Что входит в отчёт о расследовании утечки?

Второй документ (в срок 72 часа) должен содержать: установленную причину инцидента, точное число пострадавших субъектов и перечень категорий утёкших данных, принятые меры по устранению уязвимости, план дальнейших действий. Если расследование не завершено к 72 часам, указываются промежуточные результаты — перенос срока законом не предусмотрен.

Обязательно ли уведомлять об утечке, если виноват подрядчик?

Да. Обязанность уведомить РКН лежит на операторе персональных данных независимо от того, где произошёл инцидент — на собственной инфраструктуре или у подрядчика, которому данные передавались для обработки. Договор с подрядчиком может предусматривать компенсацию убытков между сторонами, но перед регулятором отвечает оператор.

Накажут ли строже за неуведомление об утечке?

Да, это отдельное нарушение со своим штрафом — 1–3 млн рублей для юрлиц, начисляется независимо от штрафа за саму утечку. То есть компания может заплатить дважды: за факт утечки и отдельно за то, что не уведомила РКН или нарушила сроки 24/72 часа.

Уведомление в Роскомнадзор об утечке персональных данных: образец и порядок подачи

Q: Куда подавать уведомление об утечке ПДн?

Через личный кабинет оператора на портале pd.rkn.gov.ru — том же, где подавалось уведомление об обработке персональных данных. Это основной канал; если доступа в кабинет нет, уведомление можно направить в территориальный орган Роскомнадзора почтой или на бумаге, но это медленнее и рискует не уложиться в 24 часа.

Приказ РКН №187 определяет не только сроки уведомления об утечке, но и то, что именно должно быть в этом документе и куда его нести. На практике именно здесь компании теряют время: разбираются, какую форму заполнять и какой кабинет искать, вместо того чтобы уложиться в 24 часа. Разберём порядок подачи уведомления в Роскомнадзор об утечке персональных данных — с готовым образцом обоих документов и списком того, что регулятор обязательно проверит.

Если вы ещё не разобрались с самим регламентом реагирования, начните со статьи «Что делать при утечке персональных данных: регламент 24 и 72 часов» — там пошаговый план по часам. Здесь — только про сами уведомления: форму, канал подачи и содержание.

Два документа, а не одно уведомление

Приказ Роскомнадзора №187 от 14.11.2022 требует от оператора персональных данных подать в РКН не один документ, а два, с разными сроками и разным содержанием:

Документ	Срок	Назначение
Первичное уведомление	24 часа с момента обнаружения	Сообщить сам факт утечки, даже без полной картины произошедшего
Уведомление о результатах расследования	72 часа с момента обнаружения	Передать итоги внутреннего расследования: причины, точные масштабы, принятые меры

Оба срока отсчитываются от момента, когда оператор узнал об утечке, а не от момента, когда она фактически произошла. Путаница между этими двумя документами — частая причина срыва сроков: компания готовит один полноценный отчёт вместо того, чтобы сначала быстро отправить предварительное уведомление.

Куда подавать уведомление об утечке ПДн

Уведомление подаётся через личный кабинет оператора персональных данных на портале pd.rkn.gov.ru — это тот же кабинет, где ранее подавалось уведомление об обработке персональных данных. Если у компании уже есть учётная запись оператора, дополнительная регистрация не нужна — раздел об утечках находится в том же личном кабинете.

Если доступа в личный кабинет по какой-то причине нет (например, оператор ранее не проходил регистрацию), уведомление можно направить:

на бумажном носителе в территориальный орган Роскомнадзора по месту нахождения оператора;
электронно на официальный адрес территориального управления.

Оба этих способа медленнее электронной подачи через личный кабинет и создают риск не уложиться в 24 часа за счёт времени на доставку и регистрацию входящего документа. Если компания подаёт уведомления впервые и заранее не завела личный кабинет — стоит сделать это заблаговременно, не дожидаясь инцидента.

