Как подать уведомление об утечке персональных данных в Роскомнадзор: что указать за 24 и 72 часа

Когда возникает обязанность подать уведомление об утечке

Обязанность подать уведомление об утечке персональных данных возникает при факте инцидента, а не только при доказанном ущербе. Под неё попадает почти любой случай, когда данные людей вышли из-под контроля оператора: слив базы клиентов или сотрудников, взлом сайта, CRM или почты, ошибочная публикация файла в открытом доступе, отправка выгрузки не тому адресату, потеря устройства с незашифрованными данными. Важно, что именно считается утечкой и с какого момента идёт отсчёт, подробно разобрано в  гайде о сроках уведомления об утечке — здесь мы считаем, что факт утечки уже установлен, и переходим к подаче.

Ключевая отметка для всей подачи — дата и время обнаружения инцидента. Именно от неё отсчитываются 24 и 72 часа, и именно она указывается в форме. Поэтому подача уведомления об утечке всегда начинается с фиксации этого момента, а не с открытия формы.

Куда и в каком виде подаётся уведомление

Уведомление об утечке подаётся в Роскомнадзор в электронном виде — через специальную форму на портале персональных данных (pd.rkn.gov.ru). Это тот же портал, через который операторы подают уведомление об обработке, но форма и повод другие: здесь речь не о постановке на учёт, а об инциденте. Чтобы подача не буксовала, заранее приведите в порядок несколько вещей:

• Доступ к форме — учётные данные и роль подписанта готовы до инцидента, а не в момент паники.
• Назначен ответственный — конкретный человек, который готовит и подаёт уведомление.
• Заготовлен шаблон — какие поля придётся заполнять, известно заранее (это часть Incident Response Plan).
• Актуальные реквизиты оператора и сведения о том, какие данные и чьи вы обрабатываете.

Два уведомления: 24 часа и 72 часа

Про уведомление об утечке важно помнить главное: это не одна подача, а две. Первое и второе уведомление различаются и по сроку, и по содержанию, и по тому, что должно быть готово к моменту подачи. Сравнение — в таблице.

Отсюда, кстати, и берётся бытовое «2–5 дней»: 72 часа — это трое суток. Но ориентироваться нужно на точные часы, а не на «дни»: считать в сутках опасно, легко решить, что есть запас, и просрочить первое уведомление. Оба срока — календарные и не останавливаются на выходные и ночь.

Что указать в каждом уведомлении об утечке

Точный набор полей задаёт актуальная форма на портале персональных данных, но по смыслу состав сведений устойчив. Ниже — что готовить под каждое уведомление об утечке, чтобы не собирать данные в последний час.

Как подать уведомление об утечке: порядок за 5 шагов

Соберём подачу в единый порядок. Он одинаково работает и для интернет-магазина, и для сервиса, и для ИП: держите последовательность — и уложитесь в требования 152-ФЗ.

1. Зафиксируйте момент обнаружения. Отсчёт 24 и 72 часов идёт не от самой утечки, а от момента, когда оператор её обнаружил. Первым делом запишите точную дату и время обнаружения инцидента — именно от этой отметки вы будете считать оба срока подачи уведомления об утечке персональных данных. Эта же дата попадёт в форму, поэтому зафиксируйте её сразу и однозначно.
2. Откройте форму на портале персональных данных. Уведомление об утечке подаётся в Роскомнадзор в электронном виде — через специальную форму на портале персональных данных (pd.rkn.gov.ru). Доступ, учётные данные и роль подписанта должны быть готовы заранее: разбираться с авторизацией в момент инцидента, когда идёт отсчёт 24 часов, — прямой путь к просрочке.
3. Заполните первое уведомление (в течение 24 часов). Первое уведомление подаётся по предварительным данным и не ждёт окончания расследования. В нём указывают: что произошло (характер инцидента), какие категории персональных данных и сколько субъектов затронуто, предполагаемые причины, а также уже принятые меры по локализации. Цель первого уведомления — сообщить о факте утечки в срок, а не описать её полностью.
4. Проведите расследование и подайте второе уведомление (72 часа). В течение 72 часов с момента обнаружения подаётся второе уведомление — по результатам внутреннего расследования: как именно произошла утечка, каков итоговый объём затронутых данных, кто причастен и какие меры приняты, чтобы это не повторилось. Это отдельная подача, а не «уточнение» первой: пропустить её так же рискованно, как и первую.
5. Сохраните подтверждения подачи. После каждой подачи сохраните подтверждение (номер обращения, квитанцию, скриншот) вместе с зафиксированной датой обнаружения и материалами расследования. Это доказательство того, что вы уведомили Роскомнадзор об утечке персональных данных в срок, — оно понадобится, если по инциденту начнётся разбирательство.

Частые ошибки при подаче уведомления об утечке

• Ждут окончания расследования и не подают первое уведомление в 24 часа.
• Подали первое уведомление и забыли про второе к 72 часам — это отдельная подача.
• Считают срок «в днях» вместо часов и решают, что есть запас.
• Нет заранее готового доступа к форме и назначенного ответственного — срок уходит на настройку.
• Не сохранили подтверждение подачи и дату обнаружения — нечем доказать, что уведомили в срок.
• Путают уведомление об утечке с уведомлением об обработке — это разные формы и разные поводы.

Последний пункт встречается чаще всего: постановка на учёт как оператора — это уведомление об обработке персональных данных, которое подают заранее и один раз, а уведомление об утечке — реакция на конкретный инцидент. Их легко перепутать по названию, но подаются они по разным поводам.

Читайте также

• Куда сообщать об утечке персональных данных: РКН и ГосСОПКА — не только портал РКН: второй адресат — НКЦКИ через ГосСОПКА.
• Сроки уведомления об утечке персональных данных: 24 и 72 часа — точные сроки, миф про «2–5 дней» и штрафы за их нарушение.
• Что делать при утечке персональных данных: пошаговый план действий — весь порядок реакции на инцидент, а не только подача уведомления.
• План реагирования на утечку персональных данных (Incident Response Plan) — как заранее описать, кто и как подаёт уведомление.
• Как подать уведомление в Роскомнадзор об обработке персональных данных — другая форма и другой повод: постановка на учёт, а не инцидент.
• Политика обработки персональных данных: как составить — базовый документ оператора, который должен быть в порядке ещё до инцидента.
• Ответственный за обработку персональных данных — кто в компании готовит и подаёт уведомление об утечке.
• Реестр операторов персональных данных: как проверить по ИНН — числитесь ли вы оператором, от имени которого подаётся уведомление.
• Штрафы за персональные данные — цена просрочки и молчания об утечке.

Частые вопросы