# Регламент реагирования на инциденты с персональными данными

> Источник: https://ftex.pro/blog/reglament-reagirovaniya-na-incidenty-pdn/  
> Опубликовано: 07.10.2026  
> Раздел: Персональные данные  
> Описание: Нужен ли регламент реагирования на инциденты с ПДн: сроки 24 и 72 часа по ч. 3.1 ст. 21, роли, шаги по часам, структура документа и образец ключевых пунктов.  
> Издатель: Финансово-технологический институт (ftex.pro), образовательная лицензия Л035-01270-29/05390506

**Коротко: закон не требует отдельного «регламента реагирования на инциденты», он требует уложиться в сроки: 24 часа на первичное уведомление Роскомнадзора и 72 часа на результаты внутреннего расследования (ч. 3.1 ст. 21 закона № 152-ФЗ).** Регламент нужен, чтобы в эти часы никто не искал, кто решает и кто звонит. По нашему прочтению, он относится к локальным актам, которые устанавливают процедуры выявления нарушений и устранения их последствий (п. 2 ч. 1 ст. 18.1). Ниже — роли, шаги по часам и структура документа.

 

Разбор, политика, согласия и локальные акты по вашей ситуации · состав пакета называем до оплаты

 

Документы по 152-ФЗ под ваш бизнес — 9 900 ₽, правки до «принимаю» включены

 

[Собрать пакет под мой бизнес →](https://ftex.pro/dokumenty-po-152-fz/)

 

**Главное**

 

- **Обязательны сроки, а не название документа.** 24 и 72 часа идут с момента выявления инцидента, кем бы он ни был выявлен (ч. 3.1 ст. 21).
- **Регламент — наша рекомендация.** Закон его по названию не требует, но требует процедуры устранения нарушений (п. 2 ч. 1 ст. 18.1).
- **Нужны три вещи:** кто решает, кто на связи с Роскомнадзором, кто собирает факты.
- **Подрядчик обязан сообщать вам.** Это условие поручения обработки (ч. 3 ст. 6).
- **За срыв уведомления** есть отдельный штраф (ч. 11 ст. 13.11 КоАП).

 

## Что считается инцидентом по закону

 

Часть 3.1 ст. 21 говорит о «неправомерной или случайной передаче (предоставлении, распространении, доступе) персональных данных, повлекшей нарушение прав субъектов». Перечня примеров нет. Привязки к информационным системам в тексте нет тоже: бумажная папка, оставленная в общем доступе, по нашему прочтению формально подходит под описание.

 

Признака два: передача или доступ были неправомерными либо случайными и от этого пострадали права людей. Нижнего порога по числу записей в части 3.1 нет. Как оценивать «нарушение прав» в спорном случае, закон не говорит. Наша рекомендация: сомнение решать в пользу уведомления и прописать это в регламенте.

 

Примеры для регламента (наши, не из закона): письмо с реестром ушло не тому адресату; потерян ноутбук с базой клиентов; взломана CRM; база оказалась в открытом доступе; работник выложил данные в чат. Состав самого уведомления и порядок его подачи мы разобрали в статье «[Утечка персональных данных: 24 часа на уведомление](https://ftex.pro/blog/utechka-personalnyh-dannyh-24-chasa/)», здесь не повторяем.

 

## Зачем документ, если закон требует только сроки

 

Сроки короткие, а выявить инцидент могут не вы: Роскомнадзор или «иное заинтересованное лицо». Отсчёт идёт с этого момента. Без заранее назначенных людей первые часы уходят на выяснение, кто вправе принять решение.

 

Есть и опора в тексте закона. Меры безопасности включают обнаружение фактов несанкционированного доступа и реагирование на компьютерные инциденты, а также восстановление данных (п. 6 и 7 ч. 2 ст. 19). Отдельная обязанность оператора, о которой стоит знать, — взаимодействие с государственной системой обнаружения компьютерных атак (ГосСОПКА), включая информирование о компьютерных инцидентах, повлекших неправомерную передачу данных (ч. 12 ст. 19); порядок устанавливает ФСБ России, его текст мы в этой статье не разбираем. Оператор обязан по запросу Роскомнадзора представить локальные акты и (или) иным образом подтвердить принятые меры (ч. 4 ст. 18.1). Регламент — самое наглядное подтверждение.

