- При каждом инциденте с ПД оформляется акт и проводится внутреннее расследование
- Уведомление Роскомнадзора — обязательное действие при утечке, нарушение сроков может повлечь штраф
- Акт фиксирует обстоятельства инцидента и меры реагирования компании
- Форма и содержание акта должны соответствовать рекомендациям Роскомнадзора
Работа при инциденте с персональными данными
Пошаговый порядок:
- Немедленно зафиксировать инцидент и составить акт.
- Провести внутреннее расследование.
- Оценить объём затронутых персональных данных и возможные последствия.
- Уведомить Роскомнадзор.
- При необходимости уведомить субъектов персональных данных.
- После устранения инцидента — обновить меры защиты и внутренние процедуры.
Что считается несанкционированным доступом
Под несанкционированным доступом обычно понимается любое получение, просмотр, копирование, изменение или распространение персональных данных без законных оснований.
Типичные ситуации:
- взлом корпоративной системы;
- утечка базы клиентов;
- ошибочная отправка данных другому получателю;
- использование доступа уволенного сотрудника;
- потеря устройства с персональными данными.
Даже если инцидент не привёл к публикации данных, его всё равно желательно документально зафиксировать.
Образец акта
Акт о несанкционированном доступе к ПД
Дата: _____________________
Время: ____________________
Место: ____________________
Описание инцидента: ____________________________________
Категория ПД: __________________________________________
Объём/количество: ______________________________________
Способ получения доступа: ______________________________
Ответственные лица: ____________________________________
Меры, принятые для устранения: _________________________
Подписи: __________ (ответственный) _________ (свидетели)
Кто несёт ответственность
- Руководитель организации (оператор ПД)
- Ответственный за обработку персональных данных
- Сотрудник или подрядчик, допустивший нарушение
- ИТ-специалисты — если нарушение связано с ненадлежащей защитой системы
На практике ответственность зависит от характера инцидента и распределения обязанностей внутри компании.
Уведомление Роскомнадзора
Уведомление можно направить через кабинет на сайте pd.rkn.gov.ru. Обычно прикладываются:
- описание инцидента;
- акт о несанкционированном доступе;
- информация о затронутых данных;
- перечень принятых мер;
- сведения о планируемом устранении последствий.
Важно не затягивать с уведомлением: нарушение сроков само по себе может стать основанием для претензий со стороны РКН.
- Инцидент зафиксирован, акт составленобязательно
- Проведено внутреннее расследование
- Уведомлен РКН не позднее 72 часовобязательно
- Субъекты ПД уведомлены (при необходимости)
- Приняты меры для недопущения повторения
Практические рекомендации
- Не скрывать инцидент внутри компании
- Назначить ответственного за координацию действий
- Сразу ограничить доступ к скомпрометированным системам
- Зафиксировать все действия и временные отметки
- После инцидента провести дополнительный аудит защиты данных
Частые ошибки компаний
- отсутствие акта или журнала инцидентов;
- уведомление РКН спустя несколько дней без объяснений;
- отсутствие внутреннего расследования;
- попытка решить ситуацию только устно;
- отсутствие подтверждения принятых мер.
Вопросы по утечкам ПД
Компании, думающие что штраф — разовый риск, ошибаются. После первого нарушения РКН ставит организацию в зону повышенного внимания. Повторные нарушения оцениваются значительно строже.
Оператор обязан принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных настоящим Федеральным законом.
ФЗ-152 · Статья 18.1 · Пункт 1