Утечка данных клиентов: что сделать за 24 часа и штрафы

Коротко: оператор персональных данных обязан уведомить Роскомнадзор об утечке в течение 24 часов, а о результатах расследования — в течение 72 часов (ч. 3.1 ст. 21 закона 152-ФЗ); за неподачу уведомления юрлицу грозит от 1 до 3 млн рублей, за саму утечку — от 3 до 15 млн в зависимости от числа пострадавших (ст. 13.11 КоАП). Штраф платят один раз, а отзыв «слили мои данные» читают новые клиенты, пока он есть в карточке, поэтому ответы на отзывы мы бы готовили в те же 72 часа, что и документы для Роскомнадзора. Поводом стал взлом сети доставки 28 сентября 2026 года: по vc.ru компания объявила о возможной утечке данных части клиентов и уведомила Роскомнадзор, ее название мы не приводим. Опубликовано 29 сентября 2026 года, обновлено 6 октября 2026 года.

Что случилось и что из этого подтверждено

Вечером 28 сентября 2026 года компания сообщила в своем Telegram-канале о кибератаке. По ее словам, злоумышленники могли получить имена, адреса, электронные почты, телефоны, даты рождения и составы заказов части клиентов, а платежные данные, как заявила компания, в безопасности. Роскомнадзор она уведомила (vc.ru, 29.09.2026). Сколько клиентов затронуто, компания не назвала, поэтому ни одну сумму из таблицы ниже мы к этому случаю не относим. Сообщение компании мы напрямую не открывали, опираемся на vc.ru.

Что обязан сделать бизнес по закону: 24 часа на инцидент и 72 часа на расследование

Часть 3.1 статьи 21 закона 152-ФЗ обязывает оператора с момента выявления неправомерной или случайной передачи данных, повлекшей нарушение прав субъектов, уведомить Роскомнадзор дважды:

• в течение 24 часов — об инциденте, предполагаемых причинах и вреде, принятых мерах и контактном лице;
• в течение 72 часов — о результатах внутреннего расследования и лицах, чьи действия привели к инциденту, если они установлены.

По тексту нормы срок идет с момента, когда инцидент выявил сам оператор, Роскомнадзор или иное заинтересованное лицо. Как мы читаем норму, ждать собственной проверки нельзя: если о взломе первыми написали журналисты, отсчет может идти уже от этого. Это касается любого оператора персональных данных: от доставки до клиники и сайта с формой заявки.

Штрафы: от 1 до 3 млн рублей за молчание и до 15 млн за утечку

Суммы — по тексту ст. 13.11 КоАП (ред. от 04.08.2026), по примечанию 1 ИП отвечает как юрлицо. Для утечки меньше 1 тысячи субъектов и 10 тысяч идентификаторов отдельной строки в ч. 12-14 нет, что грозит в этом случае, статья не расписывает. Обязанность уведомить Роскомнадзор от масштаба не зависит.

Первые 72 часа: уведомления и ответы на отзывы готовят параллельно

Штраф закрывается одним платежом. Отзыв «слили мои данные» остается в карточке на Яндекс Картах или в 2ГИС, и ответ под ним читает следующий клиент. Письмо в Роскомнадзор он не увидит. Поэтому ответы мы бы готовили вместе с уведомлением, а не после него. Замера, как такие отзывы влияют на обращения, у нас нет, это наша позиция.

1. Сообщить затронутым клиентам отдельным письмом или в личном кабинете. Ч. 3.1 этого не требует, но мы бы сообщали: иначе клиент узнает об утечке из чужих отзывов.
2. Заранее подготовить 2-3 шаблона ответа на отзывы и комментарии, пока вопросов немного.
3. Смотреть карточки, отзовики, соцсети и выдачу по названию компании самим, например утром и вечером.
4. Публично обещайте только то, что юристы и технический отдел могут подтвердить сейчас.

Проверьте за 5 минут. Возьмите лист и запишите три фамилии: кто подает уведомление в Роскомнадзор, кто подтверждает факты для ответов клиентам, кто публикует ответы под отзывами. Не нашлась хотя бы одна фамилия — регламента инцидента у вас нет, а срок на уведомление всего 24 часа.

