Что считается инцидентом с персональными данными
Инцидент — это нарушение режима защиты персональных данных, которое привело или могло привести к их уничтожению, изменению, блокированию, копированию, распространению или иному неправомерному доступу. Закон не требует, чтобы ущерб был реализован: достаточно самого факта, что данные оказались доступны лицам, не имеющим на это права.
К инцидентам относятся: публикация базы клиентов в открытом доступе, взлом сервера с копированием данных, ошибка в настройках, из-за которой чужие заказы стали видны другим пользователям, потеря ноутбука с незашифрованными данными, утечка из системы аналитики или рассылки. Даже кратковременная доступность данных посторонним лицам может квалифицироваться как инцидент.
Не являются инцидентами технические сбои без доступа третьих лиц к данным: временная недоступность сайта, ошибка в работе формы без передачи данных, плановое обслуживание системы. Ключевой критерий — наличие или риск неправомерного доступа к данным.
Обязанность уведомить Роскомнадзор
Если инцидент подтверждён, оператор обязан уведомить Роскомнадзор об утечке персональных данных. Закон устанавливает ответственность за неуведомление или несвоевременное уведомление регулятора.
Сроки и порядок уведомления определяются законодательством. Обратитесь к юристу для подготовки документов и соблюдения процедуры — это поможет избежать дополнительных санкций и правильно зафиксировать обстоятельства инцидента.
Неуведомление регулятора об утечке персональных данных влечёт отдельную ответственность, независимо от санкций за сам инцидент.
Какие штрафы грозят за утечку данных
Санкции за инцидент зависят от числа пострадавших субъектов и категории данных. Утечка данных может повлечь штраф для юридических лиц от нескольких миллионов рублей, при повторном инциденте — оборотный штраф с нижним порогом значительно выше.
Закон разграничивает ответственность по масштабу инцидента и его последствиям. Неуведомление Роскомнадзора влечёт отдельный штраф, а повторный инцидент после первого может привести к оборотным санкциям, размер которых исчисляется процентами от выручки компании.
Конкретная сумма зависит от обстоятельств дела и решения регулятора. Юрист поможет оценить возможные санкции в вашей ситуации и подготовить позицию для взаимодействия с Роскомнадзором.
Первые действия при обнаружении инцидента
Немедленно прекратите дальнейшее распространение данных: закройте уязвимость, заблокируйте доступ к скомпрометированным учётным записям, смените пароли, удалите публично доступные файлы. Чем быстрее вы локализуете инцидент, тем меньше данных окажется в руках третьих лиц.
Зафиксируйте обстоятельства: время обнаружения, действия по устранению проблемы, объём и категории данных. Сохраняйте логи, скриншоты, служебные записки — эти материалы потребуются для взаимодействия с регулятором и юристом.
Параллельно привлеките юриста для правовой оценки ситуации и подготовки документов. Специалист поможет определить, является ли ситуация инцидентом по закону, какие действия обязательны и как правильно взаимодействовать с Роскомнадзором.
Как проверить сайт на риски по 152-ФЗ
Многие технические ошибки и неправильные настройки создают правовые риски: данные уходят третьим сервисам без согласия пользователя, формы передают информацию по незащищённым каналам, трекеры и аналитика стартуют раньше, чем посетитель дал согласие. Такие эпизоды могут привести к санкциям при проверке регулятора.
Проверка Dobrolex фиксирует, что происходит на сайте в момент визита: какие данные собираются, куда они отправляются, запускаются ли сторонние сервисы до согласия. Каждый эпизод документируется снимком экрана, временем фиксации и ссылкой на норму закона.
Результат — заключение с перечнем рисков, их серьёзностью и рекомендациями по исправлению. Это позволяет устранить уязвимости и документально зафиксировать, что вы предприняли меры для защиты данных.
