Как уведомить Роскомнадзор об утечке персональных данных
Если персональные данные попали к посторонним, оператор обязан уведомить Роскомнадзор в строгие сроки. Срок начинается с момента выявления инцидента, а не с момента, когда вы закончили его разбирать. Поэтому порядок действий нужно написать до утечки.
Это практическая памятка, а не юридическая консультация. Текст закона и формы уведомлений проверяйте на актуальность перед использованием: 152-ФЗ в редакции с изменениями и сайт rkn.gov.ru.
Что требует закон
Часть 3.1 статьи 21 152-ФЗ обязывает оператора при установлении факта неправомерной или случайной передачи персональных данных, повлёкшей нарушение прав субъектов, уведомить Роскомнадзор:
| Срок | Что сообщить |
|---|---|
| В течение 24 часов с момента выявления | О факте инцидента, предполагаемых причинах и вреде правам субъектов, принятых мерах, контакт ответственного лица |
| В течение 72 часов | О результатах внутреннего расследования и лицах, действия которых стали причиной (при наличии) |
Уведомление подаётся через форму на сайте РКН. Актуальный порядок и форму проверяйте на сайте ведомства.
Что сделать в первые часы
- Зафиксируйте время выявления. Запишите, кто, когда и как узнал об инциденте. От этой отметки считаются 24 часа.
- Остановите утечку. Отзовите ключи и пароли, закройте доступ, изолируйте систему. Не удаляйте журналы и образы: они нужны для расследования.
- Оцените масштаб. Какие данные, сколько субъектов, какие категории (общие, специальные, биометрические).
- Подайте первичное уведомление. Лучше подать с неполными данными в срок, чем полное с опозданием: недостающее вы дополните во втором уведомлении.
- Продолжите расследование и подготовьте итоговое уведомление в течение 72 часов.
Что подготовить заранее
- Назначенное ответственное лицо и его заместитель, у обоих есть доступ к форме РКН.
- Шаблон уведомления с реквизитами оператора.
- Перечень информационных систем с персональными данными и их владельцы.
- Журналы доступа, которые хранятся достаточно долго и вне основной системы.
- Тренировка: раз в год пройдите сценарий от обнаружения до подачи уведомления.
Взаимодействие с ГосСОПКА
Операторы, на которых распространяется взаимодействие с государственной системой обнаружения и предупреждения компьютерных атак, дополнительно передают сведения об инциденте в НКЦКИ в установленном порядке. Относитесь ли вы к таким организациям, выясните у специалиста по КИИ или юриста.
Чем грозит нарушение
За нарушения при обработке персональных данных и несвоевременное уведомление предусмотрены штрафы по статье 13.11 КоАП РФ. Их размеры менялись, актуальная таблица: размеры штрафов за нарушения с персональными данными. Общий порядок защиты: чек-лист защиты ПДн.
Как проверить готовность
Задайте себе три вопроса. Кто в вашей организации подаст уведомление в 3 часа ночи в воскресенье? Где лежит доступ к форме РКН? Откуда вы возьмёте список затронутых субъектов? Если ответа нет, процедура не готова. Следующий шаг: реагирование на инциденты ИБ.
Международная практика
Для сравнения: в GDPR срок уведомления надзорного органа составляет 72 часа (статья 33). Это не российский закон и не замена 152-ФЗ, но модель похожа. Официальный текст: gdpr-info.eu.
