Что делать при утечке персональных данных: 24 и 72 часа на уведомление РКН

Утечка произошла — что делать в первую очередь

При выявлении инцидента, повлёкшего неправомерную передачу, доступ или распространение персональных данных, у оператора есть жёсткие сроки на уведомление Роскомнадзора (ч. 3.1 ст. 21 152-ФЗ).

Сроки уведомления

• В течение 24 часов с момента выявления инцидента — уведомить Роскомнадзор о самом факте инцидента, предполагаемых причинах и предпринятых мерах.
• В течение 72 часов — предоставить сведения о результатах внутреннего расследования и о лицах, действия которых стали причиной инцидента (если установлены).

Пропуск этих сроков — отдельное, более тяжёлое нарушение, чем сама утечка: с 30 мая 2025 года неуведомление Роскомнадзора об утечке карается штрафом 1–3 млн ₽ для организаций и ИП (подробнее — в статье «Оборотные штрафы за персональные данные»).

Что подготовить заранее

• назначенного ответственного за обработку персональных данных;
• регламент действий при инциденте (в положении об обработке ПДн);
• контакты для оперативного уведомления Роскомнадзора;
• резервные копии и логи доступа для расследования.

Готовое положение об обработке ПДн с разделом о действиях при утечке входит в полный пакет документов. Проверьте готовность бесплатным тестом.

Информация приведена по состоянию на 24.07.2026. Материал носит информационный характер и не заменяет консультацию юриста.