Утечка персональных данных: уведомление, сроки и ответственность

Утечка персональных данных компании: что считается утечкой, как уведомить уполномоченный орган в два этапа, что делать с данными и работниками, какие сроки идут с момента выявления инцидента и какая ответственность возможна.

Написать в мессенджер

Telegram MAX WhatsApp

Адвокат Константин Вруцкий — защита по уголовным делам, Москва — Адвокат · рег. № 78/8790

Коротко

Что является утечкой персональных данных: неправомерная или случайная передача (предоставление, распространение, доступ) персональных данных, повлекшая нарушение прав субъектов. Оператор уведомляет уполномоченный орган по защите прав субъектов персональных данных дважды: в течение двадцати четырех часов — об инциденте, причинах, вреде и принятых мерах, в течение семидесяти двух часов — о результатах внутреннего расследования, ч. 3.1 ст. 21 Закона № 152-ФЗ. Отсчёт идёт с момента выявления инцидента.

Что делать сейчас: утечка персональных данных компании

Отсчёт часов начинается с момента выявления инцидента — первые решения нужны в тот же день.

Позвонить сейчас

Компания сама обнаружила, что база клиентов или работников выгружена либо открыта посторонним

Записать дату и время выявления инцидента: от этого момента идут сроки уведомления, ч. 3.1 ст. 21 Закона № 152-ФЗ.
В течение двадцати четырех часов направить уполномоченному органу сведения об инциденте, предполагаемых причинах и вреде, принятых мерах и о лице для взаимодействия, п. 1 ч. 3.1 ст. 21 Закона № 152-ФЗ.
Начать внутреннее расследование: его результаты и сведения о лицах, действия которых стали причиной инцидента (при наличии), — в течение семидесяти двух часов, п. 2 ч. 3.1 ст. 21 Закона № 152-ФЗ.

ч. 3.1 ст. 21 Закона № 152-ФЗ

Данные ушли в результате компьютерной атаки на информационную систему

Принять меры по обнаружению и ликвидации последствий атаки и восстановить данные, изменённые или уничтоженные при несанкционированном доступе, п. 6, 7 ч. 2 ст. 19 Закона № 152-ФЗ.
Помимо уведомления уполномоченного органа — проинформировать государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак в порядке федерального органа в области обеспечения безопасности, ч. 12 ст. 19 Закона № 152-ФЗ.

ч. 2, 12 ст. 19 Закона № 152-ФЗ

Об утечке сообщил уполномоченный орган, субъект данных или другое заинтересованное лицо

Не ждать собственной проверки: срок считается с момента выявления инцидента оператором, уполномоченным органом или иным заинтересованным лицом, ч. 3.1 ст. 21 Закона № 152-ФЗ.
По обращению субъекта или его представителя — заблокировать неправомерно обрабатываемые данные этого субъекта на период проверки, ч. 1 ст. 21 Закона № 152-ФЗ.
Прекратить неправомерную обработку, в том числе у лица по поручению оператора, в срок, не превышающий трех рабочих дней с даты выявления, ч. 3 ст. 21 Закона № 152-ФЗ.

ч. 1, 3, 3.1 ст. 21 Закона № 152-ФЗ

Чего делать нельзя: утечка персональных данных

Ошибки первых дней после инцидента, которые потом труднее всего исправить.

