Утечка персональных данных: что делать оператору, сроки уведомления и штрафы в 2026 году в Казани

Утечка персональных данных — это не только история о хакерах. Менеджер отправил базу клиентов не тому адресату, подрядчик оставил выгрузку в открытом облаке, с ноутбука сотрудника пропал неподписанный файл: любой из этих случаев может оказаться инцидентом, о котором оператор обязан сообщить в Роскомнадзор в строго отмеренные сроки. С 2025 года у этих сроков появились и «зубы»: за непредставленное уведомление и за саму утечку введены отдельные штрафы, а при повторной утечке штраф считается от выручки.

Статья для руководителей, юристов и ИТ/ИБ-специалистов, в том числе в Казани: что считается утечкой по закону, что делать в первые 24 и 72 часа, как устроены штрафы по ст. 13.11 КоАП, когда нужно сообщать ещё и в ГосСОПКА и что должно быть написано в регламенте реагирования заранее. Нормы приведены по текстам 152-ФЗ и КоАП на 16.10.2026.

Что считается утечкой персональных данных

В 152-ФЗ нет определения «утечка». Обязанность уведомлять возникает в ситуации, которую закон описывает так: установлен факт неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкшей нарушение прав субъектов персональных данных (ч. 3.1 ст. 21). Для КоАП в чч. 12–18 ст. 13.11 тот же факт называется утечкой, и штраф зависит от числа субъектов и вида данных.

Важны два слова из формулировки закона: «неправомерной» и «случайной». Инцидентом признаётся и целенаправленная атака, и обычная ошибка сотрудника. Вот типичные ситуации.

Ключевая мысль: решение, является ли случай инцидентом по ч. 3.1 ст. 21, принимается не по ощущению масштаба, а по критериям: были ли данные переданы, предоставлены, распространены или доступны постороннему, и повлекло ли это нарушение прав субъектов. Эти критерии оператор должен заранее прописать в регламенте, иначе в момент кризиса команда потеряет часы на споры, а срок уже идёт.

Инцидент может выявить не только сам оператор. Срок отсчитывается с момента выявления инцидента оператором, уполномоченным органом (Роскомнадзором) или иным заинтересованным лицом (ч. 3.1 ст. 21). Если о проблеме вам сообщил журналист, клиент, исследователь безопасности или Роскомнадзор, 24 часа идут с того момента, когда факт стал известен.

Сроки уведомления Роскомнадзора: 24 и 72 часа

Оператор уведомляет уполномоченный орган в два этапа. Текст ч. 3.1 ст. 21 приведём почти дословно, потому что в нём важна каждая деталь.

Оператор обязан с момента выявления инцидента уведомить уполномоченный орган: 1) в течение двадцати четырёх часов — об инциденте, о предполагаемых причинах, повлёкших нарушение прав субъектов, и предполагаемом вреде, о принятых мерах по устранению последствий, а также предоставить сведения о лице, уполномоченном оператором на взаимодействие с Роскомнадзором по вопросам инцидента; 2) в течение семидесяти двух часов — о результатах внутреннего расследования, а также о лицах, действия которых стали причиной инцидента (при наличии).

Что часто путают. Первое: 72 часа — не единый срок на всё, а второй этап; к 24-му часу первичное уведомление уже должно быть отправлено. Второе: ждать результатов расследования, чтобы подать «полную» информацию, нельзя, потому что в первом уведомлении сообщают предполагаемые причины и вред. Третье: оба срока идут с момента выявления, а не с момента начала расследования или проведения совещания.

Способ подачи в тексте ст. 21 не указан. Порядок взаимодействия оператора с Роскомнадзором определяют акты РКН; в нашем перечне — приказ РКН от 14.11.2022 № 187 о порядке взаимодействия в рамках ГосСОПКА (по заголовку). Актуальную форму и канал подачи проверяйте на сайте РКН перед отправкой и закрепите в регламенте.

Первые 72 часа: пошаговый план

Отдельной обязанности «разослать письма всем субъектам» ч. 3.1 ст. 21 не содержит. Но если по результатам проверки обнаружена неправомерная обработка, оператор должен прекратить её в течение трёх рабочих дней с выявления, а если обеспечить правомерность нельзя — уничтожить данные в течение 10 рабочих дней, уведомив субъекта (ч. 3 ст. 21). Кроме того, на практике информирование пострадавших снижает вред и поток жалоб, поэтому текст такого письма стоит иметь в запасе.

Штрафы за утечку и за несвоевременное уведомление

Ответственность разделена на две группы. Ч. 11 ст. 13.11 наказывает за то, что оператор не подал уведомление об инциденте или подал с опозданием. Чч. 12–18 наказывают за саму утечку; штраф растёт с числом субъектов и с чувствительностью данных. Все суммы — из текста ст. 13.11 КоАП (ред. от 04.08.2026).

Как читать таблицу. Индивидуальные предприниматели по чч. 8–18 отвечают как юридические лица (прим. 1). Должностные лица по чч. 10–18 — только в государственных органах, муниципальных органах и НКО (прим. 2); для них суммы по ч. 11: 400–800 тыс. ₽, по чч. 12–14: 200–600 тыс. ₽ в зависимости от масштаба. Идентификатор — индивидуальное обозначение сведений о физическом лице в информационной системе оператора (прим. 4): например, номер телефона, e-mail или учётная запись.

Два вывода, которые часто теряются. Оборотный штраф — это не штраф «за любую утечку»: он применяется при повторном нарушении (чч. 15 и 18). Первичные утечки наказываются фиксированными суммами. И второй: даже если сама утечка не была виной оператора, несвоевременное уведомление о ней образует самостоятельное нарушение по ч. 11.

