Консультация по утечке персональных данных
Разберёмся в обстоятельствах инцидента, оценим возможные риски и выберем оптимальную стратегию действий - до того, как будут совершены ошибки, которые сложно исправить
Что делать при “утечке” персональных данных?
В соответствии со сложившейся судебной практикой не имеет значения, как именно данные оказались за периметром компании: взлом информационной системы извне, ошибка или умысел сотрудника, отправка файла с ПДн не тому адресату, компрометация системы обработчика (например, CRM). Правовые риски для оператора наступают в каждом из этих случаев.
Корректная юридическая оценка инцидента и правильная стратегия реагирования на раннем этапе позволяют компании более эффективно управлять возможными последствиями “утечки”.
Из чего состоит юридическая оценка инцидента?
Выяснение обстоятельств, имеющих юридическое значение
Объём и состав данных, особенности обработки, источник «утечки», роль привлечённых подрядчиков, соблюдение мер безопасности ПДн.Рассмотрение вариантов развития ситуации
Что делать при обращении Роскомнадзора, НКЦКИ, шантажиста, субъекта ПДн или при выявлении новых обстоятельств.Определение возможных рисков для компании
В зависимости от обстоятельств инцидента — от административного расследования и штрафов до претензий субъектов ПДн и контрагентов и репутационных издержек.Выработка необходимых действий и их последовательность
Какие сведения запросить у ИБ, IT, подразделений и контрагентов, какие действия зафиксировать и какие решения принять в первую очередь.
Когда стоит подключить юристов по персональным данным
Обратился шантажист
Злоумышленник предоставил фрагменты вашей базы данных и требует выплату за нераспространение данных. Если поспешить, с высокой вероятностью последуют повторные обращения, а перевод средств создаёт самостоятельные правовые риски.
Обнаружили утечку самостоятельно
Компания выявила инцидент собственными силами — через мониторинг открытых баз «пробива», в ходе внутреннего аудита или случайно. Роскомнадзор и НКЦКИ пока не осведомлены, но есть вероятность выявления «утечки».
К вам обратились субъекты персональных данных или клиенты
Клиенты или третьи лица сообщили, что обнаружили свои данные в открытом доступе или жалуются на непонятные звонки после обращения к вам.
Обратился НКЦКИ или Роскомнадзор
- В компанию поступило обращение государственного органа в связи с выявлением неправомерной передачи персональных данных.
- В отношении компании возбуждено административное расследование.
- В отношении компании проводится внеплановая проверка.
Информация об «утечке» была обнаружена в медиа
Затронута репутация компании и необходимо в кратчайший срок определить ответную правовую позицию для СМИ.
«Утечка» персональных данных на стороне исполнителя (подрядчика)
По нашему опыту контрагенты, виновные в утечке, прекращают вести дружественную коммуникацию. При этом судебная практика показывает, что наказывают оператора, передавшего персональные данные на обработку. Правовая стратегия становится более комплексной, поскольку включает претензионное взаимодействие с контрагентом.
Что входит в консультацию по «утечке» персональных данных
Установление юридически значимых обстоятельств инцидента
Выясняем, что именно произошло и устанавливаем какие данные утекли и в каком объёме; из какого источника (ИСПДН оператора или база обработчика); соблюдались ли требования к обработке ПДн, включая вопросы локализации; была ли обработка данных избыточной или соразмерной заявленным целям. Чем полнее клиент раскрывает информацию о своей системе, тем точнее и эффективнее консультация.
Определение сроков и последовательности обязательных действий
При принятии решения об уведомлении Роскомнадзора находим возможности взять больше времени на расследование инцидента.
Рекомендации по оперативному сбору информации
Составляем чёткий перечень сведений, которые необходимо запросить у ИБ, IT, других подразделений и контрагентов в первую очередь, и объясняем, что с ними делать дальше.
Оценка правовых рисков и возможных последствий в зависимости от источника выявления «утечки»
Разбираем каждый возможный сценарий развития событий — приход НКЦКИ, запрос Роскомнадзора, тактику шантажиста — и определяем конкретные шаги в каждом из них.
Оценка возможности переквалификации инцидента
Если объём утёкших данных позволяет, рассматриваем возможность переквалификации правонарушения на менее тяжкий состав — в первую очередь за счёт документального подтверждения актуального объёма базы данных.
Рекомендации по мерам безопасности
Определяем первоочередные меры по защите баз данных: аудит системы, удаление и уничтожение избыточных данных, устранение выявленных уязвимостей.
Ответы на вопросы
Разберем возникшие в ходе консультации вопросы по инциденту
По итогам консультации вы получите письменную справку
Дорожная карта содержит:
Правовую квалификацию ситуации
Юридическую оценку статуса утечки с указанием применимых норм.
Пошаговый алгоритм действий
Хронологию обязательных шагов с указанием сроков, включая необходимость и порядок уведомления Роскомнадзора.
Перечень информации для сбора
Конкретные запросы подразделениям и (внешним) исполнителям для фиксации юридически значимых обстоятельств.
Рекомендации по формату и содержанию сведений
Потребуются при истребовании Роскомнадзором, включая данные об информационных системах и затронутых базах данных.
Оценку рисков, вероятные административные и иные последствия
С привязкой к статьям КоАП РФ и УК РФ.
Рекомендации по минимизации последствий
Меры оперативного реагирования и превентивные шаги (в зависимости от сценария).
Корректная правовая оценка инцидента на раннем этапе снижает риски
Штрафы по ч. 11 – 18 ст. 13. 11 КоАП РФ
Размер штрафа зависит от масштаба утекших данных и категории ПДн: от 3 до 20 млн. руб. за первичную “утечку”, от 20 до 500 млн. руб. за повторную. Неуведомление Роскомнадзора – отдельное нарушение, штраф до 3 млн. руб.
