Регламент уведомления Роскомнадзора об утечке ПДн: порядок подачи, штрафы

Статус обязательный при обработке персональных данных
Основание ч. 3.1 ст. 21 152-ФЗ; приказ РКН № 187 от 14.11.2022
Публичность внутренний документ
Кто утверждает руководитель организации
Обновлено июль 2026
Срок уведомления не позднее 24 часов с момента обнаружения инцидента
Ответственный за исполнение ответственный за организацию обработки персональных данных
Область применения все подразделения и сервисы организации, обрабатывающие персональные данные

01 Назначение

Регламент уведомления Роскомнадзора об утечке персональных данных

Назначение и область применения. Документ регулирует порядок действий при установленном или предполагаемом факте утечки персональных данных в организации. Применять регламент нужно при любом инциденте с возможным нарушением конфиденциальности данных клиентов, сотрудников или контрагентов. Утверждение и контроль за исполнением возлагаются на руководителя организации и ответственного за организацию обработки персональных данных. В документе описаны триггеры реакции, распределение ролей и порядок регистрации инцидента в реестре.

Кто уведомляет и сроки. За направление уведомления в Роскомнадзор отвечает назначенное ответственное лицо при организации обработки персональных данных, при необходимости с привлечением службы информационной безопасности и юридической службы. Уведомление направляют не позднее 24 часов с момента выявления инцидента. Параллельно фиксируют время обнаружения, принятые первичные меры и лица, вовлечённые в расследование, чтобы подтверждать соблюдение срока и демонстрировать исполнение обязательств при проверках.

Содержание уведомления и комплект доказательств. В уведомлении кратко фиксируют факт инцидента, оценку затронутого объёма персональных данных и предпринятые оперативные меры по локализации. Внутренний комплект доказательств должен включать журнал событий и доступа, акт расследования, копии уведомлений субъектам при наличии и протоколы устранения последствий. Храните эти документы и материалы в защищённом реестре инцидентов с указанием ответственных и времени действий для последующей передачи инспектору при проверке.

Типичные ошибки, триггеры проверки и меры контроля. Частые ошибки - запоздалое или отсутствующее уведомление, формальное обезличивание без подтверждающих доказательств, отсутствие актов и логов. Триггеры для срочной проверки и уведомления включают массовую экспортную активность, сообщения от субьектов данных о рассылке их данных и повторяющиеся инциденты по одним и тем же системам. Внедрите контрольные сценарии: автоматический оповещатель при подозрительных событиях, регламентированный шаблон уведомления и периодические учения по воспроизведению сценариев уведомления.

Раскрыть полностью

02 Ответственность

Штрафы за неуведомление или просрочку уведомления о факте утечки ПДн

ч. 11 ст. 13.11 КоАП РФ - неуведомление или просрочка

Юридическое лицо 1 000 000 - 3 000 000 ₽
Должностное лицо 400 000 - 800 000 ₽
Физическое лицо (гражданин) 50 000 - 100 000 ₽

Срок уведомления, релевантный для привлечения по ч. 11 ст. 13.11, установлен ч. 3.1 ст. 21 152-ФЗ: не позднее 24 часов с момента обнаружения инцидента. За повторные утечки и за случаи с имитацией обезличивания предусмотрены более строгие части ст. 13.11 (ч. 12 - 14, ч. 15). Типичные операционные ошибки: задержка из-за длительного внутреннего согласования, неправильная квалификация события как обезличивание, отсутствие фиксации времени обнаружения или журнала инцидента. Наличие утверждённого регламента и документальной фиксации момента обнаружения и отправки уведомления снижает риск привлечения по более тяжким составам.

03 Синонимы и поисковые названия

Как ещё называют этот документ

Короткие названия для поиска и разговорного употребления. Документ узко про порядок срочного уведомления регулятора о фактах неправомерного доступа к персональным данным и про комплект уведомления.

Порядок уведомления Роскомнадзора об утечке персональных данных
Регламент взаимодействия с Роскомнадзором при инциденте
Инструкция по уведомлению Роскомнадзора об утечке ПДн
Порядок подачи уведомления об инциденте с персональными данными
Регламент информирования регулятора об утечке данных
Правила уведомления Роскомнадзора о неправомерной передаче персональных данных
Порядок работы с личным кабинетом оператора при утечке
Регламент подачи уведомлений об инцидентах в Роскомнадзор
Форма и комплект уведомления о факте неправомерного доступа
Порядок срочного уведомления регулятора о нарушении безопасности ПДн

04 Обязательное содержание

Что должно быть в регламенте уведомления РКН

Короткий чеклист по обязательным элементам регламента, чтобы документ был применим на практике и соответствовал установленным требованиям.

