Утечка клиентской базы, ошибочная публикация сведений или доступ бывшего сотрудника требуют согласованных действий руководителя, технической службы и ответственного за персональные данные. На консультации выясняю, какие сведения затронуты, когда обнаружен инцидент и поступили ли запросы Роскомнадзора или требования субъектов. Как адвокат проверяю документы оператора, основания обработки и подтверждения мер безопасности. Готовлю правовую позицию, уведомления и ответы с учётом установленных обстоятельств. Техническое ограничение доступа выполняют специалисты компании; для защиты важно сохранить цифровые следы и зафиксировать принятые меры. Объём поручения определяю после изучения материалов.
Коротко
Разбираю инцидент с персональными данными: канал утечки, меры реагирования и документы оператора. Готовлю заявление об утечке персональных данных и проверяю основания ответственности по ст. 13.11 КоАП РФ. Сигналы сервисов утечки сопоставляю с журналами и результатами расследования.
До запуска сервиса проверяю процессы обработки данных и меры защиты от утечки.
Позиция компании строится на датированных материалах о мерах оператора по соблюдению закона о персональных данных и мерах безопасности. Заранее сохраняю журналы событий, уведомления, отчёт расследования и план устранения причин.
Ошибки, которые осложняют правовую защиту компании — Защита бизнеса от риска нарушения законодательства о персональных данных
Выясняю, кто определял цели обработки данных, а кто выполнял поручение по договору.
Определяю роль компании: оператор или обработчик. От неё зависит, возможна ли ответственность за утечку персональных данных по УК или по КоАП. Проверяю, кто определял цели обработки и перечень сведений, а кто выполнял поручение по договору. Само название стороны в договоре не решает этот вопрос.
Фиксирую технические и юридические границы: инцидент с персональными данными, канал утечки и меры реагирования. Уточняю, была ли доступна вся база или отдельная выгрузка, затронуты ли резервные копии и сохраняется ли внешний доступ.
Для каждого действия определяю основание в законодательстве о персональных данных и КоАП. Согласие субъекта, договор с обработчиком и полномочия сотрудника проверяю применительно к конкретной операции.
Проверяю, насколько надёжны доказательства мер по обеспечению безопасности персональных данных и мер оператора по соблюдению закона. Опираюсь на журналы событий, уведомления, отчёт расследования и план устранения причин.
Анализирую действия второй стороны: подрядчика, сотрудника или внешнего лица, через которых данные стали доступны. Запрашиваю условия доступа, поручения на обработку и сообщения об обнаружении инцидента; отделяю установленное действие от версии о его причине.
Проверяю, можно ли исполнить требование к компании. Ответ на вопрос, что делать при утечке персональных данных, строю на реальных процессах: какие меры оператор принял, как работает защита и как устранены причины инцидента.
Владелец продукта утверждает модель обработки, руководитель решает по инциденту, технический специалист предоставляет журналы.
| Участник | Полномочие и документ |
|---|---|
| Собственник продукта | Утверждает модель обработки персональных данных и меры защиты при запуске продукта. |
| Руководитель компании | Принимает решения по инциденту и отвечает за то, как компания решает проблему утечки персональных данных. |
| Технический специалист | Даёт журналы и выгрузки. Помогает понять, куда обращаться при утечке персональных данных и как подтвердить меры безопасности; выясняет, где закрыт канал утечки. |
| Контрагент | Подрядчик или обработчик; его договор показывает, какие меры оператора по соблюдению закона он выполнял. |
| Компетентный орган или суд | Роскомнадзор оценивает меры оператора и может применить КоАП: штрафы, защита персональных данных и сроки проверяются по документам. Суд рассматривает спор и, если нужно, вопрос о том, какая статья применима к утечке персональных данных. Проверяю источник и дату каждого документа. |
| Адвокат | Разбираю факты и готовлю позицию, включая вопрос, если нет регистрации оператора персональных данных, возможен ли штраф. Сопоставляю факты с 152-ФЗ и КоАП. |
Сопоставляю канал утечки и принятые меры с требованиями к защите данных и процедурой проверки Роскомнадзора.
