Расчётные листки ушли не тем людям или кадровая выгрузка оказалась в открытом доступе. Что делать?

Первичное уведомление содержит сведения об инциденте, его предполагаемых причинах и вреде, принятых мерах и контактном лице; дополнительное — результаты расследования и сведения о виновных. Уведомления подаются через Портал персональных данных РКН или на бумаге в порядке приказа РКН от 14.11.2022 № 187. Отправка одного листка не тому работнику формально тоже является неправомерной передачей, и решение «не уведомлять, потому что мало» нужно обосновывать и документировать.

За утечку предусмотрены оборотные и крупные штрафы: от 3 до 5 млн рублей при утечке данных 1–10 тыс. субъектов, 5–10 млн при 10–100 тыс., 10–15 млн при большем числе (ч. 12–14 ст. 13.11 КоАП РФ), повторная утечка — 1–3 % выручки, не менее 20 и не более 500 млн (ч. 15); от 10 до 15 млн — при утечке специальных категорий, например сведений о здоровье из кадрового дела (ч. 16), от 15 до 20 млн — при утечке биометрии, например шаблонов СКУД (ч. 17). Суммы установлены 420-ФЗ от 30.11.2024 и действуют с 30.05.2025. Работник, разгласивший данные другого работника, может быть уволен по подп. «в» п. 6 ч. 1 ст. 81 ТК РФ с соблюдением порядка ст. 193; материальная ответственность — по ТК РФ (ст. 90).

Практические шаги: регламент реагирования с ответственным и шаблонами уведомлений; оценка объёма и состава данных; отзыв писем и просьба получателям удалить с подтверждением; уведомление работников, чьи данные затронуты; разбор причины (рассылка вручную, общие папки, отсутствие DLP-правил на расчётные листки) и фиксация мер.