Короткий ответ: утечка данных у подрядчика не снимает с оператора обязанность уведомить Роскомнадзор при условиях части 3.1 статьи 21 закона № 152-ФЗ. Обработчик по поручению сообщает оператору об инциденте, а оператор организует первичное уведомление в течение 24 часов и сведения о расследовании в течение 72 часов. Если подрядчик самостоятельно определяет цели обработки, его роль и обязанности оцениваются отдельно.
Сначала определите роли по фактической обработке
По статье 3 закона № 152-ФЗ оператор самостоятельно или совместно определяет цели, состав данных и действия с ними. Название договора «оказание технических услуг» не решает вопрос автоматически. Компания, собирающая клиентские заявки для собственных услуг, и сервис, хранящий их по её поручению, могут иметь разные роли в одном процессе.
Проверьте поручение по части 3 статьи 6: категории данных, операции, цели, конфиденциальность, безопасность и уведомление оператора о случаях части 3.1 статьи 21. Если договор содержит только общую фразу «соблюдать152-ФЗ», это не означает, что все необходимые условия фактически согласованы и выполняются.
Подрядчик может одновременно быть обработчиком чужой клиентской базы и оператором собственных кадровых данных. Инцидент оценивают по конкретному массиву и целям. Нельзя одним ответом «он наш подрядчик» определить обязанности по всем сведениям, которые находились на его сервере.
Если подрядчик использовал полученные данные для собственных целей, выясните основания и самостоятельную роль. Такая ситуация требует отдельной квалификации и не сводится к обычной технической ошибке при исполнении поручения. При этом оператору нельзя откладывать необходимые действия до завершения спора о договорном нарушении.
Какой инцидент требует уведомления
Часть 3.1 статьи 21 касается установленного факта неправомерной или случайной передачи, предоставления, распространения либо доступа к персональным данным, повлекшего нарушение прав субъектов. Технический сбой без такого события и подтверждённый доступ постороннего к базе не являются автоматически одинаковыми случаями.
Не ждите доказательства денежного ущерба каждого человека, чтобы начать правовую оценку. Уведомление предусмотрено и о предполагаемом вреде, а причины на первом этапе могут быть предварительными. Вместе с тем нельзя объявлять любую ошибку интерфейса доказанной утечкой без исследования фактов.
Зафиксируйте, какие данные затронуты, каким способом и кому могли стать доступны, период события и источник обнаружения. Сведения «сайт не открывался» недостаточно, чтобы установить доступ к персональным данным. А публикация реальной клиентской выгрузки требует иных действий, чем обычная недоступность сервиса.
Для проверки используйте законно доступные журналы, сообщения подрядчика и технические материалы. Не распространяйте найденную базу в общем чате ради подтверждения. Достаточно контролируемой фиксации с необходимым объёмом сведений, позволяющей изучить инцидент без создания дополнительного распространения.
Кто направляет уведомление и что можно поручить
Перед субъектом по общему правилу части 5 статьи 6 за действия обработчика отвечает оператор, а обработчик отвечает перед оператором. Для иностранного обработчика часть 6 устанавливает отдельное распределение. Эти положения не означают, что оператор может заменить законную обязанность одной претензией подрядчику.
Оператор вправе организовать подготовку материалов и действия уполномоченного лица, но сообщение должно надлежащим образом относиться к нему и соответствующему инциденту. Письмо подрядчика под собственными данными не следует автоматически считать исполнением обязанности каждого заказчика. Проверяют, от чьего имени и в каком объёме направлены сведения.
Когда подрядчик обслуживает несколько операторов, каждому важно установить собственный затронутый массив и применимые обязанности. Общее объявление сервиса «разбираемся с инцидентом» не даёт заказчику состава уведомления и не гарантирует соблюдение срока. Запрашивайте конкретные сведения, продолжая собственную организационную работу.
