Утечка персональных данных: что делать в первые 24 часа
- 24 часа с момента обнаружения утечки — первичное уведомление в Роскомнадзор. 72 часа — дополнительное с результатами расследования (Приказ РКН №187).
- Штраф за неуведомление — до 3 млн ₽ для юрлиц по ч. 11 ст. 13.11 КоАП. За саму утечку — от 3 до 15 млн в зависимости от масштаба.
- Оборотные штрафы при повторной утечке: 1–3% выручки, минимум 20 млн ₽, максимум 500 млн ₽.
- Уголовная ответственность по ст. 272.1 УК РФ — лишение свободы до 10 лет за тяжкие последствия.
- Что считается утечкой по 152-ФЗ
- 24 и 72 часа: точные сроки
- Штрафы за неуведомление и за саму утечку
- Как подать уведомление через портал РКН
- Оборотные штрафы при повторной утечке
- Уголовная ответственность по ст. 272.1 УК РФ
- Пошаговый алгоритм действий
- Чего нельзя делать при утечке
- Чек-лист подготовки
- Частые вопросы
1. Что считается утечкой персональных данных
По определению Роскомнадзора, утечка — это «неправомерная или случайная передача (предоставление, распространение, доступ) персональных данных, повлёкшая нарушение прав субъектов». То есть инцидентом считается не только взлом, но и:
- Хакерская атака с выгрузкой базы клиентов
- Случайно отправленное письмо с прикреплённым файлом ПД не тому адресату
- Потерянный или украденный ноутбук с незашифрованными данными
- Опубликованная по ошибке таблица с email-ами на сайте
- Доступ к базе со стороны бывшего сотрудника после увольнения
- Фишинг, в результате которого утекли учётные записи
- Открытый порт базы данных в интернете без аутентификации
Под действие 152-ФЗ попадает любой оператор персональных данных — от ИП с одним сайтом до федеральной сети. Важен не объём бизнеса, а сам факт обработки ПД.
2. 24 и 72 часа: точные сроки уведомления
Порядок взаимодействия с РКН при утечке установлен Приказом Роскомнадзора №187 от 14.11.2022 (вступил в силу 1 марта 2023). С 30 мая 2025 года несоблюдение этого порядка влечёт значительные штрафы.
| Срок | Что делать | Содержание |
|---|---|---|
| 24 часа | Первичное уведомление | Информация об инциденте, предположительные причины, вред субъектам, контакты ответственного лица |
| 72 часа | Дополнительное уведомление | Результаты внутреннего расследования: установленные причины, виновные лица, принятые и планируемые меры |
Отсчёт начинается с момента обнаружения инцидента — не с момента самой утечки. Это значит, если утечка произошла месяц назад, но вы узнали о ней сегодня, у вас 24 часа с этого момента.
Уведомить нужно даже если вы не уверены в факте утечки — лучше сообщить о подозрении и потом дать дополнения, чем пропустить срок.
3. Штрафы за неуведомление и за саму утечку
С 30 мая 2025 года штрафы по ст. 13.11 КоАП РФ разделены на две категории — за саму утечку и отдельно за неуведомление о ней.
За неуведомление РКН (ч. 11 ст. 13.11 КоАП)
| Лицо | Штраф |
|---|---|
| Физические лица | 50–100 тыс. ₽ |
| Должностные лица | 400–800 тыс. ₽ |
| Юридические лица и ИП | 1–3 млн ₽ |
За саму утечку (ч. 12–14 ст. 13.11 КоАП)
| Масштаб утечки | Часть | Юрлица / ИП |
|---|---|---|
| 1–10 тыс. субъектов / 10–100 тыс. идентификаторов | ч. 12 | 3–5 млн ₽ |
| 10–100 тыс. субъектов / 100 тыс.–1 млн идентификаторов | ч. 13 | 5–10 млн ₽ |
| Более 100 тыс. субъектов / более 1 млн идентификаторов | ч. 14 | 10–15 млн ₽ |
| Утечка специальных категорий ПД | ч. 16 | 10–20 млн ₽ |
| Утечка биометрических данных | ч. 17 | 15–20 млн ₽ |
Скидка 50% при быстрой уплате штрафа отменена по всем составам ст. 13.11 КоАП. ИП несут ту же ответственность, что и юридические лица.
