Порядок реагирования на утечку персональных данных

1.1. Настоящий Регламент устанавливает обязательный порядок, сроки и содержание уведомлений, направляемых __________ (далее — Оператор) в Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор, РКН) при выявлении факта или предполагаемого факта утечки (неправомерной передачи, несанкционированного доступа, неправомерного распространения) персональных данных (далее — инцидент утечки ПДн).

1.2. Правовые основания: часть 3.1 статьи 21 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (введена 266-ФЗ от 14.07.2022); Приказ Роскомнадзора от 25.07.2024 № 276 «Об утверждении формы уведомления об инциденте»; статья 13.11 КоАП РФ (в ред. 572-ФЗ от 30.11.2024 — штраф до 18 000 000 рублей; повторно — до 3% годовой выручки).

1.3. Ответственный за исполнение Регламента — __________ (Генеральный Директор).

1.4. Уведомления в РКН направляются лично или уполномоченным должностным лицом через официальный портал РКН.

2.1. Оператор обязан направить уведомление в РКН при выявлении или возникновении обоснованных предположений о:

2.2. Несанкционированном доступе к персональным данным, обрабатываемым Оператором;

2.3. Неправомерной или случайной передаче (предоставлении, распространении, открытии доступа) ПДн субъектов неуполномоченным лицам;

2.4. Уничтожении персональных данных без законных оснований;

2.5. Иных действиях, нарушающих конфиденциальность, целостность или доступность ПДн.

2.6. Уведомление направляется вне зависимости от числа затронутых субъектов и степени вреда — при наличии самого факта или обоснованного предположения об утечке.

3.1. Срок.

3.2. Первичное уведомление направляется в РКН не позднее 72 часов с момента обнаружения инцидента утечки ПДн (ч. 3.1 ст. 21 ФЗ-152, Приказ РКН № 276).

3.3. Содержание первичного уведомления (Форма № 1 по Приказу РКН № 276 от 25.07.2024):

3.4. Первичное уведомление направляется через личный кабинет оператора на портале РКН (https://pd.rkn.gov.ru/).

3.5. При недоступности электронного сервиса — на официальный e-mail РКН или нарочным.

4.1. Срок.

4.2. Уведомление с результатами расследования направляется в РКН не позднее 72 часов с момента обнаружения инцидента (ч. 3.1 ст. 21 ФЗ-152).

4.3. Содержание итогового уведомления (Форма № 2 по Приказу РКН № 276):

4.4. Реквизиты оператора (аналогично первичному уведомлению);

4.5. Ссылка на регистрационный номер первичного уведомления;

4.6. Причины и предпосылки инцидента (технические / организационные / человеческий фактор);

4.7. Точное число затронутых субъектов ПДн и их категории;

4.8. Исчерпывающий перечень скомпрометированных данных;

4.9. Обстоятельства, при которых произошёл инцидент;

4.10. Принятые меры по устранению инцидента и предотвращению повторения;

4.11. Сведения о виновных лицах (при установлении);

4.12. Информация о направлении материалов в правоохранительные органы (при наличии).

5.1. Нарушение срока направления первичного уведомления (более 72 часов с момента обнаружения) или итогового уведомления (более 72 часов) влечёт:

5.2. Административную ответственность по ч. 6 ст. 13.11 КоАП РФ: штраф для должностных лиц — от 400 000 до 800 000 рублей; для юридических лиц — от 1 000 000 до 18 000 000 рублей;

5.3. При повторном нарушении в течение года — оборотный штраф до 3% годовой выручки (572-ФЗ от 30.11.2024);

5.4. Уголовную ответственность при наличии состава преступления по ст. 272 УК РФ (неправомерный доступ к компьютерной информации) или ст. 137 УК РФ.

6.1. Копии всех направленных уведомлений, подтверждения их получения РКН, переписка с РКН по инциденту хранятся ответственным за ПДн не менее 5 лет.

6.2. Каждый инцидент вносится в Журнал учёта инцидентов безопасности ПДн с отметками о дате уведомлений.

6.3. Генеральный директор                _________________   / ________________ /