Сначала описываю фактический процесс и его границы: инцидент с персональными данными, канал утечки и меры реагирования.
Затем собираю доказательства: журналы событий, уведомления, отчёт расследования и план устранения причин. Требования ФЗ к утечке персональных данных оцениваю с учётом компетенции Роскомнадзора и процедуры.
Правовую основу образуют требования 152-ФЗ о мерах оператора и мерах безопасности и нормы КоАП. Отдельно проверяю, есть ли признаки, при которых утечка персональных данных оценивается по УК.
Меры оператора по соблюдению закона проверяю по фактическому процессу, а не по названиям документов. Отдельно оцениваю меры по обеспечению безопасности персональных данных: что было внедрено до инцидента и как это подтверждается датированными материалами.
Каждый документ проверяю по источнику и дате и соотношу с эпизодом, по которому применяются требования ФЗ или УК.
Если произошла утечка персональных данных, сначала ограничиваю канал утечки, сохраняю журналы, уточняю состав затронутых сведений и круг субъектов. План реагирования отвечает на вопрос, что делать при утечке персональных данных, кто уведомляет руководство и регулятора и как исключается повторный доступ.
Штраф за нарушение закона о персональных данных, штраф компании за утечку и оборотная ответственность зависят от состава, повторности и действующей редакции КоАП. Не называю размер штрафа без проверки нормы; отдельно рассматриваю признаки уголовного нарушения, если данные получены, переданы или использованы незаконно.
Для банка, клиники, работодателя или интернет-сервиса каналы утечки персональных данных различаются: почта, облако, рабочий компьютер, подрядчик, API или ошибочная публикация. Сервис проверки утечки может быть источником сигнала, но юридическую позицию строю на подтверждённых журналах и данных расследования.
Оператор самостоятельно определяет необходимые и достаточные меры для выполнения обязанностей по обработке данных.
Комментарий адвоката Вруцкогоадвокат · рег. № 78/8790
При инциденте первым делом проверяю, какие меры оператор принял до утечки и как отреагировал после неё. Документы об организации обработки и безопасности сопоставляю с журналами доступа: наличие политики само по себе не подтверждает её исполнение.
Подтверждаю основания обработки данных, полномочия сотрудников и подрядчиков, состав сведений и круг получателей.
Разделяю время утечки и её обнаружения, затем сохраняю журналы событий с исходными версиями и метаданными.
Сохраняю письмо об утечке и дату его получения, чтобы установить, когда компания узнала об инциденте.
Досудебная позиция строится на том, как компания фактически выполняла меры оператора.
Выбор суда и участников зависит от того, обжалует ли компания штраф, оспаривает предписание или требует возмещения убытков.
| Вопрос | Что подтверждаю |
|---|---|
| Компетенция суда | Определяю, какой суд рассматривает спор, исходя из сторон и предмета требования. Различаю обжалование постановления о штрафе, оспаривание предписания и иск о возмещении убытков. Статус компании сам по себе не означает, что любое дело относится к арбитражному суду. |
| Надлежащие стороны | Устанавливаю надлежащих участников: оператор, обработчик, субъект данных, регулятор. Проверяю, кто указан в обжалуемом акте и кто был стороной договора на обработку. Для ответственности сотрудника и компании могут потребоваться разные процедуры. |
| Предмет требования | Формулирую предмет требования и оцениваю риски утечки персональных данных для компании. Проверяю, какие меры по обеспечению безопасности действовали и чем это подтверждено, и сопоставляю хронологию с процедурой по КоАП. В заявлении выделяю конкретный оспариваемый вывод и объясняю, как он влияет на права компании. |
| Цифровые относимые материалы | Представляю доказательства того, что делать при утечке персональных данных компания знала и делала: журналы событий, уведомления, отчёт расследования, план устранения причин. К выгрузкам прилагаю описание источника и способа получения; технические выводы соотношу с периодом, который проверяет орган. |
| Нормативное основание | Сопоставляю обстоятельства с обязанностями оператора по законодательству о персональных данных и нормами КоАП. Проверяю, доказаны ли событие нарушения, его обстоятельства и основания привлечения именно этой компании. |
| Исполнение решения | Контролирую исполнение решения и изменения в мерах оператора по соблюдению закона о персональных данных. Устранение нарушения после инцидента фиксирую отдельно от доказательств того, какие меры действовали до него. |
Главное доказательство — документы об устранении нарушений при обработке персональных данных.
