Приказ Роскомнадзора от 14.11.2022 № 187 утвердил Порядок и условия взаимодействия Роскомнадзора с операторами в рамках ведения реестра учёта инцидентов в области персональных данных. Он раскрывает часть 3.1 статьи 21 Федерального закона от 27.07.2006 № 152-ФЗ. Действует с 01.03.2023.
Два уведомления
- Первичное — в течение 24 часов с момента выявления инцидента: дата и время выявления, какие данные стали доступны, предполагаемые причины и вред субъектам, принятые меры, лицо для связи с Роскомнадзором и данные самого оператора (пункт 2).
- Дополнительное — в течение 72 часов: результаты внутреннего расследования и сведения о лицах, действия которых привели к инциденту, если они установлены (пункт 3).
Если расследование закончено раньше, его итоги можно дать уже в первичном уведомлении (пункт 4).
Как отправить
Уведомление направляют на бумаге или через форму на Портале персональных данных Роскомнадзора (пункты 5–7). После приёма приходит письмо с номером и ключом уведомления — их указывают при отправке дополнительного уведомления (пункты 8–9).
Сроки ответа на запросы
- о недостающих или некорректных сведениях — 3 рабочих дня со дня получения запроса (пункты 10–11);
- на требование представить сведения — 1 рабочий день (пункт 13).
Если инцидент не подтвердился, к дополнительному уведомлению прикладывают акт внутреннего расследования (пункт 16). Уведомление Роскомнадзору одновременно передаёт сведения в ГосСОПКА — см. приказ ФСБ России от 13.02.2023 № 77.