Уведомление об инциденте с персональными данными
Когда возникает обязанность уведомить Роскомнадзор, как считать сроки 24 и 72 часа и почему нельзя ждать внешнего экспертного заключения.
Когда оператор обязан уведомить Роскомнадзор
Обязанность по части 3.1 статьи 21 возникает при установлении факта неправомерной или случайной передачи персональных данных — предоставления, распространения или доступа, — повлекшей нарушение прав субъектов персональных данных. Одного подозрения, сообщения об уязвимости или необычного сетевого запроса недостаточно, чтобы считать эти условия установленными.
Подозрение требует оперативной проверки: какие данные затронуты, произошла ли передача или доступ, на каком основании и нарушены ли права людей. Если предусмотренный законом инцидент выявлен, ожидание полного технического отчёта или внешнего экспертного заключения не переносит начало сроков уведомления.
- Оба срока — 24 и 72 часа — отсчитываются с момента выявления инцидента оператором, Роскомнадзором или иным заинтересованным лицом.
- Сообщение о результатах внутреннего расследования подают в пределах 72 часов от выявления инцидента, а не через 72 часа после первичного уведомления.
Ключевые нормы и правила
По краткому содержанию легко найти нужную статью, но полный текст документа оно не заменяет.
Условие уведомления и два срока
При установленном факте неправомерной или случайной передачи персональных данных, повлекшей нарушение прав их субъектов, оператор уведомляет уполномоченный орган: в течение 24 часов — об инциденте, предполагаемых причинах и вреде, принятых мерах и контактном лице; в течение 72 часов — о результатах внутреннего расследования и о лицах, чьи действия стали причиной инцидента, при наличии таких сведений.
Практическое применение норм
Зачем нужны эти правила, как их применяют и что при этом должны учесть стороны, суд и экспертная организация.
Подозрение и установленный инцидент
Необычная активность приложения или найденный дефект защиты ещё не показывают, что персональные данные переданы или стали доступны неправомерно. Проверьте содержание данных, получателя, доступность записей и фактические действия с ними. Название события во внутренней системе мониторинга не заменяет проверку условий закона.
При этом проверку нельзя превращать в ожидание удобной даты для начала отсчёта. Зафиксируйте, когда поступило сообщение, что именно в нём было известно, какие сведения подтвердились и когда выявлен инцидент. Если сведения пришли от другого заинтересованного лица, учитывают и этот источник выявления.
Что сообщают в пределах 24 и 72 часов
В течение 24 часов сообщают о произошедшем инциденте, предполагаемых причинах нарушения прав и предполагаемом вреде, принятых мерах по устранению последствий. Также предоставляют сведения о лице, которое оператор уполномочил взаимодействовать с Роскомнадзором по выявленному инциденту.
В течение 72 часов сообщают результаты внутреннего расследования. Если установлены лица, действия которых стали причиной инцидента, предоставляют сведения о них. Оба срока закон связывает с одним событием — выявлением инцидента; рабочие дни вместо часов в этой норме не предусмотрены.
Что сохранить и как использовать исследование
Сохраняйте журналы событий, исходное сообщение, версии приложения и серверной части, конфигурацию доступа, сведения о времени и часовых поясах, копии затронутых материалов и записи о принятых мерах. Ограничивайте доступ к этим материалам: дополнительная рассылка персональных данных ради проверки может увеличить последствия. Действия по локализации и восстановлению фиксируйте так, чтобы было понятно, что изменено и какие следы сохранились.
Специалист может исследовать доступ, передачу данных, последовательность событий и технические причины. Согласуйте объект, разрешённые действия и безопасный способ передачи материалов. Технический вывод помогает установить факты, но не гарантирует отсутствие нарушения, освобождение от ответственности или принятие уведомления без замечаний.
Что проверить по делу
-
01
Проверить сообщение и сохранить следы
Зафиксировать источник и время сообщения, проверить фактическую передачу или доступ к персональным данным и последствия для прав их субъектов.
-
02
Организовать уведомление и меры
При выявленном инциденте отсчитать оба срока от момента его выявления, назначить ответственное лицо и зафиксировать принятые меры.
-
03
Провести внутреннее расследование
Установить обстоятельства и технические причины, подготовить результаты в пределах 72 часов. Привлечение внешнего эксперта не приостанавливает этот срок.