Схема обработки, договоры с подрядчиками и технические журналы показывают распределение обязанностей и меры защиты.
| Документ | Что он закрепляет |
|---|---|
| Схема процесса | Показывает, где обрабатываются данные и какие меры безопасности работают. Описываю инцидент с персональными данными, канал утечки и меры реагирования. |
| Договорная база | Договоры с подрядчиками и обработчиками показывают, кто отвечал за меры оператора. |
| Технические материалы | Подтверждают меры оператора по соблюдению закона и меры безопасности: журналы событий, уведомления, отчёт расследования, план устранения причин. |
| Деловая коммуникация | Переписка показывает, когда компания узнала об инциденте и чем грозит утечка персональных данных. |
| Документ органа | Запрос или постановление Роскомнадзора; по нему видно, какие меры оператора оцениваются. |
| Итог последствий | Подтверждает последствия инцидента. Требования ФЗ к утечке персональных данных сопоставляю с документами о мерах безопасности и их датах. |
Новая утечка персональных данных требует нового комплекта документов, прежний его не заменит.
Объём аудита зависит от числа процессов, систем и подрядчиков, а доработки — от состояния политик и регламентов.
| Элемент | Как подтверждается |
|---|---|
| Правовой аудит | Проверка, чем грозит утечка персональных данных компании; подтверждается документами. Объём проверки определяют число процессов обработки, систем и привлечённых подрядчиков; эти сведения нужны для согласования поручения. |
| Переработка подтверждений | Доработка документов о мерах оператора по соблюдению закона. Учитываю, какие политики, поручения и регламенты действительно требуют изменения, а какие достаточно подкрепить подтверждениями исполнения. |
| Технические меры | Меры безопасности; для компаний с большим объёмом данных, как у банков, при утечке персональных данных они подтверждаются актами и журналами. В расчёте отделяю восстановление после инцидента от плановой модернизации, которую компания провела бы и без утечки. |
| Договорные платежи | Платежи по договорам с подрядчиками; утечка персональных данных и заявление субъекта учитываются отдельно. Проверяю назначение каждого платежа и условия договора: оплата услуги не всегда является убытком, вызванным нарушением подрядчика. |
| Подтверждённые убытки | Убытки подтверждаются документами о причине и размере. Размер штрафа за утечку персональных данных не называю без проверки нормы в действующей редакции КоАП. Оборотные штрафы за утечку персональных данных оцениваю отдельно от требований о возмещении потерь; для расчёта нужны сведения, предусмотренные применимым составом. |
| Судебные расходы | Расходы на представительство по спору о мерах оператора; подтверждаются договорами. Для заявления о возмещении расходов сохраняются акты выполненной работы и платёжные документы. |
Размер требований зависит от того, как документально подтверждены меры оператора.