Ждать конца расследования, чтобы сообщить всё сразу Закон разводит уведомление на два этапа: первое — в течение двадцати четырех часов, с предполагаемыми причинами и вредом, второе — в течение семидесяти двух часов, с результатами внутреннего расследования, ч. 3.1 ст. 21 Закона № 152-ФЗ. Отложенное первое сообщение — уже нарушение срока со своим штрафом, ч. 11 ст. 13.11 КоАП РФ.ч. 3.1 ст. 21 Закона № 152-ФЗ; ч. 11 ст. 13.11 КоАП РФ
Считать срок в рабочих днях или с даты доклада директору Уведомление считается в часах с момента выявления инцидента оператором, уполномоченным органом или иным заинтересованным лицом, ч. 3.1 ст. 21 Закона № 152-ФЗ. Рабочие дни в той же статье относятся к прекращению и уничтожению данных, ч. 3 ст. 21 Закона № 152-ФЗ, а не к уведомлению.ч. 3, 3.1 ст. 21 Закона № 152-ФЗ
Стирать журналы и копии, чтобы не осталось следов В течение семидесяти двух часов оператор сообщает результаты расследования и сведения о лицах, ставших причиной инцидента, при наличии, п. 2 ч. 3.1 ст. 21 Закона № 152-ФЗ. Учёт всех действий с данными — мера безопасности, п. 8 ч. 2 ст. 19 Закона № 152-ФЗ. Уничтожение данных — только когда обеспечить правомерность обработки невозможно, ч. 3 ст. 21 Закона № 152-ФЗ, с подтверждением по требованиям органа, ч. 7 ст. 21 Закона № 152-ФЗ.ч. 3, 3.1, 7 ст. 21 Закона № 152-ФЗ; п. 8 ч. 2 ст. 19 Закона № 152-ФЗ
Оставлять в стороне подрядчика, который обрабатывает данные Если обработку ведёт другое лицо по поручению оператора, блокирование и прекращение неправомерной обработки у него обеспечивает сам оператор, ч. 1, 3 ст. 21 Закона № 152-ФЗ. Уведомляет орган всё равно оператор, ч. 3.1 ст. 21 Закона № 152-ФЗ.ч. 1, 3 ст. 21 Закона № 152-ФЗ
Наказывать работника без процедуры трудового закона Виновные в нарушении законодательства о персональных данных работника привлекаются к дисциплинарной и материальной ответственности в порядке, установленном трудовым законом и иными федеральными законами, ст. 90 ТК РФ: увольнение или удержание — только по этому порядку.ст. 90 ТК РФ
Оставлять без ответа обращение субъекта Блокирование неправомерно обрабатываемых данных субъекта идёт с момента его обращения на период проверки, ч. 1 ст. 21 Закона № 152-ФЗ, а об устранении нарушений или об уничтожении данных оператор обязан уведомить субъекта или его представителя, ч. 3 ст. 21 Закона № 152-ФЗ.ч. 1, 3 ст. 21 Закона № 152-ФЗ

Когда нужна помощь юриста: утечка персональных данных

Случаи, когда инцидент уже произошёл или о нём заявили со стороны.

Инцидент выявлен, и нужно в отведённые часы составить первое и второе уведомление уполномоченного органа.ч. 3.1 ст. 21 Закона № 152-ФЗ
Данные утекли через подрядчика, который обрабатывает их по поручению компании.ч. 3 ст. 21 Закона № 152-ФЗ
Пришёл запрос уполномоченного органа или обращение субъекта о неправомерной обработке.ч. 1, 3 ст. 21 Закона № 152-ФЗ
Внутреннее расследование указывает на работника, и встаёт вопрос о его ответственности.ст. 90 ТК РФ
Уполномоченный орган привлекает компанию к ответственности за утечку или за неуведомление.п. 9 ч. 3 ст. 23 Закона № 152-ФЗ; ч. 11–17 ст. 13.11 КоАП РФ

Кто участвует: уведомление об утечке персональных данных

Обязанности и права сторон инцидента разнесены по разным лицам.

