Утечка персональных данных с сайта: что делать в первые 24 часа

Порядок жёсткий: уведомить Роскомнадзор в течение 24 часов с момента обнаружения и направить отчёт по итогам расследования в течение 72 часов. Замолчать инцидент дороже: за это предусмотрены отдельные санкции, вплоть до оборотных.

Утром выясняется, что база заявок с сайта продаётся в закрытом Telegram-канале, или клиент прислал скриншот своих личных данных из открытого на весь интернет бэкапа. Первая реакция почти всегда одна: тихо всё закрыть и понадеяться, что никто не заметит. По действующим требованиям 152-ФЗ так делать нельзя, у оператора есть 24 часа на уведомление Роскомнадзора и 72 часа на отчёт по итогам расследования, и оба срока считаются с момента обнаружения, а не с момента, когда вы решите, что готовы об этом писать. Разберу, что вообще считается утечкой, что делать в первые часы, как выглядит уведомление и отчёт, и что грозит, если этого не сделать.

Что считается утечкой

Закон не требует, чтобы данные обязательно «утекли» в публичный доступ на весь интернет. Утечкой считается любой факт неправомерного доступа, распространения, предоставления или иного незаконного использования персональных данных, если он произошёл в обход воли оператора или без законных оснований. На практике для сайта малого бизнеса это чаще всего один из трёх сценариев.

Слитая база заявок. Через дыру в форме обратной связи, через админку с простым паролем, через SQL-инъекцию в устаревшем плагине злоумышленник выгружает таблицу с именами, телефонами, иногда адресами. Дальше база либо продаётся, либо используется для спам-обзвона.

Открытый бэкап. Плагин резервного копирования складывает архив с базой данных в /wp-content/uploads/backup/, папка индексируется поисковиком или просто доступна по прямой ссылке без авторизации. Файл лежит месяцами, никто не замечает, пока кто-то не найдёт его через Google-дорк или обычный перебор.

Доступ через дыру в плагине. Устаревший плагин с известной уязвимостью, за которую CVE опубликован полгода назад, но обновление на сайте так и не накатили. Через дыру получают доступ к базе или к файловой системе целиком, дальше выгружают всё, что представляет ценность, включая персональные данные из форм и заказов.

Важный момент: даже если вы уверены, что данные никуда конкретно не ушли, а просто была возможность несанкционированного доступа, для закона это тоже квалифицируется как инцидент, требующий уведомления, если доступ подтверждён логами.

Первые часы: фиксация, а не паника

Порядок действий в первые часы после обнаружения решает, будет ли у вас потом доказательная база или только домыслы.

Зафиксировать факт. Дата и время обнаружения, кто обнаружил, как именно (жалоба клиента, находка в логах, уведомление от хостинга). Это первая строка будущего отчёта, и её нужно записать сразу, пока детали не забылись и не перепутались.

Снять копию логов до того, как их перезапишет ротация. На большинстве хостингов access-логи хранятся ограниченное время, неделю или две, а после инцидента их лучше скачать себе целиком, не полагаясь на то, что хостер сохранит их дольше обычного.

185.220.101.47 - - [24/Jul/2026:03:14:22 +0300] "GET /wp-content/uploads/backup/db-2026-06-01.zip HTTP/1.1" 200 48213112
185.220.101.47 - - [24/Jul/2026:03:15:01 +0300] "GET /wp-content/uploads/backup/db-2026-06-01.zip HTTP/1.1" 200 48213112
185.220.101.47 - - [24/Jul/2026:03:16:47 +0300] "GET /wp-content/uploads/backup/db-2026-06-01.zip HTTP/1.1" 200 48213112

Три обращения с одного IP к файлу бэкапа, все с кодом 200, это уже готовое доказательство скачивания, а не просто подозрение. Именно такие строки потом идут в приложение к отчёту.

