Регламент реагирования на инциденты с персональными данными

Редакция от: 07.06.2026

Настоящий внутренний Регламент определяет порядок действий Индивидуальный предприниматель Рамазанов Магомед Рамазанович (далее — «Оператор») при обнаружении инцидентов с персональными данными, включая неправомерную или случайную передачу персональных данных, повлёкшую нарушение прав субъектов.

Регламент разработан в соответствии с Федеральным законом от 27.07.2006 №152-ФЗ «О персональных данных» (в редакции, вступившей в силу с учётом изменений, внесённых Федеральным законом от 14.07.2022 №266-ФЗ).

1. Понятие инцидента

К инцидентам с персональными данными относятся:

неправомерный или случайный доступ к персональным данным;
несанкционированное копирование, передача, распространение персональных данных;
утрата, изменение, блокирование, уничтожение персональных данных по причинам, не связанным с правомерной обработкой;
иные действия (бездействие), повлёкшие нарушение прав субъектов персональных данных.

2. Каналы обнаружения

Инцидент может быть выявлен в результате:

мониторинга систем безопасности и журналирования;
сообщения сотрудника Оператора;
сообщения от субъекта персональных данных, контрагента или третьего лица;
сообщения от уполномоченного государственного органа;
публикации в открытых источниках.

3. Команда реагирования

3.1. Координацию реагирования осуществляет ответственный за организацию обработки персональных данных (статья 22.1 152-ФЗ).

3.2. В состав команды реагирования входят:

ответственный за обработку персональных данных (координатор);
руководитель технической группы;
представитель юридической службы;
представитель службы поддержки пользователей.

4. Этапы реагирования

4.1. Обнаружение и регистрация

Любой сотрудник Оператора, обнаруживший признаки инцидента, в течение 1 (одного) часа уведомляет ответственного за обработку персональных данных по каналу связи incident@smenok.ru.

4.2. Локализация

В течение 2 (двух) часов с момента уведомления техническая группа предпринимает меры по локализации инцидента и предотвращению его развития.

4.3. Оценка

В течение 6 (шести) часов с момента уведомления команда реагирования проводит первичную оценку:

объём и категории затронутых персональных данных;
круг затронутых субъектов;
характер инцидента и возможные последствия;
риск причинения вреда правам и законным интересам субъектов.

4.4. Уведомление Роскомнадзора

В сроки, установленные частями 3.1 и 3.2 статьи 21 152-ФЗ:

в течение 24 (двадцати четырёх) часов с момента выявления инцидента — направить уведомление об инциденте;
в течение 72 (семидесяти двух) часов с момента выявления — направить результаты внутреннего расследования.

4.5. Уведомление субъектов

При наличии оснований полагать, что инцидент создаёт высокий риск нарушения прав и законных интересов субъектов, ответственный за обработку организует уведомление субъектов в течение

3 (трёх) рабочих дней.

4.6. Расследование и устранение

По завершении первичных мер команда реагирования проводит внутреннее расследование, фиксирует причины, разрабатывает и внедряет меры по предотвращению повторения. Срок завершения расследования — не более 30 (тридцати) календарных дней с момента обнаружения, если иное не определено координатором с учётом сложности инцидента.

4.7. Документирование

Все этапы реагирования регистрируются в Журнале инцидентов с указанием:

даты и времени обнаружения;
источника обнаружения;
описания инцидента;
предпринятых мер;
состава команды реагирования;
даты и реквизитов уведомлений Роскомнадзора и субъектов;
результатов расследования и принятых мер по предотвращению повторения.

5. Хранение журнала инцидентов

Журнал инцидентов хранится в течение 5 (пяти) лет с даты последней записи в нём, в защищённой системе с разграничением доступа.

6. Ознакомление сотрудников

С настоящим Регламентом под подпись (или с использованием аналога собственноручной подписи) знакомятся:

все сотрудники Оператора, имеющие доступ к персональным данным;
сотрудники технической группы;
сотрудники службы поддержки.

Повторное ознакомление проводится при изменении Регламента и ежегодно.

7. Пересмотр Регламента

Регламент пересматривается не реже одного раза в год, а также при существенном изменении законодательства, состава информационных систем или организационной структуры Оператора.

8. Контакты команды реагирования

Координатор (ответственный за обработку ПДн): Рамазанов Магомед Рамазанович, Индивидуальный предприниматель, privacy@smenok.ru, +7 (986) 888-87-71
Канал круглосуточного оповещения: incident@smenok.ru