Сроки уведомления об утечке персональных данных в 2026 году: 24 часа и 72 часа, а не «2–5 дней»

Что изменилось со сроками уведомления об утечке к 2026 году

Обязанность оператора сообщать об утечке появилась ещё в 2022 году, но именно к 2026 году она стала по-настоящему «зубастой»: с 30 мая 2025 года за утечку персональных данных ввели крупные, в том числе оборотные, штрафы, а за повторные инциденты — суммы кратно выше. На этом фоне срок уведомления об утечке персональных данных из формальности превратился в критичный: подать первое уведомление нужно быстрее, чем большинство компаний вообще успевает понять, что произошло.

Базовая норма — часть 3.1 статьи 21 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных». Она устанавливает не «несколько дней», а жёсткие часы: 24 часа и 72 часа с момента обнаружения инцидента. Если вы ещё не разобрались с базой — числитесь ли вы вообще как оператор и подано ли уведомление об обработке ПДн — начните с гайда об уведомлении в Роскомнадзор, а сюда вернитесь за сроками по утечкам.

Что считается утечкой персональных данных

Закон говорит о неправомерной или случайной передаче персональных данных, повлёкшей нарушение прав субъектов. На практике под уведомление об утечке попадает почти любой инцидент, при котором данные людей вышли из-под контроля оператора:

• слив базы клиентов, лидов или сотрудников третьим лицам;
• взлом сайта, CRM, облачного хранилища, почты с доступом к данным;
• ошибочная публикация данных в открытом доступе (файл, ссылка, экспорт);
• отправка письма или выгрузки не тому адресату;
• потеря или кража ноутбука, диска, телефона с незашифрованными данными.

Важно: обязанность уведомить возникает при факте инцидента, а не только при доказанном ущербе. Поэтому отсчёт срока начинается с момента, когда вы обнаружили утечку, а не когда завершили её расследование.

Сроки уведомления об утечке: 24 часа и 72 часа

Уведомление об утечке персональных данных подаётся в два этапа, и у каждого — свой срок:

1. В течение 24 часов с момента обнаружения инцидента — первое уведомление Роскомнадзора: что произошло, какие данные и сколько субъектов затронуто, предполагаемые причины и уже принятые меры.
2. В течение 72 часов — второе уведомление: результаты внутреннего расследования и сведения о лицах, чьи действия стали причиной утечки.

Оба срока — календарные и не останавливаются на выходные и праздники. Именно поэтому реагировать на утечку нужно по заранее описанному сценарию, а не собирать команду с нуля в момент инцидента.

Как и куда уведомить Роскомнадзор об утечке

Уведомление об утечке подаётся в Роскомнадзор через специальную электронную форму на портале персональных данных. Что важно предусмотреть:

• Кто подаёт. Ответственное за организацию обработки ПДн лицо или тот, кому это поручено внутренним регламентом. Доступ к форме и учётные данные должны быть готовы заранее, а не в момент паники.
• Что в первом уведомлении. Характер инцидента, категории и объём затронутых данных, число субъектов, предполагаемые причины, принятые меры по локализации.
• Что во втором. Итоги внутреннего расследования: как произошла утечка, кто виновен, что сделано, чтобы это не повторилось.

Пошаговый разбор самой подачи — что именно указать в первом и втором уведомлении, куда и кто подаёт форму — в гайде о том, как подать уведомление об утечке в Роскомнадзор.

Параллельно у оператора должен быть в порядке весь базовый комплект по 152-ФЗ: запись в реестре операторов, Политика обработки персональных данных на сайте, назначенное ответственное лицо. Если этого нет, разберитесь сначала с уведомлением об обработке персональных данных — без него история с утечкой становится заведомо проигрышной.

Оборотные штрафы за утечку персональных данных в 2025–2026

Именно ужесточение ответственности сделало сроки уведомления критичными. С 30 мая 2025 года статья 13.11 КоАП РФ получила новые составы за утечку:

• Фиксированные штрафы для юрлиц — миллионы рублей, размер зависит от числа пострадавших субъектов (условно: тысячи, десятки тысяч, сотни тысяч записей — разные диапазоны).
• Повторная утечка — оборотный штраф, привязанный к годовой выручке компании (порядка 1–3%), с высоким нижним и верхним пределом.
• Нарушение сроков уведомления об утечке — отдельная ответственность, которая складывается со штрафом за саму утечку.

Incident Response Plan: как уложиться в 24 часа

Уложиться в 24 часа без подготовки почти невозможно. Поэтому у оператора должен быть простой план реагирования на инциденты (Incident Response Plan) — заранее расписанный порядок действий:

1. Обнаружение и фиксация. Кто и как фиксирует инцидент, с какого момента стартует отсчёт 24 часов.
2. Локализация. Отключить доступ, сменить пароли и ключи, остановить дальнейшую утечку.
3. Первое уведомление (24 ч). Ответственный готовит и подаёт уведомление в Роскомнадзор по заранее известной форме.
4. Расследование и второе уведомление (72 ч). Разбор причин, определение виновных, подача второго уведомления.
5. Разбор после инцидента. Что изменить в защите, чтобы утечка не повторилась и не превратилась в «повторную» с оборотным штрафом.

Частые ошибки при уведомлении об утечке

• Считают срок «в днях» и просрочивают первое 24-часовое уведомление.
• Ждут окончания расследования, вместо того чтобы подать первое уведомление сразу.
• Нет заранее назначенного ответственного и доступа к форме подачи.
• Уведомили об инциденте, но не подали второе уведомление к 72 часам.
• Не устранили причину — и получили «повторную» утечку с оборотным штрафом.

Читайте также

• Куда сообщать об утечке персональных данных: РКН и ГосСОПКА — все адресаты сообщения, а не только сроки.
• Что делать при утечке персональных данных: пошаговый план действий — порядок шагов за 2–5 дней, когда инцидент уже случился.
• Уведомление в Роскомнадзор об обработке персональных данных: как проверить статус и подать в 2026 — базовый гайд для операторов.
• Кто должен подавать уведомление в Роскомнадзор и кто освобождён — таблица и чеклист для ИП, самозанятых и работодателей.
• Штрафы за персональные данные в 2026 году: сколько и за что — суммы штрафов за утечку и несообщение о ней.
• Политика обработки персональных данных — пример документа, который должен быть на сайте оператора.

Частые вопросы