Куда сообщать об утечке персональных данных: Роскомнадзор, НКЦКИ и другие адресаты

У утечки теперь несколько адресатов

Реформа законодательства о персональных данных сделала утечку событием с жёсткими сроками реакции и, для части операторов, — с несколькими адресатами сообщения. Раньше на практике всё сводилось к мысли «главное — не привлечь внимание». Теперь наоборот: сообщить об утечке — обязанность, и молчание отягчает ситуацию, а не смягчает её.

Важно с самого начала различать две вещи: сроки (за сколько сообщить) и адресатов (кому сообщить). Про сроки — 24 и 72 часа — подробно разобрано в материале о сроках уведомления об утечке. Эта же страница — про адресатов: куда, кроме портала Роскомнадзора, уходит сообщение и почему для одних операторов адресат единственный, а для других — нет.

Роскомнадзор: главный и обязательный адресат

Роскомнадзор — тот адресат, к которому сообщение об утечке идёт всегда, независимо от размера бизнеса и отрасли. Сообщение подаётся в электронном виде через специальную форму на портале персональных данных и делится на две подачи.

Обе подачи — самостоятельные обязанности: вторая не отменяет первую и не является её «уточнением». Что именно вписать в каждую форму и как её подать, подробно разобрано в материале о том, как подать уведомление об утечке в Роскомнадзор. Нарушение срока — отдельный состав со своим штрафом, поэтому важен не только факт сообщения, но и его своевременность.

НКЦКИ и ГосСОПКА: второй адресат, о котором забывают

Здесь — развилка, которую упускают чаще всего. Для части операторов одного Роскомнадзора недостаточно: у них есть второй самостоятельный адресат — НКЦКИ, Национальный координационный центр по компьютерным инцидентам, через государственную систему ГосСОПКА.

• Кого это касается. Прежде всего субъектов критической информационной инфраструктуры (КИИ) и организаций, которые организовали взаимодействие с ГосСОПКА. Если ваша компания к системе не подключена, отдельного сообщения в НКЦКИ при утечке от вас не требуют.
• Почему это отдельно. Роскомнадзор и НКЦКИ — разные адресаты с разными формами и каналами. Сообщение одному не заменяетсообщение другому: для обязанного оператора это две параллельные подачи.
• Срок. Для передачи сведений в НКЦКИ действует свой короткий срок, отсчитываемый, как и у Роскомнадзора, от момента обнаружения инцидента.

Практический вывод: определить, относитесь ли вы к тем, кто обязан взаимодействовать с ГосСОПКА, нужно заранее, а не в момент инцидента. Ошибка «сообщили только в РКН, а про НКЦКИ не знали» для обязанного оператора — это несделанная подача, которую нельзя закрыть задним числом.

Нужно ли сообщать субъектам и в полицию

Два адресата, вокруг которых больше всего путаницы, — это сами субъекты (клиенты, сотрудники) и правоохранительные органы. Оба — не обязательная по умолчанию часть сообщения об утечке, но оба возникают на практике.

• Субъекты персональных данных. Прямой обязанности уведомлять каждого клиента об утечке закон на оператора в общем случае не возлагает — основной внешний адресат это регулятор. Но предупредить людей бывает оправдано: этого может требовать договор или отраслевые правила, а для самих субъектов это шанс сменить пароли и отследить мошенничество. Это решение оператора, а не обязательный элемент уведомления.
• Правоохранительные органы. Если у инцидента есть признаки преступления — например, сотрудник выгрузил и продал базу, — обращение в полицию уместно, а виновному грозит уголовная ответственность за утечку персональных данных. При этом обращение в полицию не заменяет сообщение в Роскомнадзор: это разные процедуры.

Наконец, есть внутренний «адресат» — сама компания. Инцидент нужно зафиксировать актом и записью в журнале учёта: это доказательная база того, что оператор действовал добросовестно. Как выстроить этот порядок заранее, разобрано в материале о плане реагирования на утечку персональных данных.

Куда и в каком порядке сообщать: 6 шагов

Порядок ниже собирает всех адресатов в единый маршрут — от определения своего статуса до внутренней фиксации. Выстраивать его нужно до инцидента: в момент утечки времени на выяснение «куда вообще сообщать» уже нет.

