Утечка персональных данных, что делать компании

Если в компании произошла утечка персональных данных, у вас есть 24 часа, чтобы сообщить о ней в Роскомнадзор, и 72 часа, чтобы передать результаты внутреннего расследования (ч. 3.1 ст. 21 Закона № 152-ФЗ). Отсчёт идёт с момента, когда инцидент выявила сама компания, Роскомнадзор или любое заинтересованное лицо. За опоздание с уведомлением штрафуют отдельно от штрафа за саму утечку, поэтому первые часы решают многое.

Кратко

• Первое уведомление в Роскомнадзор подают в течение 24 часов, результаты внутреннего расследования в течение 72 часов (п. 1, 2 ч. 3.1 ст. 21 Закона о персональных данных).
• Срок считают с момента выявления инцидента компанией, Роскомнадзором или иным заинтересованным лицом (ч. 3.1 ст. 21 Закона № 152-ФЗ).
• Если компания не уведомила Роскомнадзор или опоздала, ей грозит штраф от 1 до 3 млн ₽ по ч. 11 ст. 13.11 КоАП РФ.
• Штраф за саму утечку зависит от числа пострадавших и составляет для компании от 3 до 15 млн ₽, для специальных категорий и биометрии больше (ч. 12-14, 16, 17 ст. 13.11 КоАП РФ).
• Повторная утечка грозит штрафом в процентах от выручки, от 1% до 3%, в пределах от 20 до 500 млн ₽ (ч. 15 ст. 13.11 КоАП РФ).
• Если данные утекли у подрядчика, перед людьми отвечает оператор (ч. 5 ст. 6 Закона № 152-ФЗ).

Содержание

• Что считается утечкой персональных данных
• Что делать при утечке персональных данных, план на первые 72 часа
• Уведомление Роскомнадзора за 24 и 72 часа
• Внутреннее расследование утечки
• Как подготовиться к инциденту заранее
• Штрафы по ст. 13.11 КоАП за утечку и оборотные штрафы
• Когда нужен юрист
• Частые вопросы

Что считается утечкой персональных данных

Закон не пользуется словом «утечка». Он говорит о неправомерной или случайной передаче, предоставлении, распространении персональных данных или доступе к ним, если это повлекло нарушение прав людей (ч. 3.1 ст. 21 Закона о персональных данных № 152-ФЗ, далее Закон № 152-ФЗ). Под это определение подпадают самые разные события:

• взлом сервера или базы данных и выгрузка клиентской базы;
• открытая по ошибке ссылка на таблицу с заказами или облачное хранилище без пароля;
• рассылка, отправленная в открытой копии всем клиентам сразу;
• сотрудник скопировал базу и унёс её к конкуренту;
• подрядчик, который обслуживает CRM или колл-центр, допустил доступ посторонних к данным.

Обязанность уведомить Роскомнадзор лежит на операторе, то есть на компании, которая определяет цели обработки. Если данные обрабатывал подрядчик по поручению, перед людьми всё равно отвечает оператор, а подрядчик отвечает перед оператором (ч. 5 ст. 6 Закона № 152-ФЗ). Поэтому в договоре с подрядчиком стоит прописать, в какой срок он сообщает вам об инциденте. Иначе 24 часа могут пройти до того, как вы узнаете о проблеме.

Общие обязанности оператора, от уведомления о начале обработки до политики конфиденциальности, мы разобрали в статье об обязанностях бизнеса по персональным данным. Здесь речь только о том, что делать после инцидента.

