Административное расследование Роскомнадзора при утечке персональных данных
Сформируем корректную стратегию реагирования и коммуникации с Роскомнадзором в зависимости от обстоятельств инцидента, установим лиц, причастных к инциденту, снизим правовые последствия “утечки” персональных данных
Как начинается административное расследование Роскомнадзора
Компания узнаёт о начале административного расследования в момент получения соответствующих документов
Определение о возбуждении дела и проведении административного расследования (информирует о том, что в отношении компании началось расследование).
Определение об истребовании сведений (содержит запрос конкретной информации, на который необходимо ответить в течение 3 календарных дней).
Как правило, компания получает два запроса об истребовании сведений. Первый ответ нейтрализует позицию для Роскомнадзора, после чего регулятор направляет второй запрос для более глубокого разбирательства.
Если пришло только определение о возбуждении дела без истребования сведений - процессуальных действий от компании не требуется, необходимо ожидать дальнейших шагов Роскомнадзора. Однако на практике оба документа приходят одновременно.
Подробнее о процессуальных особенностях рассказали в статье Административное расследование Роскомнадзора: порядок и особенности процедуры.
Что запрашивает Роскомнадзор
Сведения о базах данных компании
Сведения об информационных системах персональных данных
Информация об утекших данных и идентификаторах
Сведения об информационной системе, с которой произошла утечка
Акт внутреннего расследования инцидента
По ситуации могут быть запрошены согласия, пояснения и другая информация
Риски при взаимодействии с Роскомнадзором
Указание дополнительных нарушений
Защищаясь от основного состава, компания рискует раскрыть обстоятельства, которые станут основанием для составления других протоколов: отсутствие письменных согласий на обработку ПДн, непубликация политики конфиденциальности, неуведомление Роскомнадзора о начале обработки. Такие прецеденты уже были.
Неверная квалификация идентификаторов и субъектов ПДн
Не все знают актуальную практику разграничения идентификаторов и субъектов персональных данных в конкретной выгрузке. Некорректное определение количества ведёт к квалификации по более тяжкой статье.
Непредоставление информации о своих базах данных в сторонних ИСПДн
Компании часто не ведут полный учёт информационных систем, в которых обрабатываются их данные: CRM-сервисы, облачные хранилища, SaaS-платформы подрядчиков. При запросе Роскомнадзора компания не может предоставить полный перечень баз данных и ИСПДн, что выглядит как непредоставление сведений или попытка скрыть масштаб инцидента.
Сжатые сроки
Три календарных дня на подготовку объёмного ответа — критически мало для компании, которая не занималась персональными данными системно. Дополнительные руки в виде юридической команды позволяют уложиться в срок без потери качества.
Когда стоит привлечь юристов
Сразу после обнаружения утечки
Всё, что было или будет указано в уведомлении об утечке, может быть использовано против компании в ходе расследования. Менять стратегию после подачи уведомления крайне сложно. Юристы могут прийти к выводу, что уведомлять Роскомнадзор в конкретном случае не обязательно.
После получения определения Роскомнадзора
Сроки сжатые — 3 календарных дня. Запрашиваемая информация объёмная. Без профессиональной поддержки высок риск ответить некорректно и подставить себя под дополнительные статьи КоАП РФ, которых можно было избежать.
Если компания уже направила ответ и усугубила ситуацию
Подключиться возможно на любом этапе. Работа усложняется, но снижение уровня последствий достижимо.
Если утечка произошла давно
Срок привлечения к ответственности составляет 1 год. Если с момента утечки прошло менее полугода, у компании все еще риск привлечения к административной ответственности со штрафом до 1 млн. рублей за неуведомление и от 3 до 15 млн. рублей за саму утечку. Рекомендуем провести консультацию для оценки и закрытия этого «прайваси-долга».
Что мы делаем в рамках сопровождения
Экстренная консультация и оценка ситуации
Анализируем определение и запрос Роскомнадзора, оцениваем обстоятельства инцидента, определяем уровень рисков и формируем пошаговый план действий. Берём контроль над ситуацией на себя.
