Роскомнадзор утвердил порядок сообщений об утечках данных
С марта 2023 года установили порядок уведомлений об инцидентах с персональными данными: первичное сообщение, результаты расследования и уточнение сведений.
Что произошло
Приказом от 14 ноября 2022 года № 187 Роскомнадзор утвердил порядок взаимодействия с операторами при ведении реестра инцидентов с персональными данными. Он должен был вступить в силу 1 марта 2023 года. Порядок касается неправомерной или случайной передачи, предоставления, распространения либо доступа к данным, повлёкших нарушение прав людей.
Первичное уведомление описывает инцидент: время обнаружения, характеристики данных и количество записей, предполагаемые причины и вред, принятые меры и контакт ответственного. Дополнительное уведомление содержит результаты внутреннего расследования. Если они уже известны при первом сообщении, их можно указать сразу.
Что это значит для бизнеса
Отправить короткое письмо о технической ошибке недостаточно, если оно не содержит предусмотренных сведений. С другой стороны, первоначальная информация может быть предварительной: подтверждённые результаты расследования поступают на следующем этапе.
При электронной подаче используется форма портала Роскомнадзора с предусмотренной идентификацией и подписью. Для дополнительного уведомления нужны номер и ключ первоначального сообщения. Если ведомство запросило недостающие сведения или пояснения к некорректным данным, порядок отводит три рабочих дня с получения запроса на их представление.
Как использовать этот вывод
В плане реагирования назначьте тех, кто фиксирует время обнаружения, собирает сведения, проводит расследование и взаимодействует с ведомством. Сохраняйте журналы событий и подтверждения отправки: технические действия и исполнение обязанности уведомить должны быть прослеживаемыми.
Разделите первоначальные сроки уведомления из закона и сроки ответа на последующие запросы из порядка. Запрос уточнений не даёт оснований пропустить первоначальное сообщение. После расследования свяжите дополнительную информацию с первой подачей и объясните изменения в выводах, если предварительная версия не подтвердилась.