Что делать при утечке персональных данных, план на первые 72 часа

1. Зафиксируйте момент выявления. Запишите дату и время, когда о проблеме сообщили сотрудники, клиенты, исследователь или журналист. С этого момента идут 24 часа.
2. Остановите утечку. Закройте доступ к хранилищу, смените пароли и ключи, отключите скомпрометированные учётные записи. Сохраните журналы событий до любых изменений, они понадобятся для расследования.
3. Назначьте ответственного. Определите сотрудника, который будет общаться с Роскомнадзором. Сведения о нём включают в первое уведомление.
4. Оцените объём. Посчитайте, данные скольких людей и какие категории данных затронуты. От этого зависит размер возможного штрафа.
5. Отправьте первое уведомление в течение 24 часов.
6. Проведите внутреннее расследование и в течение 72 часов отправьте второе уведомление с его результатами.
7. Сообщите в ГосСОПКА, если инцидент связан с компьютерной атакой. Оператор обязан информировать эту систему о компьютерных инцидентах, которые повлекли неправомерную передачу персональных данных (ч. 12 ст. 19 Закона № 152-ФЗ).

Если данные получены незаконно, напишите заявление в полицию. Тот, кто украл базу и затем использует или продаёт её, рискует уголовной ответственностью (ст. 272.1 УК РФ). Заявление помогает и в споре с Роскомнадзором, потому что показывает, что компания стала жертвой атаки и приняла меры.

Уведомление Роскомнадзора за 24 и 72 часа

Содержание двух уведомлений закон расписывает отдельно (ч. 3.1 ст. 21 Закона № 152-ФЗ).

Срок считают в часах, а не в рабочих днях. Выходные и праздники его не продлевают. Утечка, обнаруженная в пятницу вечером, требует уведомления до вечера субботы.

В первом уведомлении часто ещё нет точных данных. Закон это учитывает и говорит о предполагаемых причинах и предполагаемом вреде. Лучше отправить уведомление вовремя с честной оценкой «по предварительным данным», чем ждать полной картины и пропустить срок. Уточнения внесите во второе уведомление.

Если вы не знаете, кто виноват, так и укажите. Сведения о виновных лицах закон требует сообщить при наличии. Не называйте конкретного сотрудника виновным без проверки, это создаёт риск спора с ним.

Внутреннее расследование утечки

Результаты расследования нужно передать в течение 72 часов, поэтому его готовят параллельно с первым уведомлением. Порядок расследования закон не устанавливает, но итоговый документ должен ответить на вопросы, которые задаст Роскомнадзор:

• как именно данные покинули систему, через какую уязвимость или чьи действия;
• какие категории данных и сколько людей затронуты;
• когда начался инцидент и когда его обнаружили;
• какие меры защиты действовали и почему они не сработали;
• что компания сделала, чтобы закрыть уязвимость и не допустить повтора.

Оформите расследование приказом о создании комиссии и актом с выводами. Приложите выгрузки журналов, переписку с подрядчиками, объяснительные сотрудников. Эти документы понадобятся, если Роскомнадзор возбудит дело или пострадавшие обратятся в суд.

Если утечку допустил сотрудник, работодатель может применить дисциплинарное взыскание вплоть до увольнения за разглашение охраняемой законом тайны, в том числе персональных данных другого работника (подп. «в» п. 6 ч. 1 ст. 81 ТК РФ). Увольнение должно опираться на доказательства, собранные при расследовании, и на подписанные работником документы о доступе к данным. Как это оформить, читайте в статье об увольнении за разглашение тайны.

Как подготовиться к инциденту заранее

Уложиться в 24 часа без заготовок трудно. Большую часть работы можно сделать до инцидента, и тогда в день утечки останется только заполнить пробелы.

• Регламент реагирования. Утвердите приказом, кто принимает сообщения об инцидентах, кто оценивает объём, кто подписывает уведомление и в какие сроки. Назначьте заместителя на случай отпуска.
• Реестр систем и данных. Опишите, в каких системах какие данные хранятся и сколько там записей. Тогда оценка объёма утечки займёт часы, а не дни.
• Договоры с подрядчиками. Включите в договоры обязанность сообщать вам об инциденте в короткий срок, например в течение нескольких часов, и сотрудничать в расследовании. Пропишите ответственность подрядчика за убытки. Об оформлении таких условий читайте в статье о договоре оказания услуг.
• Права доступа. Открывайте сотрудникам доступ только к тем данным, которые нужны для работы, и ведите журналы доступа. Журналы помогут установить источник утечки.
• Шаблоны уведомлений. Подготовьте тексты двух уведомлений с полями для заполнения.

