Контекст нормы: что говорит закон
Согласно части 3.1 статьи 21 Федерального закона «О персональных данных», оператор персональных данных обязан в течение 24 часов с момента обнаружения утечки персональных данных проинформировать уполномоченный орган (Роскомнадзор) о произошедшем инциденте, его возможных последствиях и принятых мерах по устранению нарушений.
Как выглядит уведомление в Роскомнадзор
Уведомление — это не просто формальность, а документ, отражающий реальные внутренние процессы компании. Он должен содержать:
- типы персональных данных, подвергшихся утечке;
- категории субъектов, чьи данные были затронуты;
- цели обработки, для которых использовались эти данные;
- описание самого инцидента: когда выявлен, причины, объем ущерба;
- меры по локализации и устранению последствий утечки;
Новые штрафы с мая 2025 года
С мая 2025 года вступили в силу ужесточённые санкции:
- Штрафы за утечку персональных данных выросли до 1 млн ₽ и выше в зависимости от количества субъектов.
- За несвоевременное уведомление Роскомнадзора о начале обработки или об инциденте — от 300 000 до 500 000 ₽ на компанию и до 50 000 ₽ на должностное лицо.
- Введены «оборотные штрафы»: если нарушение не устранено в срок, штрафы начинают «капать» ежедневно до момента устранения.
Как подать уведомление: алгоритм действий
Шаг 1: Внутреннее расследование
- Определить факт утечки (логи, SIEM-системы, отчёты сотрудников).
- Зафиксировать объем и категории данных;
- Оценить риски для прав и свобод субъектов.
Шаг 2: Подготовка уведомления
Форма размещена на официальном сайте Роскомнадзора. Обязательно приложите:
- внутренний акт о нарушении;
- перечень затронутых субъектов (без ФИО, если это не требуется);
- описание технических и организационных мер, принятых после инцидента.
Шаг 3: Отправка
Отправляется через Госуслуги/МойОкруг → Роскомнадзор → Уведомления ПДн или электронную подпись (КЭП) на адрес pd@rkn.gov.ru.
Срок: 24 часа с момента выявления.
Типичные ошибки компаний
- Задержка уведомления «на проверку» юристами или ИБ-отделом.
- Упрощённое описание инцидента без указания мер.
- Отсутствие регламента реагирования на инциденты (IRP).
Что делать прямо сейчас
- Проверьте, есть ли в компании должностная инструкция на 24-часовое уведомление.
- Назначьте ответственного за инциденты ПДн и его заместителя.
- Обновите внутренние регламенты с учётом новых штрафов.
- Проведите аварийный дрилл: симуляция утечки за 6 часов до дедлайна.
Главное правило: уведомление Роскомнадзора, это не «бумажная» формальность, а юридический способ защитить компанию от многомиллионных штрафов и репутационных потерь. Своевременное информирование = минимизация рисков и демонстрация прозрачности перед регулятором и клиентами.
26 марта 2026 года состоится online-конференция «Защита персональных данных: проверки регуляторов и тенденции 2026». Не пропустите — там обсудят, как подготовиться к новым волнам контроля.