Коротко: в течение 24 часов после того, как утечку выявили, оператор сообщает в Роскомнадзор, что случилось, почему, какой вред и что уже сделано. В течение 72 часов – результаты внутреннего расследования. Успели – штрафа за несообщение (1–3 млн ₽) нет. Если утекли обычные данные меньше 1 000 человек (и меньше 10 000 идентификаторов), штрафа по ч. 12–14 ст. 13.11 КоАП нет. Но для сведений о здоровье и других специальных категорий (ч. 16, 10–15 млн ₽) и биометрии (ч. 17, 15–20 млн ₽) порога нет.
Утечка персональных данных – ситуация, в которой может оказаться любой оператор: от интернет-магазина до клиники или автосервиса. Закон требует действовать быстро и по порядку. Самое важное время – первые часы после того, как вы узнали об инциденте: от них зависит, будет ли штраф за несообщение и как суд потом оценит ваши действия. Разбираем, что конкретно сделать в первые 24–72 часа.
Почему первые 24 часа – решающие
По ч. 3.1 ст. 21 закона № 152-ФЗ оператор обязан сообщить в Роскомнадзор о неправомерной или случайной передаче персональных данных, которая нарушила права людей: первое уведомление – в течение 24 часов, второе – в течение 72 часов с момента выявления. Порядок установлен приказом Роскомнадзора от 14.11.2022 № 187.
С 30 мая 2025 года за утечки действуют отдельные штрафы (ст. 13.11 КоАП в редакции 420-ФЗ). Индивидуальный предприниматель по ним отвечает как организация.
| Что произошло | Организация или ИП |
|---|---|
| Не сообщили в Роскомнадзор или сообщили с опозданием (ч. 11) – при любом числе пострадавших | 1–3 млн ₽ |
| Утечка: 1 000–10 000 человек или 10 000–100 000 записей (ч. 12) | 3–5 млн ₽ |
| Утечка: 10 000–100 000 человек или 100 000–1 млн записей (ч. 13) | 5–10 млн ₽ |
| Утечка: больше 100 000 человек или больше 1 млн записей (ч. 14) | 10–15 млн ₽ |
| Утечка специальных категорий, например сведений о здоровье (ч. 16) – при любом числе пострадавших | 10–15 млн ₽ |
| Утечка биометрических данных (ч. 17) – при любом числе пострадавших | 15–20 млн ₽ |
| Повторная утечка по ч. 12–14 (ч. 15) | 1–3% годовой выручки, не меньше 20 млн ₽ и не больше 500 млн ₽ |
| Повторная утечка по ч. 16 или 17 (ч. 18) | 1–3% годовой выручки, не меньше 25 млн ₽ и не больше 500 млн ₽ |
Для некоммерческих организаций и госорганов в ч. 10–18 штрафуют должностное лицо, суммы иные (примечания 2 и 3 к ст. 13.11 КоАП).
Из таблицы следуют три вывода. Штраф за несообщение грозит даже за утечку данных десяти человек – и полностью избегается, если уведомить вовремя. Порог в 1 000 человек действует только для обычных данных (ч. 12–14): утечка сведений о здоровье или биометрии штрафуется при любом числе людей. А штраф за саму утечку своевременное уведомление не отменяет, но суд учитывает поведение оператора: содействие, остановку утечки, возмещение вреда (ст. 4.2 КоАП).
Первые 24 часа
Зафиксируйте инцидент
Как только стало известно об утечке, запишите, когда и как это выяснилось. Подойдёт служебная записка или акт:
- точное время, когда узнали об утечке;
- кто и как её обнаружил (сотрудник, клиент, хостинг, запрос Роскомнадзора);
- какие системы затронуты: сайт, CRM, почта, таблица, база;
- предварительная оценка: сколько записей и какие данные.
Этот документ – основа внутреннего расследования и доказательство, что вы начали действовать сразу.
Остановите утечку
Параллельно нужно закрыть дыру, через которую уходят данные:
- сменить пароли от админки сайта, хостинга, почты и всех учётных записей, которые могли попасть в чужие руки;
- закрыть доступ к открытой базе, таблице или папке;
- временно отключить заражённую страницу, форму или весь сайт;
- заблокировать подозрительные учётные записи и доступы бывших подрядчиков.
Важно: не удаляйте журналы, файлы сайта и копии заражённых страниц. Без них не установить причину и объём утечки, а это обязательная часть второго уведомления. Изолируйте – но не стирайте.