Образец первичного уведомления (24 часа)

Первичное уведомление подаётся с предварительными данными — регулятор не ждёт исчерпывающего отчёта за первые сутки. Обязательные поля:

Уведомление об утечке персональных данных (первичное)

Наименование оператора, ИНН, ОГРН, адрес места нахождения

Контакты ответственного за организацию обработки ПДн (ФИО, телефон, email)

Дата и время обнаружения инцидента

Предполагаемая дата и время самого инцидента (если отличается от даты обнаружения)

Обстоятельства и предполагаемые причины утечки — в объёме, известном на момент подачи

Категории персональных данных, ставших доступными третьим лицам

Предположительное количество субъектов персональных данных, чьи данные затронуты

Предпринятые меры по локализации и планируемые действия

Если на пункты 4–8 пока нет точного ответа — указывается предварительная оценка с пометкой, что данные уточняются. Задержка подачи ради «более полного» уведомления — ошибка: за нарушение срока 24 часа штрафуют отдельно от штрафа за саму утечку.

Образец уведомления о результатах расследования (72 часа)

Второй документ — это уже не предположения, а факты, установленные за прошедшие часы:

Уведомление о результатах расследования инцидента

Ссылка на первичное уведомление (дата и номер регистрации в кабинете РКН)

Установленная причина утечки — техническая (уязвимость, ошибка конфигурации, атака) или связанная с действиями персонала либо подрядчика

Точное число субъектов персональных данных, чьи данные были скомпрометированы

Точный перечень категорий и объёма утёкших данных

Меры, принятые для устранения уязвимости и минимизации последствий

План дальнейших организационных и технических мер (аудит доступов, обучение персонала, доработка систем защиты)

Если расследование объективно не завершено к 72 часам — в уведомление включаются промежуточные результаты и статус работы. Перенос срока законом не предусмотрен ни при каких обстоятельствах.

Типичные ошибки при подаче

Ждать полного расследования перед первым уведомлением. Это прямое нарушение регламента 24 часа — предварительных данных достаточно для первого документа.
Подавать оба документа одновременно, задним числом. Регулятор фиксирует даты подачи каждого уведомления отдельно и сверяет их со сроками от даты обнаружения.
Указывать в уведомлении неполные реквизиты оператора — отсутствие ИНН, актуальных контактов ответственного лица формально не блокирует приём документа, но затягивает последующую коммуникацию с РКН и создаёт дополнительные вопросы при проверке.
Путать уведомление об утечке с уведомлением об обработке ПДн. Это разные разделы личного кабинета и разные формы — если компания ещё не подавала стандартное уведомление об обработке, это отдельная и не связанная с утечкой процедура.
Не сохранять подтверждение подачи — квитанцию или скриншот из личного кабинета с датой и временем отправки. Это единственное прямое доказательство соблюдения сроков при проверке.

Что будет, если не уведомить РКН вовсе

Неуведомление или нарушение сроков подачи уведомления об утечке — самостоятельное основание для штрафа, отдельное от санкций за саму утечку персональных данных:

Нарушение	Штраф для юрлиц
Неуведомление или нарушение сроков уведомления РКН об утечке	1–3 млн ₽
Утечка ПДн 1 000–10 000 субъектов	3–5 млн ₽
Утечка ПДн 10 000–100 000 субъектов	5–10 млн ₽
Утечка ПДн свыше 100 000 субъектов или биометрических/специальных данных	15–20 млн ₽
Повторная утечка (оборотный штраф)	1–3% годовой выручки, минимум 20 млн ₽, максимум 500 млн ₽

Компания может технически хорошо отреагировать на инцидент — устранить уязвимость, минимизировать ущерб — но если пропустит подачу или нарушит сроки 24/72 часа, заплатит по этому основанию отдельно. Подробный разбор всех сумм и условий применения оборотного штрафа — в статье «Штрафы за утечку персональных данных в 2026: таблица и оборотные штрафы».

Как подготовиться заранее

Завести личный кабинет оператора на pd.rkn.gov.ru до того, как понадобится подавать уведомление об утечке — регистрация в момент инцидента съедает драгоценные часы.
Держать под рукой актуальные реквизиты компании и контакты ответственного за ПДн — в стрессовой ситуации на сбор этих данных уходит больше времени, чем кажется.
Заранее подготовить шаблон обоих уведомлений (по образцам выше) и хранить его в доступном месте, а не искать структуру документа в момент инцидента.
Сохранять квитанции о подаче каждого уведомления — это единственное доказательство соблюдения сроков при последующей проверке.

Проверить, есть ли на сайте очевидные точки риска, из-за которых утечка вероятнее — открытые формы без защищённой передачи данных, слабая политика согласий — можно бесплатным автоматическим сканером на 152-ФЗ.