Участник	Обязанность или право	Норма
Оператор	Уведомляет уполномоченный орган об инциденте и о результатах расследования; блокирует, прекращает обработку, уничтожает данные или обеспечивает это у лица по поручению.	ч. 1, 3, 3.1 ст. 21 Закона № 152-ФЗ
Обработчик данных по поручению оператора	Обрабатывает данные по поручению; оператор обязан обеспечить у него блокирование и прекращение неправомерной обработки.	ч. 1, 3 ст. 21 Закона № 152-ФЗ
Субъект персональных данных или его представитель	Обращается к оператору о неправомерной обработке; получает уведомление об устранении нарушений или об уничтожении данных; вправе на возмещение морального вреда независимо от имущественного вреда и убытков.	ч. 1, 3 ст. 21 Закона № 152-ФЗ; ч. 2 ст. 24 Закона № 152-ФЗ
Уполномоченный орган по защите прав субъектов персональных данных	Федеральный орган контроля и надзора за обработкой данных. Получает оба уведомления, ведёт реестр инцидентов, запрашивает информацию, привлекает к административной ответственности; устанавливает требования к подтверждению уничтожения.	ч. 1, 3.1, 7 ст. 21 Закона № 152-ФЗ; ч. 1, 10, п. 1, 9 ч. 3 ст. 23 Закона № 152-ФЗ
Государственная система обнаружения, предупреждения и ликвидации последствий компьютерных атак	Оператор информирует её о компьютерных инцидентах, повлекших неправомерную передачу данных, в порядке федерального органа в области обеспечения безопасности.	ч. 12 ст. 19 Закона № 152-ФЗ
Иное заинтересованное лицо	Может выявить инцидент — с этого момента у оператора идёт срок уведомления.	ч. 3.1 ст. 21 Закона № 152-ФЗ
Лицо, виновное в нарушении при обработке данных работника	Привлекается к дисциплинарной и материальной ответственности, а также к гражданско-правовой, административной и уголовной в порядке федеральных законов.	ч. 1 ст. 90 ТК РФ

Показать всех участниковСвернуть

Что это значит: утечка персональных данных

Понятие утечки в законе о персональных данных и его границы.

Слова «утечка» в законе нет. Его заменяет описание инцидента: неправомерная или случайная передача персональных данных в формах предоставления, распространения или доступа, повлекшая нарушение прав субъектов персональных данных, ч. 3.1 ст. 21 Закона № 152-ФЗ. Значит, утечкой считается и умышленная выгрузка базы, и ошибка настроек, открывшая доступ посторонним, — если пострадали права субъектов.

Виды инцидента по норме — неправомерная передача и случайная передача. Риски утечки персональных данных для компании двойные. Первый — сам факт: за действия (бездействие) оператора, повлекшие неправомерную передачу, штраф зависит от числа субъектов и категории данных, ч. 12–17 ст. 13.11 КоАП РФ. Второй — реакция: с момента выявления инцидента оператором, уполномоченным органом или иным заинтересованным лицом начинается двухэтапное уведомление, ч. 3.1 ст. 21 Закона № 152-ФЗ, а за его пропуск штраф отдельный, ч. 11 ст. 13.11 КоАП РФ. Причины и вред на первом этапе называются предполагаемыми, окончательные выводы — в результатах внутреннего расследования.

Отдельно от инцидента стоит неправомерная обработка: её оператор прекращает в срок, не превышающий трех рабочих дней с даты выявления, а если сделать обработку правомерной невозможно — уничтожает данные в срок, не превышающий десяти рабочих дней, ч. 3 ст. 21 Закона № 152-ФЗ. Утечка часто запускает обе обязанности сразу. До инцидента оператор обязан принимать правовые, организационные и технические меры защиты от неправомерного или случайного доступа, копирования, распространения данных, ч. 1 ст. 19 Закона № 152-ФЗ, в том числе учёт машинных носителей и регистрацию всех действий с данными, п. 5, 8 ч. 2 ст. 19 Закона № 152-ФЗ.

Что говорит закон: утечка персональных данных

Часть статьи, по которой оператор уведомляет об инциденте.

В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, оператор обязан с момента выявления такого инцидента оператором, уполномоченным органом по защите прав субъектов персональных данных или иным заинтересованным лицом уведомить уполномоченный орган по защите прав субъектов персональных данных: 1) в течение двадцати четырех часов о произошедшем инциденте, о предполагаемых причинах, повлекших нарушение прав субъектов персональных данных, и предполагаемом вреде, нанесенном правам субъектов персональных данных, о принятых мерах по устранению последствий соответствующего инцидента, а также предоставить сведения о лице, уполномоченном оператором на взаимодействие с уполномоченным органом по защите прав субъектов персональных данных, по вопросам, связанным с выявленным инцидентом; 2) в течение семидесяти двух часов о результатах внутреннего расследования выявленного инцидента, а также предоставить сведения о лицах, действия которых стали причиной выявленного инцидента (при наличии).ч. 3.1 ст. 21 Закона № 152-ФЗ

Комментарий адвоката Вруцкогоадвокат · рег. № 78/8790

Срок идёт не с доклада руководству, а с выявления инцидента любым из трёх названных лиц. Первое сообщение норма допускает строить на предположениях. Виновные лица называются во втором сообщении только при наличии таких сведений.