Утверждённая редакция и реквизиты Документ содержит информацию о лице, утвердившем регламент, дату и номер редакции, дату вступления в силу и ответственное подразделение за ведение версии.
Критерии выявления и подтверждения инцидента Чёткие критерии, при которых событие признаётся инцидентом, порядок первичной фиксации и подтверждающие признаки, инициирующие процедуру уведомления и расследования.
Шаблон уведомления и обязательные поля Готовый шаблон уведомления с перечислением обязательных полей и контактной информацией, согласованный с требованиями регулятора и пригодный для оперативной отправки.
Сроки сбора сведений и направление уведомления Порядок сбора минимально необходимых сведений и этапы подготовки уведомления, включая обязанность уведомить регулятора в установленный законом срок от момента обнаружения.
Распределение ролей и контактные данные Таблица ролей с контактами ответственных за обнаружение, оценку инцидента, подготовку уведомления и связь с регулятором, включая резервные контакты на случай недоступности основных.
Граничные случаи и ответственность Правила для спорных случаев (сомнительное обезличивание), повторных инцидентов и невыполнения обязанностей, с триггерами для эскалации и ссылкой на возможные правовые последствия.

05 Применимость

Область применения регламента уведомления РКН об утечке персональных данных

Краткие указания, кому и в каких случаях нужен регламент уведомления Роскомнадзора, какие документы дополняет и какие риски покрывает. Сфокусировано на обязанностях организации при обнаружении инцидента с персональными данными.

Кому предназначен регламент Организациям и их структурным подразделениям, осуществляющим обработку персональных данных, которые обязаны иметь порядок уведомления регулятора при инцидентах с персональными данными; документ применим как для центральных офисов, так и для подразделений, принимающих решения по инцидентам.
Когда регламент обязателен Регламент применяется при инцидентах, в отношении которых действуют требования уведомления регулятора; срок направления уведомления составляет не позднее 24 часов с момента обнаружения инцидента.
Кто утверждает и статус документа Регламент утверждается руководителем организации и имеет статус внутреннего документа. Используется оперативными службами, юридическим отделом и ответственными за обработку персональных данных для отработки сценариев уведомления.
Риски и ответственность при несоблюдении Несоблюдение обязанности уведомления или формальное обезличивание данных при фактическом наличии риска утечки может повлечь административную ответственность в соответствии с положениями КоАП, включая ответственность за неуведомление, фиктивное обезличивание и повторные нарушения.
Границы применения и взаимодействие с другими документами Регламент не заменяет регламенты реагирования на инциденты информационной безопасности и внутренние меры защиты персональных данных. При расследовании и подготовке уведомления использовать регламент совместно с процедурой расследования инцидентов, шаблоном уведомления и реестрами событий.
Когда регламент не подходит и локальные варианты Документ не применяется к организациям, не осуществляющим обработку персональных данных. Для филиалов, малых подразделений или специфических категорий данных целесообразно оформлять приложения или отдельные локальные регламенты, учитывающие местные процессы и контактные лица.

06 Нормативная база

Нормативные основания уведомления Роскомнадзора об утечке ПДн

ч. 3.1 ст. 21 152-ФЗ устанавливает обязанность направить уведомление в Роскомнадзор не позднее 24 часов с момента выявления факта неправомерного доступа; регламент должен описывать сбор минимального набора сведений и порядок их подготовки в указанный срок.
266-ФЗ от 14.07.2022 ввёл требования к уведомлениям об инцидентах персональных данных и распределил обязанности субъектов обработки; регламент служит механизмом приведения внутренних процессов в соответствие с этими требованиями и определяет триггеры для подачи уведомления.
приказ РКН № 187 от 14.11.2022 регламентирует порядок взаимодействия с Роскомнадзором при инцидентах, в том числе формат и каналы обмена информацией; документ необходим для внедрения шаблонов уведомления, контактной информации и процедур подтверждения получения.
ст. 19 152-ФЗ определяет требования к организационным и техническим мерам защиты персональных данных; обосновывает включение в регламент требований по обнаружению инцидентов, журналированию событий и сохранению доказательств для последующего уведомления.
ч. 11 ст. 13.11 КоАП предусматривает административную ответственность за неуведомление или просрочку уведомления о фактах неправомерного доступа; регламент должен фиксировать ответственных, контрольные точки и порядок документирования причин пропуска сроков.
ч. 12 - 14 ст. 13.11 КоАП касается нарушений, связанных с массовой утечкой или масштабным вовлечением субъектов данных; регламент обязан содержать критерии существенности инцидента, порядок оценки числа затронутых и порядок эскалации для уведомления.
ч. 15 ст. 13.11 КоАП устанавливает ужесточенную ответственность при повторных нарушениях законодательства о персональных данных; регламент должен предусматривать меры по предотвращению повторных инцидентов и документирование корректирующих и профилактических действий.

