В каких случаях нужно уведомлять Роскомнадзор об утечке персональных данных

После изменений 152-ФЗ уведомление Роскомнадзора об утечке перестало быть редкой и факультативной процедурой. Закон чётко описывает, что считается инцидентом, в какие сроки сообщать и какие данные передавать. Ошибка в трактовке этих требований обходится бизнесу штрафами и осложнением расследования. Разберём, какие события подпадают под обязательное уведомление, а какие нет.

Содержание

Правовая база: что говорит 152-ФЗ об уведомлении
Что считается утечкой и инцидентом по закону
Когда уведомление обязательно
Когда уведомление не требуется
Сроки: 24 часа и 72 часа
Какие сведения передаются в Роскомнадзор
Параллельное уведомление НКЦКИ и других регуляторов
Что бывает за нарушение порядка уведомления
Что в итоге

Правовая база: что говорит 152-ФЗ об уведомлении

Обязанность оператора уведомлять Роскомнадзор об инцидентах с персональными данными закреплена в Федеральном законе №152-ФЗ «О персональных данных». После изменений, вступивших в силу в 2022 году и дополненных последующими редакциями, в законе появилась статья 21, которая прямо обязывает оператора сообщать в РКН о фактах неправомерной или случайной передачи персональных данных, повлёкшей нарушение прав субъектов.

Дополнительно действуют нормативные документы Роскомнадзора, устанавливающие форму, состав сведений и порядок передачи уведомления. Для определённых категорий организаций — в первую очередь, для объектов критической информационной инфраструктуры — параллельно действует обязанность уведомлять НКЦКИ (Национальный координационный центр по компьютерным инцидентам) по линии 187-ФЗ.

Что считается утечкой и инцидентом по закону

Закон оперирует понятиями «неправомерная или случайная передача», «несанкционированный доступ», «уничтожение или копирование персональных данных, повлёкшие нарушение прав субъектов». На практике это означает любое событие, при котором персональные данные оказались доступны лицам, которым они не предназначались.

Типовые ситуации, попадающие под это определение:

Внешняя кибератака с эксфильтрацией данных. Взлом, кража базы, выгрузка через скомпрометированную учётную запись.
Действия инсайдера. Сотрудник скопировал базу клиентов или выгрузил данные сверх своих служебных полномочий.
Ошибочная публикация. Случайная публикация документа с ПДн на сайте, в общем доступе облака или в открытом репозитории.
Ошибочная рассылка. Письмо с приложенным реестром ПДн ушло не тому адресату или массово раскрыло список получателей в копии.
Потеря носителя. Утрачен ноутбук, флешка, бумажный документ с ПДн.
Неправильно настроенный ресурс. Открытое S3-хранилище, незапаролированная база данных, доступная из интернета.
Передача данных подрядчику без надлежащих оснований. ПДн ушли третьему лицу без договора или поручения на обработку.

В каждом из этих случаев формируется юридический факт инцидента, и оператор должен оценить, требуется ли уведомление РКН.

Когда уведомление обязательно

Обязанность направить уведомление возникает при любом инциденте с ПДн, который повлёк или мог повлечь нарушение прав субъектов. Ключевое слово — «мог»: оператор не вправе самостоятельно решать, что данные «никто не успел использовать» и поэтому уведомлять не нужно.

На практике уведомление обязательно при следующих ситуациях:

Установлен факт несанкционированного доступа к ПДн.
Зафиксирована передача данных третьим лицам без правовых оснований.
Произошло уничтожение или модификация ПДн в результате инцидента.
Произошла публикация или массовая рассылка данных за пределы оператора.
Зафиксирована утрата носителей с ПДн.
В рамках расследования инцидента ИБ обнаружено воздействие на ПДн.

Если инцидент произошёл у обработчика, действующего по поручению оператора, ответственность за уведомление РКН лежит на операторе. Обработчик обязан немедленно сообщить ему о факте инцидента, чтобы тот успел уложиться в нормативные сроки.

Повышение квалификацииЗащита персональных данных

Когда уведомление не требуется

Уведомление РКН — это инструмент реагирования на инциденты с реальным или потенциальным нарушением прав субъектов. Не каждое подозрительное событие попадает под эту категорию. В некоторых случаях передавать уведомление в РКН не нужно, но это не освобождает от внутреннего расследования и документирования.

Внутренние срабатывания СЗИ без подтверждённого воздействия на ПДн. Если DLP или SIEM зафиксировали попытку, которая была пресечена и доступа к данным не произошло — это не утечка.
Технические инциденты без затрагивания ПДн. Сбой инфраструктуры, не приведший к доступу или раскрытию данных.
Передача данных в рамках законных оснований. Например, по запросу уполномоченных органов с надлежащим оформлением.
Внутреннее перемещение данных в пределах оператора. Между подразделениями одного юридического лица — если оно соответствует целям обработки.

