Порядок реагирования на утечку персональных данных: образец заполнения и пустой бланк 2026

1.1. Настоящий Порядок устанавливает действия работников ООО «Ромашка» (далее — Оператор) при инциденте с персональными данными, сроки и содержание уведомлений уполномоченного органа и субъектов персональных данных, а также порядок внутреннего расследования.

1.2. Порядок разработан во исполнение обязанности оператора уведомлять уполномоченный орган по защите прав субъектов персональных данных о неправомерной или случайной передаче данных, установленной частью 3.1 статьи 21 Федерального закона от 27.07.2006 № 152-ФЗ 152-ФЗ ч. 3.1 ст. 21152-ФЗ ч. 3.1 ст. 21Уведомление об инциденте (утечке) ПДн, и обязанности принимать меры по обеспечению безопасности данных 152-ФЗ ст. 19152-ФЗ ст. 19Меры по обеспечению безопасности данных.

1.3. Ключевые сроки, установленные законом и воспроизведённые в настоящем Порядке: двадцать четыре часа с момента обнаружения инцидента — на первичное уведомление уполномоченного органа, семьдесят два часа с момента обнаружения инцидента — на уведомление о результатах внутреннего расследования.

1.4. Порядок обязателен для всех работников Оператора, а также для лиц, привлечённых по гражданско-правовым договорам и допущенных к обработке персональных данных.

1.5. Ответственный за организацию обработки персональных данных — генеральный директор Иванов И. И. 152-ФЗ ст. 22.1152-ФЗ ст. 22.1Лицо, ответственное за организацию обработки данных.

1.6. Он обеспечивает исполнение настоящего Порядка и подписывает уведомления уполномоченного органа.

1.7. Порядок является локальным нормативным актом, принятым в составе мер, направленных на обеспечение выполнения обязанностей оператора 152-ФЗ ст. 18.1152-ФЗ ст. 18.1Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом.

2.1. Инцидентом признаётся событие, при котором выявлен факт либо возникло обоснованное предположение о:

2.2. неправомерном или случайном доступе к персональным данным, обрабатываемым Оператором

2.3. неправомерной или случайной передаче, предоставлении, распространении персональных данных либо открытии доступа к ним неуполномоченным лицам

2.4. уничтожении, изменении или блокировании персональных данных без законных оснований

2.5. утрате материального носителя с персональными данными, включая бумажные документы, ноутбуки, съёмные носители и мобильные устройства

2.6. публикации персональных данных в открытых источниках, включая ошибочно открытые каталоги, репозитории кода и облачные хранилища

2.7. компрометации учётных данных работника, дающих доступ к информационной системе персональных данных

2.8. Обязанность уведомить уполномоченный орган не зависит от числа затронутых субъектов и от того, наступил ли вред.

2.9. Достаточно самого факта или обоснованного предположения об инциденте.

2.10. Не признаются инцидентом плановые технические работы, сбои, не затронувшие конфиденциальность и целостность данных, а также действия работников в пределах предоставленных им прав доступа.

3.1. Руководитель группы реагирования присваивает инциденту категорию не позднее двух часов с момента его регистрации.

3.2. Категория определяет состав привлекаемых работников и порядок информирования руководителя Оператора, но не влияет на сроки уведомления уполномоченного органа.

3.3. Категория может быть повышена в ходе расследования.

3.4. Понижение категории оформляется мотивированным решением группы реагирования с внесением записи в журнал.

3.5. Присвоение инциденту низкой категории не освобождает Оператора от уведомления уполномоченного органа, если факт неправомерной передачи данных подтверждён.

4.1. Для реагирования на инциденты у Оператора создаётся постоянно действующая группа реагирования.

4.2. Состав группы утверждается приказом руководителя и пересматривается при изменении кадрового состава.

4.3. Руководитель группы реагирования — директор по информационной безопасности Петров П. П.. В его отсутствие обязанности исполняет ответственный за организацию обработки персональных данных.