Нормы по теме: утечка персональных данных

Статьи закона, на которых держится тема, — с названиями из официального текста

ст. 21 152-ФЗ Обязанности оператора по устранению нарушений законодательства, допущенных при обработке персональных данных, по уточнению, блокированию и уничтожению персональных данных

Официальный текст: О персональных данных

Виды дел: утечка персональных данных компании

С чем компании приходят после инцидента.

Открытая база или ошибка доступа

Данные клиентов оказались доступны посторонним из-за настроек. Нужно определить момент выявления и успеть с первым уведомлением, ч. 3.1 ст. 21 Закона № 152-ФЗ.

Выгрузка данных работником

Расследование указывает на сотрудника, который скопировал или передал базу. Сведения о нём идут во второе уведомление при наличии, а его ответственность — по ст. 90 ТК РФ.

Инцидент у подрядчика

Данные утекли у лица, обрабатывающего их по поручению. Оператор сам обеспечивает прекращение обработки у этого лица, ч. 3 ст. 21 Закона № 152-ФЗ, и сам уведомляет орган.

Запрос органа или обращение субъекта

Орган первым выявил инцидент или направил запрос, клиент требует ответа о своих данных. Отсюда — блокирование на период проверки и сроки уведомления, ч. 1, 3.1 ст. 21 Закона № 152-ФЗ.

Утечка биометрических данных

Утекли биометрические данные — штраф выше, чем за обычные, ч. 17 ст. 13.11 КоАП РФ. Для единой биометрической системы и систем аутентификации — отдельная ст. 13.11.3 КоАП РФ.

Утечка с бумажных носителей

Обработка шла без средств автоматизации, сохранность носителей не обеспечена, и это повлекло неправомерный или случайный доступ — отдельный состав, ч. 6 ст. 13.11 КоАП РФ.

Чем отличается: утечка персональных данных

Утечка, неправомерная обработка и неточные данные запускают разные обязанности.

Ситуация	Что её запускает	Что обязан оператор	Норма
Утечка (инцидент)	Неправомерная или случайная передача данных, повлекшая нарушение прав субъектов	Уведомить уполномоченный орган в течение двадцати четырех и семидесяти двух часов	ч. 3.1 ст. 21 Закона № 152-ФЗ
Неправомерная обработка	Выявлена оператором, по обращению субъекта или запросу органа	Прекратить в срок не более трех рабочих дней; если правомерность невозможна — уничтожить в срок не более десяти рабочих дней	ч. 3 ст. 21 Закона № 152-ФЗ
Неточные данные	Обращение субъекта, его представителя или запрос органа	Блокировать, если это не нарушает права субъекта или третьих лиц; уточнить в течение семи рабочих дней и снять блокирование	ч. 1, 2 ст. 21 Закона № 152-ФЗ
Компьютерный инцидент	Компьютерная атака на систему, повлекшая неправомерную передачу данных	Кроме уведомления уполномоченного органа — информировать государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак в порядке федерального органа в области обеспечения безопасности	ч. 12 ст. 19 Закона № 152-ФЗ

Ответственность: штраф за утечку персональных данных

Штраф за саму утечку и отдельный — за неуведомление.

