С 30 мая 2025 года операторы персональных данных обязаны уведомлять Роскомнадзор об инцидентах, связанных с утечкой персональных данных, в течение 24 часов с момента обнаружения. Это ужесточение требований статьи 21 152-ФЗ напрямую касается владельцев сайтов, интернет-магазинов и любых сервисов, которые собирают данные пользователей. Разбираемся, что изменилось, какие сроки и штрафы теперь действуют и что нужно сделать оператору, чтобы не попасть под оборотный штраф.
Коротко
- С 30.05.2025 первичное уведомление об утечке нужно направить в РКН в течение 24 часов, а не 24 часов как раньше в отношении части сведений - сроки и состав уведомлений закреплены в ст. 21 152-ФЗ.
- Полный отчёт по итогам расследования инцидента направляется в течение 72 часов.
- За неуведомление или нарушение срока уведомления об утечке предусмотрен отдельный состав по ч. 3.2 ст. 13.11 КоАП - штраф от 100 000 до 150 000 рублей для юридических лиц.
- Наряду с этим действуют оборотные штрафы за утечки персональных данных, рассчитываемые от выручки нарушителя.
- Обязанность распространяется на всех операторов, включая владельцев сайтов и интернет-магазинов, обрабатывающих данные посетителей и покупателей.
Что считается инцидентом и кто обязан уведомлять
Инцидентом признаётся любое неправомерное или случайное предоставление, распространение, уничтожение, блокирование, копирование персональных данных, а также иные незаконные действия при их обработке. Обязанность уведомлять РКН лежит на операторе персональных данных - то есть на любом юридическом лице или ИП, который определяет цели и способы обработки данных, включая обычный интернет-магазин или сайт с формой обратной связи.
Требование об уведомлении закреплено в ст. 21 152-ФЗ и распространяется на операторов независимо от масштаба утечки: значение имеет сам факт неправомерного доступа к данным, а не количество затронутых записей.
Сроки уведомления после изменений
| Этап | Срок | Что входит в уведомление |
|---|---|---|
| Первичное уведомление | 24 часа с момента обнаружения инцидента | Дата и обстоятельства, предполагаемые причины, предполагаемый вред, категории и число субъектов |
| Итоговое уведомление | 72 часа с момента обнаружения инцидента | Результаты расследования, принятые меры по устранению последствий, данные о лице, ответственном за расследование |
Ответственность за нарушение сроков
КоАП РФ содержит несколько составов, связанных с обработкой персональных данных, и по ним нужно различать разные нарушения. Ниже - основные из них применительно к сайтам и утечкам.
| Норма КоАП | Нарушение | Штраф для юрлиц |
|---|---|---|
| ч. 1 ст. 13.11 | Обработка данных без правовых оснований либо с нарушением требований 152-ФЗ | до 100 000 рублей |
| ч. 2 ст. 13.11 | Обработка без письменного согласия субъекта, когда оно требуется | до 300 000 рублей |
| ч. 2.1 ст. 13.11 | Невыполнение требований о локализации данных россиян | до 18 000 000 рублей |
| ч. 3.2 ст. 13.11 | Неуведомление или нарушение срока уведомления РКН об утечке в течение 24 часов | от 100 000 до 150 000 рублей |
| ч. 8 ст. 13.11 | Утечка персональных данных (оборотный штраф) | рассчитывается от выручки оператора |
| ч. 9 ст. 13.11 | Повторная утечка персональных данных | повышенный оборотный штраф |
Именно ч. 3.2 ст. 13.11 КоАП - ключевая норма для темы уведомлений: она наказывает не саму утечку, а факт того, что оператор не сообщил о ней вовремя. То есть даже если утечка была небольшой, отсутствие своевременного уведомления - самостоятельное нарушение с отдельным штрафом.