Закрыть дыру немедленно: удалить публичный доступ к файлу, обновить уязвимый плагин, сменить все пароли, которые могли быть скомпрометированы, включая пароль к базе данных и FTP. Если не уверены в масштабе проблемы, читайте отдельный разбор признаков взлома сайта, там расписано, как быстро оценить, что именно пострадало.

Не удалять улики. Соблазн стереть файл бэкапа, почистить логи и сделать вид, что ничего не было, понятен, но именно эти данные потребуются для отчёта в РКН и для объяснения, что конкретно произошло. Удалили улики, отчёт превращается в набор предположений, а это хуже, чем честно описанный инцидент с доказательствами.

Уведомление РКН в течение 24 часов

Срок отсчитывается с момента, когда оператор узнал или должен был узнать об утечке, а не с момента, когда закончили внутреннее разбирательство. Это принципиально: полного понимания масштаба у вас чаще всего ещё нет, уведомлять всё равно нужно.

В уведомлении обязательны:

• наименование оператора, ИНН, контактные данные ответственного лица,
• дата и обстоятельства обнаружения утечки,
• предполагаемые причины: техническая уязвимость, действия третьих лиц, ошибка сотрудника,
• категории и примерный объём затронутых персональных данных: имена, телефоны, email, адреса, платёжные данные,
• принятые меры по устранению последствий на момент подачи,
• контакты для связи по инциденту.

Подписывает уведомление руководитель организации или ИП лично, либо представитель по доверенности, если оператор — юридическое лицо. Для самозанятых и физлиц-операторов подписывает сам оператор. Отправляется уведомление в территориальный орган Роскомнадзора по месту нахождения оператора, в бумажном или электронном виде с электронной подписью, точный канал подачи стоит уточнять в актуальном на момент инцидента порядке, поскольку регламентные формы РКН время от времени обновляются.

Если ещё не подавали в РКН уведомление об обработке персональных данных как таковое, это отдельная и более ранняя обязанность, никак не заменяющая уведомление об утечке. Разница между ними и порядок первичной подачи разобраны в статье про уведомление РКН об обработке персональных данных.

Отчёт по итогам расследования в течение 72 часов

Через 72 часа после обнаружения оператор обязан направить в РКН результаты внутреннего расследования. Это не значит, что за трое суток нужно провести полноценный форензик-аудит уровня крупной компании, но набор фактов должен быть максимально полным на этот момент.

В отчёт входят:

• точная хронология инцидента: когда началась утечка (если удалось установить), когда обнаружена, когда закрыта дыра,
• технические подробности: какая именно уязвимость использовалась, IP-адреса, если удалось их установить,
• точный или уточнённый объём пострадавших субъектов и категорий данных,
• принятые меры: что закрыто, что обновлено, что изменено в процессах,
• меры по снижению последствий для субъектов данных, если применимо: уведомление затронутых клиентов, смена скомпрометированных паролей.

Если за 72 часа расследование объективно не завершено (например, ждёте ответ от хостинга по логам), в РКН направляется отчёт с тем, что установлено на текущий момент, и указанием, что расследование продолжается. Молчание в этом случае хуже, чем неполный, но поданный в срок отчёт.

Штрафы и оборотные санкции

Ответственность по 152-ФЗ разделена на несколько составов, и штрафы за сам факт утечки отличаются от штрафов за нарушение сроков уведомления.

Нарушение	Ориентировочная санкция
Не уведомили РКН об утечке в срок	штраф для юрлица, порядок сотен тысяч рублей за первое нарушение
Первая утечка с подтверждённым фактом	фиксированный штраф, размер зависит от числа пострадавших субъектов (условно до 1 млн, от 1 до 10 млн, свыше 10 млн записей)
Повторная утечка в течение установленного периода	оборотный штраф, процент от годовой выручки оператора, с верхним пределом в несколько сотен миллионов рублей для крупных операторов
Незаконная обработка или отсутствие правовых оснований на обработку	отдельный состав по статье 13.11 КоАП, штраф для юрлица

Оборотные штрафы за утечки, то есть штрафы, привязанные к проценту от выручки, а не к фиксированной сумме, это относительно новая часть регулирования, введённая поправками, вступившими в силу в 2025 году. Для малого бизнеса с оборотом в несколько миллионов рублей в месяц процентная ставка штрафа обычно не так страшна в абсолютных цифрах, как для крупного оператора, но сам факт попадания в эту категорию портит репутацию и создаёт риск повторных проверок. Точные суммы и пороги стоит сверять в действующей редакции КоАП на момент инцидента, поправки в этой части закона вносятся чаще, чем хотелось бы.

