Утечка персональных данных: пошаговый алгоритм действий

Утечка персональных данных — это не только репутационный удар, но и жёсткие сроки реагирования. С 2022 года статья 21 152-ФЗ обязывает оператора уведомить Роскомнадзор об инциденте очень быстро, а с 2025 года за молчание про утечку — отдельный штраф 1–3 млн рублей. Поэтому действовать нужно по заранее отработанному плану, а не в панике.

Что считается утечкой

Инцидент — это неправомерная или случайная передача (предоставление, распространение, доступ) персональных данных, повлёкшая нарушение прав субъектов: взлом базы, ошибочная рассылка с чужими данными, потеря носителя, доступ уволенного сотрудника, публикация данных в открытом доступе.

Шаг 1. Зафиксировать и локализовать

Зафиксируйте факт и время обнаружения, определите, какие данные и сколько субъектов затронуто, и немедленно перекройте канал утечки (сменить пароли и ключи, отозвать доступы, изолировать систему). Сохраните доказательства (логи) — они понадобятся для расследования.

Шаг 2. Уведомить Роскомнадзор в течение 24 часов

В течение 24 часов с момента выявления подайте предварительное уведомление: сведения о произошедшем инциденте, предполагаемые причины, предполагаемый вред правам субъектов, принятые меры по устранению последствий и контактное лицо для взаимодействия с уполномоченным органом. Уведомление подаётся через сервис Роскомнадзора.

Шаг 3. Внутреннее расследование и уведомление за 72 часа

В течение 72 часов с момента выявления направьте результаты внутреннего расследования и сведения о лицах, чьи действия стали причиной инцидента (при наличии). Расследование должно установить причину, масштаб и достаточность принятых мер.

Шаг 4. Взаимодействие с ГосСОПКА

Если оператор является субъектом критической информационной инфраструктуры или подключён к ГосСОПКАГосударственная система обнаружения, предупреждения и ликвидации последствий компьютерных атак — Система ФСБ для мониторинга и реагирования на компьютерные атаки, прежде всего на объекты КИИ., об инциденте дополнительно информируется НКЦКИНациональный координационный центр по компьютерным инцидентам — Структура ФСБ, координирующая обнаружение и реагирование на компьютерные инциденты в рамках ГосСОПКА. в установленном порядке. Для большинства обычных операторов достаточно уведомления Роскомнадзора.

Шаг 5. Устранить последствия

Закройте уязвимость, через которую произошла утечка, усильте меры защиты, при необходимости уведомите затронутых субъектов. Цель — не допустить повторения, потому что повторная утечка наказывается оборотным штрафом.

Шаг 6. Зафиксировать в журнале инцидентов

Внесите инцидент, принятые меры и переписку с регулятором в журнал регистрации инцидентов. Это подтверждает, что оператор отреагировал по закону — то, что в первую очередь смотрит проверяющий (см. какие журналы проверяет РКН).

Чего НЕ делать

• скрывать утечку или тянуть с уведомлением — молчание это отдельный штраф;
• удалять логи до фиксации доказательств;
• занижать масштаб — размер штрафа всё равно считается по числу субъектов.

Главное

Сроки 24 и 72 часа очень короткие, поэтому план реагирования нужно подготовить заранее: кто фиксирует, кто подаёт уведомление, где журнал. ГрамотаИБ помогает выстроить организационные меры и вести нужные журналы — попробовать можно в сервисе.