Нарушение	Кто отвечает	Санкция	Норма
Неуведомление или несвоевременное уведомление органа об инциденте	Юридическое лицо	От одного миллиона до трех миллионов рублей	ч. 11 ст. 13.11 КоАП РФ
Утечка от одной тысячи до десяти тысяч субъектов (от десяти тысяч до ста тысяч идентификаторов)	Юридическое лицо	От трех миллионов до пяти миллионов рублей	ч. 12 ст. 13.11 КоАП РФ
Утечка от десяти тысяч до ста тысяч субъектов (от ста тысяч до одного миллиона идентификаторов)	Юридическое лицо	От пяти миллионов до десяти миллионов рублей	ч. 13 ст. 13.11 КоАП РФ
Утечка более ста тысяч субъектов (более одного миллиона идентификаторов) или специальной категории данных	Юридическое лицо	От десяти миллионов до пятнадцати миллионов рублей	ч. 14, 16 ст. 13.11 КоАП РФ
Утечка биометрических данных, кроме случаев по ст. 13.11.3 КоАП РФ	Юридическое лицо	От пятнадцати миллионов до двадцати миллионов рублей	ч. 17 ст. 13.11 КоАП РФ
Повторная утечка лицом, уже наказанным за утечку	Юридическое лицо	От 1 до 3 процентов выручки за предшествующий год, не менее двадцати миллионов (по специальным и биометрическим — двадцати пяти миллионов) и не более пятисот миллионов рублей	ч. 15, 18 ст. 13.11 КоАП РФ
Нарушение прав субъекта, правил обработки или защиты данных	Виновное лицо	Моральный вред субъекту — независимо от имущественного вреда и убытков	ч. 2 ст. 24 Закона № 152-ФЗ

Показать всю ответственностьСвернуть

Ч. 12–14 — если нет признаков уголовно наказуемого деяния. ИП по ч. 11–18 отвечает как юридическое лицо; должностное лицо в ч. 10–18 — только госоргана, муниципального органа или некоммерческой организации, примечания 1, 2 к ст. 13.11 КоАП РФ. Давность — один год со дня совершения, ч. 1 ст. 4.5 КоАП РФ.

Не откладывайте правовую оценку

Обсудите задачу компании до следующего действия

Получили документ, готовите решение или возник спор? Позвоните или напишите: разберу обстоятельства, проверю применимый порядок и сроки, объясню возможные действия и риски для компании.

Позвонить сейчас

Комментарий адвоката Вруцкого

адвокат · рег. № 78/8790

В делах об утечке я первым делом восстанавливаю час выявления инцидента. От него считаются двадцать четыре и семьдесят два часа по ч. 3.1 ст. 21 Закона № 152-ФЗ, и почти все споры с уполномоченным органом потом идут о том, когда компания узнала и что успела сделать.

Второе, что проверяю, — кто обрабатывал данные. Если утечка случилась у подрядчика, обязанности всё равно лежат на операторе: он обеспечивает прекращение неправомерной обработки у лица, действующего по его поручению, ч. 3 ст. 21 Закона № 152-ФЗ. Поэтому я сразу смотрю договор поручения и то, как подрядчик сообщил об инциденте.

Третье — люди. Расследование часто выводит на конкретного работника, и руководитель хочет немедленно уволить его или удержать ущерб. Я готовлю это через порядок трудового закона, потому что ответственность виновных за нарушения с данными работников идёт именно так, ст. 90 ТК РФ. Во втором уведомлении сведения о лицах, ставших причиной инцидента, сообщаются при наличии — я слежу, чтобы туда не попали догадки.

Порядок действий: уведомление об утечке персональных данных

Шаги по закону о персональных данных — от выявления до закрытия инцидента.

