Первым делом — уведомить уполномоченный орган, если ваша организация — оператор персональных данных. Сроков два, и содержание у них разное: первое уведомление — о самом факте инцидента, в течение суток с момента обнаружения; второе — о результатах внутреннего расследования, в течение трёх суток. Оба срока не зависят от того, начато исследование или нет.
Параллельно фиксируют следы: установочный файл версии, работавшей в спорный период, снимки карточки приложения в магазине, выгрузку журналов сервера и, если доступ есть, отчёты и историю выпусков из консоли разработчика. Журналы и отчёты перетираются быстрее всего, поэтому их выгружают в тот же день.
Дальше устанавливают сам факт передачи: приложение запускают на отдельном устройстве и записывают сетевой обмен. Что происходит с данными после получения адресатом и чей был умысел, эксперт не устанавливает — он фиксирует состав и адресатов передачи, а правовую оценку инцидента даёт суд.