Компания обнаружила, что клиентская база стала доступна посторонним. Или сотрудник случайно отправил файл не тому адресату. В таких ситуациях может возникнуть «инцидент с персональными данными».
Не каждый технический сбой требует уведомления Роскомнадзора. Для статьи 21 Закона № 152-ФЗ важен конкретный факт. Данные неправомерно или случайно передали, предоставили, распространили либо открыли к ним доступ. При этом событие повлекло нарушение прав людей.
Сегодня же разберем, как распознать такой инцидент и когда начинается отсчет сроков. Кроме того, посмотрим, что сообщить Роскомнадзору за 24 часа и какие сведения подготовить за 72 часа.
О понятии
Итак, инцидент с персональными данными возникает, когда сведения неправомерно или случайно передали, предоставили, распространили либо открыли к ним доступ. При этом событие должно повлечь нарушение прав субъектов.
Отдельного определения этого термина в статье 3 Закона № 152-ФЗ нет. Закон описывает юридически значимый случай через признаки самого события.
Обращаясь к первоисточнику, часть 3.1 статьи 21 Закона № 152-ФЗ обязывает оператора уведомить Роскомнадзор о таком инциденте. Основание — установленная неправомерная или случайная передача данных, которая нарушила права субъектов. Для уведомлений закон устанавливает сроки 24 и 72 часа.
Проще говоря, речь идет не только о взломе большой базы. Ошибочная отправка данных постороннему человеку тоже может подпасть под это правило.
Пример ситуации
Допустим, менеджер прикрепил к письму не тот файл. В результате сторонний получатель увидел таблицу с именами, телефонами и историей заказов клиентов. Компании нужно не просто попросить удалить письмо. Сначала следует оценить событие по статье 21, а при наличии ее признаков — запустить процедуру уведомления.
Какие события могут быть инцидентом
Причина события сама по себе не решает вопрос. Инцидент может произойти из-за ошибки человека, неправильной настройки или действий злоумышленника.
Например, проверка нужна в следующих ситуациях:
- сотрудник отправил персональные данные постороннему адресату;
- клиентская база оказалась открыта в интернете из-за неверной настройки;
- злоумышленник получил несанкционированный доступ к учетной записи с данными;
- подрядчик случайно предоставил сведения лицу, которому они не предназначались;
- бумажные документы потеряли, а посторонние получили возможность ознакомиться с ними.
Однако одного слова «утечка» для правовой оценки мало. Нужно установить, какие данные затронуты, кто получил доступ и были ли нарушены права субъектов.
Например, неудачная попытка входа в систему еще не означает, что произошел инцидент из части 3.1 статьи 21. Если посторонний не получил данные и передачи или доступа не произошло, основание для уведомления по этой норме может отсутствовать.
Вместе с тем простой технический сбой тоже нельзя оценивать формально. Если за ним скрывался несанкционированный доступ, ситуация уже меняется.
Инцидент и утечка — одно и то же или нет
В обычной речи эти слова часто используют как синонимы. Однако закон формулирует обязанность точнее.
Он говорит о неправомерной или случайной передаче, предоставлении, распространении либо доступе. Поэтому массовая публикация базы — лишь один из возможных вариантов.
Например, файл может попасть только одному постороннему человеку. Если такое раскрытие нарушило права субъектов, количество получателей само по себе не исключает применение статьи 21.
В свою очередь, термин «компьютерный инцидент» нужен для отдельного контура информационной безопасности. Он связан с взаимодействием оператора с ГосСОПКА.
Для сравнения, общие правила ограничения доступа мы разобрали в статье про конфиденциальность персональных данных. Инцидент же означает, что защитный контур уже дал сбой и нужно оценивать последствия.
Когда нужно уведомить Роскомнадзор
Закон устанавливает два этапа. Причем оба срока считают от момента выявления инцидента, а не друг от друга.
| Срок | Что сообщить |
|---|---|
| В течение 24 часов | Основные сведения об инциденте, предполагаемых причинах и вреде, принятых мерах и контактном лице |
| В течение 72 часов | Результаты внутреннего расследования и сведения о лицах, чьи действия стали причиной инцидента, если они установлены |
Например, если инцидент выявили в понедельник в 14:00, первичное уведомление нельзя откладывать до конца следующего рабочего дня. Закон говорит именно о 24 часах.