1
Зафиксировать момент выявленияЗаписать, кто и когда выявил инцидент: оператор, уполномоченный орган или иное заинтересованное лицо. С этого момента идут сроки уведомления, ч. 3.1 ст. 21 Закона № 152-ФЗ.
2
Остановить передачу и заблокировать данныеПри обращении субъекта или запросе органа неправомерно обрабатываемые данные блокируются на период проверки, ч. 1 ст. 21 Закона № 152-ФЗ; неправомерная обработка прекращается в срок, не превышающий трех рабочих дней с даты выявления, в том числе у лица по поручению, ч. 3 ст. 21 Закона № 152-ФЗ. Последствия несанкционированного доступа ликвидируются, изменённые или уничтоженные данные восстанавливаются, п. 6, 7 ч. 2 ст. 19 Закона № 152-ФЗ.
3
Первое уведомлениеВ течение двадцати четырех часов — сведения об инциденте, предполагаемых причинах и вреде, принятых мерах и о лице, уполномоченном на взаимодействие с органом, п. 1 ч. 3.1 ст. 21 Закона № 152-ФЗ. При компьютерном инциденте оператор, кроме того, информирует государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак, ч. 12 ст. 19 Закона № 152-ФЗ.
4
Внутреннее расследование и второе уведомлениеВ течение семидесяти двух часов — результаты внутреннего расследования и сведения о лицах, действия которых стали причиной инцидента, при наличии, п. 2 ч. 3.1 ст. 21 Закона № 152-ФЗ.
5
Решение о судьбе данныхЕсли обеспечить правомерность обработки невозможно, данные уничтожаются в срок, не превышающий десяти рабочих дней с даты выявления, ч. 3 ст. 21 Закона № 152-ФЗ. Нет возможности уничтожить в срок — блокирование и уничтожение в срок не более шести месяцев, если иной срок не установлен федеральными законами, ч. 6 ст. 21 Закона № 152-ФЗ.
6
Уведомить субъекта и подтвердить уничтожениеОб устранении нарушений или об уничтожении данных оператор уведомляет субъекта или его представителя, а если обращение или запрос были направлены уполномоченным органом — и этот орган, ч. 3 ст. 21 Закона № 152-ФЗ. Уничтожение подтверждается по требованиям органа, ч. 7 ст. 21 Закона № 152-ФЗ.
7
Ответственность виновных работниковДисциплинарная и материальная ответственность за нарушения при обработке данных работника — в порядке трудового закона, ст. 90 ТК РФ.
8
Пересмотреть меры защитыПо итогам расследования — заново определить угрозы, правила доступа и контроль за мерами безопасности и уровнем защищенности систем, п. 1, 8, 9 ч. 2 ст. 19 Закона № 152-ФЗ.

Документы: проверка утечки персональных данных

Что собрать, чтобы уведомления и расследование опирались на бумаги.

Документ	Зачем	Кто подписывает, форма
Запись о выявлении инцидента	Фиксирует момент, от которого идут сроки уведомления, ч. 3.1 ст. 21 Закона № 152-ФЗ	Работник, выявивший инцидент, или руководитель; письменно
Первое уведомление уполномоченного органа	Сведения об инциденте, причинах, вреде, мерах и лице для взаимодействия, п. 1 ч. 3.1 ст. 21 Закона № 152-ФЗ	Оператор
Решение о внутреннем расследовании и его итоговый документ	Основа второго уведомления, п. 2 ч. 3.1 ст. 21 Закона № 152-ФЗ	Руководитель оператора, комиссия
Договор оператора с обработчиком данных	Показывает, кто обрабатывал данные и у кого прекращать обработку, ч. 3 ст. 21 Закона № 152-ФЗ	Оператор и обработчик
Обращения субъектов и запросы органа	Отсчёт блокирования на период проверки, ч. 1 ст. 21 Закона № 152-ФЗ	Субъект, представитель, орган
Подтверждение уничтожения данных	Нужно, если данные уничтожены, ч. 7 ст. 21 Закона № 152-ФЗ	Оператор; по требованиям уполномоченного органа

Показать все документыСвернуть

Сроки: уведомление об утечке персональных данных

Часы, рабочие дни и месяцы в одной статье — не путать.

Действие	Срок	С какого дня	Норма
Первое уведомление органа	В течение двадцати четырех часов	С момента выявления инцидента	п. 1 ч. 3.1 ст. 21 Закона № 152-ФЗ
Итоги внутреннего расследования	В течение семидесяти двух часов	С момента выявления инцидента	п. 2 ч. 3.1 ст. 21 Закона № 152-ФЗ
Прекращение неправомерной обработки	Не более трех рабочих дней	С даты выявления	ч. 3 ст. 21 Закона № 152-ФЗ
Уничтожение данных	Не более десяти рабочих дней, если правомерность обеспечить невозможно	С даты выявления	ч. 3 ст. 21 Закона № 152-ФЗ
Уничтожение после блокирования	Не более шести месяцев, если иной срок не установлен федеральными законами	После невозможности уничтожить в срок	ч. 6 ст. 21 Закона № 152-ФЗ
Давность административного дела	Один год	Со дня совершения; при длящемся правонарушении — со дня обнаружения	ч. 1, 2 ст. 4.5 КоАП РФ

