Что считается утечкой
Закон говорит о неправомерной или случайной передаче, предоставлении, распространении или доступе к персональным данным. Это не только взлом: открытая выгрузка заявок по прямой ссылке, письмо со списком клиентов не тому адресату, база в публичном облаке — тоже инциденты.
Первые 24 часа
В течение суток с момента, когда вы узнали об инциденте, нужно уведомить Роскомнадзор (ч. 3.1 ст. 21 152-ФЗ): что произошло, предполагаемые причины, предполагаемый вред, принятые меры и контактное лицо. Уведомление подаётся через портал ведомства.
Параллельно — локализовать проблему: закрыть доступ, сменить ключи и пароли, отключить уязвимую форму. Не удаляйте логи: они понадобятся для расследования.
До 72 часов
В течение трёх суток нужно направить второе уведомление — о результатах внутреннего расследования и о лицах, действия которых стали причиной, если они установлены.
- —Определите, какие данные и скольких людей затронул инцидент: от этого зависит размер возможного штрафа, см. штрафы по 152-ФЗ.
- —Зафиксируйте хронологию: когда началось, когда обнаружено, что сделано.
- —Оцените, нужно ли уведомить самих пользователей и что им рекомендовать.
- —Проверьте подрядчиков: часто утечка происходит у них, но отвечаете вы как оператор.
Чего не делать
Не молчите в надежде, что никто не заметит: за несообщение об инциденте предусмотрен отдельный штраф. Не публикуйте технические детали до завершения расследования. Не удаляйте данные массово, пытаясь «спрятать» масштаб, — это уничтожит доказательства ваших мер.
Как снизить вероятность утечки с сайта
Большинство утечек с небольших сайтов — это не хакеры, а лишние данные и лишние доступы. Не собирайте того, что не нужно, удаляйте старые заявки по сроку, ограничьте доступ к админке.
Назначьте человека, который знает этот план. Об этой роли — статья про ответственного за обработку данных.