Утечка персональных данных: что делать оператору и как не усугубить ситуацию

Что считается утечкой персональных данных

Утечка по закону — это ситуация, когда персональные данные стали доступны лицам, которым не должны были быть доступны. Это может быть несанкционированный доступ к базе данных в результате взлома, случайная публикация таблицы с контактами клиентов, передача данных третьим лицам без согласия субъектов.

Не всякая передача данных — утечка. Если сайт передаёт данные процессору на основании договора и согласия пользователя, это законная обработка. Но если данные ушли без согласия, без договора или в результате технической ошибки — это может квалифицироваться как утечка.

Технический факт сетевого запроса (например, трекер отправил email за рубеж) — это сигнал для проверки. Нужно установить: было ли согласие субъекта, есть ли правовое основание для передачи, соответствует ли это целям обработки. Только после этого можно сделать вывод о наличии нарушения.

Обязательные действия после обнаружения утечки

Закон устанавливает обязанность уведомить Роскомнадзор об утечке персональных данных. Задержка или отсутствие уведомления влечёт отдельные санкции. Конкретные сроки и порядок уведомления лучше уточнить при консультации с юристом.

Вопрос уведомления субъектов данных зависит от обстоятельств инцидента. Консультация с юристом поможет определить, кого и как уведомлять в конкретной ситуации.

Отсутствие уведомления Роскомнадзора не освобождает от ответственности за саму утечку и увеличивает итоговые санкции.

Как зафиксировать обстоятельства утечки

Для корректного уведомления и последующей защиты позиции нужно зафиксировать, что произошло. Это логи системы, снимки экрана, записи обращений пользователей, акты внутренней проверки. Фиксация помогает точно описать инцидент, подтвердить дату обнаружения и показать, что оператор принял меры.

Если утечка связана с работой сайта — например, форма отправляла данные без шифрования или трекер передавал информацию за рубеж без согласия, — полезно зафиксировать техническую сторону: какие запросы выполнялись, куда уходили данные, в какой момент это происходило. Эти материалы станут основой для уведомления и для устранения причины.

Какие санкции грозят за утечку и за молчание

Размер санкций зависит от числа субъектов, категории данных и наличия предыдущих нарушений. Диапазон санкций за утечку для юридических лиц начинается от нескольких миллионов рублей.

Отдельно квалифицируется задержка или отсутствие уведомления Роскомнадзора. Это самостоятельное нарушение с собственным диапазоном санкций. Повторная утечка влечёт оборотный штраф: процент от выручки компании с установленным минимумом и максимумом.

Своевременное уведомление и принятые меры не гарантируют отсутствие санкций, но могут быть учтены при квалификации. Напротив, попытка скрыть инцидент усугубляет ситуацию и увеличивает ответственность.

Как проверить сайт и предотвратить повторную утечку

После устранения инцидента нужно проверить все точки сбора и передачи данных на сайте. Какие формы собирают персональные данные, куда они уходят, на каком основании. Какие трекеры и аналитические сервисы запускаются, получают ли они доступ к данным посетителей, есть ли согласие на передачу за рубеж.

Проверка Dobrolex фиксирует, что сайт делает на самом деле: какие данные собирает, куда отправляет, какие запросы выполняются до получения согласия пользователя. Результат — заключение с фактами, уровнем риска и планом исправлений. Такая проверка помогает выявить эпизоды, которые могут привести к новой утечке, и устранить их до инцидента.

Проверка выполняется с чистой сессии, глазами нового посетителя. Каждый факт фиксируется снимком экрана, связывается с нормой закона и получает приоритет. Это позволяет увидеть риски, которые не заметны изнутри, и принять меры до того, как они станут основанием для санкций.