Главная

Уведомление Роскомнадзора об утечке персональных данных в течение 24 часов

Срок 24 часа отсчитывается с момента выявления инцидента; уведомление подписывает руководитель или уполномоченное им лицо, а готовит его ответственный за организацию обработки. В первичном уведомлении кратко укажите описание инцидента, масштаб затронутых персональных данных и принятые меры, промедление опаснее, чем уведомление с неполной информацией.

Статус обязательное уведомление при установлении факта утечки или неправомерного доступа к ПДн
Основание ч. 3.1 ст. 21 152-ФЗ
Срок 24 часа с момента выявления инцидента
Кто утверждает руководитель организации или уполномоченное им лицо
Объект уведомления персональные данные при случаях утечки, неправомерного доступа или мнимого обезличивания
Административная ответственность по ст. 13.11 КоАП: при повторном нарушении 1 - 3 % выручки (минимум 20/25 млн ₽); спецкатегории 10 - 15 млн ₽; биометрия 15 - 20 млн ₽
Обновлено июль 2026

01 Назначение

Уведомление Роскомнадзора об утечке персональных данных в течение 24 часов

Краткое практическое руководство по границам обязанности, срокам, ролям и типичным ошибкам при направлении уведомления в РКН.

Суть обязанности и область применения. Обязательное уведомление Роскомнадзора возникает при установлении факта утечки, неправомерного доступа или мнимого обезличивания персональных данных. Срок подачи уведомления - 24 часа с момента выявления инцидента. Требование введено федеральными изменениями и уточнено в нормативном порядке взаимодействия с регулятором.

Роли и порядок принятия решения в организации. Решение об отправке уведомления принимает руководитель организации или уполномоченное им лицо; ответственный за организацию обработки собирает факты и готовит служебную записку для руководства. Внутри организации фиксируйте время выявления, круг затронутых систем и начальные меры реагирования, чтобы уложиться в 24 часа.

Что указывать в уведомлении и как взаимодействовать с РКН. Уведомление должно содержать сжатую информацию о характере инцидента, времени выявления, категориях затронутых персональных данных и принятых мерах по устранению и минимизации вреда. Для взаимодействия и направления уточнений используйте каналы и формат, предусмотренные регламентом РКН.

Риски несоблюдения и типичные ошибки при подготовке. Неуведомление или признание мнимого обезличивания при реальной возможности восстановления привязки влечёт административную ответственность по ряду положений КоАП с существенными санкциями для повторных нарушений и отдельных категорий данных. Частые ошибки - задержка сбора первичных сведений, отсутствие служебной записи о принятом решении, неполное описание категорий данных и мер реагирования.

Раскрыть полностью

02 Ответственность

Административная ответственность за неуведомление Роскомнадзора об утечке ПДн

ч. 11 ст. 13.11 КоАП РФ; см. также ч. 12 - 18 ст. 13.11 для иных составов и повторных нарушений

Юридическое лицо 1 000 000 - 3 000 000 ₽
Должностное лицо 400 000 - 800 000 ₽
Физическое лицо (гражданин) 50 000 - 100 000 ₽
Юридическое лицо, при повторном нарушении 1 - 3 % выручки, не менее 20 и 25 млн ₽
Юридическое лицо, при обработке спецкатегорий 10 - 15 млн ₽
Юридическое лицо, при обработке биометрических данных 15 - 20 млн ₽

Обязательное уведомление в течение 24 часов по ч. 3.1 ст. 21 152-ФЗ делает просрочку или неуведомление основанием для привлечения по ст. 13.11 КоАП. При мнимом обезличивании, массовой утечке, обработке спецкатегорий или повторных нарушениях санкции выше. Типичные ошибки операторов - отсутствие регламента уведомления, поздняя квалификация инцидента и несоблюдение порядка взаимодействия с Роскомнадзором.

03 Синонимы и поисковые названия

Как ещё называют этот документ

Термин «утечка» - разговорный; в правовой норме речь об установлении факта неправомерного или случайного доступа, передачи, предоставления или распространения персональных данных, повлекших нарушение прав субъектов. На практике название документа часто отражает срочность и адресата уведомления.

Уведомление Роскомнадзора об утечке персональных данных
Уведомление об утечке персональных данных
Первичное уведомление об инциденте с персональными данными
Сообщение в Роскомнадзор о факте неправомерного доступа к персональным данным
Сообщение в РКН о нарушении конфиденциальности персональных данных
Форма уведомления об инциденте с персональными данными
Уведомление о нарушении прав субъектов персональных данных
Заявление в Роскомнадзор о факте утечки базы персональных данных
Сообщение об инциденте с базой персональных данных

04 Обязательное содержание

Чеклист содержимого уведомления в 24 часа

Короткий перечень обязательных разделов и элементов в документе уведомления для отправки в Роскомнадзор при установлении факта утечки или неправомерного доступа.

