Уведомление об утечке персональных данных: что сообщить РКН

Покупатель пишет, что видит чужой заказ в личном кабинете. Разработчик ещё ищет причину, а владельцу сайта уже нужно собрать факты и определить, требуется ли уведомление об утечке персональных данных. Для сообщения Роскомнадзору предусмотрены два срока: 24 часа на сведения об инциденте и 72 часа на результаты расследования. Оба отсчитываются от выявления события. Ниже разберём условия, порядок подачи и сведения, которые стоит запросить у команды.

Когда нужно сообщить об утечке?

По части 3.1 статьи 21 закона №152-ФЗ обязанность возникает при установленной неправомерной или случайной передаче персональных данных, включая предоставление, распространение и доступ, повлёкшей нарушение прав людей. Неудачная попытка входа сама по себе этого не устанавливает. Но отсутствие публичной выгрузки тоже ничего не доказывает: чужие сведения могли получить даже в одном личном кабинете.

Начните с обстоятельств: какие сведения стали доступны, кому и что это подтверждает. Сопоставьте их с условием закона вместе с ответственным за персональные данные и специалистом, который расследует событие. Первичную оценку нельзя откладывать до готовности полного технического отчёта.

Отдельный случай описан в пункте 16 порядка, утверждённого приказом РКН №187. Инцидент выявили Роскомнадзор или другое заинтересованное лицо, а оператор не подтвердил факт передачи данных либо принадлежность базы. В этой ситуации порядок всё равно предусматривает направление уведомления. К дополнительному сообщению прикладывают акт внутреннего расследования, подтверждающий соответствующие выводы оператора. Одного ответа «это не наша база» недостаточно.

Как считать 24 и 72 часа?

Оба срока идут с момента выявления инцидента оператором, Роскомнадзором или другим заинтересованным лицом. Отправка первого сообщения не запускает новые 72 часа. Запишите хронологию: кто обнаружил событие, когда и какие подтверждения были известны. Основание сроков и состава сообщений: часть 3.1 статьи 21.

Условный расчёт: событие выявлено в понедельник в 11:00. Срок 24 часа истекает во вторник в 11:00, а 72 часа — в четверг в 11:00. Даже если первое сообщение ушло во вторник, второй срок не переносится на пятницу. В реальном инциденте начало отсчёта определяют по обстоятельствам выявления.

Куда подавать и как подтвердить отправку?

Электронное уведомление подают через форму инцидента на портале Роскомнадзора. Для первичной подачи нужна подтверждённая учётная запись Госуслуг. Если сотрудник подаёт сведения за организацию, учётная запись должна быть привязана к ней. Электронное уведомление подписывают электронной подписью по правилам закона №63-ФЗ; это предусмотрено пунктом 7 порядка №187. Выберите человека с нужными полномочиями и доступом заранее.

После поступления уведомления на указанный email приходит информационное письмо: дата и время передачи сведений в систему РКН, номер и ключ уведомления. Сохраните это письмо вместе с отправленным текстом. Номер и ключ понадобятся для подачи результатов расследования через портал — это прямо предусмотрено пунктами 8–9 порядка №187. Доступ к ним ограничьте: не пересылайте ключ в общий чат и не публикуйте его в рабочей инструкции.

Если портал или учётная запись недоступны, пункты 5–6 того же порядка предусматривают бумажную подачу по адресу Роскомнадзора. Сверьте действующий адрес и способ доставки с ведомством, зафиксируйте обращение и отправку. Обычное письмо на произвольный email не названо в этом порядке самостоятельной заменой установленной подачи. Сбой портала сам по себе не позволяет рассчитывать на продление срока.

Что собрать для первичного уведомления?

Опишите событие так, чтобы было понятно, что произошло. Например: «В личном кабинете покупателя отображался заказ другого клиента». Укажите сайт, затронутый раздел, дату и время выявления, характеристики данных и известный объём. Фраза «произошёл технический сбой» не объясняет, какие сведения получили посторонние.

Проверьте состав сообщения по пункту 2 порядка №187:

1. Инцидент: время выявления, характеристики данных и количество записей в скомпрометированной базе.
2. Предполагаемые причины и вред: предварительную оценку отделите от установленных фактов.
3. Принятые меры: какие действия уже выполнены, кем и с каким результатом.
4. Данные оператора: наименование или ФИО в зависимости от статуса, ИНН, адрес, email для уведомлений — при наличии. На портале также предусмотрено поле ОГРН; сверяйте реквизиты со статусом оператора.
5. Контактное лицо: кто уполномочен взаимодействовать с РКН, знает обстоятельства и имеет доступ к материалам.
6. Имеющиеся подтверждения: источник сведений об инциденте и материалы о принятых мерах.