4.4. Группа реагирования вправе:

4.5. немедленно и без дополнительных согласований отключать информационные системы, сетевые сегменты и учётные записи, если это необходимо для прекращения утечки

4.6. запрашивать у любого работника Оператора объяснения, документы и доступ к рабочим устройствам, связанным с инцидентом

4.7. привлекать внешних специалистов по информационной безопасности и криминалистике на условиях конфиденциальности

4.8. давать обязательные для исполнения указания работникам Оператора в части реагирования на инцидент

4.9. приостанавливать передачу персональных данных лицам, обрабатывающим их по поручению Оператора

4.10. Решения группы оформляются протоколом.

4.11. Разногласия внутри группы разрешает руководитель Оператора, при этом сроки уведомления уполномоченного органа не приостанавливаются.

4.12. Работники группы реагирования обеспечиваются доступностью по указанным контактам в круглосуточном режиме.

5.1. Работник, обнаруживший инцидент или его признаки, обязан сообщить об этом на адрес incident@romashka.ru или по телефону +7 (900) 000-00-00 не позднее 1 часов с момента обнаружения.

5.2. Сообщение направляется независимо от того, считает ли работник событие значительным.

5.3. Работник не вправе самостоятельно устранять последствия инцидента, удалять файлы, переустанавливать программное обеспечение и выключать оборудование: эти действия уничтожают следы и делают расследование невозможным.

5.4. Ответственный за обработку персональных данных регистрирует сообщение в журнале «Журнал учёта инцидентов безопасности персональных данных» немедленно по получении и фиксирует момент обнаружения инцидента — дату и время с точностью до минуты.

5.5. Именно от этого момента отсчитываются сроки двадцать четыре и семьдесят два часа.

5.6. На каждый инцидент заводится карточка по форме приложения к настоящему Порядку.

5.7. В карточку вносятся сведения о ходе реагирования по мере их получения.

5.8. Группа реагирования обеспечивает сохранение доказательств: копий журналов событий, образов затронутых систем, снимков экрана, переписки.

5.9. Доказательства хранятся отдельно от эксплуатируемых систем.

5.10. Если инцидент произошёл у лица, обрабатывающего данные по поручению Оператора, моментом обнаружения считается момент получения Оператором уведомления от такого лица.

6.1. Сроки исчисляются в календарных часах непрерывно, включая выходные и нерабочие праздничные дни.

6.2. Пропуск любого срока фиксируется в журнале с указанием причины.

6.3. Отсутствие ответственного работника на рабочем месте, выходной день и отпуск не являются основанием для переноса срока.

7.1. Первоочередная задача группы реагирования — прекратить утечку.

7.2. Для этого применяются:

7.3. блокирование скомпрометированных учётных записей и принудительная смена паролей

7.4. отключение затронутых информационных систем или их сегментов от сети

7.5. отзыв и перевыпуск ключей доступа, сертификатов и токенов

7.6. удаление опубликованных данных из открытых источников и направление требований об удалении владельцам ресурсов и поисковым системам

7.7. блокирование персональных данных, обработка которых привела к нарушению, до устранения нарушения 152-ФЗ ст. 21152-ФЗ ст. 21Прекращение обработки и отзыв согласия

7.8. восстановление данных из резервных копий при их уничтожении или изменении

7.9. Меры принимаются с сохранением следов инцидента.

7.10. Если техническая мера уничтожает доказательства, до её применения делается образ системы.

7.11. После локализации группа проверяет отсутствие иных точек утечки: смежных систем, интеграций, выгрузок, доступов подрядчиков.

7.12. Об устранении последствий составляется акт, который прилагается к материалам расследования.

8.1. Оператор направляет в уполномоченный орган по защите прав субъектов персональных данных уведомление о произошедшем инциденте в течение двадцати четырёх часов с момента его обнаружения 152-ФЗ ч. 3.1 ст. 21152-ФЗ ч. 3.1 ст. 21Уведомление об инциденте (утечке) ПДн.