Репутационные потери
Публичное раскрытие инцидента подрывает доверие клиентов и контрагентов, что выливается в недополученную прибыль
Обращения субъектов ПДн и гражданские иски
Пострадавшие лица вправе требовать компенсации материального ущерба и морального вреда. При массовой утечке количество исков может исчисляться десятками.
Повторные компрометации
Если уязвимость, приведшая к инциденту, не устранена, риск повторной атаки остаётся. При повторной утечке санкции кратно возрастают.
Непрекращающийся шантаж третьих лиц
Требования об оплате за нераспространение данных будут повторяться, а отказ от их выполнения не гарантирует прекращения угроз публикации или дальнейшего распространения информации.
Почему консультацию стоить доверить нам?
Знаем нюансы внутренних процессов Роскомнадзора
Имеем опыт проведения административных расследований со стороны Роскомнадзора и понимаем, как построить оптимальную стратегию реагирования в интересах компании.
Подключаемся на любой стадии инцидента
Включаемся в работу на разных этапах, адаптируем стратегию под текущий статус и максимально оптимизируем последствия.
Учитываем отношения с третьими лицами
При необходимости даем рекомендации по взаимодействию с третьими лицами: претензионной работе с подрядчиком (обработчиком), если «утечка» произошла на его стороне, клиентами и субъектами ПДн.
Опыт работы с “утечками”
Одни из первых на рынке начали сопровождать «утечки» и имеем успешные результаты клиентов.
Объясним, что делать, если вы столкнулись с инцидентом или обнаружили его признаки
Вопросы и ответы
Что закон понимает под «утечкой» персональных данных?
Термин «утечка» отсутствует в российском законодательстве. В нормативном смысле речь идёт об инциденте, который повлёк неправомерную или случайную передачу (предоставление, распространение или доступ) персональных данных. Утечкой может быть признана неправомерная передача даже одной записи о субъекте персональных данных.
Кто несёт ответственность за «утечку»?
По общему правилу ответственность несёт виновное лицо. Исходя из судебной практики виновным лицом признают оператора, даже если он поручил обработку. Признание оператора потерпевшим (например, в результате взлома) не освобождает его от административной ответственности: обязанность обеспечить безопасность обработки данных лежит на операторе вне зависимости от обстоятельств инцидента.
Какие сроки реагирования установлены в 152-ФЗ?
Ст. 21 и ч. 11 ст. 13.11 КоАП совместно указывают на начало течения сроков с момента выявления утечки. Дата выявления утечки должна быть формализована. Если момент выявления установлен, закон устанавливает следующие сроки:
24 часа с момента выявления инцидента — направить в Роскомнадзор первичное уведомление: факт утечки, предполагаемые причины, принятые меры, ответственное лицо.
72 часа — направить второе уведомление с результатами внутреннего расследования и сведениями о виновных лицах (если установлены).
Мы рекомендуем перед уведомлением официальных органов об утечке обратиться к нам, чтобы определить начало течения сроков. Возможно у Вас есть больше времени чтобы разобраться в ситуации перед уведомлением, если оно понадобится.
Когда привлекать юристов: сразу после утечки или после поступления обращения от контрагента/субъекта/госоргана?
Рекомендуем привлечь юристов заранее для составлению регламента реагирования на утечки. В случае если признаки утечки обнаружены, необходимо привлечь сразу после поступления первой информации или признаков утечки. Всё, что указано в уведомлении в Роскомнадзор/ФСТЭК/Минцифры/Банк России, может быть использовано против компании. Кроме того, юристы могут прийти к выводу, что уведомлять Роскомнадзор в конкретном случае не требуется.
Нас взломали, но данные ещё не появились в открытом доступе. Нужно ли уже сейчас уведомлять Роскомнадзор?
Мы предлагаем не осуществлять коммуникацию со взломщиками и Роскомнадзором до обращения к нам. Все ситуации разные, способы реагирования будут подобраны индивидуально.
Что делать, если утечка произошла через сервис стороннего поставщика (обработчика)?
Когда данные скомпрометированы через стороннюю систему (например, CRM-сервис), ответственность по действующей судебной практике всё равно возлагается на оператора — вне зависимости от того, на чьей стороне произошла компрометация. Вместе с этим, не исключена возможность доказать вину контрагента (обработчика) в рамках КоАП РФ или гражданско-правовой ответственности.
Как превентивная мера, рекомендуем заранее провести аудит договоров с контрагентами-обработчиками, разработать регламент реагирования и меры по защите бизнеса.
Какую ответственность несёт ИП за утечку персональных данных?
Индивидуальный предприниматель несёт ответственность за утечку ПДн как юридическое лицо. При этом практика смягчения наказания (применение минимального штрафа как для субъекта малого предпринимательства) характерна преимущественно для арбитражных судов, в которых дела по ст. 13.11 КоАП на данный момент не рассматриваются. Суды общей юрисдикции, как правило, назначают минимальный штраф по соответствующей части статьи — от 150 000 рублей, а при повторном инциденте (в течение года) может быть применен оборотный штраф (до 3% от оборота компании).
Мы считаем, что у ИП есть все возможности ходатайствовать в суд о снижении размера штрафа и это нужно использовать.
Предусмотрена ли ответственность для сотрудников компании, причастных к утечке персональных данных?
Сотрудники, причастные к неправомерной передаче ПДн, могут нести дисциплинарную, а также уголовную ответственность по ст. 137, 183, 272.1 УК РФ. Вместе с этим практика привлечения к дисциплинарной ответственности не однозначна: требуется подготовка локальных нормативных актов, отражающих реальные функции должностных лиц.
