Регламент реагирования на инциденты с персональными данными
Закон требует уложиться в 24 и 72 часа при инциденте с персональными данными, а регламент помогает не потерять эти часы. Роли, шаги по часам, структура документа и образец ключевых пунктов.
Коротко: закон не требует отдельного «регламента реагирования на инциденты», он требует уложиться в сроки: 24 часа на первичное уведомление Роскомнадзора и 72 часа на результаты внутреннего расследования (ч. 3.1 ст. 21 закона № 152-ФЗ). Регламент нужен, чтобы в эти часы никто не искал, кто решает и кто звонит. По нашему прочтению, он относится к локальным актам, которые устанавливают процедуры выявления нарушений и устранения их последствий (п. 2 ч. 1 ст. 18.1). Ниже — роли, шаги по часам и структура документа.
Главное
- Обязательны сроки, а не название документа. 24 и 72 часа идут с момента выявления инцидента, кем бы он ни был выявлен (ч. 3.1 ст. 21).
- Регламент — наша рекомендация. Закон его по названию не требует, но требует процедуры устранения нарушений (п. 2 ч. 1 ст. 18.1).
- Нужны три вещи: кто решает, кто на связи с Роскомнадзором, кто собирает факты.
- Подрядчик обязан сообщать вам. Это условие поручения обработки (ч. 3 ст. 6).
- За срыв уведомления есть отдельный штраф (ч. 11 ст. 13.11 КоАП).
Что считается инцидентом по закону
Часть 3.1 ст. 21 говорит о «неправомерной или случайной передаче (предоставлении, распространении, доступе) персональных данных, повлекшей нарушение прав субъектов». Перечня примеров нет. Привязки к информационным системам в тексте нет тоже: бумажная папка, оставленная в общем доступе, по нашему прочтению формально подходит под описание.
Признака два: передача или доступ были неправомерными либо случайными и от этого пострадали права людей. Нижнего порога по числу записей в части 3.1 нет. Как оценивать «нарушение прав» в спорном случае, закон не говорит. Наша рекомендация: сомнение решать в пользу уведомления и прописать это в регламенте.
Примеры для регламента (наши, не из закона): письмо с реестром ушло не тому адресату; потерян ноутбук с базой клиентов; взломана CRM; база оказалась в открытом доступе; работник выложил данные в чат. Состав самого уведомления и порядок его подачи мы разобрали в статье «Утечка персональных данных: 24 часа на уведомление», здесь не повторяем.
Зачем документ, если закон требует только сроки
Сроки короткие, а выявить инцидент могут не вы: Роскомнадзор или «иное заинтересованное лицо». Отсчёт идёт с этого момента. Без заранее назначенных людей первые часы уходят на выяснение, кто вправе принять решение.
Есть и опора в тексте закона. Меры безопасности включают обнаружение фактов несанкционированного доступа и реагирование на компьютерные инциденты, а также восстановление данных (п. 6 и 7 ч. 2 ст. 19). Отдельная обязанность оператора, о которой стоит знать, — взаимодействие с государственной системой обнаружения компьютерных атак (ГосСОПКА), включая информирование о компьютерных инцидентах, повлекших неправомерную передачу данных (ч. 12 ст. 19); порядок устанавливает ФСБ России, его текст мы в этой статье не разбираем. Оператор обязан по запросу Роскомнадзора представить локальные акты и (или) иным образом подтвердить принятые меры (ч. 4 ст. 18.1). Регламент — самое наглядное подтверждение.
Роли: кто что делает
| Роль | Задача в регламенте | Откуда опора |
|---|---|---|
| Руководитель (исполнительный орган) | Принимает решения о мерах и об уведомлении; ответственный подотчётен ему | ч. 2 ст. 22.1 (подотчётность ответственного); распределение решений — наша рекомендация |
| Ответственный за организацию обработки | Контролирует соблюдение закона, ведёт расследование и контакт с Роскомнадзором (наша рекомендация) | ч. 4 ст. 22.1 |
| Контактное лицо для Роскомнадзора | Его сведения нужны в первичном уведомлении. Им может быть ответственный или другой назначенный работник | п. 1 ч. 3.1 ст. 21 |
| ИТ-специалист или подрядчик | Останавливает утечку, фиксирует следы, оценивает масштаб (наша рекомендация) | п. 6 и 7 ч. 2 ст. 19 |
| Юрист | Готовит текст уведомления, оценивает «нарушение прав» (наша рекомендация) | — |
| Обработчик по поручению | Сообщает оператору о случаях из ч. 3.1 ст. 21; это условие поручения | ч. 3 ст. 6 |
Ответственность перед людьми за действия обработчика несёт оператор (ч. 5 ст. 6). Поэтому в договор с подрядчиком стоит заложить срок, в который он сообщает вам об инциденте. Закон срок не задаёт, он требует только само условие об уведомлении. Наша рекомендация: срок в часах, заметно меньше 24.
