Что считается утечкой персональных данных

Любой неправомерный или случайный доступ к данным, повлёкший их передачу, распространение или иное неправомерное действие: взлом, ошибка настройки, отправка файла не тому адресату, вынос базы работником. Значение имеет факт доступа, а не размер ущерба.

В какой срок сообщать об инциденте

Уведомить Роскомнадзор нужно в течение 24 часов с момента обнаружения инцидента, а по итогам внутреннего расследования — в течение 72 часов направить сведения о его результатах. Несообщение наказывается отдельно от самой утечки.

Утечка персональных данных: что делать оператору

Утечкой считается любой неправомерный или случайный доступ к персональным данным, повлёкший их передачу или распространение: взлом, ошибка в настройках, файл, ушедший не тому адресату, база, вынесенная работником. Значение имеет факт доступа, а не размер ущерба и не количество записей. Обязанность сообщить о таком инциденте в Роскомнадзор установлена частью 3.1 статьи 21 152-ФЗ, и срок на это — сутки.

Сроки, которые нельзя пропустить

24 часа с момента обнаружения — уведомить Роскомнадзор об инциденте.
72 часа — направить сведения о результатах внутреннего расследования.

Несообщение наказывается отдельно от самой утечки, так что молчание превращает один состав в два.

Что делать в первые сутки

Зафиксировать обнаружение: дата, время, кто обнаружил, что именно видно.
Остановить продолжающийся доступ — сменить ключи, закрыть доступ, отключить учётную запись.
Сохранить журналы: они понадобятся и расследованию, и вам — как доказательство принятых мер.
Уведомить Роскомнадзор.
Оценить, кого из субъектов затронуло, и решить вопрос об их уведомлении.

Чем грозит

С 30 мая 2025 года за утечку установлены отдельные составы в статье 13.11 КоАП РФ с многомиллионными штрафами, а при повторной утечке — оборотный штраф от выручки. Наличие документов по защите и зафиксированных мер учитывается при назначении наказания: разница между «меры принимались» и «мер не было» здесь измеряется деньгами.

Что снижает риск заранее

Разграничение доступа, журналирование действий, отсутствие копий базы на личных устройствах и понятный порядок реагирования, записанный до инцидента, — в момент, когда счёт идёт на часы, сочинять его будет некогда.

Коротко

Что считается утечкой персональных данных: Любой неправомерный или случайный доступ к данным, повлёкший их передачу, распространение или иное неправомерное действие: взлом, ошибка настройки, отправка файла не тому адресату, вынос базы работником. Значение имеет факт доступа, а не размер ущерба.
В какой срок сообщать об инциденте: Уведомить Роскомнадзор нужно в течение 24 часов с момента обнаружения инцидента, а по итогам внутреннего расследования — в течение 72 часов направить сведения о его результатах. Несообщение наказывается отдельно от самой утечки.
Чем грозит утечка: С 30 мая 2025 года за утечку установлены отдельные составы в статье 13.11 КоАП РФ с многомиллионными штрафами, а при повторной утечке — оборотный штраф от выручки. Наличие документов по защите и зафиксированных мер учитывается при назначении наказания.

Материал опирается на редакцию нормативной базы от 11.09.2026 — что в неё вошло и по каким актам считает конструктор, перечислено в составе пакета. Расчёты в сервисе выводятся правилами по тексту актов: одни и те же исходные данные дают один и тот же результат.

Что дальше

Следующий вопрос, который обычно возникает: Проверка Роскомнадзора: что проверяют и как подготовиться.

Как выглядит сам документ: Регламент реагирования на инциденты: образец — собран конструктором, показан целиком.