Уведомление Роскомнадзора об утечке ПДн

Уведомление об утечке - один из самых жёстких по срокам элементов 152-ФЗ. Если о факте инцидента стало известно, времени на размышления почти нет: первичное уведомление направляется в течение 24 часов, основное - в течение 72. Несоблюдение сроков фиксируется отдельным составом нарушения и идёт в дополнение к ответственности за саму утечку.

Сроки

• 24 часа на первичное уведомление Роскомнадзора с момента, когда оператору стало известно об инциденте. Это короткое сообщение о факте: что произошло, какие категории данных, ориентировочный масштаб.
• 72 часа на основное уведомление. Развёрнутый документ с результатами внутреннего расследования: причина, объём, принятые меры, оценка возможного ущерба.
• Дополнительно может потребоваться уведомление субъектов данных - в зависимости от характера утечки и применимых актов.

Отсчёт идёт не с момента самой утечки, а с момента, когда об инциденте узнал оператор. На практике этот момент трактуется проверяющими максимально широко: если у сотрудника в логах были аномалии за неделю до, а реакция последовала только сейчас, фактическим моментом считают первую запись в логах.

Что включать в уведомление

В первичном уведомлении достаточно базового набора: реквизиты оператора, дата и предполагаемое время инцидента, категории данных, оценка количества субъектов, краткое описание.

В основном уведомлении регулятор ожидает развёрнутую картину:

• что именно произошло (внешняя атака, ошибка сотрудника, сбой подрядчика),
• какие именно данные затронуты, в каком объёме, по каким категориям,
• какие меры приняты для устранения последствий,
• какие меры приняты для предотвращения повторения,
• ответственное лицо и контакты.

Качество основного уведомления влияет на дальнейшую реакцию регулятора. Документ, в котором видна системная работа, снижает вероятность углублённой проверки. Документ из общих фраз, наоборот, приводит к запросу всех политик, реестров и договоров с подрядчиками - тех самых, что разобраны в политиках ПДн.

Минимизация репутационного ущерба

Скорость и тон коммуникации часто значат больше, чем сама причина утечки. Шаги, которые сокращают репутационные потери:

1. Внутренняя версия раньше публичной. До любых заявлений в СМИ или соцсетях нужно понимать собственные факты. Иначе компания опровергает сама себя.
2. Согласованная позиция. Юрист, безопасник, PR и руководитель должны говорить одно и то же. Лучше короткое заявление от одного спикера, чем разноголосица.
3. Прямое уведомление пострадавших субъектов. Если данные действительно ушли, узнавать об этом из СМИ - худший сценарий. Прямое письмо со списком действий (сменить пароль, проверить операции) частично возвращает доверие.
4. Бесплатная мера компенсации. Доступ к мониторингу, продлённая поддержка, скидка - не как откуп, а как сигнал, что компания берёт ответственность.

Синхронизация с внутренним расследованием

Уведомление и внутреннее расследование идут параллельно, но с разными задачами. Уведомление - это коммуникация с регулятором с заданным сроком. Расследование - это сбор фактов, определение причины и фиксация виновного.

Конфликт интересов возникает, когда расследование показывает, что инцидент произошёл по вине сотрудника, и компания должна одновременно сообщить регулятору и принять кадровые меры. Здесь важно не сжать сроки расследования в ущерб качеству. Лучше в основном уведомлении честно указать, что расследование продолжается, чем дать поспешный вывод и потом его менять.

Контекст: новые штрафы

Усиленные санкции 2026 года, описанные в материале про штрафы за ПДн, делают каждое уведомление высокорисковым событием. Тот же инцидент, который год назад грозил фиксированным штрафом, теперь может попасть в оборотный режим, особенно если задеты большие массивы или категории повышенной чувствительности.

Что подготовить до первого инцидента

Лучшее уведомление - то, которое отрепетировано до инцидента.

1. Шаблон уведомления с заранее заполненными реквизитами.
2. Список ответственных за коммуникацию, безопасность, юридическую оценку.
3. Регламент действий первого часа: кто что делает, кого собирают, какие системы изолируют.
4. Резервный канал связи на случай, если основные системы недоступны.

Когда инцидент произойдёт, времени на разработку процедуры не будет. Подготовка - это не расходы на гипотетический сценарий, а сокращение риска штрафа и репутационного коллапса.