Утечка не всегда выглядит как публикация базы в интернете. Это может быть письмо не тому адресату, открытая ссылка на таблицу, потерянный ноутбук, доступ бывшего сотрудника или ошибка подрядчика.
Если произошла неправомерная или случайная передача, предоставление, распространение либо доступ к данным и это повлекло нарушение прав людей, статья 21 Федерального закона № 152-ФЗ требует уведомить Роскомнадзор.
Сначала поймите, что произошло
Не каждый технический сбой является утечкой персональных данных. Если сервер был недоступен десять минут, но посторонние не получили данные, порядок уведомления об инциденте может не применяться. И наоборот, ошибочно отправленный одному человеку файл способен стать инцидентом, даже если о нем никто не написал в интернете.
В первые минуты задайте четыре вопроса:
- Были ли в затронутой системе персональные данные?
- Получил или мог получить к ним доступ тот, кому доступ не предназначался?
- Какие действия произошли: передача, предоставление, распространение, копирование?
- Могло ли это нарушить права людей?
Не тратьте первые часы на спор о названии события. Зафиксируйте факты и параллельно ограничивайте последствия.
Первые действия команды
В начале важно не искать виноватого, а остановить развитие инцидента:
- закрыть публичную ссылку или скомпрометированную учетную запись;
- отозвать ключи и активные сессии;
- ограничить доступ к затронутой системе;
- связаться с подрядчиком;
- сохранить журналы событий, письма и время обнаружения;
- назначить одного координатора;
- начать список подтвержденных фактов и предположений.
Не удаляйте журналы и переписку в попытке «почистить следы». Без них будет сложно установить объем утечки и провести внутреннее расследование.
| Роль | Первая задача |
|---|---|
| Координатор | Фиксирует время выявления, решения и контрольные сроки |
| IT-специалист | Локализует доступ, сохраняет журналы и определяет затронутые системы |
| Юрист | Оценивает событие по статье 21 и готовит уведомление |
| Владелец процесса | Объясняет состав базы, цели и круг людей |
| Подрядчик | Передает технические сведения и выполняет срочные меры по поручению оператора |
В небольшой компании один человек может совмещать несколько ролей. Важно, чтобы обязанности были назначены заранее, а не распределялись в переписке посреди инцидента.
Сроки уведомления Роскомнадзора
| Срок с момента выявления | Что сообщается |
|---|---|
| В течение 24 часов | Информация об инциденте, предполагаемых причинах и вреде, принятых мерах и лице для взаимодействия с Роскомнадзором |
| В течение 72 часов | Результаты внутреннего расследования и сведения о лицах, действия которых стали причиной инцидента, если они установлены |
Первичное уведомление не требует знать все ответы. Закон разделяет первое сообщение и результаты расследования. Опасно ждать полной картины и пропускать 24-часовой срок.
Выявление → фиксация времени → локализация → первичная оценка → уведомление за 24 часа → расследование → дополнительное уведомление за 72 часа → исправления и контроль.
Порядок взаимодействия с Роскомнадзором устанавливает приказ № 187. Для отправки используйте актуальный официальный канал и сохраняйте подтверждение подачи. Скриншот заполненной формы без подтверждения отправки не показывает, что обязанность исполнена.
Что выяснить для расследования
Нужно ответить на вопросы:
- Какие данные стали доступны?
- Каких людей это касается?
- Когда и как произошел доступ?
- Кто мог получить данные?
- Продолжается ли инцидент?
- Какие права людей могли быть нарушены?
- Какие меры уже приняты?
- Что исключит повторение?
Отдельно сохраните хронологию: когда сотрудник увидел проблему, кому сообщил, когда закрыли доступ и какие сведения были известны на момент первого уведомления. Через два дня эти детали начинают путаться даже у тех, кто участвовал с самого начала.
Если данные обрабатывал подрядчик, он должен быстро сообщить оператору необходимые сведения. Именно поэтому срок и состав сообщения об инциденте закрепляют в поручении заранее. Формула «уведомить в разумный срок» может оставить оператору слишком мало времени из его 24 часов.
Нужно ли сообщать людям
В 152-ФЗ нет универсального правила, по которому при каждом инциденте оператор автоматически рассылает уведомление всем затронутым людям. Решение зависит от обстоятельств, возможного вреда и других применимых требований.
Но вопрос нужно обсудить сразу. Если раскрыты данные, позволяющие мошенникам связаться с клиентами, своевременное и точное предупреждение может помочь людям защититься. Сообщение должно опираться на подтвержденные факты, объяснять практические действия и не раскрывать новые персональные данные.
Чего не стоит делать
Ждать решения руководителя несколько дней. Срок идет с момента выявления, поэтому у команды должны быть полномочия начать процедуру.
Называть событие техническим сбоем без проверки. Юридическая оценка зависит от доступа к данным и возможного нарушения прав людей.
Отправлять предположения как установленные факты. В первичном уведомлении разделяйте подтвержденное и предполагаемое.
Исправить доступ и закрыть задачу. После локализации остаются расследование, дополнительное уведомление и меры против повторения.
Коротко: готовый регламент не предотвращает все утечки, но сохраняет самые дорогие часы. Он помогает выполнить обязанности перед регулятором и снизить риск отдельных претензий за запоздалое уведомление.
После инцидента обновите карту рисков, доступы, договоры и обучение. Цель не в том, чтобы найти формальную причину, а в том, чтобы компания спокойно продолжила работу без повторения той же ошибки.