Недельная сводка мониторинга для первых трех суток не годится

Наш мониторинг отзывов о компании, по описанию услуги, присылает еженедельную сводку, а первый полный срез готов за 1-2 недели, так что на первые 72 часа он не рассчитан. Он нужен после инцидента, чтобы повторяющиеся жалобы не потерялись: упоминания собираются на согласованных площадках, делятся по теме и срочности, за реакцию назначается ответственный. Если у вас одна карточка и пара отзывов в месяц, он не нужен, так сказано на той же странице. Как отвечать на негатив, разобрано в материале об ответах на Яндекс Картах, а что делать в целом в первые сутки кризиса — в разборе первых 24 часов.

Шаблоны ответов на отзывы и что в них не писать

Три заготовки. Подставляйте в них только подтвержденное внутри компании и не используйте второй, пока уведомление в Роскомнадзор не подано.

• Первая реакция, детали еще не собраны: «Мы знаем о вашем сообщении и разбираемся в ситуации. Официальную информацию публикуем на [страница или канал компании], туда же добавим результаты проверки. Пожалуйста, не указывайте в комментариях личные данные: это не защищенный канал связи».
• Инцидент подтвержден, идет расследование: «Подтверждаем инцидент, Роскомнадзор уведомлен. Проводим внутреннее расследование, о результатах сообщим дополнительно. Если у вас есть вопросы по вашим данным, напишите нам в [контакт], не публикуя личные сведения в открытом доступе».
• Клиент требует компенсацию: «Понимаем ваше беспокойство. Обращения, связанные с инцидентом, рассматриваются индивидуально после завершения проверки, и называть сумму или срок заранее было бы нечестно. Свяжитесь с нами в [канал] для отдельного разбора».

Что не писать в ответах

• Признавайте столько, сколько подтверждено проверкой и уведомлением: публичный ответ и уведомление читают одни и те же люди, расхождение между ними — лишний вопрос.
• Перечень утекших данных оставьте для уведомления клиентам и страницы компании: отзыв прочтут и те, кого утечка не затронула.
• Компенсацию и срок ее выплаты не обещайте, пока решения нет.

Если хотите увидеть, какие отзывы и публикации о вашей компании уже есть на картах и в выдаче по названию, срез сделаем мы.

Бесплатная экспресс-проверка — одна на компанию. Отчет придет на почту в течение 1 рабочего дня.

Частые вопросы

Нужно ли уведомлять самих клиентов, а не только Роскомнадзор?

Часть 3.1 статьи 21 описывает уведомление только Роскомнадзора. Отдельного требования письменно уведомлять каждого клиента в ней нет, но сообщить клиентам мы бы советовали: иначе они узнают об утечке из чужих отзывов.

Если утечка затронула меньше тысячи клиентов, штрафа не будет?

Шкала за саму утечку начинается с 1-10 тысяч субъектов и/или 10-100 тысяч идентификаторов, что грозит ниже порога, статья не расписывает. Штраф за неподачу уведомления (ч. 11, 1-3 млн руб.) от масштаба не зависит.

Отвечает ли компания, если утечка произошла у подрядчика, например в CRM или сервисе рассылок?

По ч. 5 ст. 6 закона 152-ФЗ, если оператор поручил обработку другому лицу, ответственность перед субъектом данных за действия этого лица несет оператор, а подрядчик отвечает перед оператором. Как это работает в конкретном деле, зависит от договора и обстоятельств, нужна консультация юриста.

Можно ли не отвечать на отзывы «слили мои данные», пока идет проверка?

Закон отвечать на отзывы не обязывает. Мы бы ответили коротко и нейтрально, потому что без ответа читатель видит только претензию. Текст ответа не должен подтверждать больше, чем подтверждено.

Материал не является юридической консультацией. Нормы сверены 6 октября 2026 года: ч. 3.1 ст. 21 и ч. 5 ст. 6 закона 152-ФЗ (ред. от 26.07.2026), ст. 13.11 КоАП (ред. от 04.08.2026) и обзор КонсультантПлюс о штрафах с 30 мая 2025 года; сообщение о взломе известно по публикации vc.ru от 29 сентября 2026 года.

Материал не является юридической консультацией. Дата обновления: 06.10.2026.

Файл по теме: 12 проверок репутации