Утечка
Что делать при утечке персональных данных?
Зафиксируйте обнаруженные факты и время, ограничьте последствия, сохраните доказательства и организуйте расследование. Параллельно определите, относится ли событие к случаю неправомерной или случайной передачи, предоставления, распространения либо доступа, повлёкшему нарушение прав субъектов, указанному в части 3.1 статьи 21.
В таком случае оператор в течение 24 часов с момента выявления инцидента уведомляет Роскомнадзор о произошедшем, предполагаемых причинах и предполагаемом вреде правам субъектов, принятых мерах и лице, уполномоченном на взаимодействие. В течение 72 часов с того же момента он сообщает о результатах внутреннего расследования и, при наличии, о лицах, действия которых стали причиной инцидента. Это не схема «24 часа плюс ещё 72»: отсчёт связан с выявлением инцидента. Уведомления направляются в порядке, установленном приказом Роскомнадзора №187, в том числе через Портал персональных данных. Кроме того, оператор обязан информировать ГосСОПКА о компьютерных инцидентах, повлёкших неправомерную передачу персональных данных, в порядке, установленном ФСБ России (ч. 12 ст. 19). С 30.05.2025 за утечки установлены повышенные, в том числе оборотные, штрафы (ст. 13.11 КоАП РФ в ред. 420-ФЗ от 30.11.2024).
- Нормы
- 152-ФЗ, ст. 19 ч. 12; ст. 21 ч. 3.1; приказ РКН №187 от 14.11.2022; КоАП РФ, ст. 13.11
Ссылки сверены с текстом документов
Материалы носят справочный характер и не являются юридической консультацией. Нормы сверены по состоянию на 10.10.2026; перед применением проверьте действующую редакцию актов.
Смежные вопросы
- Можно ли сделать модель угроз копированием списка из БДУ? Список угроз из банка данных не заменяет оценку их актуальности для вашей системы.
- Что включить в поручение обработки персональных данных подрядчику? Обязательное содержание поручения установлено частью 3 статьи 6. В нём определяются перечень персональных данных, действия с ними и цели обработки…