Шаг 1. Подать уведомление в РКН об утечке
Уведомление об утечке подается через сайт РКН. В уведомлении необходимо будет указать:
• Дата и время выявления инцидента
• Предполагаемые причины, повлекшие нарушение прав субъектов ПД
• Характеристики персональных данных (категории субъектов ПД, примерное количество записей, которые утекли, перечень персональных данных, период, в течение которого были собраны записи в БД).
• Предполагаемый вред, нанесенный правам субъектов ПД
• Принятые меры по устранению последствий инцидента
Данное уведомление подается в течение 24 часов с момента выявления инцидента.
Шаг 2. Утвердите приказ о проведении внутреннего расследования инцидента в области информационной безопасности.
В приказе нужно указать о:
1. Создании комиссии по расследованию инцидента
2. О назначении проведения расследования
Шаг 3. Утвердите акт о проведении расследования (это результат деятельности комиссии)
В акте укажите:
• Состав комиссии
• Дата завершения инцидента
• Дата проведения расследования
• Дата подачи первого уведолмения в РКН
• Дата подачи второго уведолмения в РКН
• Результаты внутреннего расследования (причины инцидента, причастные к инциденту лица (если есть), предполагаемый вред нанесенный субъектам, меры по устранению инцидента).
Шаг 4. Подайте второе уведомление РКН (о результатах расследования)
Второе уведомление подается через сайт РКН.
Здесь нужно будет указать, что было проведено внутреннем расследование, оформленным приказ от дд.мм.гггг и результаты зафиксированны в акте от дд.мм.гггг
Данное уведомление подается в течение 72 часов с момента выявления инцидента.
Если есть подозрение на утечку по вине вашего подрядчика (например, облачного провайдера), нужно связаться с ним для проведения расследования.
Какие риски?
Если не подавать уведомление в РКН об инциденте - штраф для ЮЛ от 1 до 3 млн рублей (ч. 11 ст. 13.11 КоАП)
При этом за сам факт утечки вы можете получить штраф:
1. По ч. 1 ст. 13.11 КоАП (если утекли данные только 1 субъекта) - от 100 до 300 тысяч рублей для ЮЛ.
2. Если будет доказано, что произошла утечка данных от 1000 до 10 000 человек или утекло от 10 до 100 тысяч ПД, то РКН может наложить штраф от 3 до 5 млн рублей для ЮЛ (ч. 12 ст. 13.11 КоАП)
3. Если будет доказано, что произошла утечка данных от 10 000 до 100 000 человек или утекло от 100 000 до 1 млн ПД, то РКН может наложить штраф от 5 до 10 млн рублей для ЮЛ (ч. 13 ст. 13.11 КоАП)
4. Если будет доказано, что утекли специальные категории ПД (а именно сведения о здоровье), то будет применяться ч. 16 ст. 13.11. КоАП (от 10 до 15 млн).
5. Если будет доказана утечка биометрии, то будет применяться ч. 17 ст. 13.11 КоАП (от 15 до 20 млн).