---
title: "Уведомление в Роскомнадзор об утечке персональных данных: образец и порядок подачи"
description: "Как подать уведомление Роскомнадзор об утечке персональных данных: форма по Приказу №187, куда отправлять, типовые ошибки. Проверьте сайт бесплатно."
created_at: 2026-07-19
updated_at: 2026-07-19
category: "Утечки персональных данных"
tags:
  - "уведомление РКН об утечке"
  - "Приказ 187"
  - "152-ФЗ"
  - "утечка персональных данных"
  - "Роскомнадзор"
source_url: "https://152fztest.ru/blog/uvedomlenie-roskomnadzor-ob-utechke-obrazec/"
source: "152fztest.ru"
---

Приказ РКН №187 определяет не только сроки уведомления об утечке, но и то, что именно должно быть в этом документе и куда его нести. На практике именно здесь компании теряют время: разбираются, какую форму заполнять и какой кабинет искать, вместо того чтобы уложиться в 24 часа. Разберём порядок подачи уведомления в Роскомнадзор об утечке [персональных данных](/glosarij/personalnye-dannye/) — с готовым образцом обоих документов и списком того, что регулятор обязательно проверит.

Если вы ещё не разобрались с самим регламентом реагирования, начните со статьи [«Что делать при утечке персональных данных: регламент 24 и 72 часов»](/blog/chto-delat-pri-utechke-personalnyh-dannyh-24-72-chasa/) — там пошаговый план по часам. Здесь — только про сами уведомления: форму, канал подачи и содержание.

## Два документа, а не одно уведомление

Приказ Роскомнадзора №187 от 14.11.2022 требует от [оператора персональных данных](/glosarij/operator-personalnyh-dannyh/) подать в РКН не один документ, а два, с разными сроками и разным содержанием:

| Документ | Срок | Назначение |
|---|---|---|
| Первичное уведомление | 24 часа с момента обнаружения | Сообщить сам факт утечки, даже без полной картины произошедшего |
| Уведомление о результатах расследования | 72 часа с момента обнаружения | Передать итоги внутреннего расследования: причины, точные масштабы, принятые меры |

Оба срока отсчитываются от момента, когда оператор **узнал** об утечке, а не от момента, когда она фактически произошла. Путаница между этими двумя документами — частая причина срыва сроков: компания готовит один полноценный отчёт вместо того, чтобы сначала быстро отправить предварительное уведомление.

## Куда подавать уведомление об утечке ПДн

Уведомление подаётся через личный кабинет оператора персональных данных на портале **pd.rkn.gov.ru** — это тот же кабинет, где ранее подавалось [уведомление об обработке персональных данных](/blog/kak-podat-uvedomlenie-v-roskomnadzor/). Если у компании уже есть учётная запись оператора, дополнительная регистрация не нужна — раздел об утечках находится в том же личном кабинете.

Если доступа в личный кабинет по какой-то причине нет (например, оператор ранее не проходил регистрацию), уведомление можно направить:

- на бумажном носителе в территориальный орган Роскомнадзора по месту нахождения оператора;
- электронно на официальный адрес территориального управления.

Оба этих способа медленнее электронной подачи через личный кабинет и создают риск не уложиться в 24 часа за счёт времени на доставку и регистрацию входящего документа. Если компания подаёт уведомления впервые и заранее не завела личный кабинет — стоит сделать это заблаговременно, не дожидаясь инцидента.

## Образец первичного уведомления (24 часа)

Первичное уведомление подаётся с предварительными данными — регулятор не ждёт исчерпывающего отчёта за первые сутки. Обязательные поля:

> **Уведомление об утечке персональных данных (первичное)**
>
> 1. Наименование оператора, ИНН, ОГРН, адрес места нахождения
> 2. Контакты ответственного за организацию обработки ПДн (ФИО, телефон, email)
> 3. Дата и время обнаружения инцидента
> 4. Предполагаемая дата и время самого инцидента (если отличается от даты обнаружения)
> 5. Обстоятельства и предполагаемые причины утечки — в объёме, известном на момент подачи
> 6. Категории персональных данных, ставших доступными третьим лицам
> 7. Предположительное количество субъектов персональных данных, чьи данные затронуты
> 8. Предпринятые меры по локализации и планируемые действия

Если на пункты 4–8 пока нет точного ответа — указывается предварительная оценка с пометкой, что данные уточняются. Задержка подачи ради «более полного» уведомления — ошибка: за нарушение срока 24 часа штрафуют отдельно от штрафа за саму утечку.

## Образец уведомления о результатах расследования (72 часа)

Второй документ — это уже не предположения, а факты, установленные за прошедшие часы:

> **Уведомление о результатах расследования инцидента**
>
> 1. Ссылка на первичное уведомление (дата и номер регистрации в кабинете РКН)
> 2. Установленная причина утечки — техническая (уязвимость, ошибка конфигурации, атака) или связанная с действиями персонала либо подрядчика
> 3. Точное число субъектов персональных данных, чьи данные были скомпрометированы
> 4. Точный перечень категорий и объёма утёкших данных
> 5. Меры, принятые для устранения уязвимости и минимизации последствий
> 6. План дальнейших организационных и технических мер (аудит доступов, обучение персонала, доработка систем защиты)

Если расследование объективно не завершено к 72 часам — в уведомление включаются промежуточные результаты и статус работы. Перенос срока законом не предусмотрен ни при каких обстоятельствах.