Образец документа

Регламент уведомления Роскомнадзора об утечке персональных данных

Устанавливает порядок действий оператора при выявлении утечки персональных данных, сроки и содержание уведомлений Роскомнадзора, а также обязанности ответственных лиц по фиксации инцидента, проведению внутреннего расследования и документированию принятых мер

Можем адаптировать под Вас, звоните: 8 800 333 8 222

Или напишите, мы сейчас онлайн

Скачайте БЕСПЛАТНО и найдите внутри:

Шаблон документа с понятной структурой
Формулировки и поля для заполнения под вашу ситуацию
Места, где нужно учитывать реальные процессы Вашей организации
Возможность самостоятельно доработать документ
Можно разобраться самостоятельно, а можно заказать адаптацию документа под вашу организацию

Скачать образец документа

08 Внедрение

Регламент уведомления Роскомнадзора об утечке персональных данных

Краткий порядок внедрения регламента от факта инцидента до отправки уведомления и подготовки материалов для проверяющего. Документ обязателен при обработке ПДн, утверждается руководителем; срок уведомления - не позднее 24 часов с момента обнаружения.

1. Инициирование процесса реагирования Фиксация факта инцидента и первичное оповещение ответственных. Исполнитель регистрирует время обнаружения, лицо, обнаружившее инцидент, и краткое описание в журнале инцидентов, формирует первичное уведомление для службы ИБ и ответственного за ПДн.
2. Сбор первичных данных и оценка масштаба Сбор технических и организационных доказательств: логи, снимки экрана, почтовая переписка, перечень пострадавших категорий данных и примерная оценка числа субъектов. Формирование временного акта расследования и временной линии событий для последующей оценки необходимости уведомления.
3. Оценка необходимости уведомления и подготовка проекта сообщения На основании акта расследования юридическая служба и ответственный за ПДн принимают решение о том, попадает ли инцидент под обязанность уведомления. Подготовка проекта уведомления в формате, предусмотренном регламентом и приказом регулятора, с указанием фактов, последствий и принимаемых мер.
4. Утверждение руководителем и отправка уведомления Получение подписанного руководителем решения и отправка уведомления в орган в установленной форме не позднее установленного срока. Фиксация доказательств отправки: электронная квитанция, входящий номер регулятора или иные подтверждающие записи.
5. Фиксация результатов, контроль и корректирующие меры Сбор в деле всех материалов: акт расследования, проект и отправленное уведомление, подтверждения отправки, журналы доступа, план корректирующих мер и отчёт о выполнении. Подготовка пакета для проверяющего и проведение разбора инцидента с обновлением инструкций и обучения персонала.

09 Актуализация

Поводы для обновления регламента уведомления РКН об утечке ПДн

Регламент обновляют при изменениях в доступах, полномочиях подписантов и порядке взаимодействия с регулятором. Обновление должно быть реактивным и точечным, исходя из выявленных рисков и операционных сбоев, а не по календарю.

Обнаружен инцидент, требующий уведомления в 24 часа Зафиксирован случай неправомерного доступа или утечки персональных данных, при котором по действующей норме требуется уведомление регулятора в срок, не превышающий 24 часов. Такие случаи выявляют реальные несоответствия процедуры реагирования и шаблонов уведомления. Актуализировать регламент и шаблоны уведомления, назначить ответственных и прогнать тестовую отправку по сценарию инцидента.
Сменились владельцы учётных записей или доступы к кабинету регулятора Уволились или изменили роли сотрудники, обладающие учетными записями и правами на портале регулятора; есть риск задержки отправки уведомления из-за недоступности учётной записи. Обновить реестр доступов, переоформить учётные записи и права в рабочем порядке, задокументировать процедуру передачи доступа.
Истекли или изменилась доверенность и полномочия подписанта Полномочия лица, которое подписывает уведомления и сопроводительные документы, стали недействующими или их объём изменился; правовая база требует наличия действующего подписи у уполномоченного лица. Проверить и при необходимости обновить реестр подписантов, довести до плана контроля сроки действия доверенностей.
Изменился порядок подачи, форма или состав сведений по приказу регулятора Регулятор утвердил новую форму, порядок взаимодействия или перечень сведений, что влияет на маршрут и содержание уведомлений и приложений. Сверить текущие шаблоны и маршрут с актуальной редакцией регуляторного акта, внести правки в регламент и оповестить ответственных подразделений.
После разбора инцидента выявлены сбои в процедуре По результатам постинцидентного анализа выявлены повторяющиеся ошибки: отсутствие необходимых данных, задержки согласования, неработающие шаблоны или неясные роли в маршрутизации. Внести корректировки в регламент, обновить чеклисты и провести целевой инструктаж и тестовую отправку по выявленным сценариям.