8.2. Уведомление направляется через личный кабинет оператора на портале персональных данных по форме, установленной уполномоченным органом.

8.3. При недоступности электронного сервиса уведомление направляется иным способом, обеспечивающим фиксацию даты и времени отправки, с последующим дублированием в электронной форме.

8.4. Первичное уведомление содержит:

8.5. сведения о предполагаемых причинах события, повлёкшего нарушение прав субъектов персональных данных

8.6. сведения о предполагаемом вреде, причинённом правам субъектов персональных данных

8.7. сведения о принятых мерах по устранению последствий события

8.8. сведения о лице, уполномоченном оператором на взаимодействие с уполномоченным органом по вопросам инцидента

8.9. наименование, идентификационный номер налогоплательщика и адрес Оператора, номер уведомления об обработке персональных данных

8.10. категории субъектов и категории персональных данных, затронутых инцидентом, и их предполагаемое количество

8.11. Сведения, неизвестные на момент отправки, указываются как предварительные с пометкой об уточнении в уведомлении о результатах расследования.

8.12. Неполнота сведений не является основанием для пропуска срока.

8.13. Факт направления уведомления, дата и время отправки и регистрационный номер, присвоенный уполномоченным органом, вносятся в журнал учёта инцидентов.

9.1. Внутреннее расследование проводится группой реагирования и завершается не позднее сорока восьми часов с момента обнаружения инцидента, чтобы обеспечить направление уведомления о его результатах в срок семьдесят два часа.

9.2. В ходе расследования устанавливаются:

9.3. момент и способ реализации инцидента, использованная уязвимость или ошибка

9.4. точный перечень затронутых персональных данных и точное число субъектов

9.5. круг лиц, получивших доступ к данным, и дальнейшая судьба данных

9.6. работники и подрядчики, действия или бездействие которых привели к инциденту

9.7. достаточность применявшихся мер защиты и причины их недостаточности

9.8. У работников, причастных к инциденту, истребуются письменные объяснения.

9.9. Отказ работника дать объяснение оформляется актом и не препятствует завершению расследования.

9.10. По результатам расследования составляется заключение, которое подписывают все члены группы реагирования и утверждает руководитель Оператора.

9.11. Заключение содержит выводы, перечень виновных лиц при их установлении и план устранения причин инцидента.

9.12. Материалы расследования используются для подготовки уведомления о результатах расследования, для решения вопроса о привлечении работников к дисциплинарной ответственности и о предъявлении требований к лицам, обрабатывающим данные по поручению Оператора.

10.1. В течение семидесяти двух часов с момента обнаружения инцидента Оператор направляет в уполномоченный орган уведомление о результатах внутреннего расследования 152-ФЗ ч. 3.1 ст. 21152-ФЗ ч. 3.1 ст. 21Уведомление об инциденте (утечке) ПДн.

10.2. Уведомление содержит:

10.3. сведения о лицах, действия которых стали причиной инцидента, при их установлении

10.4. ссылку на регистрационный номер первичного уведомления

10.5. уточнённые причины и обстоятельства инцидента

10.6. уточнённые категории субъектов и их точное число

10.7. исчерпывающий перечень персональных данных, доступ к которым был получен неправомерно

10.8. сведения о принятых мерах по устранению последствий и предотвращению повторения

10.9. сведения об обращении Оператора в правоохранительные органы, если такое обращение имело место

10.10. Если к моменту истечения семидесяти двух часов расследование не завершено, уведомление направляется с имеющимися сведениями и указанием на продолжение расследования.

10.11. Пропуск срока не допускается.

10.12. Дополнительные сведения, полученные после направления уведомления, направляются в уполномоченный орган по мере их установления.

13.1. При наличии признаков преступления — неправомерного доступа к компьютерной информации, создания и распространения вредоносных программ, вымогательства — Оператор обращается в правоохранительные органы.