Важно: в спорных ситуациях разумнее уведомить РКН. Пропуск инцидента, который позже всплывёт через жалобу субъекта или публикацию в СМИ, оборачивается значительно более серьёзными последствиями, чем избыточное уведомление.

Сроки: 24 часа и 72 часа

Закон устанавливает двухступенчатую модель уведомления, и она требует чёткого внутреннего регламента у оператора.

В течение 24 часов с момента обнаружения инцидента оператор обязан направить в Роскомнадзор первичное уведомление. На этом этапе детального расследования ещё нет, и от оператора требуется сообщить базовые сведения: факт инцидента, предполагаемые причины, состав данных, оценку количества затронутых субъектов, контактное лицо.

В течение 72 часов с момента обнаружения инцидента оператор направляет в РКН уточнённое уведомление, в котором указывает результаты внутреннего расследования: причины инцидента, перечень предпринятых мер, оценку последствий, план по предотвращению повторения.

Если за 72 часа расследование не завершено, оператор не освобождается от обязанности направить уведомление — он передаёт сведения в том объёме, который доступен, и продолжает обновлять РКН по мере поступления информации.

Какие сведения передаются в Роскомнадзор

Состав уведомления формализован. В первичном уведомлении (24 часа) оператор сообщает:

сведения об операторе (наименование, ОГРН/ИНН, контактное лицо);
дату и время обнаружения инцидента;
описание инцидента и предполагаемые причины;
категории и объём затронутых ПДн;
предположительное количество субъектов, чьи права могли быть нарушены;
предпринятые на момент уведомления меры реагирования.

В уточнённом уведомлении (72 часа) добавляются:

уточнённое описание причин и хода инцидента;
результаты внутреннего расследования;
детализация принятых мер защиты и восстановления;
оценка возможных последствий для субъектов ПДн;
план мероприятий по предотвращению повторения.

Уведомление направляется через специализированный сервис на сайте Роскомнадзора. Стандартный канал передачи бумажных писем для этих случаев не используется — закон требует электронную форму.

Параллельное уведомление НКЦКИ и других регуляторов

Если оператор является субъектом КИИ или организация подпадает под действие 187-ФЗ, инцидент с ПДн, имеющий признаки компьютерного, также подлежит уведомлению НКЦКИ через систему ГосСОПКА. Это отдельная процедура с собственными сроками и форматом, она не заменяет уведомление РКН и наоборот.

Для отдельных отраслей действуют дополнительные обязательства. Кредитные и финансовые организации уведомляют Банк России, медицинские — региональные органы здравоохранения по своей линии, операторы связи — Роскомнадзор по специализированным процедурам. Если организация одновременно подпадает под несколько режимов, уведомления направляются параллельно — каждое в установленный для него срок.

Что бывает за нарушение порядка уведомления

За несвоевременное направление уведомления, неполные сведения или его отсутствие предусмотрена административная ответственность по КоАП РФ. С 2025 года штрафы за нарушения в области ПДн серьёзно возросли, в том числе за неуведомление РКН об инциденте. Для юридических лиц размеры штрафов измеряются сотнями тысяч и миллионами рублей, при повторных нарушениях возможны оборотные штрафы.

Кроме штрафов, пропущенное уведомление становится отягчающим обстоятельством при общей проверке оператора: РКН рассматривает это как признак низкой зрелости процессов защиты ПДн и проводит проверку с большей глубиной. Если факт утечки впоследствии станет публичным через жалобы субъектов или СМИ, отсутствие уведомления почти гарантированно фиксируется в материалах проверки.

Что в итоге

Уведомление Роскомнадзора об утечке — это не формальность, а полноценная процедура с чёткими сроками: 24 часа на первичное сообщение и 72 часа на уточнённое. Под уведомление подпадает любой инцидент, при котором ПДн оказались или могли оказаться у лиц, которым они не предназначались. В спорных случаях лучше уведомить, чем умолчать: цена пропуска значительно выше, чем избыточная коммуникация с регулятором.

Системно разобрать порядок реагирования на инциденты с ПДн, требования 152-ФЗ и подзаконных актов, практику взаимодействия с Роскомнадзором и НКЦКИ можно на нашем курсе повышения квалификации защита персональных данных — программа выстроена вокруг практических задач оператора, включая работу с инцидентами и подготовку к проверкам регулятора.