Алексей Ветров
Эксперт по защите данных IC-TECH
Да, акт о несанкционированной передаче персональных данных является обязательным документом. Он нужен для фиксации факта нарушения, определения причин и последствий инцидента, а также для демонстрации надзорным органам, что оператор выполняет требования по документированию и реагированию на утечки ПДн.
Обоснование по законодательству
- ФЗ-152, ст. 19 — оператор обязан принимать меры для выявления и реагирования на нарушения при обработке ПДн.
- Постановление Правительства РФ № 1119 — обязывает фиксировать инциденты и хранить соответствующую документацию.
- Приказ ФСТЭК № 21 — требует регистрации событий безопасности и оформления отчётности по инцидентам.
- ГОСТ Р 57580.1-2017 (рекомендации) — закрепляет необходимость документирования инцидентов и корректирующих мер.
Что должно быть в акте о несанкционированной передаче ПДн
- дата и время составления;
- описание инцидента (какие данные были переданы, каким образом, кому);
- лица, допустившие нарушение, и ответственный за ПДн;
- последствия для организации и риски для субъектов ПДн;
- меры, предпринятые для минимизации последствий (например, блокировка доступа, уведомление субъекта или Роскомнадзора при необходимости);
- подписи комиссии или ответственного лица.
Практика проверок Роскомнадзора
При проверках РКН запрашивает акты или журналы, фиксирующие инциденты. Если компания не ведёт такие документы, создаётся впечатление, что инцидентов «никогда не было», что воспринимается как формальное соблюдение закона. Наличие акта, даже если речь идёт о внутреннем нарушении (например, случайная пересылка файла не тому адресату), подтверждает, что оператор контролирует процесс и реагирует на инциденты.
Рекомендации и выводы
- Акт о несанкционированной передаче ПДн оформлять необходимо.
- Он должен быть частью системы документирования инцидентов наряду с журналом и протоколами комиссии.
- Включите в пакет документов регламент, который обязывает сотрудников оформлять такие акты.
Компания ICTech может подготовить для вас шаблон акта и порядок его применения, а также встроить это в общий пакет документов по 152-ФЗ.
Хотите защитить себя от проверок и штрафов?
Разработаем полный пакет документации по обработке персональных данных для вашей организации.
