Порядок действий при инцидентах с персональными данными

1. Общие положения

1.1. Порядок определяет действия ООО «ВУФ ПЕТ» (далее — Оператор) при инциденте с персональными данными пользователей сервиса WHOOF (далее — Сервис). Инцидент — установленный факт неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкшей нарушение прав субъектов персональных данных (ч. 3.1 ст. 21 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»; далее — Закон).

1.2. По этому же порядку Оператор действует при подозрении на инцидент: при признаках несанкционированного доступа к Сервису, при утрате или раскрытии учётных данных лица с административным доступом, при сообщении обработчика о нарушении на его стороне.

1.3. Уведомления Роскомнадзору направляются в порядке, установленном приказом Роскомнадзора от 14.11.2022 № 187. Сведения о компьютерном инциденте, повлёкшем неправомерную передачу персональных данных, передаются также в государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак — тем же уведомлением на сайте Роскомнадзора (п. 3 порядка, утверждённого приказом ФСБ России от 13.02.2023 № 77).

2. Роли

2.1. Действиями при инциденте руководит лицо, ответственное за организацию обработки персональных данных (далее — Ответственный). Он же — лицо, уполномоченное Оператором на взаимодействие с Роскомнадзором по вопросам инцидента.

2.2. Генеральный директор принимает решения об информировании субъектов, о приостановке Сервиса или его части и подписывает уведомления, если они направляются на бумаге.

2.3. Если Ответственный недоступен, его обязанности по этому порядку исполняет генеральный директор.

3. Выявление и сообщение об инциденте

3.1. Об инциденте могут сообщить работник Оператора, пользователь, лицо, обрабатывающее данные по поручению Оператора, Роскомнадзор или иное лицо. Любой, кто имеет доступ к персональным данным и узнал об инциденте или заподозрил его, немедленно сообщает Ответственному: privacy@whoof.space.

3.2. Сроки из разделов 5 и 6 считаются с момента, когда инцидент выявлен Оператором, Роскомнадзором или иным заинтересованным лицом. Ответственный записывает дату и время выявления в журнал инцидентов сразу.

4. Первые действия

4.1. В первые часы Ответственный:

• прекращает неправомерный доступ: отзывает раскрытые учётные данные и ключи, ограничивает доступ к затронутой части Сервиса;
• сохраняет сведения, нужные для расследования, и не допускает их изменения;
• устанавливает, какие данные затронуты, скольких субъектов они касаются и продолжается ли инцидент;
• сообщает генеральному директору.

4.2. Если инцидент произошёл у лица, обрабатывающего данные по поручению Оператора, Ответственный запрашивает у него сведения, нужные для уведомления. Срок уведомления Роскомнадзора от сроков ответа такого лица не зависит.

5. Уведомление Роскомнадзора в течение 24 часов

5.1. В течение 24 часов с момента выявления инцидента Оператор уведомляет Роскомнадзор (п. 1 ч. 3.1 ст. 21 Закона):

• о произошедшем инциденте;
• о предполагаемых причинах, повлёкших нарушение прав субъектов персональных данных;
• о предполагаемом вреде, нанесённом правам субъектов;
• о принятых мерах по устранению последствий инцидента;
• о лице, уполномоченном Оператором на взаимодействие с Роскомнадзором по вопросам инцидента.

5.2. Уведомление направляется через портал персональных данных Роскомнадзора (pd.rkn.gov.ru) или на бумаге. Если к этому сроку сведения неполны, уведомление направляется с тем, что известно, и с указанием, что расследование продолжается.

6. Расследование и уведомление в течение 72 часов

6.1. Ответственный проводит внутреннее расследование: устанавливает причины инцидента, круг затронутых данных и субъектов, лиц, действия которых стали причиной инцидента, и вред.

6.2. В течение 72 часов с момента выявления инцидента Оператор уведомляет Роскомнадзор о результатах внутреннего расследования и предоставляет сведения о лицах, действия которых стали причиной инцидента, если такие лица установлены (п. 2 ч. 3.1 ст. 21 Закона).

6.3. Требования Роскомнадзора о предоставлении дополнительных сведений исполняются в срок, указанный в требовании.

7. Субъекты данных и обработчики

7.1. Ответственный оценивает, нужно ли сообщить об инциденте затронутым пользователям, чтобы они могли защитить свои права, и предлагает решение генеральному директору. Сообщение содержит описание случившегося, затронутые данные и принятые меры.

7.2. Если нарушение выявлено по обращению субъекта, его уведомляют об устранении нарушения или об уничтожении данных (ч. 3 ст. 21 Закона).

7.3. Договоры с лицами, обрабатывающими данные по поручению Оператора, должны обязывать их уведомлять Оператора об инцидентах (ч. 3 ст. 6 Закона).

8. Устранение последствий

8.1. После прекращения инцидента Ответственный восстанавливает работу Сервиса и данные, устраняет причину инцидента и проверяет, что неправомерный доступ прекращён.

8.2. По итогам расследования Ответственный готовит генеральному директору отчёт с мерами, которые исключат повторение инцидента, и сроками. При необходимости пересматриваются модель угроз и оценка вреда.

9. Учёт инцидентов

9.1. Ответственный ведёт журнал инцидентов в электронной форме. Записи и материалы расследования хранятся не менее 3 лет.

10. Сроки