Уведомление Роскомнадзора об утечке персональных данных в 24 и 72 часа

Служба безопасности обнаружила утечку клиентской базы в пятницу вечером. Руководитель решил собрать совещание в понедельник и спокойно во всём разобраться. К понедельнику обязательный срок уведомления Роскомнадзора уже истёк, и к самому факту утечки добавился отдельный состав за несвоевременное сообщение. Часть 3.1 статьи 21 Федерального закона от 27 июля 2006 года № 152-ФЗ, введённая Федеральным законом от 14 июля 2022 года № 266-ФЗ, задаёт жёсткий двухступенчатый график. Первое окно это двадцать четыре часа, второе окно это семьдесят два часа. Этот текст разбирает, что и в какой срок направить, как считать сроки и чем грозит молчание.

Когда вообще возникает обязанность уведомлять

Обязанность включается не при любом сбое, а при установлении факта неправомерной или случайной передачи персональных данных, повлёкшей нарушение прав субъектов. Формулировка части 3.1 статьи 21 охватывает неправомерное предоставление, распространение и доступ. Если злоумышленник получил доступ к базе, если данные ушли третьему лицу без основания, если случайная рассылка раскрыла чужие сведения, обязанность уведомить возникает. Момент отсчёта это выявление инцидента. Причём закон считает выявлением не только обнаружение самим оператором, но и обнаружение уполномоченным органом или иным заинтересованным лицом. То есть оператор не может тянуть время под предлогом, что он сам ещё не закончил проверку.

Первое окно · двадцать четыре часа

В течение двадцати четырёх часов с момента выявления инцидента оператор обязан сообщить Роскомнадзору базовый набор сведений. По пункту 1 части 3.1 статьи 21 это информация о произошедшем инциденте, о предполагаемых причинах, повлёкших нарушение прав субъектов, и о предполагаемом вреде их правам. К этому добавляются принятые меры по устранению последствий и сведения о лице, уполномоченном оператором на взаимодействие с регулятором по вопросам этого инцидента.

Слово «предполагаемые» здесь принципиально. В первые сутки никто не ждёт от оператора завершённого расследования. Достаточно изложить версию о причинах и о возможном вреде, перечислить то, что уже сделано, и назвать контактное лицо. Попытка дождаться полной картины и потому пропустить срок это типичная и дорогая ошибка. Первое уведомление это сигнал регулятору, а не финальный отчёт.

Второе окно · семьдесят два часа

В течение семидесяти двух часов с того же момента выявления оператор по пункту 2 части 3.1 статьи 21 направляет результаты внутреннего расследования инцидента и сведения о лицах, действия которых стали его причиной, если такие лица установлены. Это уже содержательный отчёт. Здесь излагается, что показала проверка, какова реальная, а не предполагаемая причина, кто допустил инцидент. Оговорка «при наличии» означает, что если за трое суток виновных установить не удалось, это фиксируется, но само по себе не освобождает от обязанности отправить отчёт в срок.

Важно понимать, что семьдесят два часа отсчитываются не от первого уведомления, а от того же момента выявления инцидента. Оба окна стартуют одновременно. Поэтому фактически у оператора есть сутки на первичное сообщение и ещё двое суток на расследование, а не трое суток после первого письма.

Конкретный пример

Интернет-магазин обнаружил несанкционированный доступ к базе заказов во вторник в 14 часов. С этого момента пошёл отсчёт. До среды 14 часов нужно направить первое уведомление с описанием инцидента, предполагаемой причиной, оценкой возможного вреда, списком принятых мер и контактным лицом. До пятницы 14 часов нужно направить результаты внутреннего расследования. Если к пятнице расследование вскрыло, что доступ получен через скомпрометированную учётную запись подрядчика, это и указывается как причина и как сведения о лице, чьи действия привели к инциденту. Опоздание хотя бы на одно из двух окон создаёт самостоятельный риск по КоАП.

На что смотрит Роскомнадзор

Регулятор оценивает не только сам факт уведомления, но и его своевременность и полноту. Соблюдение двух сроков из части 3.1 статьи 21 это первое, на что обращают внимание. Дальше смотрят, названо ли уполномоченное контактное лицо, описаны ли принятые меры, представлены ли результаты расследования. Несвоевременное выполнение обязанности по уведомлению об установленном факте неправомерной передачи данных, повлёкшей нарушение прав субъектов, образует отдельный состав по части 11 статьи 13.11 КоАП РФ. Для организации это штраф от одного до трёх миллионов рублей, и он добавляется к ответственности за саму утечку по частям 12 14 той же статьи.

Частые ошибки

Первая ошибка это отсчёт второго срока от первого письма. Оба окна, и двадцать четыре часа, и семьдесят два часа, считаются от момента выявления инцидента. Вторая ошибка это ожидание полной картины перед первым уведомлением. В первые сутки достаточно предполагаемых причин и предполагаемого вреда, требовать от себя финального отчёта в этот момент не нужно. Третья ошибка это отсутствие заранее назначенного контактного лица. Сведения о таком лице входят в обязательный состав первого уведомления, и искать его в момент кризиса значит терять часы из суточного окна.

Частые вопросы

Вопрос. С какого момента считать двадцать четыре часа. Ответ. С момента выявления инцидента. По части 3.1 статьи 21 выявить инцидент может сам оператор, уполномоченный орган или иное заинтересованное лицо.

Вопрос. Что делать, если за семьдесят два часа виновных не нашли. Ответ. Результаты внутреннего расследования всё равно направляются в срок, а сведения о лицах указываются при их наличии. Незавершённость поиска виновных не повод пропускать второе окно.

Вопрос. Можно ли ограничиться одним уведомлением, если инцидент мелкий. Ответ. Часть 3.1 статьи 21 предусматривает два самостоятельных уведомления с разным содержанием и разными сроками. Объединять или пропускать одно из них закон не позволяет. Помочь выстроить регламент реагирования и подготовить шаблоны уведомлений может юридическая помощь по персональным данным, а обсудить ситуацию по конкретной утечке можно через контакты.