Утечка персональных данных: что обязана сделать компания в первые 24 часа

Утечка персональных данных — это не только взлом базы хакерами. По закону утечкой считается любой случай, когда данные стали доступны тем, кому не предназначались: письмо с базой клиентов, отправленное не туда, потерянный ноутбук с незашифрованной базой, забытый открытый доступ к облачному хранилищу. С момента обнаружения такого случая у компании есть не недели на реакцию, а часы.

Кто обязан уведомлять и когда

Уведомлять нужно, если персональные данные оказались доступны лицам, которым они не предназначались — независимо от того, произошло это из-за атаки, ошибки сотрудника или технической неисправности. Обязанность возникает у оператора данных, даже если инцидент произошёл не у него напрямую, а у подрядчика-процессора, которому были переданы данные: ответственность перед Роскомнадзором всё равно несёт оператор.

Два этапа уведомления: 24 часа и 72 часа

Закон устанавливает двухэтапную модель уведомления Роскомнадзора:

В течение 24 часов с момента обнаружения инцидента нужно направить первичное уведомление с:

реквизитами оператора и контактным лицом
датой и временем обнаружения
описанием инцидента и предполагаемыми причинами
категориями и примерным объёмом затронутых данных
оценочным числом затронутых субъектов
мерами, которые уже приняты

В течение 72 часов — уточнённое уведомление с результатами внутреннего расследования: подробный разбор причин, принятые защитные и восстановительные меры, оценка возможных последствий, план предотвращения повторения.

На практике это означает, что компания должна успеть обнаружить, зафиксировать и хотя бы предварительно описать инцидент меньше чем за сутки — то есть процедура на случай утечки должна быть продумана заранее, а не придумываться в момент самого инцидента.

Какие штрафы предусмотрены

Структура штрафов по ст. 13.11 КоАП РФ (действует с 30 мая 2025 года, закон № 420-ФЗ) привязана к объёму утекших записей — чем больше данных затронуто, тем выше фиксированный штраф:

несообщение об утечке в РКН в течение 24 часов — от 1 до 3 млн ₽ для организаций
утечка от 1 000 до 10 000 субъектов — от 3 до 5 млн ₽
утечка от 10 000 до 100 000 субъектов — промежуточная сумма, до 10 млн ₽
утечка свыше 100 000 субъектов — от 10 до 15 млн ₽

При повторном нарушении применяется отдельный оборотный штраф (ст. 13.11.1 КоАП) — процент от годовой выручки компании, с фиксированными нижней и верхней границами. Разные источники называют немного разные цифры границ (встречаются варианты 20 и 25 млн ₽ как минимум, 0,1% и 1% как нижняя граница процента), но верхняя граница везде сходится на 500 млн ₽. Для точной суммы в конкретной ситуации стоит сверяться с актуальной редакцией статьи, а не ориентироваться на округлённые цифры из новостных пересказов.

Что сделать заранее, чтобы не решать это в панике

Определить заранее, кто в компании отвечает за фиксацию инцидента и подготовку уведомления — даже если это один человек в небольшой команде
Иметь шаблон уведомления под рукой, а не составлять его с нуля в момент инцидента
Прописать в договорах с подрядчиками (хостинг, рассылки, AI-сервисы), что они обязаны немедленно сообщать вам о подозрении на утечку — иначе 24-часовой отсчёт для вас как оператора может начаться с опозданием
Отдельно продумать, какие данные вообще стоит хранить дольше необходимого — чем меньше данных накоплено, тем меньше масштаб возможной утечки и, соответственно, штрафа

Как понять, готовы ли ваши документы к такому сценарию

Политика конфиденциальности и внутренние регламенты должны явно описывать, что происходит при инциденте — а не ограничиваться общими фразами про "меры защиты". Автоматическая проверка документа покажет, упомянут ли порядок действий при утечке в принципе.

Проверьте документ бесплатно за 2 минуты → Загрузить документ

Кто обязан уведомлять и когда

Два этапа уведомления: 24 часа и 72 часа

Какие штрафы предусмотрены

Что сделать заранее, чтобы не решать это в панике

Как понять, готовы ли ваши документы к такому сценарию

Похожие вопросы