Назначьте у оператора ответственного за юридическое решение, техническую проверку и отправку. Это практическое распределение работы; закон не требует одинаковой структуры команды для всех организаций. Главное, чтобы обязанность не оказалась между двумя исполнителями, каждый из которых полагает, что уведомляет другой.
| Что проверяем | Документ или условие | Практическое действие |
|---|---|---|
| Роль | Цели, состав данных, поручение | Отделить оператора от обработчика по конкретному массиву. |
| Событие | Доступ, передача, распространение и нарушение прав | Проверить условия части 3.1 статьи 21, а не только технический сбой. |
| Время | Обнаружение и цепочка сообщений | Рассчитать оба срока от надлежащего исходного момента. |
| Подрядчик | Поручение, журналы, первичная информация | Обеспечить быстрый обмен без ожидания полного отчёта. |
| Уведомления | 24 часа и72 часа, сведения по Порядку № 187 | Подтвердить надлежащую отправку от имени оператора. |
| Последствия | Меры, расследование, договорные требования | Не смешивать публичную обязанность с возмещением убытков. |
От какого момента считать24 и72 часа
Часть 3.1 статьи 21 связывает обязанность с выявлением соответствующего инцидента оператором, уполномоченным органом либо иным заинтересованным лицом. Поэтому нельзя без проверки считать началом только момент регистрации письма подрядчика у директора. Сохраните сведения о фактическом обнаружении и последовательности сообщений.
Оба срока исчисляются от одного исходного момента, а не последовательно как24 часа плюс ещё72. Закон использует часы, а не рабочие дни. Выходные и отсутствие согласующего сотрудника не превращают эти сроки в следующий рабочий понедельник.
Условный пример расчёта: соответствующий инцидент выявлен в12 часов одного дня. При неизменных исходных данных первичный предел — через24 часа, дополнительный — через72 часа от того же момента. Это схема расчёта, а не вывод о дате обнаружения конкретной утечки; её нужно подтвердить отдельно.
Если время пока спорно, зафиксируйте все известные точки: технический сигнал, подтверждение доступа, сообщение заказчику и результаты проверки. Не выбирайте намеренно самую позднюю дату ради удобства. Правовой вывод о начальном моменте должен опираться на факты и условия нормы.
Что запросить у подрядчика немедленно
Запрос должен содержать идентификацию инцидента, затронутые системы, категории данных, предполагаемое число записей, время, доступные журналы и предпринятые меры. Попросите разделить подтверждённое, предполагаемое и ещё не установленное. Фраза «всё безопасно» без фактических оснований не заменяет ответы.
Уточните, какие заказчики и массивы затронуты, затронуты ли резервные копии, прекращён ли неправомерный доступ и сохранены ли доказательства. Технические действия должны уменьшать последствия и одновременно сохранять возможность расследования. Массовое удаление журналов ради быстрого восстановления может лишить необходимых сведений.
Часть 3 статьи 6 требует включить в поручение обязанность уведомлять оператора о соответствующих случаях. Срок и канал взаимодействия необходимо организовать так, чтобы оператор мог исполнить свои24 и72 часа. Установленный договором длинный срок ответа подрядчика не продлевает публичную обязанность оператора.
Запросите контакт для непрерывного обмена и следующую конкретную точку обновления. При срочном событии нельзя строить весь процесс на обычном обращении в поддержку с неопределённым сроком. При этом не выдавайте выбранные компанией один или два часа ответа за универсальный срок закона: это согласуемая организационная мера.
Как подготовить первичное и дополнительное уведомления
Первичное уведомление по части 3.1 статьи 21 и пункту 2 Порядка Роскомнадзора № 187 включает событие, предполагаемые причины и вред, меры и уполномоченное контактное лицо. Порядок уточняет сведения об операторе и характеристиках затронутого массива. Заполняйте их по доступным подтверждениям, не придумывая точные числа при отсутствии проверки.
Дополнительное уведомление содержит результаты внутреннего расследования и сведения о лицах, действия которых стали причиной, если они установлены. Не назначайте виновным сотрудника только потому, что его учётная запись встречается в журнале. Использование аккаунта и установление совершившего действие лица требуют исследования.
Сохраните решение о расследовании, материалы, версию уведомления и подтверждение направления. Способы взаимодействия проверяют по действующему Порядку. Техническую ошибку отправки нужно устранить и документировать; наличие заполненного черновика само по себе не означает, что сведения поступили органу.
