Шаблон 12. Порядок действий при инциденте (утечке персональных данных)

Когда использовать

Утверждается заранее, до того как инцидент произошёл. Смысл документа — чтобы в момент обнаружения утечки никто не тратил время на выяснение, кому звонить: сроки уведомления считаются часами.

⚠ Два срока, которые нельзя пропустить. По пункту 3.1 части 3 статьи 21 Федерального закона от 27.07.2006 № 152-ФЗ при установлении факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкшей нарушение прав субъектов, оператор обязан уведомить уполномоченный орган по защите прав субъектов персональных данных:

• в течение 24 часов — о произошедшем инциденте, предполагаемых причинах и предполагаемом вреде, о принятых мерах, а также о лице, уполномоченном на взаимодействие по этому вопросу;
• в течение 72 часов — о результатах внутреннего расследования и о лицах, действия которых стали причиной инцидента (при наличии).

Часы считаются с момента обнаружения инцидента, а не с момента, когда о нём доложили директору. Поэтому в порядке важно закрепить: работник, обнаруживший инцидент, сообщает немедленно и в любое время суток.

Что считается инцидентом в школе. Не только взлом системы: потерянная флешка с личными делами, письмо со списком обучающихся, отправленное «всем» вместо одного адресата, оставленный на столе журнал, выложенный в открытый доступ файл с фамилиями и диагнозами, доступ к электронному журналу под чужой учётной записью.

Текст-образец

УТВЕРЖДАЮ
Директор [полное наименование ОО]
_____________ /[Ф.И.О.]/
Приказ № [___] от «___» ______ 20__ г.


ПОРЯДОК
действий при выявлении инцидента, связанного с персональными данными
[полное наименование ОО]


1. ОБЩИЕ ПОЛОЖЕНИЯ

1.1. Настоящий Порядок определяет действия работников [название ОО]
     при выявлении инцидента, связанного с неправомерной или случайной
     передачей (предоставлением, распространением, доступом)
     персональных данных.
1.2. Инцидентом признаётся в том числе: утрата материального носителя
     (флеш-накопитель, папка, журнал); направление документа
     с персональными данными не тому адресату; размещение сведений

> **[…] Полный текст документа доступен после оплаты.**