Сроки уведомления: 24 и 72 часа
Обязанность уведомлять Роскомнадзор об инцидентах закреплена в ч. 3.1 ст. 21 152-ФЗ. Сроки короткие и отсчитываются не от момента, когда вы во всём разобрались, а от момента обнаружения утечки.
24 часа на первичное уведомление об инциденте: факт и предполагаемая причина утечки, категории и примерный объём данных, предполагаемый вред и уже принятые меры.
72 часа на дополнительное уведомление с результатами внутреннего расследования: установленная причина, последствия, что сделано для устранения.
Уведомления подаются через портал pd.rkn.gov.ru. Параллельно оператор взаимодействует с государственной системой обнаружения и предупреждения компьютерных атак (ГосСОПКА). Пропустить 24-часовой срок легко, если реагировать без заранее подготовленного порядка действий, а сам пропуск это уже отдельное нарушение.
Сколько стоит утечка и сколько стоит молчание
Важно понимать, что оператор отвечает по двум независимым основаниям: за саму утечку и отдельно за то, что не уведомил регулятора. Суммы после реформы 2025 года (ФЗ № 420-ФЗ) для юридического лица выглядят так (актуально на 2026 год).
Нарушение | Норма (ст. 13.11 КоАП) | Штраф для юрлица |
|---|---|---|
Неуведомление РКН об утечке | ч. 11 | 1-3 млн ₽ |
Утечка до 10 тыс. субъектов | ч. 12 | 3-5 млн ₽ |
Утечка 10-100 тыс. субъектов | ч. 13 | 5-10 млн ₽ |
Утечка свыше 100 тыс. субъектов | ч. 14 | 10-15 млн ₽ |
Утечка специальных категорий или биометрии | ч. 16-17 | 10-20 млн ₽ |
Повторная крупная утечка | ч. 15, 18 | оборотный штраф 1-3% годовой выручки (от 20 до 500 млн ₽) |
То есть молчание добавляет к штрафу за утечку ещё от одного до трёх миллионов рублей. Скрыть инцидент почти всегда дороже, чем сообщить о нём.
Что делать в первые 72 часа
Порядок действий стоит прописать заранее, а не изобретать в момент инцидента. Вот базовый план.
Остановить утечку и зафиксировать время обнаружения. Отключите скомпрометированный сервис, смените доступы, изолируйте затронутые системы. Точное время обнаружения запишите сразу: от него идут все сроки.
Собрать команду реагирования. Специалист по информационной безопасности, юрист и ответственный за обработку ПДн. В одиночку и техническую, и юридическую часть в срок не закрыть.
Оценить объём и категории данных. Определите, чьи данные и какие именно затронуты: обычные, специальные категории, биометрия. От этого зависит и размер штрафа, и содержание уведомления.
Подать первичное уведомление в РКН в течение 24 часов через портал pd.rkn.gov.ru, не дожидаясь окончания расследования.
Провести расследование и подать итоги в течение 72 часов. Причина, виновные, принятые меры. Фиксируйте ход расследования документально, это ваша защита при проверке.
Предупредить клиентов и закрыть причину. Прямой обязанности уведомлять каждого субъекта нет, но предупредить о риске фишинга и мошеннических звонков разумно: это снижает реальный вред. Параллельно устраните техническую причину и задокументируйте все действия.
Смягчающие обстоятельства работают
Своевременное добровольное уведомление и сотрудничество с регулятором учитываются как смягчающее обстоятельство. На практике есть случаи, когда за оперативно раскрытый инцидент и корректную реакцию оператор получал предупреждение вместо штрафа. Это ещё один аргумент в пользу того, чтобы сообщать, а не тянуть и надеяться, что не заметят.
Где чаще всего утекает
По моей практике проверок сайтов крупная утечка редко начинается с изощрённого взлома. Гораздо чаще данные уходят через то, что открыто снаружи каждому и видно без всякого доступа внутрь.
Сбор данных без корректного согласия. Около двух третей проверяемых сайтов принимают персональные данные через формы, где согласие оформлено с нарушениями или отсутствует. Если такие данные утекут, добавляется отдельная ответственность за обработку без основания.
Аналитика и трекеры до согласия. Счётчики и рекламные пиксели срабатывают в момент открытия страницы и передают данные посетителя во внешние сервисы, нередко за рубеж. Формально это трансграничная передача, а по факту ежедневная утечка штатным порядком.
Открытые формы и файлы. Заявки, выгрузки и документы, доступные по прямой ссылке без авторизации, это готовая дверь в базу. Через такие точки данные утекают не из-за взлома, а из-за отсутствия защиты.
Всё это видно снаружи, по самому сайту, и именно с внешнего периметра разумно начинать: часть диагностики можно провести вручную, часть ускоряют специализированные онлайн-сканеры сайтов на соответствие 152-ФЗ.
Коротко
Утечка это не вопрос «если», а вопрос «когда», и проигрывают компании не на самом взломе, а на том, что происходит после. У оператора есть 24 часа на уведомление и 72 на объяснение, и именно в эти часы одни теряют десятки миллионов, а другие отделываются предупреждением. Разницу определяет не бюджет на безопасность, а две простые вещи: закрыт ли внешний периметр заранее и лежит ли на столе готовый план на первые сутки. И то, и другое дешевле сделать сегодня, чем оправдываться за это на проверке.
