Утечка персональных данных: 24 и 72 часа

Коллеги, сценарий знакомый: в пятницу вечером в чате пишут «кажется, наша выгрузка клиентов лежит в открытом доступе». С этой минуты идут часы, а не рабочие дни.

Часть 3.1 статьи 21 закона № 152-ФЗ требует от оператора уведомить Роскомнадзор об утечке персональных данных дважды:

• в течение 24 часов — что случилось, предполагаемые причины и вред, какие меры уже приняты, кто от компании отвечает за связь с Роскомнадзором по этому инциденту;
• в течение 72 часов — результаты внутреннего расследования и сведения о виновных, если они установлены.

Оба срока считаются с момента выявления инцидента.

Пример: считаем сроки

Пример условный. Инцидент выявлен в пятницу, 30.10.2026, в 21:40.

Что	Отсчёт	Крайний срок
Первое уведомление	+24 часа	суббота, 31.10.2026, 21:40
Результаты расследования	+72 часа	понедельник, 02.11.2026, 21:40

Первый срок истекает в субботу вечером, второй — в понедельник, но расследование всё равно идёт все выходные. В законе — часы, а не рабочие дни, поэтому дежурный должен знать порядок заранее.

Сколько стоит промолчать

Нарушение (ст. 13.11 КоАП)	Штраф для юрлица
Не уведомили или уведомили с опозданием (ч. 11)	1–3 млн ₽
Утекли данные от 1 до 10 тыс. человек или от 10 до 100 тыс. идентификаторов (ч. 12)	3–5 млн ₽

Эти части добавлены законом № 420-ФЗ от 30.11.2024 и действуют с 30 мая 2025 года. Должностным лицам по ч. 11 — от 400 до 800 тыс. ₽.

Важно. Инцидент считается выявленным не только когда его нашли вы. В законе сказано: выявлен оператором, Роскомнадзором или иным заинтересованным лицом. Если о выгрузке написал исследователь или клиент, часы могли пойти раньше, чем вы открыли тикет. Записывайте время первого сигнала, а не время, когда проблему подтвердили.

Чек-лист на первые сутки

• ☐ Время первого сигнала записано: кто сообщил, когда, каким каналом
• ☐ Утечка остановлена: доступ закрыт, ключи и пароли сменены, журналы сохранены
• ☐ Назначен человек для связи с Роскомнадзором
• ☐ Первое уведомление отправлено до истечения 24 часов
• ☐ Расследование назначено, срок для результатов — 72 часа от выявления

Протокол разбора уже размечен

В протоколе совещания есть всё, что понадобится для второго уведомления: кто присутствовал, что доложили, какие решения приняли, таблица поручений со сроками. Заполните его по итогам первого разбора, и хронология сохранится в одном месте.

Открыть протокол совещания →

Основание: ч. 3.1 ст. 21 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»; ч. 11–12 ст. 13.11 КоАП РФ (в ред. Федерального закона от 30.11.2024 № 420-ФЗ, ст. 2 — вступление в силу).