Распространение персональных данных: кто сообщает за 24 часа

Если подрядчик допустил неправомерное распространение персональных данных ваших посетителей, обязанность уведомить Роскомнадзор остаётся у оператора - компании, которая определяет цели и порядок работы с данными. Первичное сообщение нужно направить в течение 24 часов, результаты расследования - в течение 72 часов от выявления инцидента. Подрядчик по поручению сообщает вам, а его обещание «мы разберёмся» не останавливает отсчёт.

Правило применяется, когда установлена неправомерная или случайная передача либо доступ к данным, повлекшие нарушение прав людей. Основание - часть 3.1 статьи 21 закона о персональных данных. Словом «утечка» дальше называем именно такой случай. Телефоны посетителей, которых можно определить, нельзя исключать из проверки только потому, что рядом нет фамилий.

Актуальность правовых источников проверена 25.10.2026. Инструкция помогает организовать работу; юридическую оценку конкретного инцидента проводите с профильным специалистом.

Оператор уведомляет Роскомнадзор, подрядчик сообщает оператору

Владелец бизнеса уведомляет Роскомнадзор, если выступает оператором данных посетителей, а подрядчик хранит или обрабатывает их по его поручению. Место хранения базы не переносит эту обязанность на исполнителя. Подрядчик сообщает оператору об инциденте и передаёт сведения для расследования; требование об уведомлении оператора должно быть закреплено в поручении на обработку.

Оператор - тот, кто определяет, зачем собирают данные, какие сведения нужны и что с ними делают. Подрядчик по поручению действует в заданных оператором целях. Так роли разделяют статьи 3 и 6 закона о персональных данных. Если исполнитель использует сведения для собственных целей, отдельно проверьте его роль оператора: одного названия договора недостаточно.

| Участник | За что отвечает в этой схеме |

|---|---|

| Компания-оператор | Сообщает регулятору, организует расследование и меры защиты |

| Подрядчик по поручению | Уведомляет оператора, предоставляет сведения и устраняет нарушения в своей части |

| Уполномоченный сотрудник | Готовит и подаёт сообщение от имени оператора в пределах полномочий |

Оба срока идут от выявления одного инцидента

Оба срока начинаются с выявления инцидента оператором, Роскомнадзором или другим заинтересованным лицом. Для первичного уведомления закон отводит 24 часа, для результатов внутреннего расследования - 72 часа от той же исходной точки. Дополнительного полного срока после первого сообщения нет; ожидание заключения подрядчика само по себе не переносит начало отсчёта.

Сохраните время обнаружения, время сообщения подрядчика и время получения сообщения вашей компанией отдельно. Фраза «письмо увидел директор только утром» не даёт основания автоматически считать срок заново. При расхождении времён передайте юристу всю хронологию, включая подтверждения раннего выявления.

Для будущего подключения сервисов полезно заранее понимать путь контакта от сайта до вашей команды. WantLead определяет телефоны посетителей собственного сайта, которые ушли без заявки. Установка сервиса не заменяет работу с текущим инцидентом.

Передача подготовки документа исполнителю возможна как рабочая договорённость. Проверьте, от чьего имени подано сообщение, какие данные в нём указаны и осталось ли подтверждение отправки у вашей компании.

Первичное уведомление допускает предполагаемые причины и предполагаемый вред. Полного ответа на вопрос, кто именно выгрузил базу, в начале может ещё не быть. Отделите установленные обстоятельства от проверяемых версий и не ждите завершения расследования ради идеального текста.

Запрос исполнителю нужен сразу после сообщения

Запросите у подрядчика время выявления, описание затронутых данных, известный объём, предполагаемый способ доступа и уже принятые меры. Попросите сохранить журналы действий - записи о том, кто и когда обращался к системе, - и назначить контакт для расследования. Не пересылайте всю базу в общий чат ради подтверждения инцидента; согласуйте защищённый канал обмена доказательствами.

Я бы отправил подрядчику письменный запрос и параллельно назначил ответственного внутри компании. Переписка в мессенджере помогает быстро связаться, но итоговые сведения удобнее собрать в одном документе с датами и приложениями.

1. 1Зафиксируйте, когда и из какого источника получили сообщение.
2. 2Попросите исполнителя описать, какие данные затронуты и что известно о доступе.
3. 3Согласуйте прекращение постороннего доступа без уничтожения нужных доказательств.
4. 4Получите подтверждения принятых мер и сохранения журналов.
5. 5Передайте материалы сотруднику, который готовит уведомление и ведёт расследование.

Список - рабочая рекомендация для организации реагирования. Он не заменяет перечень сведений, установленный законом и порядком Роскомнадзора.

Первое сообщение содержит известные сведения об утечке

В первичном уведомлении опишите инцидент, предполагаемые причины, предполагаемый вред людям, принятые меры и уполномоченного на связь сотрудника. Порядок Роскомнадзора также предусматривает сведения об операторе, дате и времени выявления, характеристиках данных и количестве записей в затронутой базе. Укажите известные обстоятельства без выдуманной точности; предварительные оценки явно отделите от подтверждённых сведений расследования.