10 Проверка

Инспектор проверит

Вопросы и документы и материалы для документарной проверки регламента уведомления Роскомнадзора об утечке персональных данных.

Вопрос 01 «Предъявьте приказ об утверждении регламента и текст регламента.»
Вопрос 02 «Предъявьте регламентированные процедуры обнаружения, оценки и классификации инцидента.»
Вопрос 03 «Предъявьте документы, подтверждающие соблюдение срока уведомления в 24 часа.»
Вопрос 04 «Предъявьте регламент взаимодействия с Роскомнадзором и перечень ответственных.»
Вопрос 05 «Предъявьте документы по оценке вреда и мерам минимизации последствий утечки.»

Инспектор при проверке, может запросить:

приказ руководителя об утверждении регламента уведомления; регламент уведомления об утечке персональных данных, актуальной редакции
процедуры обнаружения, оценки и классификации инцидентов нарушения безопасности персональных данных; формы первичного учёта инцидента
реестр регистраций инцидентов с отметками времени обнаружения и направления уведомления; журнал внутренних сроков реагирования
порядок взаимодействия с Роскомнадзором при инцидентах; список ответственных лиц с контактными данными и распределением полномочий
оценка вреда от инцидента и перечень применённых мер защиты; план реагирования на утечку и отчёты по проведённым учениям

11 Экспертная позиция

Оперативная ловушка при уведомлении РКН

Ключевой риск - путать обязанность уведомить с завершением расследования: срок уведомления часто отсчитывается от момента обнаружения инцидента, а не от завершения первичного анализа. Типичная ошибка - ожидание подтверждения утечки или полного анализа перед отправкой уведомления; это увеличивает риск административной ответственности и усложняет сбор доказательств. Практический прием: фиксировать момент обнаружения в отдельном тике инцидента, сохранять хронологию действий и все первичные документы и материалы (логи, скриншоты, журнал доступа). Обратите внимание, что поверхностное обезличивание или псевдонимизация не всегда исключают обязанность уведомлять, поэтому оценка степени обезличивания должна быть документирована. В регламенте укажите ответственных за первичную фиксацию и шаблон уведомления, чтобы не терять время на согласования в первые 24 часа.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Часто задаваемые вопросы - Регламент уведомления Роскомнадзора об утечке персональных данных

Уведомление должно быть направлено не позднее 24 часов с момента обнаружения инцидента. Одновременно следует инициировать внутренние шаги регламента по локализации и оценке воздействия на персональные данные.

Заказать регламент уведомления Роскомнадзора об утечке персональных данных в комплекте

Закажите разработку и адаптацию регламента уведомления Роскомнадзора об утечке персональных данных с включением полного комплекта доказательств и локальных нормативных актов. В комплекте: сам регламент, приказ об утверждении, образец уведомления, журнал учёта инцидентов, шаблоны протоколов расследования и переписки, проверка комплектов доказательств (приказ об инциденте, URL обращения в РКН, скриншоты, логи доступа). Адаптация учитывает требование об уведомлении не позднее 24 часов и распределение ролей; срок и стоимость согласуются при оформлении заказа.

Скачать образец Заказать регламент и комплект доказательств

Регламент уведомления Роскомнадзора об утечке персональных данных

Регламент уведомления Роскомнадзора об утечке персональных данных

Штрафы за неуведомление или просрочку уведомления о факте утечки ПДн

Как ещё называют этот документ

Что должно быть в регламенте уведомления РКН

Область применения регламента уведомления РКН об утечке персональных данных

Нормативные основания уведомления Роскомнадзора об утечке ПДн

Связанные документы и их роль для регламента уведомления РКН

Связанные документы

Регламент уведомления Роскомнадзора об утечке персональных данных

Поводы для обновления регламента уведомления РКН об утечке ПДн

Инспектор проверит

Оперативная ловушка при уведомлении РКН

Часто задаваемые вопросы - Регламент уведомления Роскомнадзора об утечке персональных данных

База знаний содержит 268 документов

Заказать регламент уведомления Роскомнадзора об утечке персональных данных в комплекте

Скачайте каталог решений с ценами под вашу нишу и вдохновитесь идеями