Срок уведомления и фиксация момента выявления В документе зафиксировано точное время выявления инцидента и отметка о направлении уведомления в пределах 24 часов; есть отметки времени и ответственный за фиксацию.
Утверждение и ответственное лицо Указано лицо, утвердившее уведомление (руководитель организации или уполномоченное им лицо), его контактные данные и сведения о порядке экстренного утверждения.
Описание характера инцидента и объем затронутых данных Краткое описание сценария утечки, перечень категорий персональных данных и оценка числа затронутых субъектов; отмечено, если обезличивание может быть мнимым.
Принятые меры по локализации и ссылки на доказательства Перечислены немедленные меры по локализации и снижению риска с отметками времени и ссылками на документы и записи, подтверждающие выполнение действий.
Контактные данные для взаимодействия с регулятором Указаны контактное лицо и каналы связи для оперативного взаимодействия с регулятором, а также внутренний контакт для получения дополнительных данных по инциденту.
Оценка последствий и план дальнейших действий Присутствует предварительная оценка возможного вреда, план расследования с обозначением этапов и ответственных, а также порядок обновления уведомления при появлении новой информации.

05 Применимость

Кому и в каких случаях направлять уведомление в Роскомнадзор

Краткие критерии применения уведомления о факте утечки или неправомерного доступа к персональным данным, формальные сроки и возможные последствия непредоставления информации регулятору.

Обязательность уведомления в Роскомнадзор Уведомление обязательно при установлении факта утечки персональных данных или неправомерного доступа к ним; документ направляется в Роскомнадзор в установленном порядке и в установленные сроки.
Кто подпадает под обязанность Юридические лица, их обособленные подразделения и индивидуальные предприниматели, осуществляющие обработку персональных данных, если у них выявлен инцидент, затрагивающий ПДн; критерий применения - факт нарушения, а не только форма организации.
Случаи, при которых требуется уведомление Уведомление применяется при реальной утечке данных, при неправомерном доступе к персональным данным и в ситуациях мнимого обезличивания, когда по факту сохраняется возможность восстановления сведений.
Срок направления уведомления Уведомление должно быть направлено в срок, установленный законом, отсчитываемый от момента выявления инцидента; момент выявления следует фиксировать в сопроводительных материалах дела.
Ответственность за непредставление уведомления Невыполнение обязанности по уведомлению может повлечь административную ответственность по положениям КоАП, включая штрафные санкции при повторных нарушениях и отдельные размеры санкций для специальных категорий и биометрических данных.
Границы применения и типичные ошибки Документ предназначен для уведомления регулятора об инциденте с ПДн и не заменяет уведомления субъектов данных или внутренние корректирующие акты. Частые ошибки - отсутствие фиксации момента выявления, неполное описание затронутых категорий данных, преждевременные утверждения о мнимом обезличивании без подтверждения.

06 Нормативная база

Нормативная основа уведомления Роскомнадзора об утечке ПДн

ч. 3.1 ст. 21 152-ФЗ Установлена прямая обязанность уведомить уполномоченный орган при выявлении утечки или неправомерного доступа к персональным данным в пределах, предусмотренных нормой. Норма задаёт оперативный триггер для подачи уведомления и является юридическим основанием для последующих мер контроля и реагирования.
ч. 3.1 ст. 21 152-ФЗ Определяет требование по сроку реагирования: уведомление подаётся в течение 24 часов с момента выявления инцидента. Для документации процесса уведомления это ключевая граница для расчёта времени обнаружения и фиксирования даты/времени начала отсчёта.
266-ФЗ от 14.07.2022 Закон ввёл обязанность уведомлять уполномоченный орган об инцидентах с персональными данными и определил начало действия новой ответственности с 1 сентября 2022 года. Для оператора важно учитывать дату вступления нормы при приведении внутренних процедур в соответствие.
приказ РКН № 187 от 14.11.2022 Уточняет порядок взаимодействия с регулятором при инцидентах: форматы уведомлений, каналы связи и этапы обмена информацией. Для рабочих процедур документа этот приказ задаёт операционные требования к оформлению и направлению уведомлений с даты начала применения.
ч. 11 ст. 13.11 КоАП Ответственность за неуведомление или несоблюдение сроков подачи уведомления: административная санкция для юридического лица, применяемая при выявлении факта просрочки или отсутствия уведомления. Норма подчеркивает необходимость контроля за сроками внутри оператора.
ч. 12 - 14 ст. 13.11 КоАП Шкала административных санкций за сам факт нарушения безопасности персональных данных в зависимости от числа затронутых субъектов. Для карточки уведомления важно учесть, что при подтверждении масштабной утечки помимо обязанностей по уведомлению наступает прямой риск значительных штрафов по этим частям статьи.
ч. 16, 17 ст. 13.11 КоАП Отдельные повышенные размеры штрафов при нарушениях, затрагивающих специальные категории данных и биометрические данные. При подготовке уведомления следует выделять такие случаи как повышенно рискованные и требующие особого внимания при оценке последствий.
ч. 15, 18 ст. 13.11 КоАП Агрегированные санкции при повторных нарушениях: возможность взыскания в процентах от выручки организации с установленными минимальными пределами. Норма служит мотивом для внедрения мер предотвращения повторных инцидентов и документального закрепления процедур уведомления и расследования.