Сбор и анализ информации
Организуем встречи с ключевыми подразделениями (ИБ, IT, DPO, юридическая служба, служба безопасности, документооборот), проводим опросы по опросным листам или под запись. Анализируем утекшую базу данных, собираем сведения об информационных системах и обстоятельствах утечки.
Юридическая квалификация и ответ на первый запрос
Исследуем состав утекших данных: исключаем сведения, не являющиеся идентификаторами или не связанные с субъектами ПДн. Формируем доказательства, имеющие процессуальную ценность. Готовим и направляем ответ на первое определение об истребовании сведений.
Подготовка ответа на второй запрос и сопровождение до решения
После первого ответа Роскомнадзор, как правило, направляет второй запрос для более глубокого разбирательства. Готовим детальный ответ, при необходимости корректируем стратегию. Контролируем, чтобы предоставленная информация не стала основанием для дополнительных протоколов. Сопровождаем до принятия итогового решения регулятора.
Приведение компании в соответствие (опционально)
Готовим локальные нормативные акты, уведомляем Роскомнадзор, выстраиваем процессы обработки ПДн в соответствии с законодательством. Может быть начато параллельно с подготовкой ко второму запросу.
Что вы получите по итогам нашей работы
При своевременном обращении больше возможностей добиться наилучшего результата с учётом всех нюансов ситуации
Более мягкий состав АП
Найдем возможности, что бы Роскомнадзор переквалифицировал административное правонарушение на более мягкую статью КоАП РФ.
Закрытие дела
В связи с отсутствием события или состава административного правонарушения.
Контроль предоставляемой информации
Исключение оснований для составления дополнительных протоколов по ст. 13.11 КоАП РФ (например, по ч. 2 за отсутствие письменных согласий, по ч. 3 за непубликацию политики, по ч. 10 за неуведомление Роскомнадзора).
Снижение операционных издержек
Отказ от ненужных действий: чрезмерных исследований, избыточных уведомлений, лишних деталей в ответе, оверинжиниринга в ИБ и ИТ.
Взаимодействие
Для сбора информации нам необходимы встречи с ключевыми подразделениями. В крупных компаниях задействуются: PR-служба, служба ИБ, юридический департамент, DPO, служба безопасности, служба документооборота. В небольших компаниях достаточно 1–2 человек, владеющих всей полнотой информации.
Технические специалисты обеспечивают юристам доступ к данным в удобном формате (Excel, доступ в админ-систему с возможностью запросов). Анализ и процессуальные решения принимает юрист.
Сроки
Услуга оказывается в течение одного месяца. После ответа на первый запрос мы ожидаем второй запрос Роскомнадзора в течение 1–2 недель и работаем над подготовкой к нему.
Оплата по этапам работ
Первый этап
Экстренная консультация, план мероприятий, опросы, подготовка проекта ответа на первый запрос об истребовании сведений.
Второй этап
Зависит от обстоятельств, выявленных на первом этапе, и объёма работ, согласованных с компанией.
Третий этап
Опционально - проект по приведению компании в соответствие с законодательством о ПДн.
Почему нам доверяют сопровождение “утечки” персональных данных?
Формируем доказательства, имеющие процессуальную силу
Мы строим позицию исключительно на интересах защищаемой компании и формируем доказательства, имеющие процессуальную ценность. Без юридически обоснованной позиции Роскомнадзор не примет доводы, с которыми впоследствии согласится суд.
Знаем актуальную практику
Мы отслеживаем последние решения и подходы Роскомнадзора, понимаем различия в квалификации идентификаторов и субъектов ПДн в конкретных выгрузках, знаем, какие обстоятельства регулятор принимает во внимание.
Снижаем операционные издержки
Мы помогаем избежать ненужных действий: избыточных уведомлений, сверх-исследований, описания обстоятельств, не требующихся в ответе. Компания экономит ресурсы и не создаёт дополнительных рисков.
Превентивно нейтрализуем риски
Как специалисты с длительным опытом сопровождения утечек, мы видим потенциальные триггеры для дополнительных протоколов и нейтрализуем их ещё на этапе подготовки финального проекта ответа.
