Утечка персональных данных: что делать бизнесу в первые 24 и 72 часа

Коротко

• Утечка — это любая неправомерная или случайная передача персональных данных, из-за которой нарушены права людей. Злой хакер для этого не обязателен.
• По ч. 3.1 ст. 21 закона № 152-ФЗ оператор обязан уведомить Роскомнадзор дважды: в течение 24 часов об инциденте и в течение 72 часов о результатах внутреннего расследования.
• Если не сообщить, это отдельный штраф по ч. 11 ст. 13.11 КоАП: от 1 до 3 млн ₽ для компании и ИП. Штраф за саму утечку начисляется сверху.
• Для малого бизнеса основные дыры видны снаружи: формы, которые шлют заявки на личную почту, открытые таблицы, старые плагины и общие пароли.

Что считается утечкой персональных данных?

В законе нет слова «утечка». Там говорится о неправомерной или случайной передаче (предоставлении, распространении, доступе) персональных данных, которая повлекла нарушение прав субъектов. На практике под это подпадает больше, чем кажется:

Если сомневаетесь, считать ли случай утечкой, исходите из худшего и действуйте по шагам ниже. Лишнее уведомление обойдётся дешевле пропущенного.

Что сделать в первые 24 часа?

Отсчёт идёт с момента, когда инцидент выявлен. Не с момента, когда руководитель вернулся из отпуска.

1. Остановить утечку. Закрыть доступ к таблице, сменить пароли от CRM, хостинга и почты, отключить взломанную форму или плагин, отозвать доступы уволенного сотрудника.
2. Зафиксировать, что произошло. Скриншоты, время, какие данные и примерно скольких людей это касается. Логи сервера не удалять, даже если хочется «почистить».
3. Назначить ответственного за общение с Роскомнадзором. В уведомлении нужны его контакты.
4. Отправить первое уведомление в Роскомнадзор. Это делается через портал персональных данных Роскомнадзора (pd.rkn.gov.ru), там есть отдельная форма об инцидентах.

В первом уведомлении закон требует указать:

• что произошло (описание инцидента);
• предполагаемые причины;
• предполагаемый вред для людей, чьи данные утекли;
• какие меры уже приняты для устранения последствий;
• данные человека, который будет общаться с Роскомнадзором от вашего имени.

Писать роман не нужно. Достаточно честного короткого описания: «19 октября обнаружено, что таблица с заявками с сайта (имя, телефон, примерно 400 записей) была доступна по ссылке. Доступ закрыт, ссылки отозваны, проводим проверку».

Что сделать в течение 72 часов?

За трое суток нужно провести внутреннее расследование и отправить второе уведомление:

• результаты расследования: что на самом деле произошло и почему;
• сведения о лицах, чьи действия привели к инциденту, если такие лица установлены.

Параллельно стоит устранить причину, а не только последствия. Если утечка случилась через форму сайта, которая отправляла заявки на почту, к которой имели доступ пять человек, замена пароля ничего не решит. Нужно менять саму схему.

Нужно ли сообщать клиентам?

В ст. 21 закона № 152-ФЗ обязанность уведомлять самих людей прямо не прописана: речь идёт о Роскомнадзоре. Но если люди попросят, вы обязаны рассказать, какие их данные и как обрабатываются. С точки зрения репутации короткое честное сообщение клиентам («ваши данные могли попасть к посторонним, вот что мы сделали») обычно работает лучше, чем тишина, после которой новость появится без вас.

Какие штрафы грозят за утечку?

Отдельно наказывается сама утечка и отдельно — молчание о ней. Суммы зависят от числа людей и вида данных: от 3–5 млн ₽ за утечку данных 1–10 тысяч человек до 15–20 млн ₽ за биометрию, а за повторные утечки — оборотные штрафы от 1 до 3% выручки. Полная таблица по частям ст. 13.11 КоАП — в нашей статье штрафы по 152-ФЗ для ИП и ООО.

Для клиник и всех, кто хранит сведения о здоровье, порога по числу людей нет: даже маленькая утечка дорого стоит. Об этом подробнее в статье согласие пациента и сайт клиники.

Как не допустить утечку через сайт?

Мы проверяем сайты малого бизнеса каждый день, и почти все проблемы одни и те же:

• форма заявки отправляет данные на личную почту на Gmail или Mail.ru, к которой есть доступ у нескольких сотрудников;
• заявки дублируются в гугл-таблицу с открытым доступом по ссылке;
• админка сайта на стандартном адресе с паролем, который не меняли с запуска;
• старые плагины WordPress, в которых давно нашли дыры;
• копии базы сайта лежат на хостинге в открытой папке;
• у подрядчика, который делал сайт пять лет назад, до сих пор есть доступ.

Большую часть этого видно снаружи за 10–15 минут, а исправляется за день. Мы делаем это в рамках исправления сайта по 152-ФЗ: переносим приём заявок на российский сервер, убираем лишние копии и доступы, ставим согласия и показываем результат в отчёте «было — стало».

Частые вопросы

Что будет, если не сообщить Роскомнадзору об утечке?

Штраф по ч. 11 ст. 13.11 КоАП: от 1 до 3 млн ₽ для компании и ИП. Это отдельно от штрафа за саму утечку.

Нужно ли уведомлять Роскомнадзор, если утекли данные 10 человек?

Да. Срок 24 и 72 часа не зависит от числа людей. Число затронутых людей влияет на размер штрафа за саму утечку, но не на обязанность уведомить.

Мы ИП без сотрудников, к нам это относится?

Да, если вы собираете данные клиентов: имена, телефоны, адреса. ИП по этим частям ст. 13.11 КоАП отвечает как юридическое лицо.

Кто виноват, если утечка произошла у подрядчика или в облачном сервисе?

Перед Роскомнадзором отвечает оператор, то есть вы. Претензии к подрядчику — отдельный вопрос по договору. Поэтому так важно знать, у кого есть доступ к вашей базе.

Итог

При утечке у бизнеса есть 24 часа, чтобы остановить её и сообщить Роскомнадзору, и 72 часа, чтобы разобраться в причинах и отправить второе уведомление. Молчание наказывается отдельно и стоит от 1 млн ₽. Гораздо дешевле закрыть дыры заранее: формы, таблицы, старые доступы. Если хотите знать, где они на вашем сайте, проверьте сайт по 152-ФЗ. Технические исправления снижают риски, но не заменяют юридическую оценку всех процессов компании.

Источники:

• Федеральный закон № 152-ФЗ «О персональных данных», ст. 21 — КонсультантПлюс
• КоАП РФ, ст. 13.11 — КонсультантПлюс

Студия AIStudioDimkoFF