08 Внедрение

Внедрение процедуры уведомления Роскомнадзора об утечке ПДн (срок 24 часа)

Короткая последовательность шагов от фиксации инцидента до передачи в Роскомнадзор и формирования папки для проверяющего. Фокус на соблюдении срока 24 часа и на комплекте доказательств.

1. Фиксация инцидента и первичное документирование Служба безопасности или ответственный за организацию обработки фиксирует событие: время обнаружения, затронутые системы, краткое описание и первые признаки утечки. Результат на выходе: документ 'Акт регистрации инцидента' с отметкой времени и запись в журнале инцидентов.
2. Оценка факта утечки и подготовка проекта уведомления Ответственный проверяет, подтверждает факт утечки или мнимого обезличивания и формирует проект уведомления с набором сведений, предусмотренных законом и инструкциями РКН. Результат на выходе: файл 'Проект уведомления в РКН'.
3. Утверждение и подписание уведомления Руководитель организации или уполномоченное им лицо проверяет проект, утверждает и подписывает уведомление; при необходимости дает поручения по срочным мерам защиты. Результат на выходе: подписанное 'Уведомление в Роскомнадзор' с указанием утвердившего лица.
4. Направление уведомления и фиксация отправки в пределах 24 часов Направить уведомление в Роскомнадзор способом, предусмотренным регламентом, не позднее 24 часов с момента выявления инцидента; зафиксировать дату и время отправки и получение подтверждения или входящей отметки. Результат на выходе: электронная копия отправленного уведомления и квитанция или входящая отметка.
5. Сбор комплекта доказательств и подготовка внутреннего отчета Собрать в папку для контролирующих и внутренней проверки: подписанное уведомление, подтверждение отправки, акт регистрации инцидента, результаты первичного расследования, логи доступа и прилагаемые скриншоты, приказ о мерах. Подготовить 'Отчет о результатах расследования' для направления по регламенту. Результат на выходе: папка 'Дело по инциденту' и 'Отчет о расследовании'.

09 Актуализация

Поводы для обновления шаблона уведомления РКН об утечке ПДн

Обновляется не сам факт уведомления, а рабочая заготовка: шаблон сообщения, контакты уполномоченного, список затронутых систем и порядок документирования. Несвоевременная правка мешает уложиться в срок 24 часа и осложняет доказательную базу.

Установлен факт утечки или неправомерного доступа При подтверждении инцидента обязанность уведомить Роскомнадзор действует в течение 24 часов, поэтому сразу проверяют шаблон уведомления, комплект доказательств и готовность ответственных лиц. Сформировать проект уведомления, зафиксировать время обнаружения и перечень затронутых данных, подготовить пакет доказательств и поставить руководителю на подпись.
Сменился уполномоченный или его контакты Если контактные данные в уведомлении устарели - телефон, почта или лицо, утверждающее уведомление - обновление необходимо немедленно, иначе регулятор не сможет установить связь. Внести новые контакты в шаблон и в реестр ответственных, проверить доступы к почтовым ящикам и резервные каналы связи.
Появились новые системы или категории персональных данных Подключение новой ИСПДн или обработка иной категории данных изменяет перечень систем и рисков в уведомлении, требуется уточнить, какие подсистемы и владельцы должны указываться. Обновить раздел 'Затронутые системы и данные', согласовать изменения с ИТ, ИБ и владельцами данных.
Изменился порядок подачи или форматы Роскомнадзора Подзаконные акты и приказы РКН могут менять форму, канал или порядок взаимодействия; заготовку сверяют с действующим регламентом и форматом обмена. Сверить шаблон с действующей инструкцией РКН, при необходимости обновить поля формы и способ передачи уведомления.
Постинцидентный разбор или тренировочный прогон показал недостатки После реального инцидента или тренировки обнаруживаются пробелы в шаблоне и процессе: отсутствуют данные, неясны роли, нет резервных каналов. Правки вносят немедленно, чтобы в следующий раз уложиться в срок. Провести разбор инцидента, оформить список доработок шаблона и регламента, провести тренировочный прогон с ключевыми участниками процесса.