Требования раскрывает приказ Роскомнадзора от 14.11.2022 № 187. Для каждого поля назначьте источник информации: технический специалист подтверждает доступ и состав данных, ответственный сотрудник собирает хронологию, юрист проверяет формулировки и основание подачи.

Уведомление об инциденте и уведомление о начале обработки данных - разные документы. Наличие компании в реестре операторов не означает, что регулятор уже получил сведения о новой утечке. Не пытайтесь закрыть инцидент обычным обновлением регистрационных сведений.

Дополнительное уведомление содержит результаты расследования

В дополнительном уведомлении передайте результаты внутреннего расследования и сведения о лицах, чьи действия стали причиной инцидента, если такие лица установлены. Порядок Роскомнадзора предусматривает описание причин, вреда, дополнительных мер и решения о проведении расследования. Сведите материалы своей компании и подрядчика в согласованную хронологию; не подменяйте результаты обещанием исполнителя позже прислать подробности.

Проверьте, совпадают ли даты, количество записей и описание затронутой системы в сообщениях разных участников. Если оценка изменилась после технической проверки, объясните, какие сведения уточнили и на каком основании. Сохраните документы, которыми подтверждается отправка обоих сообщений.

Такая подготовка нужна и до подключения новых инструментов. WantLead работает с вашим собственным трафиком: код на сайте и cookie - небольшие файлы в браузере - участвуют в определении телефонов посетителей в реальном времени. Сначала разберите с юристом основание обработки и роли участников, затем согласуйте доступы и порядок сообщения об инциденте.

Договор не отменяет обязанности владельца сайта

Договор с подрядчиком не отменяет обязанностей компании, которая остаётся оператором данных посетителей. В поручении должны быть определены данные, операции, цели, требования к сохранению данных в тайне и защите, а также уведомление оператора об инциденте. Внутренний срок сообщения исполнителя согласуйте так, чтобы у вашей команды оставалось время исполнить собственную обязанность перед регулятором без ожидания очередного рабочего дня.

Для компании с сайтом я бы отдельно проверил, кому подрядчик звонит при обнаружении утечки ночью, кто заменяет этого человека и какие подтверждения должен передать исполнитель. Формулировка «уведомляет в разумный срок» оставляет слишком много неопределённости для аварийной ситуации. Поручение обработки и обычную регистрацию оператора различает разбор сайта без формы заявок.

По части 5 статьи 6 оператор отвечает перед человеком за действия лица, которому поручил обработку, а это лицо отвечает перед оператором. Вопрос о возмещении потерь подрядчиком решайте отдельно от срочного уведомления регулятора. Не откладывайте сообщение до спора о виновнике.

Судебное дело показывает предел ссылки на подрядчика

Постановление Верховного суда от 21.01.2026 № 5-АД25-119-К2 показывает, что ссылка на взлом через подрядчика сама по себе не снимает ответственность с оператора. Суд рассматривал исторический инцидент ноября 2023 года с данными сотрудников Минтруда и их родственников. В деле не нашли доказательств, что ведомство приняло нужные меры контроля и защиты.

Полный текст постановления опубликован в правовой системе ГАРАНТ и доступен отдельным документом. Суд оставил судебные акты без изменения. Пример относится к защите данных сотрудников; переносить все обстоятельства дела на любой коммерческий сайт нельзя.

Договор и слова исполнителя не заменяют доказательств контроля. Храните согласованные правила доступа, сведения о проверках и материалы реагирования. Суд оценивает фактические действия компании. Возможные взыскания отдельно разобраны в материале об ответственности за утечку базы.

До подключения сервиса проверьте цели и доступ к данным

Перед подключением WantLead выясните, какие данные и для какой цели будут обрабатываться, кто получает доступ и кто сообщает о нарушении. Сервис определяет телефоны посетителей вашего сайта, ушедших без заявки; он не устраняет утечки и не выполняет за оператора обязанность уведомить Роскомнадзор. Обработку данных и последующие обращения к людям проверяйте как отдельные правовые вопросы.

В сводке LEADLIFE на 02.09.2026 указаны 87 брендов среди клиентов технологии. Число описывает её использование и не доказывает законность конкретной схемы обработки. Для вашего сайта нужны собственные документы и проверка реального пути данных.

Если инцидент уже произошёл, сначала организуйте реагирование. Если только выбираете инструмент для посетителей, которые уходят без заявки, подготовьте описание сайта и перечень подключённых подрядчиков для обсуждения механики. Документы и распределение обязанностей проверьте до запуска.

Источники

Правовые сроки и распределение обязанностей в инструкции опираются на закон о персональных данных и порядок Роскомнадзора; судебный пример приведён с датой постановления и указанием исторического инцидента. Для своего случая проверьте фактическую роль каждого участника и действующую редакцию норм. Ссылки ниже ведут к текстам правил и судебному документу. Универсального заключения о законности сайта они не дают.

• Статья 21: сообщение об инциденте и результаты расследования.
• Статья 6: поручение обработки и ответственность участников.
• Определения данных, оператора и обработки.
• Порядок уведомлений по приказу Роскомнадзора № 187.
• Постановление Верховного суда от 21.01.2026 по делу № 5-АД25-119-К2.