависит от размера базы.
Сроки: 24 и 72 часа
| Срок | Что направить в Роскомнадзор |
|---|---|
| В течение 24 часов | Сведения о произошедшем инциденте, о предполагаемых причинах, о предполагаемом вреде правам людей, о принятых мерах по устранению последствий, а также о лице, уполномоченном оператором на взаимодействие с Роскомнадзором по этому инциденту |
| В течение 72 часов | Результаты внутреннего расследования и сведения о лицах, действия которых стали причиной инцидента (при наличии) |
Оба срока в тексте закона отсчитываются «с момента выявления такого инцидента оператором, уполномоченным органом по защите прав субъектов персональных данных или иным заинтересованным лицом». Если об утечке первым написал журналист, клиент или сам Роскомнадзор, часы уже идут.
Что должно быть в уведомлении
Состав уточнён приказом Роскомнадзора № 187 от 14.11.2022 (Порядок взаимодействия с операторами). Первичное уведомление содержит:
- об инциденте: дату и время выявления, характеристику данных (содержание базы, ставшей доступной неограниченному кругу лиц, и число записей);
- о предполагаемых причинах: предварительные причины неправомерного распространения;
- о предполагаемом вреде: результаты предварительной оценки вреда и его последствий;
- о принятых мерах: перечень организационных и технических мер по устранению последствий;
- о контактном лице: кто уполномочен общаться с Роскомнадзором по инциденту;
- данные оператора: наименование или ФИО, ИНН, адрес и электронную почту для ответа.
Дополнительное уведомление (72 часа) содержит результаты внутреннего расследования: причины, вред, дополнительно принятые меры и решение о проведении расследования с его реквизитами. Туда же вносят сведения о лицах, чьи действия стали причиной инцидента, если такие лица есть. Если результаты расследования известны уже при подаче первого уведомления, их вправе указать сразу.
Как отправить и что будет дальше
Порядок допускает бумагу и электронную форму. Электронно уведомление направляют через специализированную форму на Портале персональных данных (в меню есть раздел «Инциденты (утечки ПД)»): вход через Госуслуги (ЕСИА), подпись электронной подписью. Дальше процесс такой:
| Этап | Что происходит |
|---|---|
| После отправки | На указанную в первичном уведомлении почту приходит письмо с номером и ключом уведомления. Они нужны для дополнительного уведомления |
| Неполные сведения | Роскомнадзор в течение 3 рабочих дней запрашивает недостающее, оператор отвечает в течение 3 рабочих дней |
| Нет дополнительного уведомления | Роскомнадзор направляет требование представить результаты расследования, ответить нужно в течение 1 рабочего дня |
| Базу нашёл Роскомнадзор | Если содержание скомпрометированной базы указывает на конкретного оператора, ему направляют требование представить уведомление |
Первые 24 часа: порядок действий
- Запишите момент выявления. Дата и время нужны и для уведомления, и для расчёта сроков.
- Назначьте контактное лицо для Роскомнадзора. Его сведения обязательны в первичном уведомлении.
- Остановите передачу или доступ и выясните, какие данные и сколько записей затронуто.
- Опишите причины и вред предварительно. Закон просит именно «предполагаемые», точный вывод будет в расследовании.
- Подайте первичное уведомление, не ожидая итогов проверки.
- Проведите расследование и оформите решение о нём: его реквизиты указываются в дополнительном уведомлении.
Штрафы: за молчание и за саму утечку
Это разные составы статьи 13.11 КоАП. Уведомление — отдельная обязанность, и за её невыполнение или опоздание штрафуют по части 11. Суммы для организаций и ИП (ИП как юрлицо, примечание 1):
| Часть | За что | Организации и ИП |
|---|---|---|
| 11 | Не уведомили Роскомнадзор об утечке или опоздали | 1–3 млн ₽ |
| 12 | Утечка: от 1 тыс. до 10 тыс. субъектов и (или) от 10 тыс. до 100 тыс. идентификаторов | 3–5 млн ₽ |
| 13 | От 10 тыс. до 100 тыс. субъектов и (или) от 100 тыс. до 1 млн идентификаторов | 5–10 млн ₽ |
| 14 | Более 100 тыс. субъектов и (или) более 1 млн идентификаторов | 10–15 млн ₽ |
| 16 | Утечка специальных категорий данных | 10–15 млн ₽ |
| 17 | Утечка биометрических данных | 15–20 млн ₽ |
Для граждан и должностных лиц суммы другие, полная таблица — в статье про штрафы за персональные данные. В частях 10–18 «юрлицо» — коммерческая организация, у госорганов и НКО отвечает должностное лицо. Проценты от выручки появляются только при повторной утечке: они разобраны в статье об оборотных штрафах.
Статья 4.2 КоАП относит к смягчающим обстоятельствам, среди прочего, предотвращение вредных последствий, добровольное устранение причинённого вреда и содействие органу в установлении обстоятельств дела. Признает ли их смягчающими в конкретном деле, решает орган или суд.
При чём здесь статья 272.1 УК
Эту статью часто вспоминают рядом с утечками, но она о другом. Статья 272.1 УК описывает незаконные использование, передачу, сбор и хранение компьютерной информации с персональными данными, полученной неправомерным доступом либо иным незаконным путём. Это ответственность тех, кто завладел данными и пустил их в оборот. Ответственность оператора за утечку наступает по статье 13.11 КоАП, а статья 272.1 касается тех, кто получил данные незаконно и пустил их в оборот. Части 12–14 прямо оговаривают, что действуют, если деяние не содержит признаков уголовно наказуемого.