 

## Роли: кто что делает

 

| Роль | Задача в регламенте | Откуда опора |
|---|---|---|
| Руководитель (исполнительный орган) | Принимает решения о мерах и об уведомлении; ответственный подотчётен ему | ч. 2 ст. 22.1 (подотчётность ответственного); распределение решений — наша рекомендация |
| Ответственный за организацию обработки | Контролирует соблюдение закона, ведёт расследование и контакт с Роскомнадзором (наша рекомендация) | ч. 4 ст. 22.1 |
| Контактное лицо для Роскомнадзора | Его сведения нужны в первичном уведомлении. Им может быть ответственный или другой назначенный работник | п. 1 ч. 3.1 ст. 21 |
| ИТ-специалист или подрядчик | Останавливает утечку, фиксирует следы, оценивает масштаб (наша рекомендация) | п. 6 и 7 ч. 2 ст. 19 |
| Юрист | Готовит текст уведомления, оценивает «нарушение прав» (наша рекомендация) | — |
| Обработчик по поручению | Сообщает оператору о случаях из ч. 3.1 ст. 21; это условие поручения | ч. 3 ст. 6 |

 

Ответственность перед людьми за действия обработчика несёт оператор (ч. 5 ст. 6). Поэтому в договор с подрядчиком стоит заложить срок, в который он сообщает вам об инциденте. Закон срок не задаёт, он требует только само условие об уведомлении. Наша рекомендация: срок в часах, заметно меньше 24.

 

## Шаги по часам

 

Шаги сверены с ч. 3.1 ст. 21. Всё, что не помечено нормой, — рекомендация.

 

| Когда | Что делаем | Норма или практика |
|---|---|---|
| Час 0 | Фиксируем время и источник выявления, назначаем руководителя разбора. От этого момента идут оба срока | ч. 3.1 ст. 21 |
| До 4 часов | Останавливаем передачу или доступ, сохраняем журналы и копии, выясняем, какие данные и чьи | практика |
| До 12 часов | Оцениваем причины и вред предварительно, готовим текст уведомления, согласуем с руководителем | практика |
| В течение 24 часов | Уведомляем Роскомнадзор: что произошло, предполагаемые причины и вред, принятые меры, контактное лицо | п. 1 ч. 3.1 ст. 21 |
| В течение 72 часов | Направляем результаты внутреннего расследования и сведения о лицах, чьи действия стали причиной (если они есть) | п. 2 ч. 3.1 ст. 21 |
| После | Закрываем меры, обновляем документы, записываем выводы в журнал инцидентов | практика |

 

Первичное уведомление не ждёт итогов расследования: закон просит «предполагаемые» причины и вред. Если данных мало, лучше отправить то, что известно, чем дожидаться полной картины.

 

## Из чего состоит регламент

 

Структуру закон по пунктам не задаёт. Предлагаем такую (наша рекомендация), на 2–4 страницы.

 

| Раздел | Что в нём |
|---|---|
| 1. Определения | Что считаем инцидентом (по ч. 3.1 ст. 21 и своими примерами) |
| 2. Роли | Руководитель, ответственный, контактное лицо, ИТ, юрист, замены на время отпуска |
| 3. Выявление | Кто и как сообщает работникам о подозрении; куда писать; что делать нельзя (удалять следы) |
| 4. Шаги и сроки | Таблица по часам, как выше |
| 5. Уведомление Роскомнадзора | Кто готовит, кто подписывает и подаёт, где хранятся копии |
| 6. Подрядчики | Срок и порядок, в которые обработчик сообщает об инциденте |
| 7. Люди | Нужно ли и как сообщать пострадавшим: ч. 3.1 этого не требует, решение за оператором |
| 8. Журнал и выводы | Запись об инциденте, причины, исправления, пересмотр документов |
| 9. Учения | Раз в год прогнать сценарий на бумаге; проверить, что телефоны и доступы актуальны |

 

## Образец ключевых пунктов

 

Образец, подставьте свои данные. Организация и люди вымышленные.

