Роскомнадзор требует объяснения об утечке за 2–5 дней: как ответить на запрос

Что такое запрос Роскомнадзора

Запрос об объяснениях — это официальное входящее письморегулятора, в котором он просит оператора представить сведения и документы по конкретному поводу. По утечкам такой запрос приходит, когда об инциденте стало известно — из вашего уведомления, жалобы гражданина, публикации или иного источника.

Ключевое отличие от уведомления: уведомление вы подаёте сами, обнаружив утечку, а на запрос — реагируете. Одно не заменяет другое: даже если уведомление уже подано, на пришедший запрос всё равно нужно ответить отдельно. Общий порядок действий при инциденте разобран в материале что делать при утечке персональных данных.

Какой срок на ответ

Срок ответа указан в тексте самого запроса и отсчитывается от даты его получения. Именно этот срок обязателен — общего «универсального» числа дней в законе нет. На практике регулятор чаще всего отводит несколько рабочих дней.

Откуда берутся «2–5 дней»

«2–5 дней» — это не срок из закона, а типичный срок ответа, который Роскомнадзор указывает в запросе. Бизнес часто воспринимает его как «дедлайн по утечке» и путает с 24 и 72 часами. Разведём три разные вещи:

Вывод: «2–5 дней» относятся к ответу на входящий запрос, а не к обязанности уведомить об утечке. Точное число всегда смотрите в конкретном письме — именно оно обязательно.

Как ответить: 6 шагов

Короткий порядок — от фиксации срока до устранения причины и сохранения переписки:

1. Зафиксируйте дату получения и срок ответа. Срок на ответ указан в самом запросе Роскомнадзора — отсчитывайте его от даты фактического получения письма (по почте, через личный кабинет или систему электронного документооборота). Сразу отметьте крайнюю дату: пропуск срока сам по себе трактуется как нарушение. Если срок явно нереален, лучше ответить хотя бы частично и в срок, чем молчать.
2. Разберитесь, что именно спрашивает регулятор. Внимательно прочитайте запрос: РКН формулирует конкретные вопросы и перечень сведений или документов. Обычно это обстоятельства инцидента, категории и объём затронутых данных, принятые меры и подтверждение того, что вы уведомили об утечке. Отвечать нужно строго по поставленным вопросам, не уходя в общие рассуждения.
3. Проверьте, подано ли уведомление об утечке. Запрос об объяснениях часто приходит, когда об утечке уже стало известно. Убедитесь, что вы выполнили свою прямую обязанность оператора — уведомили Роскомнадзор об инциденте в установленные сроки (первичное уведомление и сведения по итогам внутреннего расследования). Если уведомление ещё не подано, это стоит сделать не откладывая, а в ответе отразить факт и реквизиты подачи.
4. Подготовьте ответ по существу с документами. Составьте официальный ответ на бланке организации: изложите обстоятельства, категории и объём затронутых данных, хронологию, принятые меры по локализации и устранению причин. Приложите подтверждающие документы — акты, внутренние приказы, копию поданного уведомления. Формулировки должны быть точными и не противоречить ранее поданным сведениям.
5. Направьте ответ в срок и указанным способом. Отправьте ответ тем способом и по тем реквизитам, которые указаны в запросе, — как правило, это тот же канал, по которому запрос поступил. Сохраните доказательство отправки: опись и квитанцию при почтовом отправлении, отметку о регистрации в электронной системе. Подтверждение своевременного ответа — ваша защита при последующих разбирательствах.
6. Устраните причину и сохраните переписку. Ответ на запрос — не конец истории: устраните уязвимость, из-за которой произошла утечка, и задокументируйте это. Сохраните весь пакет переписки с регулятором. Запрос может перерасти в проверку или в дело об административном правонарушении, и подтверждение того, что вы отреагировали быстро и приняли меры, работает на снижение возможного штрафа.

Чем грозит молчание

Проигнорировать запрос — значит получить отдельное нарушение: непредоставление сведений в государственный орган наказывается само по себе, независимо от того, была ли утечка. Кроме того, молчание повышает риск, что дело перерастёт в проверку Роскомнадзора, а бездействие будет учтено против вас.

Наоборот, своевременный и содержательный ответ, подтверждающий, что вы быстро отреагировали и приняли меры, работает на снижение штрафа за саму утечку — в том числе оборотного штрафа, если он применим. Поэтому запрос выгоднее отработать аккуратно, а не отмахнуться.

Частые ошибки

• Путают срок из запроса с 24/72 часами уведомления и реагируют невпопад.
• Тянут до последнего дня и не успевают собрать документы.
• Отвечают «водой», не по поставленным вопросам.
• Считают, что раз уведомление подано, на запрос отвечать не нужно.
• Дают формулировки, противоречащие ранее поданным сведениям.
• Не сохраняют подтверждение отправки ответа.

Общий знаменатель — недооценка входящего письма. Запрос — это точка, в которой ещё можно повлиять на исход: ответить в срок, по существу и с документами.

Читайте также

• Что делать при утечке персональных данных — общий план действий.
• Сроки уведомления об утечке: 24 и 72 часа — не путать со сроком из запроса.
• Как подать уведомление об утечке в Роскомнадзор — если ещё не подано.
• Проверка Роскомнадзора по ПДн — куда может перерасти запрос.
• Как снизить штраф за утечку — почему быстрый ответ важен.

Частые вопросы