Уведомление Роскомнадзора об утечке персональных данных в течение 24 часов
Первичное сообщение в Роскомнадзор о том, что персональные данные утекли. Срок — двадцать четыре часа, и считаются они не с того момента, когда организация разобралась в произошедшем, а с момента выявления инцидента.
Зачем нужен документ
Это единственный документ комплекта, который заполняется в состоянии аварии. Всё остальное готовится заранее и спокойно, а уведомление об утечке пишется тогда, когда ещё непонятен масштаб, не найдена причина и руководство требует «сначала разобраться». Закон при этом даёт двадцать четыре часа, и продлить их нельзя.
Обязанность появилась с 1 сентября 2022 года и устроена как двухступенчатая: сначала первичное уведомление о самом факте, затем — в 72 часа — результаты внутреннего расследования. Эта карточка про первую ступень. Её смысл не в том, чтобы объяснить регулятору произошедшее (объяснять будете во второй), а в том, чтобы вовремя сообщить о факте и назвать человека, с которым Роскомнадзор будет разговаривать дальше.
Отсюда практический вывод, который дороже всей остальной карточки: уведомление подаётся с той информацией, которая есть на момент подачи. Формулировки «предполагаемые причины» и «предполагаемый вред» стоят в самой норме — законодатель заранее согласился, что через сутки после обнаружения полной картины не будет. Молчание до выяснения всех обстоятельств не осторожность, а отдельное нарушение со своим штрафом.
Чем грозит отсутствие
У неуведомления свой собственный состав — ч. 11 ст. 13.11 КоАП, введённая законом № 420-ФЗ. Он не поглощается штрафом за саму утечку: организация отвечает и за то, что данные утекли, и отдельно за то, что не сообщила об этом в срок.
Как ещё называют этот документ
Что должно быть в документе
Состав первичного уведомления задан в ч. 3.1 ст. 21 напрямую — пять элементов. Порядок подачи установлен приказом Роскомнадзора от 14.11.2022 № 187, уведомление направляется через портал персональных данных регулятора.
Требования законодательства
Как связан с другими документами
Уведомление в 24 часа — первый шаг процедуры, у которой есть продолжение и подготовительная часть.
Когда обновлять документ
Обновляется не сам факт уведомления, а заготовка: шаблон, контакты уполномоченного лица и порядок действий. Устаревшая заготовка обнаруживается в худший момент.
Что спросит проверяющий
Проверка по инциденту всегда начинается с двух дат: когда узнали и когда сообщили. Всё остальное разбирается уже вокруг этой разницы.
Разбор эксперта
Самая дорогая ошибка в этих сутках — попытка сначала во всём разобраться. Логика понятная: не хочется сообщать регулятору то, что через день окажется неверным. Но норма написана ровно наоборот. В ней стоят слова «предполагаемые причины» и «предполагаемый вред» — законодатель заранее принял, что через сутки картина будет приблизительной. Уведомление с оговорками, поданное вовремя, — это выполненная обязанность. Точное уведомление на третий день — это ч. 11 ст. 13.11 и миллионы.
Второе, о чём почти никто не думает заранее: сутки могут начаться без вашего участия. Норма считает инцидент выявленным, если его обнаружил оператор, регулятор или иное заинтересованное лицо. На практике это означает, что публикация базы в Telegram-канале запускает отсчёт, а организация узнаёт о своей утечке из чужого сообщения — и половина срока уже потеряна. Поэтому мониторинг упоминаний и профильных каналов — не паранойя, а способ не отдать первые двенадцать часов даром.
И третье, организационное. Уведомление подаётся человеком, у которого в ту минуту есть доступ к порталу, шаблон и право подписи. Если каждый из трёх пунктов решается в моменте — сутки уйдут на согласования. Мы всегда советуем заранее назначить уполномоченное лицо приказом, положить шаблон уведомления в известное место и проговорить, кто звонит руководителю в ночь на субботу. Утечки редко случаются в удобное время.
Держите заготовку уведомления с уже заполненными реквизитами организации и уполномоченного лица — в аварийной ситуации дописать нужно только обстоятельства. Фиксируйте момент обнаружения в журнале инцидентов немедленно, письменно и с точным временем: это ваша единственная защита в споре о сроке. И помните про вторую ступень — 72 часа идут от того же момента, а не от подачи первого уведомления.
Частые вопросы
С момента выявления инцидента оператором, Роскомнадзором или иным заинтересованным лицом. Это значит, что отсчёт может начаться раньше, чем организация сама узнала о проблеме, — например, с публикации данных в открытом источнике.
Норма говорит о неправомерной или случайной передаче, повлекшей нарушение прав субъектов. Если данные не покидали организацию, уведомление не требуется. Но трактовать «никто не пострадал» в свою пользу при попадании данных к посторонним рискованно: вред здесь оценивается по возможностям злоупотребления.
Подавать уведомление с предполагаемыми причинами — именно так сформулирована норма. Точные выводы уйдут во втором уведомлении, в течение 72 часов. Ждать полной картины нельзя: за просрочку отвечают отдельно по ч. 11 ст. 13.11 КоАП.
По ч. 11 ст. 13.11 КоАП: для организаций от 1 до 3 млн ₽, для должностных лиц от 400 до 800 тыс ₽, для граждан от 50 до 100 тыс ₽. Это отдельно от ответственности за саму утечку, которая считается по числу пострадавших субъектов.
Нет. По примечаниям к ст. 13.11 в частях 10–18 под юридическим лицом понимается оператор, не являющийся государственным или муниципальным органом либо некоммерческой организацией. Для госорганов и НКО по этим частям отвечает должностное лицо.
Прямой обязанности уведомлять субъектов при каждой утечке в 152-ФЗ нет, но в комплекте есть типовая форма уведомления субъекта об инциденте. На практике информирование людей снижает вред и заметно улучшает позицию организации.
Через портал персональных данных Роскомнадзора. Порядок и условия взаимодействия с операторами при инцидентах установлены приказом Роскомнадзора от 14.11.2022 № 187, действующим с 1 марта 2023 года.