Что такое утечка персональных данных?

Утечка персональных данных - это любое неправомерное или случайное предоставление доступа к ним, распространение, изменение или уничтожение данных с нарушением требований закона. И взлом базы хакерами, и письмо с прикреплённым файлом клиентов, отправленное не тому адресату по ошибке сотрудника, закон считает утечкой одинаково - источник значения не имеет, важен сам факт, что данные вышли за пределы контролируемого доступа.

С 1 сентября 2022 года, по поправкам федерального закона №266-ФЗ, у оператора есть жёсткие сроки реагирования: в течение 24 часов с момента обнаружения утечки нужно уведомить Роскомнадзор о самом факте, а в течение 72 часов - сообщить результаты внутреннего расследования: какие данные затронуты, сколько человек пострадало, в чём была причина. Отсчёт идёт именно с момента обнаружения, а не с момента, когда утечка реально произошла, - если её нашли не сразу, это отдельно проверяется.

С 30 мая 2025 года, после поправок в КоАП РФ (закон №420-ФЗ), ответственность за утечки заметно выросла. Сумма штрафа зависит от числа пострадавших субъектов и от того, повторное это нарушение или нет: для юрлиц она начинается от нескольких миллионов рублей, а при повторной утечке в течение года рассчитывается уже как процент от годовой выручки компании и может доходить до сотен миллионов. Отдельно появилась и уголовная ответственность за незаконный оборот данных, полученных из утечки.

Для компании с базой клиентов это значит: базовые меры защиты (ограничение доступа, обновление CMS, шифрование) снижают сам риск, а на случай, если утечка всё же произошла, стоит заранее знать порядок действий - зафиксировать время и масштаб инцидента сразу, это понадобится для отчёта в 72-часовой срок, и привлечь юриста, который специализируется на 152-ФЗ, для расследования и уведомлений.