Кроме того, 72 часа не начинают отсчитываться после отправки первого сообщения. Этот срок идет от того же момента выявления.
То есть схема «сначала есть 24 часа, а потом еще 72 часа» неверна. К моменту истечения 72 часов с выявления инцидента оператор уже должен направить результаты внутреннего расследования.
При этом ждать полного расследования для первичного уведомления не нужно. Поэтому закон и разделяет сообщение на два этапа.
Что указать в первичном уведомлении
За первые 24 часа оператору не обязательно знать каждую техническую деталь. Однако основные сведения уже нужно собрать.
По статье 21 сообщают:
- Во-первых, сведения о произошедшем инциденте.
- Во-вторых, предполагаемые причины нарушения прав субъектов.
- В-третьих, предполагаемый вред, нанесенный их правам.
- В-четвертых, меры, которые оператор уже принял для устранения последствий.
- В-пятых, данные лица, уполномоченного взаимодействовать с Роскомнадзором по этому инциденту.
Более подробно порядок взаимодействия устанавливает Приказ Роскомнадзора от 14 ноября 2022 года № 187. Он предусматривает первичное и дополнительное уведомления.
Важно понимать, что первичное сообщение не требует заранее найти виновного и восстановить всю цепочку событий. Его задача — вовремя зафиксировать установленный инцидент и сообщить сведения, которые оператор уже может определить.
Поэтому внутренний порядок реагирования должен позволять быстро передать информацию ответственному. Иначе значительная часть 24 часов уйдет на согласования внутри компании.
Что нужно сделать за 72 часа
Следующий этап — внутреннее расследование. За это время оператор уточняет причины, последствия и обстоятельства события.
В дополнительном уведомлении отражают результаты проверки. В частности, сообщают о причинах нарушения, нанесенном вреде и дополнительных мерах по устранению последствий.
Кроме того, нужно предоставить сведения о лицах, действия которых стали причиной инцидента, если такие лица установлены.
Кстати, сам подход к такой проверке мы отдельно разобрали в статье про внутреннее расследование. Однако для персональных данных нужно учитывать специальные сроки и состав сведений из Закона № 152-ФЗ и Приказа № 187.
При этом расследование не должно сводиться к поиску виновного сотрудника. Например, причиной может оказаться слишком широкий доступ, неверная настройка системы или недостаток контроля подрядчика.
Что делать сразу после обнаружения
Первые действия важны не меньше самого уведомления. Сначала нужно остановить дальнейшее раскрытие данных и сохранить информацию для расследования.
Практический порядок может выглядеть так:
- Во-первых, зафиксируйте время, когда стало известно о событии.
- Во-вторых, ограничьте дальнейший неправомерный доступ или передачу данных.
- В-третьих, сохраните журналы, переписку и другие сведения, которые помогут установить обстоятельства.
- В-четвертых, определите затронутые данные, круг субъектов и возможных получателей.
- В-пятых, оцените событие по части 3.1 статьи 21 и при наличии ее признаков направьте первичное уведомление.
- Наконец, проведите внутреннее расследование и уложитесь в общий 72-часовой срок.
При этом не стоит сразу удалять все следы события ради «устранения утечки». Иначе компания может потерять данные, которые нужны для расследования и подтверждения принятых мер.
Что делать, если инцидент произошел у подрядчика
Передача обработки внешнему сервису не снимает обязанности с оператора. Поэтому договор с подрядчиком должен заранее учитывать такие случаи.
В частности, часть 3 статьи 6 Закона № 152-ФЗ требует закрепить такую обязанность в поручении. Исполнитель должен сообщать оператору о случаях из части 3.1 статьи 21. При этом перед субъектом за действия российского обработчика по общему правилу отвечает оператор.
Например, облачный сервис обнаружил открытый доступ к клиентской базе заказчика. Тогда информация должна быстро попасть к оператору, которому предстоит выполнять обязанности перед Роскомнадзором.
