Статистика утечек ПДн за Q1 2025: кто уведомляет, кто молчит и что с этим делает РКН

Роскомнадзор опубликовал сводную статистику уведомлений об утечках персональных данных за первый квартал 2025 года. Это первый полноценный квартальный срез после того, как в конце 2024-го заработала обязательная 24-часовая процедура уведомления - и первый, где можно сравнивать цифры не с нулём, а с чем-то предшествующим.

Мы покопались в опубликованных данных. Картина интересная - местами неожиданная.

Кто уведомляет чаще всего

По секторам лидируют ритейл и финансовые организации - вместе они дают больше половины всех зарегистрированных уведомлений. Это не означает, что у них чаще случаются инциденты: скорее это отражает то, что у них лучше выстроен процесс обнаружения. У крупного ритейлера есть служба ИБ, SIEM, и когда что-то происходит - это видно. У небольшой компании сферы услуг с теми же данными клиентов - скорее всего, нет ни того, ни другого.

Медицина и образование, напротив, в статистике представлены слабо. Это должно настораживать больше, чем высокие цифры ритейла: медицинские организации обрабатывают специальные категории ПДн, объёмы данных там большие, а мониторинга практически нет. Что не обнаружено - то не уведомлено.

Госсектор - отдельная история. Цифры есть, но сравнительно скромные с учётом количества операторов в этой категории. Предположений о причинах у нас несколько, все они неприятные.

Срочность уведомления: кто успел за 24 часа

Здесь самое интересное. Из опубликованных данных следует, что заметная часть уведомлений поступила с нарушением 24-часового срока. Часть операторов укладываются в коридор «24-72 часа», часть - значительно позже. Есть и те, кто уведомил через несколько недель после инцидента, когда он стал публично известен из других источников.

Просроченное уведомление - это не просто формальность. Суды уже сформировали позицию: уведомление в срок влияет на квалификацию нарушения и, соответственно, на размер штрафа. Мы разбирали эту механику в феврале - там видно, как своевременность конвертируется в смягчающее обстоятельство. Без неё этот аргумент попросту недоступен.

Почему не успевают? Вариантов немного:

• Нет процедуры. Инцидент обнаружен, но непонятно, кто принимает решение об уведомлении и кто его отправляет. Пока разбирались - прошли сутки.
• Обнаружение с задержкой. Утечка произошла в январе, а зафиксировали в феврале - когда данные всплыли в открытом доступе. 24-часовой таймер в этом случае считается от момента обнаружения, но доказывать дату обнаружения придётся.
• Размытая зона ответственности между ИТ и юристами. Технари видят инцидент, но не уверены, надо ли уведомлять. Юристы узнают последними.

Корреляция с возбуждёнными делами

Публичная статистика позволяет сопоставить количество уведомлений с количеством возбуждённых дел по КоАП. Прямой зависимости «уведомил - получил дело» нет: уведомление само по себе не автоматически влечёт административное производство. РКН смотрит на масштаб инцидента, категорию данных, наличие ранее выданных предписаний.

Но вот что бросается в глаза: по делам, где оператор вообще не уведомил - процент возбуждённых производств заметно выше. То есть молчание как стратегия не работает. РКН узнаёт об инцидентах из других источников - от самих субъектов ПДн, из публикаций в telegram-каналах с утечками, от банков и платёжных систем, которые видят аномальные операции.

Оператор, который не уведомил и думал, что пронесло, часто попадает в ситуацию хуже: и дело возбуждено, и срок уведомления нарушен, и доказать добросовестность уже нечем.

Что это меняет в работе с клиентами

На практике мы сейчас видим два запроса, которые напрямую связаны с этой статистикой.

Первый - «помогите выстроить процесс уведомления». Обычно оказывается, что регламент есть в виде документа, но он не операционный: непонятно, кто физически нажимает на кнопку на портале РКН в три часа ночи в воскресенье, когда приходит алерт. Это организационная задача, которая решается не политикой ИБ, а конкретным регламентом с именами и телефонами.

Второй - «мы обнаружили старый инцидент, что делать». Здесь однозначного ответа нет, но практика показывает: добровольное позднее уведомление лучше, чем отсутствие уведомления. Суды это учитывают. Мы помогаем клиентам в рамках аудита и подготовки к проверкам разобраться, что именно произошло, и сформировать позицию до того, как РКН придёт с вопросами первым.

Что дальше

Q1 - это первый сравнимый срез, и делать из него окончательные выводы о трендах рано. Но то, что количество уведомлений растёт - это хорошо, хотя звучит парадоксально. Рост означает либо больше инцидентов, либо лучшее их обнаружение, либо и то, и другое. В любом случае это данные, которых раньше не было, и работать с ними предметнее, чем с ощущениями.

Следующий квартальный срез покажет, закрепляется ли динамика по секторам и изменится ли доля уведомлений в срок. Пока - смотрим и фиксируем.