Подробнее о всех штрафах за нарушения 152-ФЗ — в отдельной статье «Штрафы за персональные данные с 30 мая 2025: полная таблица».
4. Как подать уведомление через портал РКН
Уведомление подаётся в электронном виде через портал персональных данных Роскомнадзора. Бумажная копия не требуется.
- Подготовьте подтверждённую учётную запись на Госуслугах для лица, уполномоченного представлять оператора
- Перейдите на форму: pd.rkn.gov.ru/incidents/form/
- Авторизуйтесь через ЕСИА (Госуслуги)
- Заполните поля:
- Сведения об операторе (ИНН, наименование)
- Дата и время обнаружения инцидента
- Описание инцидента (свободная форма)
- Предположительные причины
- Состав скомпрометированных ПД
- Количество субъектов
- Контакты ответственного лица
- Отправьте форму — система зафиксирует время подачи
- Получите квитанцию о приёме — сохраните как доказательство соблюдения срока
- В течение 72 часов подайте дополнительное уведомление с результатами расследования через ту же форму
Если у вас нет учётной записи на Госуслугах с правом подавать заявления от имени организации — этот вопрос нужно решить заранее, не в момент инцидента.
5. Оборотные штрафы при повторной утечке
Если в течение года после первой утечки происходит повторная — применяется оборотный штраф по ч. 15 ст. 13.11 КоАП.
| Тип ПД | Часть | Размер |
|---|---|---|
| Обычные ПД (повторная утечка) | ч. 15 | 1–3% выручки, мин. 20 млн ₽, макс. 500 млн ₽ |
| Спецкатегории / биометрия (повторная) | ч. 18 | 1–3% выручки, мин. 25 млн ₽, макс. 500 млн ₽ |
Пример. Компания с годовой выручкой 800 млн ₽ при повторной утечке заплатит от 8 до 24 млн ₽ (1–3% выручки). Поскольку результат укладывается в диапазон от минимума (20 млн) до максимума (500 млн), штраф будет именно расчётным — например, 16 млн.
Для банков процент берётся не от выручки, а от размера собственных средств на дату нарушения.
Снижение штрафа возможно — но требует одновременного выполнения четырёх условий: расходы на ИБ ≥ 0,1% выручки за 3 года, наличие лицензии на шифрование/защиту, документальное подтверждение мер защиты, отсутствие отягчающих обстоятельств. Минимум при снижении — 15 млн ₽.
6. Уголовная ответственность по ст. 272.1 УК РФ
Помимо административных штрафов, с 30 ноября 2024 года Уголовный кодекс дополнен ст. 272.1 УК РФ. Уголовное наказание грозит при незаконных операциях с ПД — за сбор, передачу, использование, хранение.
| Состав | Наказание |
|---|---|
| Незаконный сбор / передача / хранение ПД | Штраф до 300 тыс. ₽ или лишение свободы до 4 лет |
| То же со спецкатегориями, биометрией, данными несовершеннолетних | Штраф до 700 тыс. ₽ или лишение свободы до 5 лет |
| Трансграничная передача незаконно полученных ПД | До 8 лет лишения свободы + штраф до 2 млн ₽ |
| Деяние, повлёкшее тяжкие последствия | До 10 лет лишения свободы |
Утечка как таковая — это административное правонарушение. Уголовка наступает тогда, когда есть умысел: сотрудник скачал базу клиентов и продал, директор сознательно не уведомил о массовой утечке, передача данных за рубеж в обход локализации.
7. Пошаговый алгоритм действий при утечке
Алгоритм построен с привязкой к временной шкале — что делать в каждый интервал.
Час 0 — обнаружение
- Зафиксируйте факт: что именно увидели, во сколько, какие признаки утечки
- Сохраните логи, скриншоты, журналы — это пригодится для расследования
- Изолируйте источник: отключите скомпрометированный аккаунт, заблокируйте порт, отозвите токены
- Соберите команду: ИБ-специалист, юрист, ответственный за обработку ПД
Часы 1–12 — оценка
- Определите масштаб: сколько субъектов затронуто, какие категории ПД
- Составьте предварительный список причин (явная атака, ошибка сотрудника, уязвимость и т. д.)
