Взаимодействие Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций с операторами в целях учета в реестре учета инцидентов в области персональных данных информации о факте неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, осуществляется в форме направления операторами в Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций уведомления о таких фактах (далее — уведомление), содержащего: информацию о произошедшем инциденте (далее — первичное уведомление); информацию о результатах внутреннего расследования выявленного инцидента (далее — дополнительное уведомление).
Граждане — 50 000–100 000 ₽; ДЛ — 400 000–800 000 ₽; ИП — как ЮЛ (прим. 1 к ст. 13.11 КоАП); ЮЛ — 1 000 000–3 000 000 ₽ (прим. 2 и 3 к ст. 13.11: ДЛ — только госорган/НКО; ЮЛ — коммерческий оператор)
КоАП РФ, ст. 13.11, ч. 11
Невыполнение или несвоевременное выполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по уведомлению уполномоченного органа по защите прав субъектов персональных данных в случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, — влечет наложение административного штрафа на граждан в размере от пятидесяти тысяч до ста тысяч рублей; на должностных лиц — от четырехсот тысяч до восьмисот тысяч рублей; на юридических лиц — от одного миллиона до трех миллионов рублей.
1После утечки базы клиентов оператор не направил в РКН уведомление о факте неправомерной передачи ПДн.
Сведения: о произошедшем инциденте (дату и время выявления инцидента, характеристику (характеристики) персональных данных (содержание базы данных, ставшей доступной неограниченному кругу лиц в результате неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных (далее — скомпрометированная база данных), количество содержащихся в ней записей. Дополнительно оператор может представить информацию об актуальности скомпрометированной базы данных, а также о периоде, в течение которого собраны персональные данные); о предполагаемых причинах, повлекших нарушение прав субъектов персональных данных (предварительные причины неправомерного распространения персональных данных, повлекшего нарушение прав субъектов персональных данных); о предполагаемом вреде, нанесенном правам субъектов персональных данных (результаты предварительной оценки вреда, который может быть нанесен субъектам персональных данных, в связи с неправомерным распространением персональных данных, а также последствия такого вреда, проведенной в соответствии с пунктом 5 части 1 статьи 18.1 Федерального закона "О персональных данных"); о принятых мерах по устранению последствий соответствующего инцидента (перечень принятых оператором организационных и технических мер по устранению последствий инцидента в соответствии со статьями 18.1, 19 Федерального закона "О персональных данных"); о лице, уполномоченном оператором на взаимодействие с Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций, по вопросам, связанным с выявленным инцидентом.
Граждане — 50 000–100 000 ₽; ДЛ — 400 000–800 000 ₽; ИП — как ЮЛ (прим. 1 к ст. 13.11 КоАП); ЮЛ — 1 000 000–3 000 000 ₽ (первичное уведомление — в течение 24 часов, п. 1 ч. 3.1 ст. 21 152-ФЗ)
КоАП РФ, ст. 13.11, ч. 11
Невыполнение или несвоевременное выполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по уведомлению уполномоченного органа по защите прав субъектов персональных данных в случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, — влечет наложение административного штрафа на граждан в размере от пятидесяти тысяч до ста тысяч рублей; на должностных лиц — от четырехсот тысяч до восьмисот тысяч рублей; на юридических лиц — от одного миллиона до трех миллионов рублей.
1Первичное уведомление подано позже 24 часов или без сведений об инциденте, причинах, вреде, принятых мерах и уполномоченном лице.
Дополнительное уведомление должно содержать сведения: о результатах внутреннего расследования выявленного инцидента (информация о причинах, повлекших нарушение прав субъектов персональных данных, и вреде, нанесенном правам субъектов персональных данных, о дополнительно принятых мерах по устранению последствий соответствующего инцидента (при наличии), а также о решении оператора о проведении внутреннего расследования с указанием его реквизитов); о лицах, действия которых стали причиной выявленного инцидента (при наличии) (фамилия, имя, отчество (при наличии) должностного лица оператора с указанием должности (если причиной инцидента стали действия сотрудника оператора), фамилия, имя, отчество (при наличии) физического лица, индивидуального предпринимателя или полное наименование юридического лица, действия которых стали причиной выявленного инцидента, IP-адрес компьютера или устройства, предполагаемое местонахождение таких лиц и (или) устройств (если причиной инцидента стали действия посторонних лиц) и иные сведения о выявленном инциденте, имеющиеся в распоряжении оператора).
Граждане — 50 000–100 000 ₽; ДЛ — 400 000–800 000 ₽; ИП — как ЮЛ (прим. 1 к ст. 13.11 КоАП); ЮЛ — 1 000 000–3 000 000 ₽ (дополнительное уведомление — в течение 72 часов, п. 2 ч. 3.1 ст. 21 152-ФЗ)
КоАП РФ, ст. 13.11, ч. 11
Невыполнение или несвоевременное выполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по уведомлению уполномоченного органа по защите прав субъектов персональных данных в случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, — влечет наложение административного штрафа на граждан в размере от пятидесяти тысяч до ста тысяч рублей; на должностных лиц — от четырехсот тысяч до восьмисот тысяч рублей; на юридических лиц — от одного миллиона до трех миллионов рублей.
1Результаты внутреннего расследования и сведения о виновных лицах не направлены в РКН в 72 часа.
Уведомление в форме электронного документа направляется оператором посредством заполнения специализированной формы, размещенной на Портале персональных данных Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций в информационно-телекоммуникационной сети "Интернет" (далее — Портал персональных данных), после прохождения процедуры идентификации и аутентификации посредством федеральной государственной информационной системы "Единая система идентификации и аутентификации в инфраструктуре, обеспечивающей информационно-технологическое взаимодействие информационных систем, используемых для предоставления государственных и муниципальных услуг в электронной форме" (далее — ЕСИА) и подписывается электронной подписью в соответствии с Федеральным законом от 6 апреля 2011 г. N 63-ФЗ "Об электронной подписи".
— (способ подачи; санкции нет)
Уведомление в электронной форме подаётся через специализированную форму Портала персональных данных после идентификации через ЕСИА.
1Оператор направил уведомление об инциденте обычным письмом на общий e-mail РКН вместо формы Портала — риск признания уведомления неподанным.