Показать все срокиСкрыть

Как я веду дело

Как адвокат ведёт поручение компании

1
Разбор ситуацииСмотрю документы компании и обстоятельства, определяю маршрут и называю перспективу без приукрашивания. Если задача решается силами самой компании — говорю об этом прямо.
2
Сбор документовОпределяю, какие договоры, внутренние документы, переписка и материалы органа относятся к задаче. Недостающие сведения получаем доступным законным способом; судебные запросы возможны в соответствующей процедуре.
3
Подготовка документовГотовлю необходимые по задаче документы: договор, ответ, возражения, заявление или жалобу. Согласуем содержание и порядок подписания; проверяем полномочия лица, которое направляет документ.
4
Представительство по задачеПо согласованному поручению веду переговоры, представляю интересы в компетентном органе или суде. Заранее объясняю, когда необходимо личное участие представителя компании и какие документы потребуются.
5
Результат и дальнейшие действияРазбираю полученное решение или подготовленный документ и объясняю последующие действия. Исполнение судебного акта, обжалование и дополнительные этапы входят в работу в объёме, предусмотренном соглашением.
6
Связь на всех этапахСогласуем контактное лицо компании и порядок информирования. Сообщаю о значимых событиях и необходимых решениях в пределах принятого поручения.

Сам или с адвокатом: утечка персональных данных

Что компания делает своими силами, а что лучше поручить.

Компания сама

Фиксирует время выявления инцидента и закрывает доступ к данным.
Назначает лицо для взаимодействия с уполномоченным органом.
Собирает журналы, договоры с обработчиками и обращения субъектов.

С адвокатом

Готовлю первое и второе уведомления так, чтобы предположения не выглядели признанием, ч. 3.1 ст. 21 Закона № 152-ФЗ.
Проверяю договор поручения и роль подрядчика в инциденте.
Веду дисциплинарную процедуру и вопрос о материальной ответственности работника, ч. 1 ст. 90 ТК РФ.
Представляю компанию в административном деле и проверяю срок давности.

Кто ведёт дело

Правовая помощь компаниям и предпринимателям — кто отвечает за ваше поручение

Константин Александрович Вруцкий

№ 78/8790 · адвокат

Поручение ведёт адвокат Константин Александрович Вруцкий лично. При обращении обсуждаем задачу компании, необходимые действия и объём сопровождения, который будет закреплён в соглашении.

Адвокатская тайна действует с первого слова, ещё до заключения соглашения: сведения о компании, её сделках и контрагентах не могут быть раскрыты, а адвоката нельзя допросить о том, что он узнал от доверителя.

Личное ведениеВеду дело сам — от первого разговора до исполнения. Доверитель — компания или индивидуальный предприниматель, работа идёт по письменному соглашению с адвокатом — ст. 25 ФЗ «Об адвокатской деятельности и адвокатуре».

Честная оценкаНе обещаю результата: называю реальную перспективу и цену промедления в рублях. Если задача решается силами компании, говорю прямо. Обещать положительный результат адвокату запрещено — п. 2 ст. 10 Кодекса профессиональной этики адвоката.

Адвокатская тайнаСведения о компании, её сделках, контрагентах и финансах, полученные в связи с делом, охраняются законом — рассказать можно всё, включая неудобное. Это адвокатская тайна — ст. 8 ФЗ «Об адвокатской деятельности и адвокатуре».

Понятные следующие шагиОбъясняю значение документа или решения и следующие действия компании. Представительство, обжалование и исполнение входят в согласованный объём помощи по соглашению — ст. 25 ФЗ «Об адвокатской деятельности и адвокатуре».

Частые вопросы: утечка персональных данных

Ответы по закону о персональных данных и КоАП.

Что является утечкой персональных данных?

Закон говорит об инциденте: неправомерной или случайной передаче (предоставлении, распространении, доступе) персональных данных, повлекшей нарушение прав субъектов, ч. 3.1 ст. 21 Закона № 152-ФЗ. Умысел не обязателен: случайный доступ посторонних тоже считается.

Персональные данные утекли — что делать компании в первые сутки?

Зафиксировать момент выявления, закрыть доступ и в течение двадцати четырех часов уведомить уполномоченный орган об инциденте, предполагаемых причинах и вреде, принятых мерах и лице для взаимодействия, п. 1 ч. 3.1 ст. 21 Закона № 152-ФЗ. Параллельно начать внутреннее расследование.