Смягчение оборотного штрафа: что говорит закон и чего он не обещает

Ст. 4.1 КоАП в ч. 3.4-2 вводит возможность смягчить оборотный штраф по чч. 15 и 18: тогда он назначается в размере одной десятой минимального, но не менее 15 и не более 50 млн ₽. Условия кумулятивные, то есть должны выполняться одновременно.

1. Расходы оператора на информационную безопасность составляли не менее 0,1% выручки три года подряд, причём мероприятия провели организации с лицензией по п. 1 или п. 5 ч. 1 ст. 12 99-ФЗ (криптография ФСБ или техническая защита конфиденциальной информации ФСТЭК) либо сам оператор при наличии у него такой лицензии.
2. Оператор соблюдал требования к защите ПДн в информационных системах, и это документально подтверждено проверкой за 12 месяцев до выявления нарушения.
3. Нет отягчающих обстоятельств, перечисленных в прим. 5 к ст. 13.11.

Честный вывод для бизнеса. Смягчение завязано на расходы через лицензиатов, подтверждённую проверкой готовность и отсутствие отягчающих обстоятельств. Политика, положение и регламент реагирования, подготовленные юристом, сами по себе эти условия не выполняют, и обещать «снижение оборотного штрафа» за комплект документов было бы неправдой. Документы нужны по другой причине: они делают ваши действия в течение 24 и 72 часов быстрыми и проверяемыми, а при проверке показывают, что требования закона организованы. Техническую часть (определение уровня защищённости, модель угроз, система защиты, контроль) мы сопровождаем методически либо выполняем с партнёром-лицензиатом ФСТЭК.

ГосСОПКА и НКЦКИ: когда сообщать ещё и в ФСБ

Уведомление Роскомнадзора по ч. 3.1 ст. 21 касается именно персональных данных. Отдельная система — ГосСОПКА, которую координирует Национальный координационный центр по компьютерным инцидентам (НКЦКИ). Информировать его нужно, если инцидент или компьютерная атака затронули объекты критической информационной инфраструктуры или информационные ресурсы государственных органов и организаций, перечисленных в ч. 4 ст. 9 187-ФЗ. Порядок и сроки определяет приказ ФСБ № 547 от 25.12.2025, действующий с 30.01.2026.

Для обычной коммерческой информационной системы с персональными данными, которая не относится к КИИ, к госсектору и к иным перечисленным случаям, достаточно уведомления РКН по ч. 3.1 ст. 21. Но если ваша компания является субъектом КИИ, например, вы клиника, транспортная, энергетическая или иная организация из сфер, перечисленных в 187-ФЗ, то при одном и том же происшествии придётся действовать по двум линиям одновременно и в разные сроки. За нарушение порядка информирования об инцидентах на объектах КИИ действует ст. 13.12.1 КоАП (ч. 2: юрлица 100–500 тыс. ₽), а за непредставление информации в ГосСОПКА — ст. 19.7.15 (ч. 2: юрлица 100–500 тыс. ₽). Работы по безопасности значимых объектов КИИ ведёт лицензиат; мы подключаем партнёра.

Регламент реагирования на инциденты с ПДн

Единственный способ уложиться в 24 часа — иметь готовый регламент до того, как случится инцидент. Правового требования утвердить документ с таким названием в 152-ФЗ нет, но ч. 1 ст. 18.1 обязывает оператора принять локальные акты о процедурах, направленных на предотвращение и выявление нарушений и устранение их последствий. Регламент реагирования — это как раз такой акт. Что в нём должно быть.

• Определение инцидента и критерии. Что считаем инцидентом по ч. 3.1 ст. 21, кто принимает решение, какие признаки требуют немедленной эскалации.
• Роли и контакты. Руководитель инцидента, лицо, уполномоченное на взаимодействие с РКН (его данные идут в первичное уведомление), ИТ/ИБ, юрист, PR. Дежурные контакты на выходные.
• Каналы выявления. Мониторинг, обращения субъектов, сообщения подрядчиков и сотрудников, запросы РКН. Все они запускают отсчёт сроков.
• Часы и шаблоны. Шаблон первичного уведомления (24 часа) и итогового (72 часа), чек-лист сбора фактов, порядок фиксации времени выявления.
• Расследование. Кто собирает журналы и доказательства, как фиксируются лица, чьи действия привели к инциденту, какие выводы идут в итоговое уведомление.
• Подрядчики. В договорах поручения (ч. 3 ст. 6) должна быть обязанность исполнителя уведомлять оператора об инцидентах по ч. 3.1 ст. 21, причём заранее установленным и коротким сроком.
• Журнал инцидентов и обучение. Запись каждого случая, учебные «репетиции» хотя бы раз в год, обновление регламента после каждого инцидента.

Регламент не заменяет технических мер (контроль доступа, журналирование, резервное копирование), но без него даже хорошая защита не помогает выдержать сроки. Для организаций в Казани и других регионах требования одинаковы, а документы мы готовим дистанционно.

Типовые ошибки

Чем поможет МелданаСБ

МелданаСБ готовит правовой и организационный пакет: политику, положение, приказы, формы согласий, поручения на обработку, а также регламент уведомления Роскомнадзора об инцидентах (24 и 72 часа). Документы готовит специалист на основе отработанных типовых решений, работа ведётся дистанционно. Состав и стоимость регламента в составе комплекта уточняем при заказе.

Частые вопросы

Начните с комплекта документов по информационной безопасности и положения о защите ПДн, а для технической части оценки рисков изучите модель угроз ПДн. Нормативные акты собраны в нормативной базе. Тексты: 152-ФЗ, КоАП.