Утечка данных: сутки на уведомление и трое на расследование

Письмо ушло не тому адресату, работник унёс базу в личную почту, потеряли ноутбук с рабочей почтой — это всё инциденты, и часы начинают идти сразу.

Короткий ответ

Если персональные данные утекли или попали не тем, у организации есть двадцать четыре часа, чтобы сообщить об этом в Роскомнадзор, и семьдесят два часа, чтобы сообщить о результатах внутреннего расследования. Часы считаются с момента, когда об инциденте стало известно.

Что говорит закон

Это часть 3.1 статьи 21 закона № 152-ФЗ.

Что считается инцидентом

Не только взлом. Инцидент — это любая передача данных, которой не должно было быть:

• письмо со списком клиентов ушло не тому адресату;
• работник унёс базу на флешке или в личную почту;
• документы с данными людей оставили в открытом доступе — на сайте, в папке, в чате;
• потеряли ноутбук или телефон с рабочей почтой;
• бывший сотрудник сохранил доступ к системе после увольнения.

Почему сутки — это мало

Двадцать четыре часа — это не рабочие сутки, а календарные. За это время нужно понять, что произошло, чьи данные задеты, кто уведомляет и через какую форму. Если разбираться начинают с нуля, срок уходит на поиск ответственного.

Поэтому на визите спрашивают не «были ли у вас утечки», а порядок действий при инциденте: кто фиксирует, кто принимает решение, кто отправляет уведомление, где ведётся журнал инцидентов. Документ должен существовать до того, как что-то случится.

Что подготовить заранее

• порядок действий при инциденте с указанием конкретных должностей и сроков;
• журнал учёта инцидентов — пустой, если ничего не было;
• заранее назначенный ответственный, у которого есть доступ к отправке уведомления;
• памятка для работников: сообщить о подозрении сразу, а не пытаться исправить молча.

Ещё по теме