Утечка персональных данных и уведомление РКН

Когда срабатывает ст. 21.1

Норма применяется при неправомерном или случайном доступе к персональным данным, если это затрагивает права субъектов. Это не только взлом сервера, но и открытая ссылка на выгрузку, ошибочная рассылка, потеря носителя с CRM.

Отсчёт срока уведомления РКН обычно ведут с момента, когда оператору стало известно об инциденте — уточняйте актуальную редакцию закона с юристом.

• Публичный доступ к папке или бакету с заявками
• Утечка дампа БД или таблицы в открытый доступ
• Массовое письмо с файлом клиентов не тем адресатам

Срок и содержание уведомления РКН

Закон устанавливает короткий срок на уведомление уполномоченного органа — ориентир в практике: 24 часа с момента осведомлённости оператора.

• Дата инцидента и дата, когда компания узнала
• Категории и объём затронутых ПДн
• Возможные последствия для субъектов
• Принятые меры и контакт ответственного

Уведомление субъектов ПДн

Помимо РКН, может потребоваться информирование самих людей, чьи данные затронуты — в зависимости от риска для их прав. На сайте должен быть понятный канал обращений по ПДн.

Профилактика до инцидента

Ст. 19 152‑ФЗ требует мер защиты: доступы, журналы, шифрование, регламенты. Со стороны сайта снижают риск аудит форм, интеграций и лишнего сбора данных. Имеет смысл держать одностраничный план реагирования на утечку.