Шаги по часам
Шаги сверены с ч. 3.1 ст. 21. Всё, что не помечено нормой, — рекомендация.
| Когда | Что делаем | Норма или практика |
|---|---|---|
| Час 0 | Фиксируем время и источник выявления, назначаем руководителя разбора. От этого момента идут оба срока | ч. 3.1 ст. 21 |
| До 4 часов | Останавливаем передачу или доступ, сохраняем журналы и копии, выясняем, какие данные и чьи | практика |
| До 12 часов | Оцениваем причины и вред предварительно, готовим текст уведомления, согласуем с руководителем | практика |
| В течение 24 часов | Уведомляем Роскомнадзор: что произошло, предполагаемые причины и вред, принятые меры, контактное лицо | п. 1 ч. 3.1 ст. 21 |
| В течение 72 часов | Направляем результаты внутреннего расследования и сведения о лицах, чьи действия стали причиной (если они есть) | п. 2 ч. 3.1 ст. 21 |
| После | Закрываем меры, обновляем документы, записываем выводы в журнал инцидентов | практика |
Первичное уведомление не ждёт итогов расследования: закон просит «предполагаемые» причины и вред. Если данных мало, лучше отправить то, что известно, чем дожидаться полной картины.
Из чего состоит регламент
Структуру закон по пунктам не задаёт. Предлагаем такую (наша рекомендация), на 2–4 страницы.
| Раздел | Что в нём |
|---|---|
| 1. Определения | Что считаем инцидентом (по ч. 3.1 ст. 21 и своими примерами) |
| 2. Роли | Руководитель, ответственный, контактное лицо, ИТ, юрист, замены на время отпуска |
| 3. Выявление | Кто и как сообщает работникам о подозрении; куда писать; что делать нельзя (удалять следы) |
| 4. Шаги и сроки | Таблица по часам, как выше |
| 5. Уведомление Роскомнадзора | Кто готовит, кто подписывает и подаёт, где хранятся копии |
| 6. Подрядчики | Срок и порядок, в которые обработчик сообщает об инциденте |
| 7. Люди | Нужно ли и как сообщать пострадавшим: ч. 3.1 этого не требует, решение за оператором |
| 8. Журнал и выводы | Запись об инциденте, причины, исправления, пересмотр документов |
| 9. Учения | Раз в год прогнать сценарий на бумаге; проверить, что телефоны и доступы актуальны |
Образец ключевых пунктов
Образец, подставьте свои данные. Организация и люди вымышленные.
ООО «Образец». Регламент реагирования на инциденты с персональными данными
1. Инцидентом считается установленный факт неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкший нарушение прав субъектов (ч. 3.1 ст. 21 Федерального закона № 152-ФЗ). При сомнении работник сообщает о событии как о возможном инциденте.
2. Работник, заметивший событие, немедленно сообщает ответственному за организацию обработки персональных данных [ФИО, телефон, e-mail]. Если ответственный недоступен, сообщает [заместитель, телефон].
3. Ответственный записывает дату и время выявления в журнале инцидентов. С этого момента отсчитываются 24 и 72 часа.
4. Ответственный в течение 24 часов от выявления организует направление уведомления в уполномоченный орган с указанием сведений, предусмотренных п. 1 ч. 3.1 ст. 21. Контактным лицом по инциденту назначается [ФИО, должность].
5. В течение 72 часов от выявления организуется направление результатов внутреннего расследования и сведений о лицах, действия которых стали причиной инцидента (при наличии).
6. Договоры с обработчиками содержат обязанность сообщать оператору о случаях, предусмотренных ч. 3.1 ст. 21, в течение [срок] с момента выявления.
7. Копии уведомлений и материалы расследования хранятся у ответственного. Решение о дополнительных мерах принимает директор.
Регламент стоит утвердить приказом (это практика) и ознакомить работников. Порядок описан в статье «Как утвердить документы по ПДн».
Штраф за срыв уведомления
Невыполнение или несвоевременное выполнение обязанности уведомить Роскомнадзор об инциденте — отдельный состав, ч. 11 ст. 13.11 КоАП. Для коммерческих организаций и ИП (ИП как юрлицо, примечание 1) — от 1 до 3 миллионов рублей. В государственных органах и некоммерческих организациях отвечает должностное лицо: от 400 до 800 тысяч рублей (примечания 2 и 3). Сам факт утечки оценивается по другим частям статьи. Сводная таблица в статье «Штрафы за персональные данные».
