Пятница, вечер. Менеджер пекарни с доставкой замечает, что таблица заказов с именами, телефонами и адресами клиентов открыта по ссылке для всех. Ссылку когда-то отправили курьеру в общий чат, а чат, как выяснилось, публичный. Сколько людей успели её открыть, неизвестно.
Большинство владельцев малого бизнеса в такой ситуации думают про репутацию. Закон думает про часы. Обязанность уведомлять РКН об утечке действует с 01.09.2022 (ч. 3.1 ст. 21 152-ФЗ), и сроки там короткие.
Два уведомления, а не одно
Оператор сообщает Роскомнадзору об инциденте дважды.
| Когда | Что сообщить |
|---|---|
| В течение 24 часов с момента, как узнали | сам факт инцидента: что произошло, предполагаемые причины, возможный вред людям, какие меры уже приняты, кто от компании на связи |
| В течение 72 часов | результаты внутреннего расследования и, если удалось установить, кто причастен |
Отсчёт идёт с момента, когда инцидент обнаружили, а не с понедельника и не с момента, когда юрист вернулся из отпуска. Для пекарни из примера это означает субботу.
Первое уведомление не требует полной картины. Его задача зафиксировать, что вы знаете о проблеме и уже действуете. Точные цифры и выводы идут во втором.
Что считается утечкой для малого бизнеса
Речь не только про хакеров. На практике у небольших компаний данные чаще «утекают» по бытовым причинам:
- таблица Google или облачная папка открыта по ссылке для всех;
- уволившийся администратор унёс выгрузку клиентской базы;
- в CRM остался активный доступ у подрядчика, с которым давно не работаете;
- рассылку отправили с открытым списком получателей в поле «Кому»;
- ноутбук с базой забыли в такси.
Загородный отель, у которого в открытом доступе оказались сканы паспортов гостей, и digital-агентство, у которого слили выгрузку лидов клиента, попадают под одну и ту же обязанность уведомить.
Сколько стоит промолчать
Здесь ст. 13.11 КоАП в редакции 420-ФЗ (с 30.05.2025) разделяет две вещи: само молчание и масштаб утечки.
За то, что РКН не уведомили (ч. 11):
| Кто | Штраф |
|---|---|
| Гражданин | 50-100 тыс. руб. |
| Должностное лицо | 400-800 тыс. руб. |
| ИП и юрлицо | 1-3 млн руб. |
За саму утечку, в зависимости от числа людей, чьи данные пострадали (суммы для юрлиц, ИП отвечает так же):
| Часть | Сколько субъектов | Штраф |
|---|---|---|
| 12 | от 1 до 10 тыс. | 3-5 млн руб. |
| 13 | от 10 до 100 тыс. | 5-10 млн руб. |
| 14 | более 100 тыс. | 15-20 млн руб. |
| повторная утечка | любой объём | 1-3% годовой выручки, но от 20 до 500 млн руб. |
Обратите внимание на две детали. Первая: штраф за молчание идёт отдельно от штрафа за утечку. Пекарня с базой в несколько тысяч клиентов, которая решит «не поднимать шум», рискует получить оба. Вторая: повторная утечка считается от выручки, и нижняя граница в 20 млн для небольшой компании означает фактически закрытие.
Есть и уголовная сторона: ст. 272.1 УК (с 11.12.2024) про незаконное использование и передачу компьютерной информации с персональными данными. Она касается в первую очередь тех, кто данные вынес или продал, например того самого уволившегося администратора.
Остальные части ст. 13.11 мы собрали в таблицу в статье про штрафы по 13.11 КоАП.
План первых суток
Это не юридическая инструкция, а то, что мы советуем сделать по шагам, пока голова ещё не пошла кругом.
- Закрыть источник. Отозвать ссылку, сменить пароли, отключить доступ подрядчика. Только после этого разбираться.
- Записать время обнаружения. С него идут 24 часа, и его же спросят.
- Прикинуть объём: какие поля и примерно сколько людей. От этого зависит, в какую часть ст. 13.11 попадает инцидент.
- Назначить, кто отвечает за коммуникацию с РКН. В компании это обычно ответственный за обработку ПДн, у ИП сам предприниматель.
- Отправить первое уведомление в Роскомнадзор, не дожидаясь полной ясности.
- Собрать хронологию для второго уведомления: кто имел доступ, когда ссылку создали, кто её открывал, если это видно по логам.
- Сохранить всё, что подтверждает принятые меры: скриншоты, переписку, смену доступов.
Если пункт 4 у вас вызывает вопрос «а кто это у нас», это стоит решить заранее, а не в пятницу вечером.
Что можно сделать до инцидента
Утечку нельзя исключить полностью, но можно сократить и её масштаб, и время реакции. Короткий чек-лист для небольшой компании:
- у каждой общей таблицы и папки с клиентскими данными доступ только по приглашению;
- список тех, у кого есть доступ к CRM и базе, актуален, бывшие сотрудники и подрядчики отключены;
- собираете только те поля, которые реально нужны: паспорт гостя для бронирования столика не нужен;
- данные граждан РФ хранятся в базах на территории России (ч. 5 ст. 18 152-ФЗ);
- понятно, кто и как отправляет уведомление в РКН, и у этого человека есть доступ к нужным сведениям;
- в политике обработки ПДн описаны реальные меры защиты, а не абзац из шаблона.
Последний пункт часто недооценивают. Когда РКН разбирает инцидент, он сравнивает то, что вы обещали в политике, с тем, что происходило на деле. Если политика давно не обновлялась, расхождение будет видно сразу. Как и что проверяют в таких случаях, разобрано в материале о проверке РКН по персональным данным.
Одна мысль напоследок
Самые дорогие утечки в малом бизнесе редко бывают сложными. Это открытая ссылка, забытый доступ, лишняя выгрузка. Их дешевле закрыть сейчас, чем потом считать, в какую из частей ст. 13.11 попал ваш случай. Документы, которые меняются вместе с законом, включены в годовую поддержку, но доступы к таблицам за вас никто не закроет.