## Типичные ошибки при подаче

- **Ждать полного расследования перед первым уведомлением.** Это прямое нарушение регламента 24 часа — предварительных данных достаточно для первого документа.
- **Подавать оба документа одновременно, задним числом.** Регулятор фиксирует даты подачи каждого уведомления отдельно и сверяет их со сроками от даты обнаружения.
- **Указывать в уведомлении неполные реквизиты оператора** — отсутствие ИНН, актуальных контактов ответственного лица формально не блокирует приём документа, но затягивает последующую коммуникацию с РКН и создаёт дополнительные вопросы при проверке.
- **Путать уведомление об утечке с уведомлением об [обработке ПДн](/glosarij/obrabotka-personalnyh-dannyh/).** Это разные разделы личного кабинета и разные формы — если компания ещё не подавала стандартное уведомление об обработке, это отдельная и не связанная с утечкой процедура.
- **Не сохранять подтверждение подачи** — квитанцию или скриншот из личного кабинета с датой и временем отправки. Это единственное прямое доказательство соблюдения сроков при проверке.

## Что будет, если не уведомить РКН вовсе

Неуведомление или нарушение сроков подачи уведомления об утечке — самостоятельное основание для штрафа, отдельное от санкций за саму утечку персональных данных:

| Нарушение | Штраф для юрлиц |
|---|---|
| Неуведомление или нарушение сроков уведомления РКН об утечке | 1–3 млн ₽ |
| Утечка ПДн 1 000–10 000 субъектов | 3–5 млн ₽ |
| Утечка ПДн 10 000–100 000 субъектов | 5–10 млн ₽ |
| Утечка ПДн свыше 100 000 субъектов или биометрических/специальных данных | 15–20 млн ₽ |
| Повторная утечка (оборотный штраф) | 1–3% годовой выручки, минимум 20 млн ₽, максимум 500 млн ₽ |

Компания может технически хорошо отреагировать на инцидент — устранить уязвимость, минимизировать ущерб — но если пропустит подачу или нарушит сроки 24/72 часа, заплатит по этому основанию отдельно. Подробный разбор всех сумм и условий применения оборотного штрафа — в статье [«Штрафы за утечку персональных данных в 2026: таблица и оборотные штрафы»](/blog/shtrafy-za-utechku-personalnyh-dannyh-2026-tablica/).

## Как подготовиться заранее

- Завести личный кабинет оператора на pd.rkn.gov.ru до того, как понадобится подавать уведомление об утечке — регистрация в момент инцидента съедает драгоценные часы.
- Держать под рукой актуальные реквизиты компании и контакты ответственного за ПДн — в стрессовой ситуации на сбор этих данных уходит больше времени, чем кажется.
- Заранее подготовить шаблон обоих уведомлений (по образцам выше) и хранить его в доступном месте, а не искать структуру документа в момент инцидента.
- Сохранять квитанции о подаче каждого уведомления — это единственное доказательство соблюдения сроков при последующей проверке.

Проверить, есть ли на сайте очевидные точки риска, из-за которых утечка вероятнее — открытые формы без защищённой передачи данных, слабая политика согласий — можно бесплатным автоматическим сканером на 152-ФЗ.

## Частые вопросы

### Куда подавать уведомление об утечке ПДн?

Через личный кабинет оператора на портале pd.rkn.gov.ru — том же, где подавалось уведомление об обработке персональных данных. Это основной канал; если доступа в кабинет нет, уведомление можно направить в территориальный орган Роскомнадзора почтой или на бумаге, но это медленнее и рискует не уложиться в 24 часа.

### Что входит в отчёт о расследовании утечки?

Второй документ (в срок 72 часа) должен содержать: установленную причину инцидента, точное число пострадавших субъектов и перечень категорий утёкших данных, принятые меры по устранению уязвимости, план дальнейших действий. Если расследование не завершено к 72 часам, указываются промежуточные результаты — перенос срока законом не предусмотрен.

### Обязательно ли уведомлять об утечке, если виноват подрядчик?

Да. Обязанность уведомить РКН лежит на операторе персональных данных независимо от того, где произошёл инцидент — на собственной инфраструктуре или у подрядчика, которому данные передавались для обработки. Договор с подрядчиком может предусматривать компенсацию убытков между сторонами, но перед регулятором отвечает оператор.

### Накажут ли строже за неуведомление об утечке?

Да, это отдельное нарушение со своим штрафом — 1–3 млн рублей для юрлиц, начисляется независимо от штрафа за саму утечку. То есть компания может заплатить дважды: за факт утечки и отдельно за то, что не уведомила РКН или нарушила сроки 24/72 часа.