Отправьте первое уведомление в Роскомнадзор
В течение 24 часов оператор сообщает (ч. 3.1 ст. 21 152-ФЗ):
- об инциденте – что произошло;
- о предполагаемых причинах;
- о предполагаемом вреде, причинённом правам людей;
- о принятых мерах по устранению последствий;
- о сотруднике, уполномоченном взаимодействовать с Роскомнадзором по этому инциденту.
Уведомление отправляется через портал Роскомнадзора pd.rkn.gov.ru. Не ждите полной картины: отправляйте то, что известно на сейчас, детали дойдут во втором уведомлении.
Сообщите людям, чьи данные утекли
Закон не устанавливает отдельный срок для уведомления самих людей, но сообщить им – правильно и в ваших интересах: они смогут сменить пароли, насторожиться при звонках «из банка». В сообщении укажите:
- какие данные могли утечь;
- что вы уже сделали;
- что советуете сделать им;
- куда обращаться с вопросами.
Подойдут письмо, SMS, сообщение на сайте – тот способ, которым вы реально до них дотянетесь.
Начните внутреннее расследование
Назначьте тех, кто будет разбираться. В небольшой компании это может быть руководитель, ответственный за персональные данные и программист или подрядчик, который обслуживает сайт. Им нужно выяснить:
- как именно произошла утечка: взлом, ошибка сотрудника, уязвимость в программе, утечка у подрядчика;
- какие системы и базы затронуты;
- сколько людей пострадало и какие данные утекли;
- что сделать, чтобы это не повторилось.
С 24 до 72 часов
Разберитесь в деталях
- изучите журналы доступа и действий за последние месяцы;
- установите точный перечень утекших данных: имена, телефоны, почта, паспортные данные, сведения о здоровье;
- проверьте, не затронуты ли сведения о здоровье и другие специальные категории (ч. 1 ст. 10 152-ФЗ) или биометрия (ст. 11): за их утечку штраф при любом числе людей (ч. 16, 17 ст. 13.11 КоАП).
Оцените масштаб
Посчитайте, сколько людей пострадало, и разделите по группам: клиенты, сотрудники, контрагенты, посетители сайта. Число людей и записей определяет, какая часть ст. 13.11 КоАП применяется – см. таблицу выше. Проверьте и то, какой уровень защищённости был нужен этим данным по постановлению Правительства № 1119 и выполнялись ли его требования: Роскомнадзор, скорее всего, спросит.
Отправьте второе уведомление
В течение 72 часов оператор сообщает результаты внутреннего расследования и, если они известны, сведения о лицах, чьи действия стали причиной утечки (ч. 3.1 ст. 21 152-ФЗ). Удобно приложить:
- как, когда и через что произошла утечка;
- полный перечень утекших данных и число пострадавших;
- что сделано, чтобы устранить последствия и не допустить повторения.
Обратитесь в полицию, если был взлом
Если данные украли через взлом, это преступление (ст. 272 УК – неправомерный доступ к компьютерной информации). Заявление в полицию 152-ФЗ не требует, но оно помогает расследованию и подтверждает, что вы пострадавшая сторона. Приложите материалы внутреннего расследования.
После 72 часов
Закройте причину
- обновите движок сайта, плагины и PHP, удалите лишнее;
- смените порядок доступа: двухфакторный вход, отдельные учётные записи для подрядчиков;
- проверьте, нет ли на сайте чужого кода и неизвестных пользователей в админке;
- удалите данные, которые хранить уже не нужно.
Как чаще всего взламывают сайты малого бизнеса и как это предупредить – в статье «Как происходят утечки данных с сайта и почему штраф платит владелец».
Отвечайте на запросы Роскомнадзора
После уведомления Роскомнадзор может запросить материалы расследования, документы о мерах защиты, сведения о системе, где хранились данные. На запрос Роскомнадзора оператор отвечает в течение 10 рабочих дней; срок можно продлить ещё на 5 рабочих дней, направив мотивированное уведомление (ч. 4 ст. 20 152-ФЗ).
Типичные ошибки
Ждать окончания расследования
Частая ошибка – сначала во всём разобраться, а потом сообщать. Закон требует первое уведомление через 24 часа, даже если картина неполная. Отправьте то, что известно, остальное – во втором уведомлении.
Попытаться скрыть
Скрыть утечку – значит не уведомить, а это отдельный штраф 1–3 млн ₽ при любом масштабе. Об утечке часто узнают и без оператора: базы выкладывают в Telegram-каналах, клиенты жалуются, Роскомнадзор сам присылает запрос. К тому же оператор, который промолчал, теряет то, что суд учитывает в его пользу: содействие и своевременные меры.