Как подготовиться заранее

Компания, которая уже прошла через один инцидент, обычно за неделю выстраивает то, что стоило сделать до него. Три элемента минимально достаточной подготовки.

Регламент реагирования на утечку. Документ на одну-две страницы: кто первым получает сигнал о подозрении на утечку, кто принимает решение о фиксации и уведомлении, кто отвечает за коммуникацию с РКН, какие шаги выполняются в первые часы. Без документа в момент инцидента решения принимаются на эмоциях и медленнее, чем нужно при жёстком сроке в 24 часа.

Журнал инцидентов. Даже если утечек не было, полезно фиксировать подозрительную активность: попытки перебора паролей в админку, странные всплески трафика к формам, уведомления от систем мониторинга. Если инцидент всё же случится, история подозрительной активности за предыдущие месяцы поможет восстановить полную картину и показать регулятору, что процесс мониторинга в принципе есть.

Назначенный ответственный за обработку персональных данных. Формально эта обязанность у операторов существует давно, но на практике у большинства сайтов малого бизнеса ответственный либо не назначен, либо назначен номинально без реального понимания задачи. Разберитесь заранее, какие документы и согласия должны быть на сайте в принципе: базовый набор описан в статье про 152-ФЗ для сайта малого бизнеса, а форма согласия на обработку данных, без которой любая утечка становится ещё и нарушением по факту сбора, разобрана отдельно в статье про согласие на обработку персональных данных.

Что сделать прямо сейчас, если инцидент уже произошёл

Чек-лист первых суток:

• [ ] зафиксировать дату, время и способ обнаружения,
• [ ] сохранить логи и любые доказательства до истечения срока их ротации на хостинге,
• [ ] закрыть источник утечки: обновить плагин, сменить пароли, убрать публичный доступ к файлу,
• [ ] не удалять файлы и записи, которые могут понадобиться для отчёта,
• [ ] подготовить и направить уведомление в РКН в течение 24 часов,
• [ ] назначить ответственного за подготовку отчёта на 72 часа,
• [ ] решить вопрос об уведомлении затронутых клиентов, если данные чувствительные,
• [ ] после закрытия инцидента завести или обновить регламент, чтобы в следующий раз действовать по готовому плану, а не с нуля.

Если утечка уже произошла и сроки поджимают, разбираться в формулировках уведомления и одновременно чинить дыру в коде в одиночку тяжело. Пишите через форму на главной, помогу с технической частью: найти точку входа, закрыть дыру, собрать доказательную базу по логам, за юридической частью и точными формулировками для РКН в сложных случаях лучше параллельно привлекать профильного юриста по 152-ФЗ.

Частые вопросы

Что считается утечкой персональных данных

Любой неправомерный доступ к данным: слитая база заявок, открытый в интернет бэкап, доступ бывшего сотрудника, взлом с выгрузкой. Масштаб роли не играет, требования одинаковы.

В какой срок уведомлять Роскомнадзор

Первичное уведомление отправляют в течение 24 часов с момента обнаружения. Отчёт по итогам расследования в течение 72 часов.

Что делать в первые часы

Фиксировать, а не паниковать: закрыть источник утечки, сохранить логи и доказательства, определить объём и категории данных. Эти сведения понадобятся для уведомления.

Что бывает за сокрытие

Отдельная ответственность сверх штрафа за саму утечку, вплоть до оборотных санкций при повторности. Молчание почти всегда обходится дороже своевременного уведомления.