- Зафиксируйте состав утёкших данных — ФИО, контакты, паспортные данные, платёжные данные
Часы 12–24 — первичное уведомление
- Подготовьте текст первичного уведомления
- Отправьте через pd.rkn.gov.ru/incidents/form/
- Сохраните квитанцию о приёме
- При необходимости уведомьте субъектов ПД (если предусмотрено вашей политикой)
Часы 24–72 — расследование
- Технический анализ: как именно произошла утечка (cпециалист по ИБ или внешний подрядчик)
- Идентификация виновных лиц, если применимо
- Внедрение временных мер защиты — патчи, смена паролей, отзыв доступов
- Документирование всех шагов в журнале инцидентов
Часы 48–72 — дополнительное уведомление
- Подготовьте уведомление с результатами: причины, виновные, принятые меры
- Отправьте через тот же портал
- Сохраните квитанцию
Дальше — устранение последствий
- Полное устранение уязвимости (не временный обход)
- Внутренний разбор: что не сработало, кому нужно обучение
- Обновление политики реагирования на инциденты
- Если был ущерб субъектам ПД — компенсация и работа с обращениями
Хронология законодательства
8. Чего нельзя делать при утечке
- Скрывать инцидент. Это отягчающее обстоятельство. Если РКН узнает о факте утечки от субъекта, журналиста или анонима — штраф будет максимальным.
- Удалять логи и доказательства. Они нужны для расследования и снижения штрафа. Удаление можно квалифицировать как препятствование.
- Тянуть с уведомлением. Каждый час сверх 24-х увеличивает риски. Лучше отправить неполное уведомление вовремя, чем подробное с опозданием.
- Отвечать на запросы РКН без юриста. Любые формулировки могут стать признанием вины. Все коммуникации — через корпоративного или внешнего юриста.
- Удалять субъектам ПД сразу при просьбе. Если они потребуют удалить данные после утечки — сначала зафиксируйте факт обращения, ответьте в установленный законом срок.
- Платить штрафы без проверки расчёта. При оборотных штрафах ошибки в расчёте выручки — частая практика. Юрист может снизить сумму.
9. Чек-лист: как подготовиться к возможной утечке
- В компании назначен ответственный за обработку ПД с актуальным приказом
- Есть подтверждённая учётная запись на Госуслугах для подачи уведомлений
- Составлен план реагирования на инциденты (incident response plan)
- Определены контакты внешних специалистов: ИБ-аудитор, юрист, форензик
- Все сотрудники знают, кому сообщать о подозрении на утечку
- Логи систем хранятся минимум 6 месяцев, защищены от изменений
- Базы ПД зашифрованы, доступы по принципу минимальных привилегий
- Регулярные пентесты и аудиты безопасности (минимум раз в год)
- Политика обработки ПД и политика конфиденциальности актуальны
- Сайт проверен на уязвимости и нарушения 152-ФЗ
10. Частые вопросы
В течение 24 часов с момента обнаружения инцидента — первичное уведомление. В течение 72 часов — дополнительное уведомление с результатами внутреннего расследования. Срок установлен Приказом РКН №187 от 14.11.2022.
От 1 до 3 миллионов рублей для юридических лиц, от 400 до 800 тысяч для должностных лиц, от 50 до 100 тысяч для физлиц. Это часть 11 статьи 13.11 КоАП РФ. Штраф за неуведомление применяется отдельно от штрафа за саму утечку — то есть платить можно по обеим статьям одновременно.
Это штраф 1–3% от совокупной годовой выручки компании за повторную утечку в течение года. Минимум — 20 млн рублей (для биометрии и спецкатегорий — 25 млн), максимум — 500 млн. Применяется к юрлицам и ИП по части 15 статьи 13.11 КоАП. Для банков процент берётся от размера собственных средств.
Через портал персональных данных РКН — pd.rkn.gov.ru/incidents/form/. Аутентификация через подтверждённую учётную запись на Госуслугах. Форма электронная, бумажная копия не нужна. Сохраните квитанцию о приёме как доказательство соблюдения срока.
Любая неправомерная или случайная передача, предоставление, распространение или доступ к персональным данным, повлёкшие нарушение прав субъектов. Это и взлом, и потерянный ноутбук, и отправленное по ошибке письмо с базой клиентов, и доступ бывшего сотрудника после увольнения.