Оборотные штрафы с 30.05.2025
Параллельно с изменением сроков уведомления с 30 мая 2025 года действуют оборотные штрафы за утечки персональных данных - их размер привязан не к фиксированной сумме, а к выручке компании за предыдущий год. Это делает последствия утечки для среднего и крупного бизнеса значительно более ощутимыми, чем раньше, когда штрафы были фиксированными и относительно небольшими.
Логика законодателя такова: своевременное уведомление и меры по минимизации вреда - это отдельный критерий добросовестности оператора, который учитывается наряду с фактом самой утечки. Поэтому выстроенный внутренний процесс реагирования на инциденты снижает риски по обоим направлениям - и по факту утечки, и по своевременности уведомления.
Что нужно подготовить оператору заранее
Чтобы уложиться в 24 часа, регламент реагирования на инциденты должен существовать до того, как что-то произошло, а не разрабатываться в момент утечки. На практике это означает наличие ответственного лица, понятного алгоритма действий и контактов для связи с РКН.
- назначен ответственный за организацию обработки персональных данных (ст. 22.1 152-ФЗ);
- есть письменный регламент действий при инциденте с указанием сроков и ответственных;
- определён порядок фиксации времени обнаружения инцидента - от этого момента считаются 24 и 72 часа;
- подготовлен шаблон уведомления РКН с обязательными полями по ст. 21 152-ФЗ;
- настроено логирование доступа к базам данных и формам на сайте для быстрого расследования.
Что проверить у себя на сайте
- подано ли уведомление об обработке персональных данных в РКН (ст. 22 152-ФЗ);
- назначен ли ответственный за обработку персональных данных;
- есть ли утверждённый план реагирования на инциденты с указанием конкретных сроков 24 и 72 часа;
- актуальна ли политика обработки персональных данных на сайте и содержит ли она порядок действий при утечке;
- защищены ли формы сбора данных - обратная связь, регистрация, оформление заказа - от несанкционированного доступа;
- ведётся ли журнал доступа к базе данных пользователей и логам сервера;
- есть ли договор с хостинг-провайдером, определяющий его обязанности при инциденте;
- обучены ли сотрудники, работающие с данными, порядку действий при подозрении на утечку;
- проверена ли применяемая CMS и её компоненты на известные уязвимости;
- есть ли резервное копирование и возможность быстро оценить объём затронутых данных.
Частые вопросы
С какого момента отсчитывать 24 часа?
С момента, когда оператор обнаружил инцидент - то есть узнал о нём или должен был узнать при добросовестном контроле систем. Не с момента фактической утечки, если она произошла раньше и осталась незамеченной.
Нужно ли уведомлять РКН, если утечка коснулась всего нескольких пользователей?
Да, размер утечки не освобождает от обязанности уведомить. Норма ст. 21 152-ФЗ не содержит порога по количеству субъектов.
Что грозит, если сообщить об утечке с опозданием на несколько дней?
Это может быть квалифицировано как нарушение срока уведомления по ч. 3.2 ст. 13.11 КоАП со штрафом от 100 000 до 150 000 рублей для юрлиц, отдельно от возможной ответственности за саму утечку.
Может ли небольшой интернет-магазин попасть под оборотный штраф?
Формально да, если он признан оператором персональных данных и допустил утечку - размер штрафа зависит от выручки, а не от масштаба бизнеса. Поэтому базовые меры защиты форм и данных важны для сайтов любого размера.
Как соотносятся требования к персональным данным и к рекламной идентификации на сайте?
Это разные, но пересекающиеся области комплаенса - помимо норм 152-ФЗ, стоит также проверить, промаркирована ли реклама на сайте в соответствии с требованиями закона о рекламе.
Регламент реагирования на инциденты - это не формальность для проверяющих, а рабочий инструмент, который экономит время именно тогда, когда счёт идёт на часы.
Если вы не уверены, что политика обработки персональных данных и процессы на сайте соответствуют актуальным требованиям, можно свериться с шаблонами документов по 152-ФЗ или пройти проверку сайта, чтобы увидеть текущую картину и спокойно доработать то, что требует внимания.