Усиливаем команду клиента
Мы можем подключаться как дополнительная рабочая группа, которая снимает нагрузку с ограниченных ресурсов компании в условиях сжатых сроков для ответа на запрос.
Доверьте нам защиту интересов вашей компании
Вопросы и ответы
Распространяется ли мораторий на проверки на административное расследование Роскомнадзора?
Нет. Административное расследование (ч. 1 ст. 28.7 КоАП РФ) — это самостоятельная процессуальная процедура, которая не является проверкой. На неё не распространяется мораторий до 2030 года, она не требует согласования с прокуратурой и может быть инициирована внезапно (например, после вашего уведомления об утечке или жалобы субъекта ПДн).
Что будет, если мы не успеем ответить на определение об истребовании сведений в срок?
Это влечёт последствия по ст. 17.7 КоАП РФ (невыполнение законных требований должностного лица). Для юридического лица предусмотрен штраф до 100 000 рублей или приостановление деятельности на срок до 90 суток. Для генерального директора возможна дисквалификация на срок от 6 месяцев до 1 года. Важно учитывать, что по сложившейся судебной практике срок в 3 дня для ответа исчисляется в календарных, а не только в рабочих днях.
Что будет, если не предоставить акт внутреннего расследования?
На текущий момент прецедентов привлечения за отсутствие акта нет. Законодательно требование о составлении акта не закреплено. Однако Роскомнадзор запросит аналогичную информацию в ином формате. Рекомендуем составить акт, чтобы минимизировать риски.
Есть ли требования к содержанию акта внутреннего расследования?
Российское законодательство для большинства случаев не содержит конкретных требований. Можно ориентироваться на стандарты ГОСТа или международные практики. По нашему опыту акт должен повторять информацию, подаваемую в уведомлении об утечке. Для банковских организаций и субъектов КИИ необходимо скоррелировать акт со требованиями профильных регуляторов.
Можно ли снизить количество идентификаторов и субъектов в утекшей базе?
Да, после анализа базы данных это возможно. Например, исключаются звонки организаций в CRM-системе, тестовые записи. Работа ведётся юристами для обеспечения процессуальной силы результата и соответствия юридической стратегии.
Гарантирует ли сопровождение отсутствие штрафа?
Нет. Решение принимают Роскомнадзор и суд. Мы гарантируем, что сделаем всё возможное для снижения последствий, защиты компании и недопущения усугубления ситуации. Стоимость услуги во много раз ниже потенциальных штрафов.
Что делать, если компания не располагает запрошенными сведениями?
Необходимо запастись доказательствами процессуальной значимости, подтверждающими отсутствие сведений. Это нормальная ситуация, которую нужно корректно донести до Роскомнадзора. Главное — это не должно выглядеть как отказ от предоставления информации.
Стоит ли обращаться к юристам, если утечка произошла давно?
Если с момента утечки прошло менее полугода, у компании сохраняется серьёзный юридический риск (срок привлечения — 1 год). Штраф за неуведомление — от 1 до 3 млн рублей (ч. 11 ст. 13.11 КоАП РФ), за утечку — от 3 до 20 млн рублей (ч. 12 - 14, 16, 17 ст. 13.11 КоАП РФ). Рекомендуем провести консультацию для оценки рисков и выработки стратегии минимизации.
Что делать, если запросы направлены нескольким компаниям одной группы?
Все запросы объединяются в единый трек. Договор может быть заключён с одной компанией группы, а работа ведётся по всем юридическим лицам для обеспечения единообразия ответов.
Можете ли вы помочь с улучшением информационной безопасности?
Перед проектом по информационной безопасности мы рекомендуем провести проект по аудиту персональных данных, который позволит инвентаризировать данные, снизить требуемые уровни защищенности и рассмотреть перенос рисков ИБ. Также мы готовы сделать правовые заключения по вопросам ИБ с привлечением партнёров-лицензиатов ФСТЭК, закрыв все вопросы информационной безопасности.