Как мы помогаем
Порядок действий при инциденте — часть локальных актов. В пакете документов по 152-ФЗ за 9 900 ₽ юрист пишет документы под ваши данные и системы, правки включены. Нужен ли вам отдельный регламент, решаем на разборе: состав пакета называем до оплаты. Сопровождение по персональным данным (1 990 ₽ в месяц или 19 900 ₽ в год) держит документы актуальными и отвечает на вопросы в мессенджере в рабочие дни. Сама утечка и внутреннее расследование в подписку не входят: считаем отдельно, цену называем до начала работ.
Если ответственным назначили вас, а опыта нет, есть курс «Защита персональных данных»: повышение квалификации, 72 часа, дистанционно, удостоверение с записью в ФИС ФРДО. В программе есть модуль об инцидентах. На курс принимают с образованием не ниже среднего профессионального (ч. 3 ст. 76 закона № 273-ФЗ). Готовых документов курс не выдаёт.
Остальные документы комплекта разобраны в обзоре «Документы по персональным данным: что нужно оператору». О том, как инцидент связан с политикой и публичными сведениями о защите, читайте в хабе «Политика обработки персональных данных». Роль ответственного разобрана в хабе «Ответственный за обработку персональных данных».
Нормативные документы
На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.
- Закон № 152-ФЗ, ст. 6 (ч. 3 и 5: поручение обработки)
- Закон № 152-ФЗ, ст. 18.1 (меры оператора, локальные акты)
- Закон № 152-ФЗ, ст. 19 (меры по обеспечению безопасности)
- Закон № 152-ФЗ, ст. 21 (ч. 3.1: уведомление об инциденте)
- Закон № 152-ФЗ, ст. 22.1 (ответственный за организацию обработки)
- КоАП РФ, ст. 13.11 (ч. 11 и примечания)
Частые вопросы
Обязателен ли регламент реагирования на инциденты с персональными данными?
Документ с таким названием закон не требует. Требуются сроки (ч. 3.1 ст. 21) и локальные акты с процедурами выявления нарушений и устранения последствий (п. 2 ч. 1 ст. 18.1). Регламент — удобный способ выполнить это, по нашему прочтению.
С какого момента идут 24 и 72 часа?
С момента выявления инцидента оператором, Роскомнадзором или иным заинтересованным лицом (ч. 3.1 ст. 21). Если о проблеме первым сообщил клиент или журналист, часы, по буквальному прочтению нормы («иным заинтересованным лицом»), уже идут.
Что нужно сообщить Роскомнадзору за 24 часа?
Об инциденте, предполагаемых причинах и предполагаемом вреде, принятых мерах по устранению последствий, а также сведения о лице, уполномоченном на взаимодействие с Роскомнадзором (п. 1 ч. 3.1 ст. 21). Подробнее в статье об утечке.
Что направить за 72 часа?
Результаты внутреннего расследования и сведения о лицах, действия которых стали причиной инцидента, если такие лица есть (п. 2 ч. 3.1 ст. 21).
Нужно ли сообщать об инциденте самим людям?
Часть 3.1 ст. 21 такой обязанности не называет, уведомление адресовано Роскомнадзору. Нужно ли сообщать людям, оператор решает сам. В регламенте стоит заранее определить, кто принимает это решение.
Кто должен быть контактным лицом для Роскомнадзора?
Закон просит сведения о лице, уполномоченном оператором на взаимодействие по инциденту. Кого назначить, решаете вы: часто это ответственный за организацию обработки, но можно и другого работника.
Что делать, если утечка случилась у подрядчика?
Оператор отвечает перед людьми за действия обработчика (ч. 5 ст. 6). Условие об уведомлении оператора о случаях из ч. 3.1 ст. 21 должно быть в поручении обработки (ч. 3 ст. 6). Срок сообщения закон не задаёт, его стоит прописать в договоре.
Нужен ли регламент ИП без сотрудников?
Сроки для ИП те же. Отдельный документ в одну-две страницы можно не писать, но порядок действий (кто звонит, что фиксирует, где хранит) лучше иметь на бумаге. Ответственного закон для ИП не требует.
Поможете составить регламент и подключить поддержку?
Да. Документы пишем в пакете по 152-ФЗ за 9 900 ₽, правки включены, состав называем до оплаты. Сопровождение стоит 1 990 ₽ в месяц или 19 900 ₽ в год. Утечку и расследование считаем отдельно, цену называем до начала работ.
Какой штраф за несвоевременное уведомление об инциденте?
Ч. 11 ст. 13.11 КоАП: для коммерческих организаций и ИП от 1 до 3 миллионов рублей. Для госорганов и некоммерческих организаций отвечает должностное лицо, от 400 до 800 тысяч рублей. Срок давности по КоАП — один год (ст. 4.5).