Утечка персональных данных - не только технический сбой, но и юридическая обязанность действовать в первые часы. В 2026 году оператор, который затянул с уведомлением Роскомнадзора или не смог за 72 часа предоставить итоги расследования, рискует получить штраф по ч.3.2 ст.13.11 КоАП - от 100 000 до 150 000 рублей для юрлиц, а с 30.05.2025 действуют и оборотные штрафы за сами факты утечки. Разбираемся, кто должен входить в команду реагирования и что делать по шагам.
Коротко
- С момента обнаружения инцидента у оператора есть 24 часа на уведомление Роскомнадзора и 72 часа на предоставление результатов внутреннего расследования.
- Команда реагирования формируется заранее: ответственный за обработку ПДн, IT/безопасность, юрист, руководитель организации.
- Нарушение срока уведомления - отдельный состав по ч.3.2 ст.13.11 КоАП, штраф 100 000-150 000 ₽ для юрлиц.
- С 30.05.2025 к нарушителям применяются оборотные штрафы за утечку персональных данных - независимо от штрафа за просрочку уведомления.
- Порядок действий должен быть закреплён в регламенте, а не изобретаться в момент инцидента.
Кто должен входить в команду реагирования
Закон не описывает состав команды пошагово, но статьи 18.1, 19 и 22 152-ФЗ возлагают на оператора обязанности, которые физически не может закрыть один человек. На практике в команду включают четыре роли.
| Роль | Зона ответственности |
|---|---|
| Ответственный за обработку ПДн | Координирует реагирование, ведёт учёт инцидента, готовит уведомление в РКН |
| IT / информационная безопасность | Локализует инцидент, оценивает масштаб утечки, устраняет уязвимость |
| Юрист | Квалифицирует событие, оценивает риски, готовит документы для расследования |
| Руководитель организации | Принимает управленческие решения, утверждает итоги расследования |
Роли можно совмещать в небольшой компании, но зоны ответственности должны быть распределены заранее - иначе в первые часы после инцидента время уходит на выяснение, кто чем занимается.
Что делать в первые часы после инцидента
Момент, с которого начинается отсчёт сроков - это момент, когда оператору стало известно об инциденте, а не момент, когда он произошёл фактически. Поэтому важно зафиксировать точное время обнаружения.
- Зафиксировать факт инцидента: дата, время, источник обнаружения.
- Локализовать проблему - ограничить доступ к затронутой системе, остановить дальнейшую утечку.
- Оценить масштаб: какие данные, сколько субъектов, какие категории ПДн затронуты.
- Собрать команду реагирования и распределить задачи между ролями.
- Начать подготовку уведомления для Роскомнадзора и внутреннего расследования.
Каждое действие стоит фиксировать письменно - эти записи станут основой для итогов расследования, которые нужно будет предоставить позже.
Обязанность уведомить Роскомнадзор за 24 часа
Согласно 152-ФЗ, оператор обязан уведомить Роскомнадзор о факте утечки персональных данных в течение 24 часов с момента, когда ему стало об этом известно. В уведомлении указываются предположительные причины, предполагаемый вред субъектам и принятые меры.
Нарушение срока уведомления квалифицируется по ч.3.2 ст.13.11 КоАП и влечёт штраф для юридических лиц в размере от 100 000 до 150 000 рублей.
Важно понимать разницу: штраф за просрочку уведомления - это отдельный состав, который не заменяет и не отменяет ответственность за саму утечку. С 30.05.2025 в законодательстве действуют оборотные штрафы, привязанные к факту утечки персональных данных, поэтому пропуск 24-часового окна увеличивает совокупные риски, а не подменяет их.
Обязанность предоставить итоги расследования за 72 часа
Через 72 часа после того, как стало известно об инциденте, оператор обязан предоставить в Роскомнадзор результаты внутреннего расследования - вторым, более подробным уведомлением. В нём фиксируются установленные причины утечки, объём и категории затронутых данных, а также меры, принятые для устранения последствий.
| Срок | Что нужно предоставить |
|---|---|
| 24 часа | Первичное уведомление о факте утечки |
| 72 часа | Результаты внутреннего расследования |
Чтобы уложиться в 72 часа, расследование нужно начинать параллельно с первым уведомлением, а не после его отправки - именно для этого и нужна заранее собранная команда реагирования.
Как закрепить процесс внутри компании
Устная договорённость "кто за что отвечает" не работает в моменте стресса. Роли, сроки и порядок действий стоит закрепить в отдельном внутреннем документе - регламенте реагирования на инциденты, который выдаётся команде заранее и не требует придумывания процедуры в разгар инцидента.
Что проверить у себя на сайте
- Назначен ли ответственный за обработку персональных данных и известны ли его контакты команде.
- Есть ли письменный регламент реагирования на инциденты с распределением ролей.
- Понятно ли, кто и как фиксирует момент обнаружения инцидента.
- Настроено ли логирование доступа к базам с персональными данными.
- Есть ли шаблон уведомления для Роскомнадзора, готовый к заполнению.
- Определено ли, кто в компании вправе принимать решение об уведомлении РКН.
- Проверена ли готовность юриста квалифицировать инцидент в сжатые сроки.
- Есть ли процедура сбора доказательств для итогов расследования.
Частые вопросы
С какого момента считать 24 часа?
С момента, когда оператору стало известно об инциденте, а не с момента его фактического наступления.
Что будет, если не успеть уведомить РКН вовремя?
Наступает ответственность по ч.3.2 ст.13.11 КоАП - штраф 100 000-150 000 ₽ для юрлиц.
Нужно ли уведомлять РКН, если утечка незначительная?
Обязанность уведомить не зависит от масштаба утечки - закон не устанавливает порог по количеству субъектов.
Можно ли обойтись без юриста в команде реагирования?
Юрист нужен для квалификации события и корректной подготовки документов, поэтому его включение в команду снижает риск ошибок в уведомлениях.
Что делать, если 72 часа истекают, а расследование не завершено?
Нужно предоставить промежуточные результаты и продолжать расследование, фиксируя ход работы.
Чтобы не собирать регламент реагирования с нуля в момент инцидента, в комплекте документов есть готовый регламент реагирования на утечку - с распределением ролей, сроками и формой уведомления. Проверить текущее состояние сайта на соответствие 152-ФЗ можно через форму аудита.