Уведомление субъекта персональных данных об инциденте (утечке)
Письмо, которым оператор сообщает человеку, что его данные затронуты инцидентом: что произошло, что уже сделано и что стоит сделать самому пострадавшему.
Зачем нужен документ
Начнём с того, о чём в этой теме чаще всего врут. Российский закон о персональных данных не обязывает оператора сообщать об утечке самому человеку. Обязанность есть, но она перед регулятором: в течение двадцати четырёх часов — о самом инциденте, в течение семидесяти двух — о результатах внутреннего расследования. Норма про уведомление субъектов, привычная по европейскому регулированию, у нас отсутствует.
Значит ли это, что документ не нужен? Наоборот. Именно потому, что обязанности нет, решение приходится принимать самому — и приниматься оно будет в первые сутки инцидента, когда неизвестен масштаб, юрист в отпуске, а руководитель требует сначала во всём разобраться. Решения, принятые в таком состоянии, почти всегда сводятся к молчанию.
Заранее подготовленная форма меняет саму постановку вопроса. Обсуждать, писать ли людям и что именно, нужно в спокойное время: определить порог, при котором уведомляем, состав письма и того, кто принимает решение. Тогда в день инцидента останется вписать факты, а не изобретать позицию.
Чем грозит отсутствие
Здесь важно разделить два разных риска, которые постоянно смешивают. За молчание перед человеком административной ответственности нет. За молчание перед регулятором она есть, и она крупная.
Как ещё называют этот документ
Что должно быть в документе
Раз обязательных требований к письму нет, ориентир один: человек должен понять, что случилось лично с ним и что ему теперь делать. Всё остальное — лишнее.
Требования законодательства
Как связан с другими документами
Это последний шаг цепочки реагирования: сначала техническая реакция, потом регулятор, потом люди.
Когда обновлять документ
Форму пересматривают вместе с тем, что организация вообще способна сообщить: составом данных, каналами связи и обязательствами перед контрагентами.
Что спросит проверяющий
Само уведомление людей регулятор не требует, поэтому проверка идёт вокруг обязательной части — но поведение оператора в целом на разговор влияет.
Разбор эксперта
Мы намеренно начали эту карточку с того, что закон уведомлять людей не обязывает. На рынке принято утверждать обратное — так проще продавать документ. Но оператор, которому один раз сказали неправду про обязанность, потом не верит и правде про сроки в двадцать четыре часа, а вот эта обязанность настоящая, и стоит она от миллиона для компании. Поэтому: перед регулятором — обязаны, перед человеком — решаете сами.
Теперь как решать. Мы советуем принимать решение до инцидента и записывать его в план реагирования: при какой утечке пишем людям, а при какой нет. Разумный порог — характер данных и возможность ими воспользоваться против человека. Утекли адреса почты рассылки — вероятно, достаточно публичного сообщения. Утекли паспортные данные, адреса, сведения о заказах или что-то, чем немедленно воспользуются телефонные мошенники, — писать нужно, и быстро, потому что первый звонок «из банка» человек получит раньше, чем ваше письмо, если вы промедлите неделю.
И последнее, о тоне. Худшее письмо об утечке — юридическое: сожалеем, принимаем меры, ваши данные в безопасности. Оно бессмысленно, потому что если бы данные были в безопасности, письма бы не было. Работает другое: что именно утекло, чего не утекло, что человеку сделать прямо сейчас, куда позвонить. Мы видели истории, где честное письмо в первые сутки закрывало тему совсем, и истории, где неделя молчания превращала рядовой инцидент в сюжет, который находится в поиске по названию компании до сих пор.
Запишите в план реагирования, кто принимает решение об уведомлении людей и при каком характере данных оно принимается по умолчанию. Держите текст письма готовым — в день инцидента останется вписать факты. Пишите конкретно: что затронуто, что не затронуто, что делать человеку. Не обещайте того, чего не знаете, и не заявляйте, что утечки не было, пока расследование не закончено. Фиксируйте в журнале инцидентов и сам факт уведомления, и мотив, если решили не уведомлять. И помните, что обязательная часть — регулятор, двадцать четыре и семьдесят два часа.
Александр КеллерманнГенеральный директор, ведущий аудитор ISO/IEC 27001, Комитет по информационной и правовой безопасностиПодробнее об экспертеЧастые вопросы
Закон о персональных данных такой обязанности не устанавливает. Обязательным является уведомление уполномоченного органа в течение двадцати четырёх часов.
Чтобы человек успел защититься, и чтобы снизить риск исков о компенсации морального вреда и репутационных потерь. Молчание не наказывается, но стоит дорого.
Обязательного срока нет, но практический ориентир — первые сутки, параллельно с уведомлением регулятора.
Утверждений, которые придётся опровергать: что утечки не было, что данные в безопасности, что виноват подрядчик, пока расследование не завершено.
Только тех, чьи данные затронуты. Массовая рассылка всем подряд создаёт панику и вопросы у тех, кого инцидент не касался.
При массовом инциденте с неполными контактами это разумный минимум, но для чувствительных данных персональное письмо работает лучше.
Оператор — вы, значит, объясняться с людьми тоже вам. Обязанность уведомить регулятора при этом никуда не переходит.
Автоматически — нет. Но принятые меры по устранению последствий инцидента входят в состав сведений, которые оператор сообщает регулятору, и на общую картину влияют.