Сроки для претензии и оспаривания решения органа отсчитываются от разных событий, подтверждённых первичными документами.
| Действие | Срок | Начало и условие | Норма |
|---|---|---|---|
| Претензия по денежному требованию | 30 календарных дней | Отсчитываю от направления претензии, если договор не устанавливает иной срок; проверяю, какие меры оператора в ней оспариваются. | ч. 5 ст. 4 АПК РФ |
| Оспаривание решения органа | 3 месяца | Отсчитываю от дня, когда компания узнала о решении органа; утечка персональных данных и заявление субъекта подтверждаются документами. | ч. 4 ст. 198 АПК РФ |
| Апелляционная жалоба | 1 месяц | Отсчитываю от решения суда первой инстанции по спору о мерах оператора; к этому моменту доказательства мер безопасности уже должны быть в деле. | ч. 1 ст. 259 АПК РФ |
| Кассационная жалоба | 2 месяца | Отсчитываю от вступления в силу обжалуемого акта; если утечка персональных данных оценивается по УК, сроки проверяю отдельно. | ч. 1 ст. 276 АПК РФ |
Специальный срок проверяю по предмету процедуры и подтверждаю даты первичными документами.
Проверяю фактическую обработку данных, готовлю подтверждения мер защиты, согласую условия с подрядчиками и ответ регулятору.
Сверяю заявленную модель с фактическими операциями: инцидент с персональными данными, канал утечки и меры реагирования.
Готовлю доказательства того, как компания решает проблему утечки персональных данных.
Согласую с подрядчиками меры, которые устраняют проблему утечки персональных данных.
Готовлю ответ регулятору по каждому пункту запроса. Показываю, какие меры по обеспечению безопасности персональных данных применялись до инцидента и чем это подтверждается. Возможный адресат — Роскомнадзор либо арбитражный суд.
Составляю претензию или ответ на неё с опорой на документы о мерах безопасности и плане устранения причин.
В суде по делу об утечке персональных данных выделяю факты, норму и способ защиты.
Обязанности оцениваю по фактической роли компании и редакции нормы на дату нарушения, отличая её от даты обнаружения утечки.
Правильно определённая роль компании: оператор или обработчик. От роли зависит, какие меры оператора оцениваются. Проверяю фактическое распределение целей обработки и обязанностей, а не только название договора.
Применение нормы в редакции на дату инцидента; проблема утечки персональных данных оценивается по ней. Дата обнаружения утечки и дата нарушения могут различаться; это отражаю в хронологии.
Журналы, которые подтверждают действия при утечке персональных данных и меры безопасности. Значение имеют полнота выгрузки, источник и сохранность исходного файла.
Согласованные между собой данные о мерах оператора и о том, как устроен инцидент с персональными данными, канал утечки и меры реагирования. Расхождения между уведомлением и техническим отчётом нужно объяснить, а уточнённые сведения — подтвердить.
Быстрая реакция: чем раньше закрыт канал и сохранены журналы, тем точнее оценка, грозит ли за утечку персональных данных ответственность по УК. Техническая служба фиксирует закрытие доступа и результаты проверки; адвокат оценивает правовое значение этих материалов.
Итог просимого действия должен быть проверяемым. КоАП, штрафы и защита персональных данных оцениваются по документам. В претензии подрядчику связываю каждую требуемую меру с его обязанностью по договору и выявленным нарушением.
Комплект подтверждений мер защиты помогает ответить регулятору, который может принять объяснения или продолжить проверку.
Расхождения политики с журналами, неточная роль компании и неограниченный доступ к базе осложняют защиту после утечки.
Политика описывает меры оператора, которых на деле нет, и компания получает штрафы за нарушения в области персональных данных. Сверяю документы с журналами.
Роль компании описана неточно. Уточняю, какие меры оператора она обязана была принимать.
Доступ к базе выдан без границ, и встаёт вопрос, какова ответственность за утечку персональных данных в организации. Разделяю факты, полномочия и требования.
Журналы выгружены после проверки; устранение нарушений при обработке персональных данных подтвердить труднее.
Смешаны расследование, уведомление регулятора и устранение причин; для каждого этапа нужен свой документ.
Формальное название обработчика и чужая типовая политика мешают подтвердить реальные обязанности и ограничения доступа.
Расходы на расследование и восстановление подтверждаю платежами, а требование к подрядчику — договором и связью с его действиями.