Проверьте риски на своём сайте
- 01Данные уходят сторонним сервисам до согласия. Откройте сайт в режиме инкогнито и проверьте через инструменты разработчика (вкладка Network), какие запросы уходят до того, как вы приняли cookie-баннер или заполнили форму. Если видите домены аналитики, рекламы или соцсетей — данные уже передаются.
- 02Формы отправляют данные по HTTP без шифрования. Проверьте адресную строку на страницах с формами: если там http://, а не https://, данные передаются в открытом виде. Это создаёт риск перехвата.
- 03Cookie-баннер не даёт равнозначного отказа. Посмотрите на баннер: есть ли кнопка отказа того же размера и цвета, что и согласие, можно ли настроить категории. Если отказаться сложнее, чем согласиться, или баннер только информирует — это может создавать риск.
- 04Политика не описывает реальные действия сайта. Сравните текст политики с тем, какие сервисы реально работают на сайте. Если в политике не упомянуты аналитика, чат, виджеты соцсетей или рекламные системы — документ не соответствует фактам.
- 05Нет процедур реагирования на инцидент. Проверьте, есть ли у вас внутренний регламент: кто фиксирует инцидент, кто принимает решение об уведомлении, кто отвечает за контакт с регулятором. Отсутствие процедуры приводит к хаосу и пропуску сроков.
- 06Нет резервных копий и логов доступа. Убедитесь, что данные регулярно копируются, а доступ к системам логируется. При инциденте это позволит быстро оценить масштаб, восстановить данные и зафиксировать обстоятельства.
Что говорит закон
ч. 11 ст. 13.11 КоАП РФ
Не уведомлён или уведомлён с опозданием Роскомнадзор об утечке персональных данных — штраф для юрлиц от 1 до 3 млн ₽.
Первоисточникч. 12–14 ст. 13.11 КоАП РФ
Утечка персональных данных — штраф для юрлиц от 3 до 15 млн ₽ в зависимости от числа субъектов и идентификаторов.
Первоисточникч. 15 ст. 13.11 КоАП РФ
Повторная утечка — оборотный штраф от 1 до 3% выручки, но не менее 20 млн и не более 500 млн ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Что делать, если не уверен, является ли ситуация инцидентом?
Если есть вероятность, что данные оказались доступны посторонним, зафиксируйте обстоятельства и обратитесь к юристу для оценки. Лучше перестраховаться и провести внутреннее расследование, чем пропустить обязанность уведомить регулятор.
Можно ли не уведомлять Роскомнадзор, если инцидент незначительный?
Нет. Если подтверждён инцидент по определению закона, уведомление обязательно. Регулятор оценивает серьёзность самостоятельно, а неуведомление влечёт отдельную ответственность.
Нужно ли информировать клиентов об утечке?
Это зависит от обстоятельств инцидента и требований законодательства. Обратитесь к юристу, чтобы определить, требуется ли информирование субъектов в вашей ситуации и как правильно его организовать.
Какие документы нужны для уведомления Роскомнадзора?
Порядок и содержание уведомления определяются законодательством. Юрист поможет подготовить документы с учётом обстоятельств инцидента и требований регулятора.
Как доказать, что мы действовали добросовестно?
Документируйте все действия: когда обнаружили инцидент, что сделали для его локализации, какие меры внедрили. Сохраняйте логи, служебные записки, скриншоты — эти материалы понадобятся при взаимодействии с регулятором.
Что будет, если инцидент повторится?
Повторный инцидент влечёт многократное увеличение санкций, вплоть до оборотного штрафа с нижним порогом в десятки миллионов рублей. После первого инцидента критически важно провести полный аудит, устранить все уязвимости и внедрить меры контроля.
Можно ли проверить сайт на риски инцидента заранее?
Да. Проверка фиксирует, что происходит на сайте: какие данные собираются, куда они уходят, запускаются ли трекеры до согласия. Заключение показывает риски со ссылками на нормы и рекомендации по исправлению.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.