Да, утечка сведений о сотрудниках — тоже утечка персональных данных, и на неё распространяются те же сроки уведомления Роскомнадзора: 24 часа на первичное уведомление, 72 часа на итоговое. Штраф за нарушение сроков — от 1 до 3 млн ₽ по ч. 11 ст. 13.11 КоАП.
Данные сотрудников — тоже персональные данные
152-ФЗ не делает различий между утечкой данных клиентов, партнёров или сотрудников. Персональные данные — это персональные данные, независимо от того, в каком качестве человек взаимодействует с вами.
Если произошла утечка паспортных данных сотрудника, его ИНН, СНИЛС, адреса или других сведений — вы обязаны уведомить Роскомнадзор в те же сроки, что и при утечке данных любого другого субъекта.
Специальный режим главы 14 ТК РФ не отменяет требований 152-ФЗ об уведомлении об инцидентах. Он дополняет их, но сроки и процедура уведомления регулируются именно 152-ФЗ.
Два срока, которые легко перепутать
Часть 3.1 статьи 21 152-ФЗ устанавливает два разных срока для уведомления Роскомнадзора об утечке персональных данных.
Срок первый — 24 часа. В течение суток с момента обнаружения инцидента вы должны направить первичное уведомление. В нём вы сообщаете о факте утечки, указываете дату обнаружения, описываете характер инцидента и указываете контакты ответственного лица.
Срок второй — 72 часа. В течение трёх суток с момента обнаружения вы должны направить дополнительное уведомление с результатами внутреннего расследования. В нём вы описываете причины утечки, объём пострадавших данных, категории субъектов, а также какие меры приняты и планируются для устранения последствий.
Эти два уведомления — не альтернатива, а последовательная цепочка: сначала первичное в 24 часа, затем итоговое в 72 часа. Пропуск любого из двух сроков — нарушение, даже если второе уведомление отправлено в срок.
Штраф за несоблюдение этих сроков — значительный. Часть 11 статьи 13.11 КоАП устанавливает для юридических лиц штраф от 1 до 3 миллионов рублей. Для малого бизнеса это серьёзная сумма.
Дополнительная ответственность по ТК РФ
Кроме требований 152-ФЗ, к утечке данных сотрудников применяются нормы Трудового кодекса.
Пункт 7 статьи 86 ТК РФ прямо устанавливает: защита персональных данных работника осуществляется за счёт средств работодателя. Это означает, что вы обязаны обеспечивать их защиту за свой счёт, а не перекладывать расходы на сотрудников или требовать от них компенсации.
Если произошла утечка данных сотрудника, это одновременно является нарушением статьи 86 ТК РФ — работодатель не обеспечил защиту сведений. Даже если вы уложились в сроки уведомления Роскомнадзора по 152-ФЗ, вы всё равно нарушили ТК РФ, если инцидент произошёл из-за недостаточности мер защиты.
Практически это означает: при утечке сведений о сотрудниках у вас двойная ответственность. Одна — по 152-ФЗ за несоблюдение сроков уведомления. Вторая — по ТК РФ за неисполнение обязанности по их защите. Проверки могут проводить и Роскомнадзор, и трудовая инспекция.
Что делать сразу после обнаружения
Порядок действий при обнаружении утечки одинаков для любых персональных данных, но при утечке сведений о сотрудниках есть нюансы, связанные с ТК РФ.
Шаг первый — зафиксировать факт. Дата и время обнаружения инцидента — это точка отсчёта для всех сроков. Вы должны документально подтвердить момент, когда узнали об утечке. Это важно, потому что сроки считаются именно с этого момента.
Шаг второй — начать внутреннее расследование. Выяснить, какие данные утекли, сколько субъектов пострадало, как произошла утечка, кто виноват. Это работа для внутренней комиссии или привлечённых специалистов.
Шаг третий — подготовить первичное уведомление. У вас есть 24 часа с момента обнаружения. В уведомлении указывается только самое необходимое: факт инцидента, дата обнаружения, характер утечки, контакты ответственного лица. Подробности — в дополнительном уведомлении.
Шаг четвёртый — в течение 72 часов подготовить дополнительное уведомление с результатами расследования. Здесь уже детали: причины, объём, категории, меры.
Шаг пятый — уведомить сотрудников, чьи данные утекли. 152-ФЗ не требует отдельного уведомления субъектов, но ТК РФ может требовать информирования работников о случаях нарушения безопасности их данных. Лучше уведомить, чтобы избежать дополнительных претензий.
Полный гид по 152-ФЗ, включая процедуру уведомления об инцидентах, можно найти в полном гиде по 152-ФЗ. Для понимания, какие данные сотрудников подлежат защите и как организовать внутренний контроль, читайте статьи данные сотрудника после увольнения и внутренний контроль обработки данных.
Материал носит справочный характер и не заменяет консультацию юриста по конкретной ситуации.
Вопросы про утечку данных сотрудников
У меня утекли данные только одного сотрудника — нужно ли уведомлять Роскомнадзор?
Да, нужно. 152-ФЗ не устанавливает минимального порога количества субъектов для уведомления об инциденте. Любая утечка персональных данных, в том числе одного человека, подлежит уведомлению в сроки 24 и 72 часа.
Какой срок для уведомления Роскомнадзора об утечке этих сведений?
24 часа — первичное уведомление о самом инциденте. 72 часа — дополнительное уведомление с результатами внутреннего расследования. Это требования части 3.1 статьи 21 152-ФЗ, они общие для всех персональных данных.
Что будет, если я не уведомлю Роскомнадзор об утечке?
Штраф по части 11 статьи 13.11 КоАП для юридических лиц — от 1 до 3 миллионов рублей. Кроме того, это может рассматриваться как нарушение статьи 86 ТК РФ (необеспечение защиты данных работника).
Должен ли я уведомить самого сотрудника об утечке его данных?
152-ФЗ не требует отдельного уведомления субъекта об инциденте. Но ТК РФ и общие принципы защиты информации рекомендуют информировать работника в случае нарушения безопасности его персональных данных, чтобы избежать дополнительных претензий.
Похожие материалы
Источники
- Федеральный закон от 27.07.2006 № 152-ФЗ, ст. 21 ч. 3.1 — сроки уведомления об утечке — consultant.ru
Норма приведена по тексту ст. 21 ч. 3.1 152-ФЗ, сверено 11.07.2026 и повторно 22.07.2026.