В соответствии с Законом № 195/2024 о защите персональных данных, который вступит в силу 23 августа 2026 года, оператор1 обязан уведомить Национальный центр по защите персональных данных (далее — Центр) о нарушении безопасности персональных данных не позднее чем через 72 часа со дня, когда ему стало известно об этом, за исключением случая, когда вероятность, что нарушение повлечет риск для прав и свобод физических лиц, крайне мала. Уведомление должно быть направлено без необоснованных задержек.
Минимальные требования и правила документирования инцидентов информационной безопасности установлены ст. 33 указанного закона, а обязанность по утверждению необходимых для его внедрения нормативных актов возложена на Центр ч. (3) ст. 89 Закона № 195/2024.
С учетом этих требований Центр вынес на публичное обсуждение проект типовой формы уведомления о нарушении безопасности персональных данных, которая будет утверждена приказом директора Центра. Заинтересованные стороны могут представить свои предложения по проекту до 11 июля 2026 года.
Утверждение формуляра позволит стандартизировать процесс уведомления о нарушениях безопасности персональных данных, обеспечить полное и структурированное представление информации, необходимой для оценки инцидентов, а также повысить эффективность рассмотрения поступающих уведомлений.
Как отмечается в пояснительной записке к проекту, документ не вводит новых обязанностей для операторов, а лишь устанавливает порядок исполнения уже предусмотренной законом обязанности.
Утвержденный приказ вступит в силу одновременно с Законом № 195/2024 — 23 августа 2026 года.
1 Закон № 195/2024, ст. 3:
оператор – физическое или юридическое лицо, орган публичной власти, агентство или иной орган, которые самостоятельно или совместно с другими определяют цели и средства обработки персональных данных. Если цели и средства обработки устанавливаются нормативными актами, оператор или конкретные критерии его назначения определяются соответствующими нормативными актами.