 

> **ООО «Образец». Регламент реагирования на инциденты с персональными данными**
> 
>  
> 
> 1. Инцидентом считается установленный факт неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкший нарушение прав субъектов (ч. 3.1 ст. 21 Федерального закона № 152-ФЗ). При сомнении работник сообщает о событии как о возможном инциденте.
> 
>  
> 
> 2. Работник, заметивший событие, немедленно сообщает ответственному за организацию обработки персональных данных. Если ответственный недоступен, сообщает.
> 
>  
> 
> 3. Ответственный записывает дату и время выявления в журнале инцидентов. С этого момента отсчитываются 24 и 72 часа.
> 
>  
> 
> 4. Ответственный в течение 24 часов от выявления организует направление уведомления в уполномоченный орган с указанием сведений, предусмотренных п. 1 ч. 3.1 ст. 21. Контактным лицом по инциденту назначается.
> 
>  
> 
> 5. В течение 72 часов от выявления организуется направление результатов внутреннего расследования и сведений о лицах, действия которых стали причиной инцидента (при наличии).
> 
>  
> 
> 6. Договоры с обработчиками содержат обязанность сообщать оператору о случаях, предусмотренных ч. 3.1 ст. 21, в течение с момента выявления.
> 
>  
> 
> 7. Копии уведомлений и материалы расследования хранятся у ответственного. Решение о дополнительных мерах принимает директор.

 

Регламент стоит утвердить приказом (это практика) и ознакомить работников. Порядок описан в статье «[Как утвердить документы по ПДн](https://ftex.pro/blog/kak-utverdit-dokumenty-po-pdn/)».

 

## Штраф за срыв уведомления

 

Невыполнение или несвоевременное выполнение обязанности уведомить Роскомнадзор об инциденте — отдельный состав, ч. 11 ст. 13.11 КоАП. Для коммерческих организаций и ИП (ИП как юрлицо, примечание 1) — от 1 до 3 миллионов рублей. В государственных органах и некоммерческих организациях отвечает должностное лицо: от 400 до 800 тысяч рублей (примечания 2 и 3). Сам факт утечки оценивается по другим частям статьи. Сводная таблица в статье «[Штрафы за персональные данные](https://ftex.pro/blog/shtrafy-za-personalnye-dannye/)».

 

## Как мы помогаем

 

Порядок действий при инциденте — часть локальных актов. В [пакете документов по 152-ФЗ](https://ftex.pro/dokumenty-po-152-fz/) за 9 900 ₽ юрист пишет документы под ваши данные и системы, правки включены. Нужен ли вам отдельный регламент, решаем на разборе: состав пакета называем до оплаты. [Сопровождение по персональным данным](https://ftex.pro/soprovozhdenie-po-pdn/) (1 990 ₽ в месяц или 19 900 ₽ в год) держит документы актуальными и отвечает на вопросы в мессенджере в рабочие дни. Сама утечка и внутреннее расследование в подписку не входят: считаем отдельно, цену называем до начала работ.

 

Если ответственным назначили вас, а опыта нет, есть курс [«Защита персональных данных»](https://ftex.pro/kursy/zashchita-personalnyh-dannyh/): повышение квалификации, 72 часа, дистанционно, удостоверение с записью в ФИС ФРДО. В программе есть модуль об инцидентах. На курс принимают с образованием не ниже среднего профессионального (ч. 3 ст. 76 закона № 273-ФЗ). Готовых документов курс не выдаёт.

 

Изменения в реестре, обновление документов, консультации в мессенджере · утечки и расследования считаем отдельно, цену называем до начала

 

Сопровождение по персональным данным — 1 990 ₽ в месяц или 19 900 ₽ в год

 

[Подключить сопровождение →](https://ftex.pro/soprovozhdenie-po-pdn/)

 

Остальные документы комплекта разобраны в обзоре «[Документы по персональным данным: что нужно оператору](https://ftex.pro/blog/dokumenty-po-personalnym-dannym/)». О том, как инцидент связан с политикой и публичными сведениями о защите, читайте в хабе «[Политика обработки персональных данных](https://ftex.pro/blog/politika-obrabotki-personalnyh-dannyh/)». Роль ответственного разобрана в хабе «[Ответственный за обработку персональных данных](https://ftex.pro/blog/otvetstvennyj-za-obrabotku-personalnyh-dannyh/)».

