Приказ Роскомнадзора № 187: Приказ Роскомнадзора от 14.11.2022 № 187 «Об утверждении Порядка уведомления Роскомнадзора об инцидентах…
Устанавливает порядок и сроки уведомления Роскомнадзора об утечках (инцидентах, связанных с неправомерной или случайной передачей) персональных данных гостей.
Действует с 2022-11-14
Что требует
- При выявлении инцидента, связанного с неправомерной или случайной передачей (предоставлением, распространением, доступом) персональных данных, оператор обязан направить в Роскомнадзор первичное уведомление в течение 24 часов с момента обнаружения.
- В течение 72 часов после первичного уведомления отель обязан направить дополнительное уведомление с результатами внутреннего расследования инцидента: причины, объём и категории затронутых данных, принятые меры.
- Уведомление подаётся через специальную форму личного кабинета оператора персональных данных на портале Роскомнадзора с указанием количества субъектов, чьи данные затронуты, категорий данных, обстоятельств утечки.
- Непредставление уведомления или его несвоевременная подача — самостоятельное нарушение, отдельное от самого факта утечки.
- Оператору необходим заранее подготовленный внутренний регламент реагирования на инциденты, чтобы уложиться в 24-часовой срок: кто фиксирует инцидент, кто согласует текст уведомления, кто его отправляет.
- Для отдельных категорий инцидентов (в частности, затрагивающих объекты критической информационной инфраструктуры) предусмотрено дополнительное информирование ФСБ России — для обычной гостиницы, как правило, неприменимо.
Кого касается
Всех гостиниц — операторов персональных данных, независимо от масштаба, поскольку обязанность уведомить возникает при любой утечке: взлом сайта бронирования, случайная отправка базы гостей не по адресу, кража ноутбука с базой данных.
Что проверяют
Роскомнадзор при получении жалобы гостя или сведений об утечке из открытых источников проверяет, было ли направлено уведомление в срок, полноту и достоверность сведений в нём, наличие внутреннего расследования и принятых по его итогам мер.
Ответственность
Часть 11 статьи 13.11 КоАП РФ — за невыполнение обязанности уведомить об утечке: для юридических лиц от 1 до 3 млн рублей. Сама утечка дополнительно квалифицируется по частям 12–18 той же статьи в зависимости от объёма и категории данных — штрафы для юридических лиц от 3 млн до 500 млн рублей, включая оборотные санкции при повторных крупных утечках.
Частые ошибки
- Об утечке становится известно только из жалобы гостя или публикации в СМИ, а не из собственного мониторинга — из-за чего 24-часовой срок изначально нарушен.
- В отеле нет назначенного ответственного и регламента на случай инцидента, решение о реагировании принимается ситуативно.
- Уведомление в Роскомнадзор направляется, но без полноценного внутреннего расследования, требуемого для второго этапа в течение 72 часов.
- Инцидент квалифицируется внутри отеля как «техническая накладка» и не признаётся утечкой персональных данных, хотя формально таковой является.
Частые вопросы
Когда вступил в силу Приказ Роскомнадзора № 187?
Приказ Роскомнадзора № 187 вступил в силу 14 ноября 2022 года и установил обязательный порядок уведомления при инцидентах. Он устанавливает порядок и сроки уведомления Роскомнадзора об утечках персональных данных гостей, связанных с неправомерной или случайной передачей данных третьим лицам.
Какой срок для первичного уведомления об утечке по Приказу Роскомнадзора № 187?
Согласно Приказу Роскомнадзора № 187 при выявлении инцидента утечки оператор обязан направить первичное уведомление в течение 24 часов с момента обнаружения. В течение 72 часов после первичного уведомления отель обязан направить дополнительное уведомление с результатами внутреннего расследования.
Что включает дополнительное уведомление по Приказу Роскомнадзора № 187?
Согласно Приказу Роскомнадзора № 187 дополнительное уведомление должно содержать результаты внутреннего расследования: причины утечки, объём и категории затронутых данных, принятые меры. Уведомление подаётся через специальную форму личного кабинета оператора на портале Роскомнадзора.
Какая ответственность за невыполнение уведомления по Приказу Роскомнадзора № 187?
Согласно Приказу Роскомнадзора № 187 непредставление уведомления или его несвоевременная подача является самостоятельным нарушением по части 11 статьи 13.11 КоАП РФ, которое карается штрафом от 1 до 3 млн рублей. Дополнительно сама утечка квалифицируется по частям 12-18 той же статьи.