Утечка ПДн: уведомление Роскомнадзора за 24 и 72 часа

Утечка персональных данных редко начинается с громкого взлома. Чаще это сообщение от клиента «мне звонили мошенники и называли номер моего заказа», выгрузка базы на форуме, открытый доступ к папке с договорами в облаке, уволившийся менеджер с экспортом CRM или письмо со списком клиентов, отправленное не тому адресату. В этот момент у компании начинается отсчёт: закон обязывает уведомить Роскомнадзор в течение 24 часов с момента выявления инцидента и сообщить результаты расследования в течение 72 часов. С 30 мая 2025 года за саму утечку действуют штрафы, которые зависят от числа пострадавших, а за неуведомление — отдельный состав.

Эта статья — пошаговая инструкция на случай инцидента: что считать утечкой, что делать в первые часы, что именно писать в уведомлениях и как подготовиться заранее, чтобы не составлять документы в панике. Размеры штрафов и их расчёт мы подробно разобрали в статье оборотные штрафы за утечку ПДн, а действия при атаке шифровальщика — в материале шифровальщик в компании: первые 24 часа.

Что закон считает утечкой

Обязанность уведомлять возникает, когда оператор установил факт неправомерной или случайной передачи, предоставления, распространения персональных данных или доступа к ним, повлёкший нарушение прав субъектов. На практике под это попадают ситуации, когда данные оказались у тех, кому они не предназначались.

Первые часы: порядок действий

1. Зафиксируйте время выявления. От него отсчитываются 24 и 72 часа. Запишите, кто и как узнал об инциденте.
2. Остановите утечку: закройте публичный доступ, заблокируйте скомпрометированные учётные записи, отзовите токены и ключи, отключите заражённые машины от сети, не уничтожая их.
3. Сохраните доказательства: журналы серверов и CRM, письма, скриншоты публикаций, копии файлов. Не перезагружайте и не переустанавливайте серверы до снятия образов, если речь о взломе.
4. Соберите группу реагирования: руководитель, ответственный за ПДн, администратор, юрист, ответственный за коммуникации.
5. Оцените масштаб: какие данные, сколько субъектов, какие категории — обычные, специальные, биометрические.
6. Подготовьте и направьте первичное уведомление в Роскомнадзор в течение 24 часов.
7. Продолжайте расследование и подготовьте итоговое уведомление в течение 72 часов.

Уведомление за 24 часа: что указать

Первичное уведомление подаётся через портал персональных данных Роскомнадзора по установленной форме. В нём указываются сведения, которые известны на момент подачи. Не ждите полной картины — в первые сутки её почти никогда нет.

Уведомление за 72 часа: результаты расследования

Второе уведомление содержит результаты внутреннего расследования и сведения о лицах, действия которых стали причиной инцидента, если они установлены. К этому моменту вы должны понимать: как именно произошла утечка, какие данные и за какой период затронуты, сколько субъектов пострадало, какие меры приняты, чтобы инцидент не повторился. Если расследование продолжается, честно укажите, что установлено, и что будет сделано дальше. Оформите внутренний акт расследования: он понадобится и при проверке, и при возможных претензиях субъектов.

Взаимодействие с ГосСОПКА и правоохранительными органами

Операторы персональных данных обязаны обеспечивать взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак, в том числе информировать о компьютерных инцидентах, повлёкших неправомерную передачу ПДн. Порядок такого информирования установлен нормативными актами ФСБ; уточните, как он применяется к вашей организации. Если инцидент связан с преступлением — взлом, кража базы сотрудником, вымогательство, — подайте заявление в полицию: это также фиксирует, что компания стала жертвой, а не соучастником.

Нужно ли сообщать клиентам

Прямой общей обязанности уведомлять каждого клиента о любой утечке 152-ФЗ не содержит, но часто это правильное решение. Клиенты, которых предупредили, реже становятся жертвами мошенников, а компания сохраняет доверие. Сообщение должно быть коротким и практичным: что произошло, какие данные затронуты, что компания сделала, что клиенту делать — не сообщать коды из SMS, не переходить по ссылкам, перезванивать только по официальному номеру. Не обещайте того, чего не знаете, и не преуменьшайте масштаб.

Пример: сколько стоит неподготовленность

Условный интернет-магазин: утечка ФИО, телефонов и адресов 15 000 покупателей через уязвимость в старом модуле сайта. Компания узнала об утечке от покупателей через пять дней после публикации базы.