Уведомление Роскомнадзора об утечке персональных данных: что и когда сообщать?

Норма называет адресатом уполномоченный орган по защите прав субъектов персональных данных — федеральный орган исполнительной власти, который контролирует и надзирает за обработкой данных, ч. 1 ст. 23 Закона № 152-ФЗ; он же ведёт реестр инцидентов, ч. 10 ст. 23 Закона № 152-ФЗ. Два сообщения: в течение двадцати четырех часов — об инциденте, в течение семидесяти двух часов — о результатах внутреннего расследования и о лицах, ставших причиной инцидента, при наличии, ч. 3.1 ст. 21 Закона № 152-ФЗ.

Какой штраф за утечку персональных данных и какой максимальный?

Для компании штраф зависит от числа субъектов: от одной тысячи до десяти тысяч — от трех миллионов до пяти миллионов рублей, ч. 12 ст. 13.11 КоАП РФ; от десяти тысяч до ста тысяч — от пяти миллионов до десяти миллионов рублей, ч. 13 ст. 13.11 КоАП РФ; более ста тысяч — от десяти миллионов до пятнадцати миллионов рублей, ч. 14 ст. 13.11 КоАП РФ. Максимальный — при повторной утечке: от 1 до 3 процентов выручки, но не более пятисот миллионов рублей, ч. 15, 18 ст. 13.11 КоАП РФ.

Показать все вопросыСвернуть

Статья за утечку персональных данных в КоАП — какая и в какой срок привлекают?

ст. 13.11 КоАП РФ: за саму утечку — ч. 12–18, за неуведомление органа — ч. 11, от одного миллиона до трех миллионов рублей для компании; для единой биометрической системы — отдельная ст. 13.11.3 КоАП РФ. Привлекает уполномоченный орган, п. 9 ч. 3 ст. 23 Закона № 152-ФЗ. Постановление не может быть вынесено по истечении одного года со дня совершения правонарушения, ч. 1 ст. 4.5 КоАП РФ. Для длящегося правонарушения отсчёт начинается в день его обнаружения, ч. 2 ст. 4.5 КоАП РФ.

Что является главной причиной утечки персональных данных и как её назвать в уведомлении?

Закон причин не перечисляет. В первом уведомлении оператор сообщает предполагаемые причины, а установленные — в результатах внутреннего расследования вместе со сведениями о лицах, действия которых стали причиной инцидента, при наличии, ч. 3.1 ст. 21 Закона № 152-ФЗ.

Как проходит проверка утечки персональных данных у подрядчика?

Если данные обрабатывает лицо по поручению оператора, оператор обеспечивает у него прекращение неправомерной обработки в срок, не превышающий трех рабочих дней, и уничтожение, если правомерность невозможна, ч. 3 ст. 21 Закона № 152-ФЗ. Уведомляет орган всё равно оператор.

Утечка персональных данных: ответственность работника, который её допустил?

Виновные в нарушении при обработке персональных данных работника привлекаются к дисциплинарной и материальной ответственности в порядке трудового закона и иных федеральных законов, а также к гражданско-правовой, административной и уголовной — в порядке федеральных законов, ст. 90 ТК РФ.

Может ли клиент после утечки требовать компенсацию?

Да: моральный вред, причиненный субъекту нарушением его прав, правил обработки или требований к защите данных, возмещается, и это не зависит от возмещения имущественного вреда и убытков, ч. 2 ст. 24 Закона № 152-ФЗ. Уполномоченный орган вправе обратиться в суд в защиту прав субъектов, в том числе неопределенного круга лиц, п. 5 ч. 3 ст. 23 Закона № 152-ФЗ.

Услуги и темы рядом: утечка персональных данных

Где нужна помощь адвоката и что прочитать дальше по этому вопросу

Защита бизнеса от риска нарушения законодательства о персональных данныхИнцидент с персональными данными, канал утечки и меры реагирования. Проверяю нормы и документы, готовлю позицию, сроки и доказательства. Работаю лично как адвокат.

Обсудите задачу до подписания и ответа

Запишитесь на консультацию

+7 (495) 198-70-77

Позвонить сейчас