Эти меры не исключают штраф, но показывают Роскомнадзору и суду, что компания относилась к защите данных серьёзно.

Штрафы по ст. 13.11 КоАП за утечку и оборотные штрафы

За утечку компанию могут оштрафовать дважды, за опоздание с уведомлением и за сам инцидент. Индивидуальные предприниматели по этим составам отвечают как юридические лица (примечание 1 к ст. 13.11 КоАП РФ).

Число людей можно считать и по идентификаторам, то есть отдельным обозначениям сведений о человеке в системе. Например, ч. 12 применяют и при утечке от 10 000 до 100 000 идентификаторов (примечание 4 к ст. 13.11 КоАП РФ).

Оборотный штраф считают от выручки за календарный год, предшествующий году выявления нарушения. При назначении оборотного штрафа отягчающим обстоятельством считают и то, что компанию раньше штрафовали за другие нарушения в области персональных данных по ч. 1-11 ст. 13.11 КоАП РФ (примечание 5 к ст. 13.11 КоАП РФ).

Кроме штрафа, пострадавшие вправе требовать компенсацию морального вреда (ч. 2 ст. 24 Закона № 152-ФЗ). Размер компенсации определяет суд в каждом деле отдельно.

Когда нужен юрист

Юрист нужен с первых часов, если утечка крупная, затронула данные о здоровье или биометрию, если её уже обсуждают в СМИ или если у компании уже был штраф за утечку. Юрист поможет сформулировать уведомления так, чтобы они были полными и не содержали лишних признаний, организует расследование и подготовит позицию по делу в Роскомнадзоре и суде.

Мы сопровождаем компании при инцидентах с персональными данными и готовим документы для Роскомнадзора. Подробнее о защите персональных данных бизнеса → Если нужен подробный разбор с документами, запишитесь на онлайн-консультацию с партнёром.

Частые вопросы

В какой срок сообщить в Роскомнадзор об утечке персональных данных
Первое уведомление подают в течение 24 часов с момента выявления инцидента, результаты внутреннего расследования в течение 72 часов (ч. 3.1 ст. 21 Закона № 152-ФЗ). Выходные срок не продлевают.

Какой штраф за утечку персональных данных в 2026 году
Для компании от 3 до 15 млн ₽ в зависимости от числа пострадавших, за биометрию до 20 млн ₽ (ч. 12-14, 17 ст. 13.11 КоАП РФ). Повторная утечка грозит оборотным штрафом до 500 млн ₽.

Что будет, если не уведомить Роскомнадзор об утечке
Штраф для компании по ч. 11 ст. 13.11 КоАП РФ составит от 1 до 3 млн ₽. Этот штраф назначают отдельно от штрафа за саму утечку.

Кто отвечает, если данные утекли у подрядчика
Перед людьми отвечает оператор, который поручил обработку, а подрядчик отвечает перед оператором (ч. 5 ст. 6 Закона № 152-ФЗ). Убытки можно взыскать с подрядчика по договору.

Могут ли клиенты взыскать компенсацию за утечку данных
Да. Человек, чьи права нарушены, вправе требовать компенсацию морального вреда (ч. 2 ст. 24 Закона № 152-ФЗ). Размер определяет суд.

Правовая база

• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ч. 5 ст. 6, ч. 12 ст. 19, ч. 3.1 ст. 21, ст. 24
• Кодекс РФ об административных правонарушениях, ч. 11-18 ст. 13.11 и примечания к ней
• Уголовный кодекс РФ, ст. 272.1
• Трудовой кодекс РФ, подп. «в» п. 6 ч. 1 ст. 81

Статья носит информационный характер и актуальна на дату обновления. Для решения вашей ситуации обратитесь к юристу.