адвокат · рег. № 78/8790
Сначала раскладываю факты и исходные данные, затем выбираю норму и способ защиты. Главное — чем компания подтвердит меры по обеспечению безопасности персональных данных. Политика обработки, утверждённая до инцидента, полезна вместе с документами об исполнении: кто получил доступ, какие ограничения действовали и как выявлялись нарушения. Документы, составленные после утечки, оцениваю отдельно: они могут подтвердить реакцию, но не заменяют сведения о прежнем состоянии защиты.
Публичное сообщение об утечке ещё не устанавливает её объём и виновное лицо. Сигнал сервиса проверки утечки персональных данных сопоставляю с техническим отчётом, журналами и перепиской. Для уведомления и последующих объяснений нужна единая хронология; если сведения уточняются, фиксирую, откуда получено уточнение. На консультации определяю, какие материалы доступны сейчас, что нужно запросить у обработчика и какие вопросы требуют срочного решения руководителя. Техническое расследование проводят специалисты; моя задача как адвоката — оценить доказательства и подготовить правовую позицию.
Устанавливаю последовательность утечки, проверяю правовые основания и готовлю материалы о защите данных с датами и источниками.
Порядок работы адвоката — Защита бизнеса от риска нарушения законодательства о персональных данных
Компания описывает обработку данных, техническая служба фиксирует инцидент, а исходные материалы передаются с метаданными.
Компания собирает документы о мерах, которые она приняла для соблюдения закона о персональных данных.
Если в деле возникает вопрос, какая статья применяется к утечке персональных данных, оцениваю факты, обязанности оператора и основания ответственности по ст. 13.11 КоАП РФ.
Позицию компании определяют документы о том, как на практике реализованы меры оператора по соблюдению закона о персональных данных.
| Этап работы | Когда нужен | Что вы получаете | Цена |
|---|---|---|---|
| Разбор задачи компании | До подписания, ответа на требование или иска | Оценка рисков и план действий; если справитесь своими силами — скажу прямо | от 10 000 ₽ |
| Документы и переписка | Договор, протокол разногласий, претензия, ответ органу | Проект документа, согласованный с вами до подписания или отправки | по соглашению |
| Представительство в компетентном суде | Спор дошёл до суда | Иск или отзыв, расчёты, доказательства, участие в заседаниях | по соглашению |
| Апелляция и кассация | Решение не устроило | Жалоба и участие в вышестоящем суде | по соглашению |
| Выезд по вопросу бизнеса | Проверка, переговоры, встреча в офисе компании | Разбор на месте и план ближайших действий | от 50 000 ₽ |
№ 78/8790 · адвокат · в профессии с 2006 года
Я веду поручение лично. При обращении разбираю задачу, необходимые действия и объём помощи, который закрепляю в соглашении.
Сведения, полученные в связи с обращением за юридической помощью, охраняются адвокатской тайной.
Начало работы после утечки связано с сохранением журналов, проверкой срока уведомления Роскомнадзора и роли компании.
С описания инцидента и сохранения журналов. Срок уведомления проверяю по действующей редакции 152-ФЗ, затем оцениваю меры оператора и меры реагирования.
Требования 152-ФЗ о мерах оператора и мерах безопасности и нормы КоАП; применимость зависит от роли компании.
Нет. Документ должен отражать реальные процессы; если нет регистрации оператора персональных данных, штраф оценивается по фактам.
Журналы событий, уведомления, отчёт расследования и план устранения причин. Они важны, если утечку персональных данных будут оценивать по УК.
Зависит от процедуры: спор с субъектом, проверка регулятора или дело о штрафе. Позицию строю на документах о мерах безопасности.
Определяю по сторонам и предмету спора; общий документ отдельного доказательства мер безопасности не заменит.
Нет. Результат зависит от того, чем подтверждены меры оператора по соблюдению закона. Возможный адресат — Роскомнадзор либо арбитражный суд.
Позицию, доказательства и план, который снижает риски утечки персональных данных. Крупные утечки персональных данных у других компаний показывают, что журналы и план устранения причин нужны заранее.