Порядок реагирования на утечку персональных данных — образец 2026
Образец приказа и порядка реагирования на инциденты с персональными данными: уведомление Роскомнадзора за 24 и 72 часа, ГосСОПКА, роли, журнал инцидентов, заключение расследования. DOCX + PDF.
- 152-ФЗ, ст. 19, ч. 12
- 152-ФЗ, ст. 21, ч. 3.1
- Приказ РКН № 187
- Приказ ФСБ № 77
Коротко. При утечке персональных данных оператор обязан уведомить Роскомнадзор в течение 24 часов с момента выявления — о самом инциденте, причинах, вреде и принятых мерах, — а в течение 72 часов сообщить результаты внутреннего расследования (ч. 3.1 ст. 21 152-ФЗ). Сроки не продлеваются выходными. Порядок реагирования заранее распределяет роли и действия, чтобы уложиться в них; за неуведомление и за саму утечку действуют штрафы ст. 13.11 КоАП.
Структура документа
- Приказ: утверждение порядка, уполномоченный на взаимодействие с Роскомнадзором и его заместитель, группа реагирования, доступ к личному кабинету на портале Роскомнадзора
- Общие положения: что считается инцидентом, момент выявления, с которого идут сроки
- Роли: работник, руководитель группы, уполномоченное лицо, администратор, руководитель организации
- Порядок действий по шагам со сроками — от сообщения о признаках до анализа после закрытия
- Состав сведений для уведомлений Роскомнадзора за 24 и 72 часа
- Внутреннее расследование и взаимодействие с ГосСОПКА
- Иные уведомления: субъекты, правоохранительные органы, банк, контрагенты; хранение материалов
- Приложения: журнал учёта инцидентов, форма заключения по результатам расследования, лист ознакомления
Состав всех уровней — на странице комплекта документов по персональным данным.
Зачем порядок заранее
24 часа — очень мало, если в момент утечки организация впервые выясняет, кто отправляет уведомление и у кого есть доступ к личному кабинету на портале Роскомнадзора. Порядок реагирования решает это заранее: назначен уполномоченный и его заместитель, создана группа реагирования, работники знают, кому и как сообщать о подозрениях. За опоздание с уведомлением действует отдельный штраф — ч. 11 ст. 13.11 КоАП, для организаций от 1 до 3 млн рублей.
Что в образце
Приказ. Утверждает порядок, журнал и форму заключения, назначает лицо, уполномоченное на взаимодействие с Роскомнадзором, и его заместителя, создаёт группу реагирования и требует обеспечить действующий доступ к личному кабинету оператора на портале Роскомнадзора.
Понятия и сроки. Инцидент — установленный факт неправомерной или случайной передачи персональных данных, повлёкшей нарушение прав субъектов. Сроки идут с момента выявления, выходные их не продлевают.
Таблица действий. Десять шагов со сроками и ответственными: сообщение о признаках, регистрация, сдерживание, первичная оценка, уведомление за 24 часа, ГосСОПКА, расследование, уведомление за 72 часа, устранение причин и разбор инцидента.
Состав сведений. Что входит в первое уведомление и что — в уведомление о результатах расследования, как сохранять подтверждения отправки.
Приложения. Журнал учёта инцидентов с отметками о времени уведомлений и заключение по результатам внутреннего расследования.
Как внедрить
- Назначьте уполномоченного и заместителя, проверьте, что у обоих есть вход в личный кабинет на портале Роскомнадзора.
- Впишите в группу реагирования ответственного за организацию обработки, администратора систем и, если есть, юриста.
- Укажите в разделе 6 способ информирования ГосСОПКА, который применяет ваша организация. Если вы субъект КИИ, сверьте его с порядком взаимодействия с НКЦКИ.
- Ознакомьте работников под подпись и проведите короткую тренировку: условная утечка, кто кому звонит, кто отправляет уведомление.
- После каждого реального инцидента пересматривайте оценку вреда и меры защиты.
Частые ошибки
- Ждут окончания расследования, чтобы уведомить. Первое уведомление подаётся в течение 24 часов даже с неполными сведениями.
- Доступ к порталу Роскомнадзора есть только у уволившегося сотрудника. Проверяйте его заранее.
- Ложное срабатывание не фиксируют. Если проверка показала, что утечки не было, это записывается в журнал с обоснованием.
- Удаляют следы. Выключенный сервер и стёртые журналы делают расследование невозможным.
Частые вопросы
С какого момента считаются 24 часа?
С момента выявления инцидента — оператором, Роскомнадзором или иным заинтересованным лицом. Если о слитой базе первым написал журналист или сообщил Роскомнадзор, отсчёт идёт с этого момента, а не с момента, когда оператор закончил разбираться.
Что делать, если за 24 часа не всё понятно?
Отправлять уведомление с тем, что известно: о произошедшем, предполагаемых причинах и вреде, принятых мерах и об уполномоченном лице. Недостающее включается в уведомление о результатах расследования в течение 72 часов.
Нужно ли сообщать в ГосСОПКА?
Операторы обязаны взаимодействовать с ГосСОПКА по ч. 12 ст. 19 152-ФЗ, порядок установлен приказом ФСБ № 77. Обычно сведения передаются через Роскомнадзор; субъекты КИИ сообщают о компьютерных инцидентах в НКЦКИ напрямую. Порядок из комплекта оставляет поле для способа, который применяет ваша организация.
Какие штрафы за утечку?
С 30 мая 2025 года: за неуведомление Роскомнадзора организацию штрафуют на 1–3 млн рублей, за саму утечку — от 3 до 15 млн в зависимости от числа затронутых людей, за утечку специальных категорий и биометрии — до 20 млн, за повторную — оборотный штраф 1–3 % выручки. Посчитать для своего случая — в калькуляторе штрафов.