 

## Нормативные документы

 

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

 

- [Закон № 152-ФЗ, ст. 6 (ч. 3 и 5: поручение обработки)](https://www.consultant.ru/document/cons_doc_LAW_61801/315f051396c88f1e4f827ba3f2ae313d999a1873/)
- [Закон № 152-ФЗ, ст. 18.1 (меры оператора, локальные акты)](https://www.consultant.ru/document/cons_doc_LAW_61801/eeeebe22bf738fd65bb66b95cc278911ae2525ee/)
- [Закон № 152-ФЗ, ст. 19 (меры по обеспечению безопасности)](https://www.consultant.ru/document/cons_doc_LAW_61801/ca9e5658710519f09ab2fdb8196fcb3eb024a051/)
- [Закон № 152-ФЗ, ст. 21 (ч. 3.1: уведомление об инциденте)](https://www.consultant.ru/document/cons_doc_LAW_61801/d3fe43a7c415353b17faab255bc0de92bea127da/)
- [Закон № 152-ФЗ, ст. 22.1 (ответственный за организацию обработки)](https://www.consultant.ru/document/cons_doc_LAW_61801/ac39e94238689d353ef880365b6b400140aa1d2d/)
- [КоАП РФ, ст. 13.11 (ч. 11 и примечания)](https://www.consultant.ru/document/cons_doc_LAW_34661/1f421640c6775ff67079ebde06a7d2f6d17b96db/)

## Частые вопросы

### Обязателен ли регламент реагирования на инциденты с персональными данными?

Документ с таким названием закон не требует. Требуются сроки (ч. 3.1 ст. 21) и локальные акты с процедурами выявления нарушений и устранения последствий (п. 2 ч. 1 ст. 18.1). Регламент — удобный способ выполнить это, по нашему прочтению.

### С какого момента идут 24 и 72 часа?

С момента выявления инцидента оператором, Роскомнадзором или иным заинтересованным лицом (ч. 3.1 ст. 21). Если о проблеме первым сообщил клиент или журналист, часы, по буквальному прочтению нормы («иным заинтересованным лицом»), уже идут.

### Что нужно сообщить Роскомнадзору за 24 часа?

Об инциденте, предполагаемых причинах и предполагаемом вреде, принятых мерах по устранению последствий, а также сведения о лице, уполномоченном на взаимодействие с Роскомнадзором (п. 1 ч. 3.1 ст. 21). Подробнее в статье об утечке.

### Что направить за 72 часа?

Результаты внутреннего расследования и сведения о лицах, действия которых стали причиной инцидента, если такие лица есть (п. 2 ч. 3.1 ст. 21).

### Нужно ли сообщать об инциденте самим людям?

Часть 3.1 ст. 21 такой обязанности не называет, уведомление адресовано Роскомнадзору. Нужно ли сообщать людям, оператор решает сам. В регламенте стоит заранее определить, кто принимает это решение.

### Кто должен быть контактным лицом для Роскомнадзора?

Закон просит сведения о лице, уполномоченном оператором на взаимодействие по инциденту. Кого назначить, решаете вы: часто это ответственный за организацию обработки, но можно и другого работника.

### Что делать, если утечка случилась у подрядчика?

Оператор отвечает перед людьми за действия обработчика (ч. 5 ст. 6). Условие об уведомлении оператора о случаях из ч. 3.1 ст. 21 должно быть в поручении обработки (ч. 3 ст. 6). Срок сообщения закон не задаёт, его стоит прописать в договоре.

### Нужен ли регламент ИП без сотрудников?

Сроки для ИП те же. Отдельный документ в одну-две страницы можно не писать, но порядок действий (кто звонит, что фиксирует, где хранит) лучше иметь на бумаге. Ответственного закон для ИП не требует.

### Поможете составить регламент и подключить поддержку?

Да. Документы пишем в пакете по 152-ФЗ за 9 900 ₽, правки включены, состав называем до оплаты. Сопровождение стоит 1 990 ₽ в месяц или 19 900 ₽ в год. Утечку и расследование считаем отдельно, цену называем до начала работ.

### Какой штраф за несвоевременное уведомление об инциденте?

Ч. 11 ст. 13.11 КоАП: для коммерческих организаций и ИП от 1 до 3 миллионов рублей. Для госорганов и некоммерческих организаций отвечает должностное лицо, от 400 до 800 тысяч рублей. Срок давности по КоАП — один год (ст. 4.5).