1. Штраф за утечку данных от 10 000 до 100 000 субъектов по действующей редакции КоАП для юрлиц — от 5 до 10 млн ₽ (сверьте с актуальной редакцией).
2. Если уведомление в Роскомнадзор подано с опозданием или не подано — дополнительный штраф по отдельной части той же статьи.
3. Расследование и восстановление силами внешних специалистов — 300–800 тыс. ₽.
4. Падение продаж из-за потери доверия — допустим, 5% оборота в течение трёх месяцев. При обороте 8 млн ₽ в месяц это 1,2 млн ₽.
5. Итого 6,5–12 млн ₽ против нескольких сотен тысяч рублей на регулярные обновления, аудит и мониторинг. Свои цифры можно посчитать в калькуляторе ущерба от инцидента.

Что должно быть во внутреннем акте расследования

Акт расследования — документ, который компания составляет для себя, но который почти наверняка попросят при проверке или в суде. Он показывает, что оператор отнёсся к инциденту серьёзно и сделал выводы. Писать его стоит по горячим следам, пока факты свежие, а журналы ещё не перезаписались.

• Хронология: когда и как началась утечка, когда выявлена, какие действия и в какое время предприняты.
• Затронутые системы и данные: какие базы, таблицы, файлы, какие категории ПДн, сколько субъектов, за какой период.
• Причина: техническая уязвимость, ошибка сотрудника, злой умысел, ошибка подрядчика — с доказательствами из журналов.
• Ответственные лица, если их действия стали причиной, и принятые к ним меры.
• Меры по устранению: что закрыто, какие доступы отозваны, какие пароли сброшены.
• Меры по недопущению повторения: изменения процессов, обучение, новые средства защиты, сроки и ответственные.
• Перечень направленных уведомлений: Роскомнадзор, ГосСОПКА, полиция, клиенты — с датами.

Если в инциденте участвовал подрядчик — разработчик сайта, хостинг, интегратор, — запросите у него письменное объяснение и журналы со своей стороны. По договору поручения на обработку ПДн он обязан помогать оператору в расследовании. Если такого договора нет, это само по себе станет одним из выводов расследования. О том, как правильно выстроить отношения с подрядчиками и не держать у них лишние доступы, — в статье права доступа: «всем всё» заканчивается плохо.

После закрытия инцидента проведите разбор без поиска виноватых: какие сигналы были раньше, почему их не заметили, какой мерой можно было остановить утечку на час или день раньше. Результаты разбора превращаются в конкретные задачи с ответственными и сроками: включить оповещения о массовых выгрузках из CRM, закрыть публичные ссылки на документы, ввести проверку прав доступа раз в квартал. Именно этот шаг отличает компанию, у которой инцидент случился один раз, от той, где он повторяется.

Как подготовиться заранее

• Утвердите порядок реагирования на инциденты: кто входит в группу, кто принимает решения, где лежат контакты.
• Заполните заранее шаблон уведомления: реквизиты, контактное лицо, перечень систем и категорий данных. В момент инцидента останется описать событие.
• Проверьте, что у ответственного есть доступ к порталу Роскомнадзора и действующая электронная подпись или иной способ подачи.
• Включите журналы доступа в CRM и на серверах и храните их достаточно долго, чтобы расследовать инцидент.
• Минимизируйте данные: не храните то, что не нужно, удаляйте старые выгрузки. Чем меньше данных, тем меньше утечка.
• Двухфакторная аутентификация для всех, кто имеет доступ к базе. См. двухфакторная аутентификация: внедрение.
• Регулярные обновления, аудит уязвимостей и защита от выгрузки базы. См. защита CRM от утечки клиентской базы.
• Проводите учения раз в год: разыграйте инцидент и проверьте, укладываетесь ли вы в 24 часа.

Проверить общий порядок обработки ПДн поможет наш чек-лист 152-ФЗ, а уровень защищённости и требования к хранению — статья уровни защищённости ПДн.

Чего не делать

• Не удаляйте журналы и следы — это уничтожает доказательства и выглядит как сокрытие.
• Не платите вымогателям за «неопубликование» базы: гарантий нет, а данные уже скопированы.
• Не ждите полной картины, чтобы подать первое уведомление.
• Не делайте публичных заявлений до согласования с юристом и группой реагирования.
• Не наказывайте сотрудника, сообщившего об инциденте: иначе следующий промолчит.

Если инцидент начался с DDoS-атаки или сопровождался простоем, оценить потери от недоступности поможет калькулятор ущерба от DDoS.

Если у вас инцидент прямо сейчас или вы хотите подготовить порядок реагирования заранее, — свяжитесь с нами. Мы помогаем с расследованием, восстановлением и защитой в рамках услуги кибербезопасность.