Как мы помогаем
Заранее к утечке готовятся не расследованием, а порядком в документах и в сроках. Что есть у ФТИ:
- Сопровождение по персональным данным — 1 990 ₽ в месяц или 19 900 ₽ в год. Следим за сроками, установленными в законе, подаём изменения в реестр, обновляем документы, отвечаем на вопросы в мессенджере в рабочие дни.
- Документы по 152-ФЗ — 9 900 ₽. Политика, согласия, локальные акты, приказ об ответственном, инструкции под ваш бизнес.
Важная оговорка: сама утечка и внутреннее расследование в подписку не входят. Это считается отдельно, цену мы называем до начала работ. Работы по технической защите, например аттестация и установка средств защиты, в услуги ФТИ не входят.
Что ещё важно знать оператору: как подать уведомление об обработке до утечки, какие ещё сроки есть в законе (все сроки в одной таблице), как проходят проверки Роскомнадзора и что грозит работнику, разгласившему данные. Все услуги собраны на странице услуг ФТИ.
Как выстроить порядок действий на случай утечки заранее, разбирается на курсе повышения квалификации ФТИ «Защита персональных данных»: 72 часа дистанционно, удостоверение с записью в ФИС ФРДО. Курс учит организации процесса, а не заменяет уведомление: его подаёт сам оператор.
Нормативные документы
На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.
- Федеральный закон № 152-ФЗ, статья 21 — обязанности оператора по устранению нарушений, часть 3.1 об уведомлении об утечке
- Приказ Роскомнадзора № 187 от 14.11.2022 — порядок и условия взаимодействия с операторами по реестру учёта инцидентов
- КоАП РФ, статья 13.11 — части 11–18 об уведомлении об утечке и штрафах за утечку
- КоАП РФ, статья 4.2 — обстоятельства, смягчающие административную ответственность
- УК РФ, статья 272.1 — незаконные использование и передача компьютерной информации с персональными данными
Частые вопросы
Сколько времени есть на уведомление Роскомнадзора об утечке персональных данных?
Два срока по части 3.1 статьи 21 закона № 152-ФЗ. В течение 24 часов нужно сообщить об инциденте, предполагаемых причинах, предполагаемом вреде, принятых мерах и контактном лице. В течение 72 часов — о результатах внутреннего расследования и о лицах, действия которых стали причиной.
С какого момента считаются 24 часа?
С момента выявления инцидента. Закон называет три варианта: выявил оператор, выявил Роскомнадзор или выявило иное заинтересованное лицо. Поэтому, если об утечке сообщил третий человек, срок уже идёт.
Что должно быть в первом уведомлении об утечке?
Дата и время выявления, характеристика данных и число записей, предполагаемые причины, предполагаемый вред, принятые меры, контактное лицо для Роскомнадзора и данные оператора: наименование или ФИО, ИНН, адрес, электронная почта.
Как отправить уведомление об утечке?
Порядок допускает бумагу и электронную форму. Электронно — через специализированную форму на Портале персональных данных Роскомнадзора, вход через Госуслуги и подпись электронной подписью. После отправки на почту придут номер и ключ уведомления, они понадобятся для дополнительного.
Что делать, если за 72 часа не успели закончить расследование?
Подать то, что известно, и не затягивать. Если дополнительное уведомление не поступило в срок, Роскомнадзор направит требование представить результаты расследования, ответить на него нужно в течение одного рабочего дня. Опоздание может квалифицироваться по части 11 статьи 13.11 КоАП: она говорит о невыполнении или несвоевременном выполнении обязанности уведомить.
Какой штраф за неуведомление об утечке?
По части 11 статьи 13.11 КоАП: организации и ИП от 1 до 3 млн ₽, должностные лица (госорганов и НКО) от 400 до 800 тыс. ₽, граждане от 50 до 100 тыс. ₽.
Какой штраф за саму утечку?
Зависит от масштаба и типа данных. Для организаций и ИП: часть 12 — от 3 до 5 млн ₽, часть 13 — от 5 до 10 млн ₽, часть 14 — от 10 до 15 млн ₽, часть 16 (специальные категории) — от 10 до 15 млн ₽, часть 17 (биометрия) — от 15 до 20 млн ₽.
Нужно ли уведомлять, если утекло мало данных?
В части 3.1 статьи 21 порога по числу записей нет: обязанность возникает при установлении факта передачи или доступа, повлёкших нарушение прав субъектов. Часть 11 статьи 13.11 штрафует за неуведомление без привязки к размеру базы.
Наступает ли уголовная ответственность оператора за утечку?
Сама утечка у оператора наказывается административно, по статье 13.11 КоАП. Статья 272.1 УК касается данных, полученных неправомерным доступом или иным незаконным путём, и тех, кто их использует или передаёт. Если в действиях есть признаки преступления, оценка зависит от обстоятельств дела.
Где подготовиться к таким ситуациям и сколько это стоит у ФТИ?
Сопровождение по персональным данным — 1 990 ₽ в месяц или 19 900 ₽ в год: следим за сроками, обновляем документы, отвечаем на вопросы. Документы по 152-ФЗ — 9 900 ₽. Утечка и внутреннее расследование в подписку не входят, цену по ним называем до начала работ.