Если подрядчик не успел подготовить полный отчёт, оператор не должен просто ждать сверх собственного срока. В первичных сведениях предусмотрены предварительные оценки, а результаты уточняют по установленной процедуре. При этом нельзя выдавать отсутствие информации за доказанное отсутствие вреда или доступа.
Два условных примера распределения действий
Условный пример первый. Российская компания передала сервису рассылок клиентскую базу по поручению. Сервис сообщил о доступе постороннего к части данных и предлагает самостоятельно уведомить орган «за всех». Компания проверяет роль, собственный массив, момент выявления и надлежащее уведомление от своего имени. Подготовка подрядчиком материалов может помочь, но не заменяет эту проверку.
Одновременно компания организует меры по прекращению доступа, сохранению журналов и расследованию. Договорная претензия сервису готовится отдельно. Требование возместить расходы не должно задерживать публичное уведомление, поскольку у этих действий разные адресаты, основания и сроки.
Условный пример второй. Разработчик обнаружил в своей системе сведения работников заказчика и собственные данные соискателей, которые обрабатывает для найма. По первым проверяют исполнение поручения и информирование заказчика, по вторым — самостоятельную роль разработчика как оператора. Один технический инцидент способен затронуть несколько юридически разных процессов.
Если выясняется, что спорный файл не содержит персональных данных либо доступ посторонних не подтверждён, вывод документируют по фактам. Это не повод переписать историю обнаружения. Сохраняют исходный сигнал, проверку и объяснение, почему применимость части 3.1 подтверждена либо не установлена.
Что изменить в договоре после локализации
Проверьте поручение, каналы экстренной связи, состав первичного сообщения, участие в расследовании и передачу подтверждающих материалов. Укажите обязанность сохранять относящиеся журналы и обеспечивать доступную информацию в согласованном законном объёме. Не рассчитывайте, что одна общая гарантия безопасности заменит организацию взаимодействия.
Договорное распределение расходов и убытков проверяют по статьям 15 и393 ГК РФ и условиям соглашения. Нужно установить нарушение, размер, причинную связь и другие применимые условия. Сам инцидент не доказывает автоматически обязанность подрядчика компенсировать любую названную заказчиком сумму.
Отдельно оцените, нужны ли изменения доступа, резервирования и контроля по статьям 18.1 и19 закона № 152-ФЗ. Это работа по фактическим причинам, а не только переписывание политики на сайте. Изменения фиксируют так, чтобы можно было подтвердить выполненные меры и проверить их результат.
Закройте инцидент внутренним итогом: событие, роли, сроки, направленные сведения, установленные причины, меры и открытые вопросы. Если часть обстоятельств не установлена, обозначьте это. Формулировка «инцидент закрыт» не должна скрывать непереданное дополнительное уведомление или незавершённую проверку затронутого массива.
Как организовать обмен фактами в первые часы
Первое сообщение подрядчика должно позволять оператору принять решение по своим данным. Полезная структура включает событие, время обнаружения, системы, затронутый массив, подтверждённые последствия, уже принятые меры и контакт. Если число записей ещё проверяется, это обозначают прямо. Точная выдуманная цифра хуже честно указанной предварительной оценки с объяснением источника.
Для каждой версии сведений сохраняйте дату и автора. Если сначала предполагался доступ к тестовой базе, а затем установлены реальные клиентские данные, это существенное изменение. Не заменяйте первую запись новой так, будто она существовала изначально. Хронология помогает определить момент выявления и объяснить уточнение уведомлений.
Разделите техническую локализацию и юридическую квалификацию, сохраняя постоянный обмен. Технический специалист устанавливает доступные факты о системе, а решение о применимой обязанности требует учёта данных, ролей и нормы. Одна фраза «это не взлом» не исключает случайную неправомерную передачу, которая также названа в статье 21.
Условный пример: сотрудник сервиса ошибочно направил выгрузку не тому адресату. Сервер не был атакован, но это не завершает правовую оценку. Необходимо проверить состав, получателя, доступ и нарушение прав. И наоборот, заблокированная попытка входа без установленного доступа к персональным данным не должна автоматически описываться как состоявшееся распространение базы.