Поэтому в договоре полезно закрепить не только общую фразу об инцидентах. Кроме того, стоит определить канал связи, ответственных лиц и максимально короткий внутренний срок сообщения.
Кстати, обязательные элементы такого договора мы разобрали в статье про поручение на обработку персональных данных.
Что меняется при компьютерном инциденте
Если событие связано с компьютерной атакой или информационной системой, появляется дополнительный контур реагирования.
Часть 12 статьи 19 Закона № 152-ФЗ требует взаимодействовать с ГосСОПКА. В частности, речь идет о компьютерных инцидентах, которые повлекли неправомерную передачу, распространение или доступ к персональным данным.
В свою очередь, порядок такого взаимодействия устанавливает Приказ ФСБ России от 13 февраля 2023 года № 77.
Поэтому компьютерный инцидент нельзя сводить только к обычному сообщению в Роскомнадзор. Нужно проверить и требования взаимодействия с ГосСОПКА по статье 19 и Приказу ФСБ № 77.
Однако не каждый инцидент с персональными данными является компьютерным. Например, сотрудник может по ошибке передать бумажный документ постороннему человеку.
Нужно ли сообщать пострадавшим людям
Часть 3.1 статьи 21 устанавливает специальные уведомления именно Роскомнадзора. Отдельного общего срока в 24 или 72 часа для рассылки сообщений каждому субъекту эта норма не содержит.
Однако из этого нельзя сделать вывод, что интересы людей можно игнорировать. У субъекта сохраняются права на информацию об обработке и защиту своих прав.
Кроме того, конкретная ситуация может потребовать дополнительных действий. Например, если раскрыты учетные данные, оператору стоит принять меры, которые реально снижают риск дальнейшего использования этих сведений.
Для сравнения, кто именно несет обязанности перед человеком и Роскомнадзором, мы подробно разобрали в статье про оператора персональных данных.
То есть уведомление регулятора — обязательный юридический этап, но не замена реальному устранению последствий.
Какая ответственность предусмотрена
С 30 мая 2025 года КоАП РФ отдельно наказывает за несообщение об инциденте. Причем это самостоятельный состав.
По части 11 статьи 13.11 КоАП РФ невыполнение или просрочка обязанности уведомить Роскомнадзор влечет штраф:
- граждане — от 50 000 до 100 000 рублей;
- должностные лица — от 400 000 до 800 000 рублей;
- юридические лица — от 1 млн до 3 млн рублей.
Кроме того, отдельные штрафы установлены за саму неправомерную передачу данных. Например, для юридического лица утечка сведений от 1 000 до 10 000 субъектов может повлечь штраф от 3 млн до 5 млн рублей.
В свою очередь, при большем масштабе санкции растут. Для специальных категорий и биометрических данных закон устанавливает отдельные повышенные штрафы.
То есть своевременное уведомление не отменяет ответственность за саму утечку, если для нее есть состав нарушения. Но и наоборот: последствия инцидента не освобождают оператора от обязанности сообщить о нем в установленные сроки.
Как подготовиться к инциденту заранее
Реагировать за 24 часа сложно, если компания впервые обсуждает порядок действий уже после утечки. Поэтому процедуру лучше подготовить до происшествия.
Проверьте несколько вещей:
- Во-первых, назначено ли лицо, которое получает сообщения об инцидентах.
- Во-вторых, знают ли сотрудники, куда передавать информацию о подозрительном событии.
- В-третьих, закреплен ли порядок фиксации времени, данных и обстоятельств.
- В-четвертых, работают ли быстрые каналы связи с подрядчиками.
- В-пятых, подготовлены ли процедуры первичного уведомления и внутреннего расследования.
Кроме того, план нужно проверять на практике. Если сообщение об ошибочной отправке файла три дня ходит между отделами, формальный регламент не помогает соблюсти закон.
В итоге инцидент с персональными данными — это не любое неприятное событие в IT. Для статьи 21 важны передача, предоставление, распространение или доступ, которые нарушили права людей. Если такие признаки установлены, действовать нужно сразу. Сначала остановите раскрытие. Затем уведомите Роскомнадзор в течение 24 часов. Результаты расследования нужно направить в пределах 72 часов с момента выявления.