Недооценить масштаб
Если в первом уведомлении «только имена и почта», а потом выясняется, что утекли и телефоны с адресами, риски для людей и для компании другие. Перепроверяйте перечень данных и число записей.
Стереть следы
В спешке журналы удаляют, сайт переустанавливают с нуля. После этого уже не выяснить, как произошла утечка и что именно ушло, – а без этого второе уведомление не составить. Сначала копия, потом чистка.
Что грозит, кроме штрафа
Уголовная ответственность
С 11 декабря 2024 года действует ст. 272.1 УК – за незаконное использование, передачу, сбор и хранение персональных данных, полученных незаконным путём: штраф до 300 000 ₽ или лишение свободы до 4 лет (ч. 1). Это статья для тех, кто украл, купил или продаёт базы, а не для оператора, у которого их украли. Сотрудник, нарушивший правила работы с системами хранения данных, может отвечать по ст. 274 УК, если это привело к копированию или уничтожению информации и причинило крупный ущерб.
Репутация
Клиенты теряют доверие и отзывают согласия. Каждый пострадавший вправе потребовать через суд возмещения морального вреда – независимо от возмещения убытков (ч. 2 ст. 24 152-ФЗ).
Чек-лист действий на первые 72 часа
Первые 24 часа:
- Зафиксировать, когда и как узнали об утечке
- Остановить утечку, не удаляя журналы и файлы
- Отправить первое уведомление в Роскомнадзор
- Сообщить пострадавшим людям
- Начать внутреннее расследование
24–72 часа:
- Установить точный перечень утекших данных и число пострадавших
- Отправить второе уведомление с результатами расследования
- При взломе – подать заявление в полицию
После 72 часов:
- Закрыть причину утечки и обновить сайт
- Ответить на запросы Роскомнадзора в срок
- Удалить данные, которые хранить больше не нужно
Сроки и действия оператора по этапам:
| Период | Действия |
|---|---|
| Первые 24 часа | Зафиксировать инцидент; остановить утечку; отправить первое уведомление в Роскомнадзор; сообщить пострадавшим; начать расследование |
| 24–72 часа | Установить перечень данных и число пострадавших; отправить второе уведомление; при взломе – заявление в полицию |
| После 72 часов | Закрыть причину; отвечать на запросы Роскомнадзора; удалить лишние данные |
Частые вопросы
В какой срок нужно уведомить Роскомнадзор об утечке?
Первое уведомление – в течение 24 часов с момента, когда утечку выявили, второе, с результатами внутреннего расследования, – в течение 72 часов (ч. 3.1 ст. 21 152-ФЗ). Оба отправляются через портал pd.rkn.gov.ru.
Что будет, если не уложиться в 24 часа?
Штраф по ч. 11 ст. 13.11 КоАП: для организаций и ИП – 1–3 млн ₽. Он применяется при любом числе пострадавших.
Если сообщить вовремя, штрафа не будет?
Штрафа за несообщение – не будет. Штраф за саму утечку обычных данных назначается, если пострадало от 1 000 человек или от 10 000 идентификаторов (ч. 12–14), и своевременное уведомление его не отменяет, но учитывается в вашу пользу. Утечка обычных данных меньшего масштаба при своевременном уведомлении штрафов по ч. 11–14 ст. 13.11 КоАП не влечёт. Для сведений о здоровье и других специальных категорий (ч. 16, 10–15 млн ₽) и биометрии (ч. 17, 15–20 млн ₽) порога нет.
Можно ли удалять журналы после утечки?
Нет. Журналы и файлы нужны, чтобы установить причину и объём утечки, – без этого не составить второе уведомление. Сначала сохраните копии, потом восстанавливайте систему.
Грозит ли уголовная ответственность оператору?
Статья 272.1 УК – для тех, кто незаконно получил и использует данные. Оператору, у которого данные украли, она не грозит. Сотрудник, нарушивший правила работы с системой, может отвечать по ст. 274 УК, если это повлекло копирование или уничтожение информации и крупный ущерб.
На что опираемся
- Проверьте свой сайт бесплатно – найдём нарушения 152-ФЗ и покажем, какие штрафы за них грозят.
- Соберите документы под свою компанию – политика, отдельное согласие по 156-ФЗ и cookie-политика, реквизиты по ИНН. Политика – бесплатно. Перейти к генератору →
- Пришло требование Роскомнадзора или случай сложный? Опишите задачу – посмотрим и скажем, чем можем помочь.