Утечка персональных данных: что делать оператору в первые часы

Когда речь идёт об утечке, счёт времени идёт не на дни, а на часы. При этом первая ошибка часто случается ещё до самого инцидента — в компании просто нет заранее продуманного порядка действий, и первые драгоценные часы уходят на то, чтобы понять, кто вообще должен что-то делать.

Что считается инцидентом — не только утечка

Инцидент — это любое нарушение в системах, где обрабатываются персональные данные, а не только явная утечка, о которой узнали из новостей или от самих пострадавших клиентов. К инцидентам относятся несанкционированный доступ к данным, потеря носителя информации — флешки, диска, служебного ноутбука, — а также взлом корпоративной почты сотрудника, через которую проходят персональные данные. Реагировать нужно на любое из этих событий, а не ждать, пока ситуация перерастёт в публичную утечку.

Роли нужно распределить заранее, а не в момент инцидента

Прежде чем говорить о конкретных сроках, важно понять главное условие, при котором эти сроки реально можно соблюсти: порядок действий должен быть продуман заранее. Нужно чётко определить, кто в компании фиксирует сам факт инцидента, кто уведомляет Роскомнадзор и кто проводит внутреннее расследование.

Если эти роли не распределены заранее, в момент реального инцидента компания теряет время не на само расследование, а на внутренние обсуждения «а кто этим должен заниматься» — и это время напрямую вычитается из короткого срока, отведённого законом на уведомление.

24 часа на уведомление Роскомнадзора — от какого момента считать

Уведомление об инциденте нужно направить в Роскомнадзор не позднее 24 часов. Ключевой нюанс, который легко упустить: этот срок отсчитывается с момента выявления инцидента, а не с момента, когда он фактически произошёл.

Это означает, что если утечка данных случилась неделю назад, а компания узнала о ней только сегодня — например, обнаружила подозрительную активность при плановой проверке логов, — отсчёт 24 часов начинается именно с сегодняшнего дня, с момента обнаружения, а не с той даты неделю назад, когда данные реально оказались скомпрометированы. Это не лазейка, позволяющая отложить уведомление, а объективная логика нормы: нельзя требовать уведомить о том, о чём компания сама пока не знает.

72 часа на результаты внутреннего расследования

После того как сам факт инцидента зафиксирован и о нём уведомлён регулятор, у оператора есть 72 часа, чтобы предоставить результаты внутреннего расследования. За это время нужно разобраться, что именно произошло, какие конкретно данные и сколько субъектов затронуты, каким образом произошла утечка или несанкционированный доступ и какие меры уже приняты для устранения последствий.

Эти 72 часа идут параллельно с первыми практическими шагами по устранению инцидента — блокировкой скомпрометированного доступа, сменой паролей, изоляцией затронутой системы, — а не после них. Расследование и реагирование не разнесены во времени, они происходят одновременно.

Проведем бесплатный аудит вашей организации или ИП на предмет соблюдения новых требований закона «О персональных данных»

Сделаем заключение на соблюдение требований Роскомнадзора

Запишитесь на бесплатный аудит

Заполните форму и мы свяжемся с вами

Нажимая кнопку "Отправить", я даю свое Согласие на обработку моих персональных данных в соответствии с Федеральным законом от 27.07.2006 года № 152-ФЗ «О персональных данных» на условиях и для целей, определенных Политикой конфиденциальности

Нажимая кнопку "Отправить", я даю свое согласие на получение сообщений информационного (рекламного) характера в соответствии с Федеральным законом от 13.03.2006 г № 38-ФЗ «О рекламе» на условиях и для целей, определенных Политикой конфиденциальности, Согласием на осуществление рекламной рассылки

Отправить

Что фиксировать в журнале инцидентов

Оператор обязан вести журнал учёта инцидентов в системах персональных данных — и в него нужно заносить не только сам факт утечки, но и любое другое происшествие, подпадающее под определение инцидента. Минимальный набор сведений в каждой записи:

Дата и время инцидента.

Описание события — что именно произошло.

Категория инцидента — утечка, несанкционированный доступ, потеря носителя и так далее.

Персональные данные, затронутые инцидентом.

ФИО и должность ответственного сотрудника.

Принятые меры — например, блокировка доступа, уведомление субъекта персональных данных.

Результат расследования.

Этот журнал — не формальность для отчётности, а рабочий инструмент: именно по нему проще всего восстановить хронологию событий, когда нужно готовить и уведомление в Роскомнадзор, и отчёт о результатах расследования в сжатые сроки.

Что будет, если скрыть или затянуть уведомление

Сокрытие факта утечки или подача уведомления позже установленного срока — самостоятельное нарушение, отдельное от самого факта утечки, и наказывается строго. Конкретные суммы штрафов за это мы уже подробно разбирали в статье блога про штрафы и судебную практику по 152-ФЗ.

Если нужна помощь

Заранее выстроить регламент реагирования на инциденты и подготовить уведомление в срок, если инцидент уже произошёл, помогают специалисты сервиса «Роском Онлайн».

Частые вопросы

Что считается инцидентом с персональными данными, кроме явной утечки?

Несанкционированный доступ, потеря носителя (флешки, диска), взлом почты сотрудника — любое нарушение в системах персональных данных.

С какого момента отсчитывается 24-часовой срок на уведомление Роскомнадзора?

С момента выявления инцидента, а не с момента, когда он фактически произошёл.

Сколько времени есть на расследование после самого уведомления об инциденте?

72 часа на предоставление результатов внутреннего расследования.

Нужно ли заранее решать, кто будет уведомлять Роскомнадзора при инциденте?

Да, роли — кто фиксирует факт, кто уведомляет регулятора, кто проводит расследование — нужно распределить заранее, а не в момент самого инцидента.

Что обязательно должно быть в записи журнала учёта инцидентов? Дата и время, описание события, категория инцидента, затронутые данные, ответственный сотрудник, принятые меры и результат расследования.