13.2. Решение об обращении принимает руководитель Оператора по представлению группы реагирования.

13.3. К обращению прилагаются заключение по результатам расследования и технические доказательства.

13.4. Оператор сохраняет доказательства в неизменном виде до окончания проверки и не проводит действий, способных их уничтожить.

13.5. Сведения об обращении включаются в уведомление о результатах внутреннего расследования, направляемое уполномоченному органу.

14.1. Нарушение сроков и порядка уведомления, а равно неисполнение обязанности обеспечивать безопасность персональных данных влечёт ответственность, установленную статьёй 13.11 Кодекса Российской Федерации об административных правонарушениях КоАП РФ ст. 13.11КоАП РФ ст. 13.11Нарушение законодательства о персональных данных.

14.2. За неправомерную передачу персональных данных предусмотрены значительные административные штрафы для должностных лиц и организаций, а при повторном нарушении применяется штраф, исчисляемый от размера выручки Оператора.

14.3. Лица, виновные в нарушении требований законодательства о персональных данных, несут гражданско-правовую, административную, дисциплинарную и уголовную ответственность 152-ФЗ ст. 24152-ФЗ ст. 24Ответственность за нарушение закона о ПДн.

14.4. Работник, нарушивший настоящий Порядок, в том числе скрывший инцидент или сообщивший о нём с нарушением срока, привлекается к дисциплинарной ответственности.

14.5. Привлечение работника к ответственности не освобождает Оператора от обязанности уведомить уполномоченный орган.

16.1. Каждый инцидент вносится в журнал «Журнал учёта инцидентов безопасности персональных данных» с указанием момента обнаружения, категории, дат и номеров направленных уведомлений и результата расследования.

16.2. Материалы по инциденту хранятся не менее 5 лет и включают:

16.3. карточку инцидента и протоколы группы реагирования

16.4. копии направленных уведомлений и подтверждения их получения уполномоченным органом

16.5. письменные объяснения работников и заключение по результатам расследования

16.6. технические доказательства: выгрузки журналов, образы систем, снимки экрана

16.7. акт об устранении последствий и план профилактических мер

16.8. Материалы хранятся в режиме ограниченного доступа.

16.9. Право доступа к ним имеют члены группы реагирования, ответственный за обработку персональных данных и руководитель Оператора.

16.10. Материалы предоставляются уполномоченному органу по его требованию в срок, указанный в запросе.

17.1. По каждому инциденту категории «критический» и «высокий» группа реагирования проводит разбор и готовит план устранения причин с указанием мероприятий, сроков и ответственных.

17.2. Исполнение плана контролирует ответственный за обработку персональных данных и докладывает руководителю Оператора о результатах.

17.3. Не реже одного раза в год проводится проверка готовности к реагированию: учебное оповещение группы, проверка доступности контактов и проверка работоспособности канала уведомления уполномоченного органа.

17.4. Настоящий Порядок пересматривается при изменении законодательства, при изменении состава информационных систем и по результатам разбора инцидентов, но не реже одного раза в два года 152-ФЗ ст. 18.1152-ФЗ ст. 18.1Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом.

18.1. генеральный директор ______________ / Иванов И. И. /

18.2. генеральный директор ______________ / Иванов И. И. /

Карточка заводится ответственным за обработку персональных данных немедленно по получении сообщения об инциденте и заполняется по мере получения сведений.

Оператор: ООО «Ромашка», ИНН 7701234567.

Карточку заполнил: генеральный директор ______________ / Иванов И. И. /

Заключение утверждено: генеральный директор ______________ / Иванов И. И. /

С Порядком реагирования на утечку персональных данных, утверждённым приказом от 01.01.2026 № 18-ПДн, ознакомлены:

Лист ознакомления хранится вместе с настоящим Порядком у ответственного за организацию обработки персональных данных.