10 Проверка

Инспектор проверит

Документы и материалы проверки, связанные с уведомлением Роскомнадзора об инциденте с персональными данными: своевременность, содержание уведомления и доказательства отправки.

Вопрос 01 «Предъявите документ, подтверждающий решение об уведомлении и лицо, утвердившее отправку.»
Вопрос 02 «Предъявите копию уведомления, направленного в Роскомнадзор.»
Вопрос 03 «Предоставьте подтверждение соблюдения 24-часового срока с момента выявления инцидента.»
Вопрос 04 «Предъявите материалы расследования инцидента и сведения о затронутых категориях персональных данных.»
Вопрос 05 «Предъявите подтверждения мер по минимизации последствий инцидента для субъектов персональных данных.»

Инспектор при проверке, может запросить:

приказ или распоряжение руководителя об утверждении уведомления либо документ о делегировании полномочий на отправку уведомления
копия уведомления, направленного в Роскомнадзор, с датой, отметками и электронной подписью либо служебная запись об отправке (заголовки сообщения, протокол обмена)
журнал регистрации инцидентов или реестр с отметками времени выявления инцидента и времени отправки уведомления в РКН
протокол расследования инцидента, акты обследования и перечень затронутых категорий персональных данных с оценкой объема и характера раскрытых сведений
план реагирования и отчеты о выполненных мерах по устранению последствий, уведомления субъектов, журналы восстановительных работ

11 Экспертная позиция

Критический риск и рабочая мера

Критический риск - пропуск запуска 24-часового срока: он отсчитывается с момента выявления инцидента, а не с завершения внутреннего расследования. На практике это значит держать готовым минимальный, заранее утверждённый пакет уведомления и порядок эскалации, где зафиксированы время выявления, решение руководителя и канал отправки. Если есть признаки мнимого обезличивания, относите случай к возможной утечке и готовьте уведомление в срок, затем доказывайте результаты анализа. Такой подход снижает риск административной ответственности и ускоряет сбор требуемых доказательств.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы по уведомлению Роскомнадзора об утечке ПДн (24 часа)

Срок отсчитывается с момента выявления факта утечки или неправомерного доступа, то есть когда у организации есть основания считать, что произошёл инцидент, влияющий на персональные данные. Если initial анализ требует дополнительной проверки, фиксируйте время выявления и продолжайте расследование параллельно с подготовкой уведомления.

Уведомление Роскомнадзора об утечке персональных данных в течение 24 часов

Уведомление Роскомнадзора об утечке персональных данных в течение 24 часов

Административная ответственность за неуведомление Роскомнадзора об утечке ПДн

Как ещё называют этот документ

Чеклист содержимого уведомления в 24 часа

Кому и в каких случаях направлять уведомление в Роскомнадзор

Нормативная основа уведомления Роскомнадзора об утечке ПДн

Внедрение процедуры уведомления Роскомнадзора об утечке ПДн (срок 24 часа)

Поводы для обновления шаблона уведомления РКН об утечке ПДн

Инспектор проверит

Критический риск и рабочая мера

Частые вопросы по уведомлению Роскомнадзора об утечке ПДн (24 часа)

База знаний содержит 268 документов

Заказать уведомление в Роскомнадзор и комплект доказательств

Уведомление Роскомнадзора об утечке персональных данных в течение 24 часов

Уведомление Роскомнадзора об утечке персональных данных в течение 24 часов

Административная ответственность за неуведомление Роскомнадзора об утечке ПДн

Как ещё называют этот документ

Чеклист содержимого уведомления в 24 часа

Кому и в каких случаях направлять уведомление в Роскомнадзор

Нормативная основа уведомления Роскомнадзора об утечке ПДн

Связанные документы

Внедрение процедуры уведомления Роскомнадзора об утечке ПДн (срок 24 часа)

Поводы для обновления шаблона уведомления РКН об утечке ПДн

Инспектор проверит

Критический риск и рабочая мера

Частые вопросы по уведомлению Роскомнадзора об утечке ПДн (24 часа)

База знаний содержит 268 документов

Заказать уведомление в Роскомнадзор и комплект доказательств

Скачайте каталог решений с ценами под вашу нишу и вдохновитесь идеями