При подозрении на утечку нужно одновременно ограничить дальнейший доступ, сохранить доказательства и установить юридически значимые факты. Нельзя ждать окончательной атрибуции атакующего, чтобы проверить обязанность уведомления. Но и любой технический сбой не следует автоматически называть подтверждённой передачей персональных данных.
Первые действия и момент начала срока
Назначьте руководителя реагирования, юриста, технического исполнителя и контакт с подрядчиками. Запишите, кто, когда и каким способом узнал о событии; сохраните исходное сообщение, часовой пояс, журналы и состояние системы с контролем целостности и доступа. Ограничивайте скомпрометированные ключи и каналы так, чтобы по возможности не уничтожить следы; безопасность действующих людей имеет приоритет, а невозможность сохранить отдельный след документируется.
Определите, были ли неправомерная или случайная передача, предоставление, распространение либо доступ, какие права субъектов нарушены, какие категории и приблизительный объём затронуты. Отсутствие паролей в базе не исключает нарушения. Установите оператора каждой операции и поручение: заказчик не освобождается от обязанности только потому, что событие произошло у облачного обработчика. Подрядчик сообщает оператору по договорному механизму статьи 6; договорный срок должен позволять оператору исполнить собственный законный срок.
Часть 3.1 статьи 21 Закона № 152-ФЗ связывает уведомление с установленным фактом указанной передачи, повлекшей нарушение прав. Отсчёт ведётся с момента выявления такого инцидента оператором, РКН или иным заинтересованным лицом. Это часы, не рабочие дни; внутреннее совещание не начинает новый срок. При неопределённости фиксируют, что подтверждено, что предположительно и чем проверяется, не откладывая квалификацию до завершения расследования. Закон, статьи 6, 19, 21.
Сообщения и расследование
В течение 24 часов РКН сообщают о событии, предполагаемых причинах и вреде, принятых мерах, уполномоченном контактном лице. В течение 72 часов с того же начала — о результатах внутреннего расследования и лицах, чьи действия стали причиной, если они установлены. Закон не требует выдумать виновного к третьим суткам. Приказ РКН № 187 определяет первичное и дополнительное уведомления, реквизиты и официальный способ подачи; электронная форма предусматривает идентификацию через ЕСИА и подпись по закону. Сохраните номер, ключ, дату и время передачи и отправленные версии. Приказ № 187 и официальный портал.
Отдельно учитывается взаимодействие с ГосСОПКА по части 12 статьи 19 и приказу ФСБ № 77. Для операторов с организованным взаимодействием по пункту 2 используются соответствующие каналы НКЦКИ; для остальных пункт 3 предусматривает формы на сайте РКН в 24 и 72 часа. Поэтому формула «всем обязательно отправить ещё одно одинаковое письмо ФСБ» неточна. Канал и статус проверяют заранее, а запрос НКЦКИ по пункту 6 требует ответа о проверке в течение 24 часов. Приказ ФСБ № 77.
Установите источник, диапазон времени, операции, категории людей и данных, количество субъектов и идентификаторов, доступ получателей, копии, меры до события и их фактическое выполнение. Записи базы не всегда равны числу людей. Сопоставляйте версии подрядчика с журналами, а не переносите его заявление в вывод о причине. Организуйте необходимую помощь пострадавшим и рассмотрение их требований. Общего правила из российского Закона № 152-ФЗ «уведомить каждого пострадавшего в 72 часа» здесь не установлено; иные обязанности возможны по отраслевому закону, договору и обстоятельствам. Содержание сообщений должно помогать человеку, а не увеличивать раскрытие его сведений.
Санкции зависят от состава и даты
С 30.05.2025 Закон № 420-ФЗ усилил статью 13.11 КоАП. Для коммерческого юридического лица несообщение об инциденте по части 11 — 1–3 млн рублей. При неправомерной передаче обычных данных части 12–14 различают число субъектов и/или идентификаторов: предусмотрены диапазоны 3–5, 5–10 и 10–15 млн. Пороговые формулировки и пересечение интервалов читают буквально по конкретному делу; условный калькулятор по числу строк недостаточен. Для специальных категорий часть 16 устанавливает 10–15 млн, для биометрии часть 17 — 15–20 млн с предусмотренным исключением.
Повторность по частям 15 и 18 может повлечь 1–3% предусмотренной законом базы выручки или капитала, с нижней границей 20 либо 25 млн соответственно и верхней 500 млн. Это не штраф 500 млн за любую первую утечку. Примечания отдельно определяют ИП, коммерческих операторов, должностных лиц государственных органов и НКО, а также идентификатор. Нужно проверить все признаки, вину, дату действия и недопустимость обратного действия ухудшающего закона; специальный состав и уголовно наказуемое деяние разграничиваются. КоАП, полная статья 13.11, изменяющий закон.
Субъект может требовать устранения нарушения, убытков и морального вреда; имущественные потери требуют причинной связи и размера. Моральный вред по статье 24 не зависит от возмещения имущественного. Договорный регресс к подрядчику требует самостоятельных оснований. Участие оператора как потерпевшего от атаки не даёт автоматического освобождения от его собственных обязанностей по защите.
Практика и сильное возражение
Доступный фрагмент определения Мосгорсуда от 30.09.2024 № 33-42777/2024 описывает утечку заказов Яндекс.Еды, постановление по КоАП и взыскание первой инстанцией морального вреда с конкретного оператора при отказе к другой компании группы. Одновременно апелляция рассматривала дополнительное решение, а не весь спор заново, и указала основания для его отмены. Сохранённое зеркало обрывается до резолютивной части; поэтому окончательный результат этой апелляции и размер выплаты здесь не утверждаются. Пример позволяет различить статус атакованной компании, конкретного ответчика и гражданские последствия; он не доказывает практику новых оборотных штрафов 2025 года. Фрагмент акта и ограничение.
Сильное возражение оператора — доступ не подтверждён либо раскрытые сведения взяты из другого источника, а необходимые меры были приняты. Его проверяют техническими доказательствами и хронологией, не отвергая автоматически. Прямой прочитанный акт ВС о применении новых частей 12–18 ко всем типам облачных инцидентов в выборке не установлен. Норма и обязательный порядок сообщений подтверждены независимо от этого пробела.
Рабочая форма: карточка инцидента и сообщения. Связанные материалы: роли, безопасность, запросы пострадавших.