На стороне оператора сохраните подтверждения всех решений: почему выбран срок, какие факты известны, кто уполномочен направить сведения и какая версия ушла органу. Это не заменяет самого уведомления, но позволяет проверить последовательность. При срочном событии устные указания желательно оперативно закреплять так, чтобы время и содержание можно было восстановить.
Проверьте договорные ограничения доступа к журналам и способ их безопасной передачи. Подрядчику может понадобиться выделить сведения конкретного заказчика из общего массива. Это не оправдывает молчание, но требует организованного обмена без раскрытия чужих данных. Запрашивайте необходимое для своего инцидента и фиксируйте ограничения, мешающие расследованию.
После направления первичного уведомления не закрывайте задачу как завершённую. Отдельно контролируйте дополнительное, обновлённые факты, меры и ответы органа. Сам факт принятия электронного обращения не подтверждает достаточность расследования или отсутствие дальнейших вопросов. Сохраните документы и проверяйте содержание последующих требований по действующему порядку.
При итоговом разборе оцените, какой организационный разрыв привёл к задержке: неопределённый канал, отсутствие дежурного контакта, неясная роль или слишком длинный договорный срок. Изменение должно устранять установленную причину. Универсальное обещание «усилить безопасность» без выполненных действий не показывает, что риск повторения предметно рассмотрен.
Проверьте, не смешаны ли разные базы в одном уведомлении. У оператора могут отличаться цели, категории субъектов и обстоятельства затронутых процессов. Сводная техническая оценка подрядчика полезна, но её нужно связать с данными конкретного оператора. Если часть массива принадлежит иному заказчику, не включайте чужие персональные сведения без правового основания. Для своего сообщения достаточно необходимого относящегося описания и подтверждённых характеристик. Не подменяйте эту проверку общей цифрой всех записей сервиса, когда ваш объём отдельно устанавливается.
Что проверить дальше
После исполнения срочных обязанностей проверьте поручение подрядчику, доступ к данным, согласия и внутренние меры защиты. Уведомление об инциденте не заменяет устранение установленных нарушений; наличие согласия также не освобождает от требований безопасности. Дальнейшую проверку системы обработки помогут организовать материалы: Персональные данные для бизнеса в 2026 году: штрафы до 500 млн ₽, реестр Роскомнадзора, согласия и утечки, Согласие на обработку персональных данных: образец и правила.
Если требуется проверить документы и выбрать дальнейшие действия, обратитесь за юридической помощью по этой задаче. Для разбора подготовьте перечисленные в статье документы и обозначьте ближайшую дату, к которой нужен результат. Объём работы определяется после изучения обстоятельств; исход спора зависит от доказательств и применимых норм.
Частые вопросы
Утечка данных у подрядчика означает, что уведомляет только он?
Нет. При обработке по поручению необходимо разграничить сообщение подрядчика оператору и уведомление оператора уполномоченному органу. Самостоятельные цели подрядчика могут создавать его отдельные обязанности, но не отменяют анализ роли заказчика.
72 часа начинаются после первого уведомления?
Нет. Оба срока части 3.1 статьи 21 связаны с одним исходным моментом выявления соответствующего инцидента. Схема24 плюс72 не соответствует этому правилу. Начальный момент подтверждают фактическими материалами.
Можно ждать окончания технического расследования?
Не следует пропускать первичный срок ради окончательного отчёта. Закон предусматривает предполагаемые причины и вред на первом этапе, затем сведения о результатах расследования. Неизвестные обстоятельства нужно честно обозначить и уточнять в установленном порядке.
Договор может переложить всю обязанность на сервис?
Договор организует взаимодействие и ответственность сторон, но не отменяет установленную законом обязанность оператора. Подготовку и действия уполномоченного лица оформляют надлежащим образом; письмо сервиса от собственного имени не всегда исполняет обязанность заказчика.
Источники
Правовые выводы проверены по состоянию на 5 ноября 2026 года. Для последующих действий проверьте изменения, вступившие в силу после этой даты, и специальные условия своих документов.
- 152-ФЗ «О персональных данных»: 3, 6 части 3–6, 18.1, 19, 21 часть 3.1.
- Приказ Роскомнадзора № 187 от 14.11.2022: 1–3, Порядок направления и взаимодействия.
- ГК РФ, часть первая: 15, 393.