Если причина ещё проверяется, не обвиняйте подрядчика только потому, что он последним менял сайт. Закон прямо предусматривает предполагаемые причины и вред в первом сообщении. С неизвестными обстоятельствами работайте так же аккуратно: укажите, что проверено, а что пока не установлено. Не выдумывайте число записей ради заполнения поля и не откладывайте всё сообщение до полного выяснения причин. Порядок заполнения обязательных полей в конкретной ситуации уточните у РКН.

В разъяснении РКН названы типичные ошибки: нет адреса сайта, объёма затронутых данных или корректных сведений об организации. Другая ошибка — подача за организацию из личного профиля сотрудника без указания самой организации. Для проверки реквизитов удобно привлечь того, кто ведёт документы компании.

Кто уведомляет, если данные утекли у подрядчика?

Сначала определите роли: кто задаёт цели обработки, а кто обрабатывает данные по его поручению. Если инцидент произошёл у подрядчика, действующего по поручению оператора, Роскомнадзор разъясняет, что уведомляет сам оператор. Размещение базы у хостинга или ведение заявок в CRM не позволяют автоматически переложить эту обязанность на поставщика.

Запросите у подрядчика дату обнаружения, описание системы, состав и объём данных, известные обстоятельства доступа и принятые меры. Согласуйте, кто передаёт технические сведения и когда сообщит новые результаты. Сохраните переписку и подтверждения в закрытой папке с ограниченным доступом.

Подготовку сообщения ведите параллельно с выяснением ответственности участников. Команде нужны факты об инциденте; спор о том, кто оплатит доработку, не должен задерживать их сбор.

Что отправить по итогам расследования?

В дополнительном уведомлении отразите результаты расследования: установленные причины и вред, дополнительно принятые меры, если они были, а также решение оператора о проведении расследования с его реквизитами. Если установлено, чьи действия привели к инциденту, включите эти сведения. Состав описан в пункте 3 порядка №187.

Свяжите выводы с подтверждениями: какой путь доступа установлен, какие журналы это показывают, какой объём данных затронут. Предположение о причастном лице не выдавайте за установленный факт. Для специального случая, когда оператор не подтверждает выявленный извне инцидент или принадлежность базы, приложите акт расследования, как требует пункт 16.

На портале выберите подачу результатов расследования и используйте номер и ключ из информационного письма. Сохраните текст и подтверждение отправки второго сообщения. РКН отдельно поясняет: дополнительное уведомление нужно и тогда, когда результаты расследования уже были приведены в первичном.

Что делать, если Роскомнадзор запросил сведения?

Проверяйте почту, указанную в уведомлении, и сразу передавайте запрос координатору. В пунктах 10–13 порядка №187 различаются две ситуации. Сроки ниже отсчитываются от получения соответствующего запроса или требования, а не от инцидента.

Эти сроки ответа не заменяют первоначальные 24 и 72 часа. Храните запрос вместе с ответом и подтверждением отправки: так команда сможет восстановить последовательность действий.

Как собрать рабочую карточку инцидента?

Используйте карточку ниже для сбора сведений внутри команды. Она не заменяет официальную форму уведомления. Ограничьте доступ к карточке и материалам; персональные данные пострадавших не должны попадать на публичный сайт или в общий чат.

Назначьте одного координатора. Разработчик, поддержка и подрядчик могут описывать разные части события; карточка помогает собрать их в одну проверяемую хронологию. При уточнении данных сохраняйте историю изменений.

Нужно ли новое уведомление, если оператор уже есть в реестре?

Уведомление об обработке персональных данных по статье 22 относится к деятельности оператора. Сообщение об инциденте подаётся по отдельной процедуре. Запись в реестре операторов не означает, что Роскомнадзор получил сведения о конкретной утечке.

Если вы только запускаете форму обратной связи, используйте инструкцию об уведомлении Роскомнадзора для форм сайта. При выявленном инциденте возвращайтесь к срокам и порядку действий выше.

Как проверить готовность команды заранее?

Проведите короткое учебное упражнение без настоящих персональных данных. Возьмите условие «покупатель видит чужой заказ». Выясните, кто примет сообщение, кто ограничит доступ, где сохранит журналы и кто соберёт сведения для уведомления. Повторите разбор для ситуации, когда основной разработчик отсутствует.

Обновите контакты, договорённости о сообщениях подрядчика и доступ уполномоченного сотрудника к сервисам. Такое упражнение показывает, где команда потеряет время, хотя само по себе не подтверждает защищённость сайта.

Уведомления РКН — часть реагирования. Часть 12 статьи 19 закона №152-ФЗ отдельно предусматривает взаимодействие с ГосСОПКА — государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак. Порядок такого взаимодействия, отраслевые требования и основания для информирования затронутых людей разберите с ответственными специалистами применительно к вашему инциденту.