Порядок реагирования на утечку персональных данных: образец 2026

______
ИНН ______, ОГРН ______
______
УТВЕРЖДЕНО
Приказом ______
от ______ № [№]
РЕГЛАМЕНТ УВЕДОМЛЕНИЯ РОСКОМНАДЗОРА ОБ УТЕЧКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ
в соответствии с ч. 3.1 ст. 21 ФЗ-152, Приказом РКН № 276 от 25.07.2024
сроки: первичное уведомление — 72 ч; результаты расследования — 72 ч
______

1.1. Настоящий Регламент устанавливает обязательный порядок, сроки и содержание уведомлений, направляемых ______ (далее — Оператор) в Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор, РКН) при выявлении факта или предполагаемого факта утечки (неправомерной передачи, несанкционированного доступа, неправомерного распространения) персональных данных (далее — инцидент утечки ПДн).
1.2. Правовые основания: часть 3.1 статьи 21 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (введена 266-ФЗ от 14.07.2022); Приказ Роскомнадзора от 25.07.2024 № 276 «Об утверждении формы уведомления об инциденте»; статья 13.11 КоАП РФ (в ред. 572-ФЗ от 30.11.2024 — штраф до 18 000 000 рублей; повторно — до 3% годовой выручки).
1.3. Ответственный за исполнение Регламента — ______ (Генеральный Директор). Уведомления в РКН направляются лично или уполномоченным должностным лицом через официальный портал РКН.

2.1. Оператор обязан направить уведомление в РКН при выявлении или возникновении обоснованных предположений о:
— несанкционированном доступе к персональным данным, обрабатываемым Оператором;
— неправомерной или случайной передаче (предоставлении, распространении, открытии доступа) ПДн субъектов неуполномоченным лицам;
— уничтожении персональных данных без законных оснований;
— иных действиях, нарушающих конфиденциальность, целостность или доступность ПДн.
2.2. Уведомление направляется вне зависимости от числа затронутых субъектов и степени вреда — при наличии самого факта или обоснованного предположения об утечке.

3.1. Срок. Первичное уведомление направляется в РКН не позднее 72 часов с момента обнаружения инцидента утечки ПДн (ч. 3.1 ст. 21 ФЗ-152, Приказ РКН № 276).
3.2. Содержание первичного уведомления (Форма № 1 по Приказу РКН № 276 от 25.07.2024):
3.3. Первичное уведомление направляется через личный кабинет оператора на портале РКН (https://pd.rkn.gov.ru/). При недоступности электронного сервиса — на официальный e-mail РКН или нарочным.

4.1. Срок. Уведомление с результатами расследования направляется в РКН не позднее 72 часов с момента обнаружения инцидента (ч. 3.1 ст. 21 ФЗ-152).
4.2. Содержание итогового уведомления (Форма № 2 по Приказу РКН № 276):
— реквизиты оператора (аналогично первичному уведомлению);
— ссылка на регистрационный номер первичного уведомления;
— причины и предпосылки инцидента (технические / организационные / человеческий фактор);
— точное число затронутых субъектов ПДн и их категории;
— исчерпывающий перечень скомпрометированных данных;
— обстоятельства, при которых произошёл инцидент;
— принятые меры по устранению инцидента и предотвращению повторения;
— сведения о виновных лицах (при установлении);
— информация о направлении материалов в правоохранительные органы (при наличии).

5.1. Нарушение срока направления первичного уведомления (более 72 часов с момента обнаружения) или итогового уведомления (более 72 часов) влечёт:
— административную ответственность по ч. 6 ст. 13.11 КоАП РФ: штраф для должностных лиц — от 400 000 до 800 000 рублей; для юридических лиц — от 1 000 000 до 18 000 000 рублей;
— при повторном нарушении в течение года — оборотный штраф до 3% годовой выручки (572-ФЗ от 30.11.2024);
— уголовную ответственность при наличии состава преступления по ст. 272 УК РФ (неправомерный доступ к компьютерной информации) или ст. 137 УК РФ.

6.1. Копии всех направленных уведомлений, подтверждения их получения РКН, переписка с РКН по инциденту хранятся ответственным за ПДн не менее 5 лет.
6.2. Каждый инцидент вносится в Журнал учёта инцидентов безопасности ПДн с отметками о дате уведомлений.
Генеральный директор                _________________   / ________________ /