1. Определите, кто вы: обычный оператор или субъект, связанный с ГосСОПКА. От этого зависит число адресатов. Любой оператор при утечке персональных данных сообщает в Роскомнадзор. Но если организация — субъект критической информационной инфраструктуры (КИИ) или иным образом организовала взаимодействие с ГосСОПКА, у неё появляется второй самостоятельный адресат — НКЦКИ. Понять свой статус нужно заранее, а не в момент инцидента, когда уже идёт отсчёт часов.
2. Зафиксируйте момент обнаружения инцидента. Все сроки — и для Роскомнадзора, и для НКЦКИ — считаются не от самой утечки, а от момента, когда оператор её обнаружил. Первым делом запишите точную дату и время обнаружения: от этой отметки вы отсчитываете 24 и 72 часа. Пока момент не зафиксирован однозначно, вы не можете доказать, что сообщили об утечке вовремя.
3. Сообщите в Роскомнадзор в течение 24 часов. Это главный и обязательный для всех адресат. Первичное уведомление подаётся через электронную форму на портале персональных данных и содержит сведения о факте утечки: что произошло, какие категории данных и сколько субъектов затронуто, предполагаемые причины. Полное описание не требуется — цель первого сообщения в том, чтобы уведомить об утечке в срок.
4. Если вы взаимодействуете с ГосСОПКА — параллельно уведомьте НКЦКИ. Сообщение в Роскомнадзор не заменяет сообщение в НКЦКИ, и наоборот — это два разных адресата с собственными формами и каналами. Операторы, взаимодействующие с ГосСОПКА, передают сведения об инциденте в НКЦКИ в установленный для них короткий срок, отсчитываемый также от момента обнаружения. Если ваша организация к ГосСОПКА не подключена, этот шаг вас не касается — но проверить статус нужно осознанно.
5. В течение 72 часов подайте в Роскомнадзор результаты расследования. Второе уведомление — это отдельная подача, а не уточнение первой. В нём указывают итоги внутреннего расследования: как именно произошла утечка, каков окончательный объём затронутых данных, кто причастен и какие меры приняты, чтобы это не повторилось. Пропустить второе сообщение так же рискованно, как и первое: это самостоятельная обязанность.
6. Зафиксируйте инцидент внутри и оцените остальных адресатов. Параллельно с внешними сообщениями оформите инцидент внутри — актом и записью в журнале учёта, это доказательная база вашей добросовестности. Отдельно оцените, нужно ли обращение в правоохранительные органы (например, при признаках продажи базы) и уместно ли предупредить самих субъектов: прямой обязанности уведомлять клиентов у оператора в общем случае нет, но иногда это оправдано договором или репутацией.

Частые ошибки

• Считают Роскомнадзор единственным адресатом, будучи обязанными сообщать и в НКЦКИ.
• Выясняют свой статус по ГосСОПКА уже в момент инцидента, а не заранее.
• Думают, что сообщение в НКЦКИ заменяет уведомление Роскомнадзора (или наоборот).
• Считают сроки от самой утечки, а не от момента её обнаружения.
• Ориентируются на «2–5 дней» и просрочивают первичные 24 часа.
• Ограничиваются первой подачей и забывают про результаты расследования на 72 часа.
• Не фиксируют инцидент внутри — и лишаются доказательств добросовестности.

Общий знаменатель ошибок — представление о сообщении об утечке как о единственном письме в одно ведомство. На деле это маршрут из нескольких адресатов и сроков, и пройти его в режиме цейтнота можно, только если он описан заранее. Обзорный взгляд на весь комплекс требований — в материале о Роскомнадзоре и персональных данных для бизнеса.

Читайте также

• Сроки уведомления об утечке: 24 и 72 часа — за сколько сообщить и откуда считать срок.
• Как подать уведомление об утечке в Роскомнадзор — что вписать в обе формы и как их отправить.
• Что делать при утечке персональных данных — общий план действий по часам.
• План реагирования на утечку персональных данных — внутренний порядок и фиксация инцидента.
• Штрафы за персональные данные в 2026 — во что обходится несообщение и просрочка.
• Уголовная ответственность за утечку персональных данных — когда в деле появляются правоохранительные органы.
• Роскомнадзор и персональные данные: гайд для бизнеса — обзор всех обязанностей оператора.

Частые вопросы