Сотрудник отправил клиентскую базу не тому адресату. Считается ли это инцидентом и что делать сразу?

Ошибочная отправка клиентской базы может быть инцидентом неправомерной или случайной передачи. Оператор должен быстро ограничить последствия, оценить нарушение прав субъектов и при наличии критериев уведомить Роскомнадзор в течение 24 часов, а результаты внутреннего расследования — в течение 72 часов.

Сначала нельзя спорить о формальном названии события — нужно остановить распространение. Свяжитесь с ошибочным получателем, потребуйте не открывать и удалить файл, отзовите ссылку или токен, заблокируйте доступ и сохраните подтверждение этих действий. Одновременно фиксируются состав данных, число субъектов, наличие паролей, фактическое скачивание и возможность дальнейшей передачи.

Обязанность уведомления зависит от того, повлёк ли факт нарушение прав субъектов. При положительной оценке первичное уведомление содержит описание, причины, предполагаемый вред, меры и контактное лицо; в течение 72 часов направляются результаты расследования и сведения о виновных лицах при наличии. Нельзя откладывать первичное сообщение до полного выяснения всех деталей.

Внутреннее расследование должно закончиться не только дисциплинарным решением, но и техническими изменениями: запрет внешней пересылки, DLP, подтверждение адресата, ограничение выгрузок и обучение.

Что делать по шагам

1. Немедленно ограничить доступ

Отзовите ссылку, заблокируйте файл, попросите получателя удалить данные и подтвердить это.

2. Зафиксировать масштаб

Определите поля, субъектов, адресата, время, скачивание, шифрование и дальнейшую передачу.

3. Оценить нарушение прав

Проверьте чувствительность данных и реальные последствия для клиентов.

4. Подать уведомления в срок

При наличии оснований направьте первичное сообщение за 24 часа и результаты расследования за 72 часа.

5. Устранить коренную причину

Измените права выгрузки, правила отправки, технические блокировки и обучение.

Какие документы и доказательства собрать

Риски, сроки и исключения

Ожидание полного расследования

Это может привести к пропуску 24-часового первичного уведомления.

Не подтверждено удаление

Устное обещание адресата не закрывает риск дальнейшего использования.

Скрытие масштаба

Позднее выявленные поля и субъекты потребуют корректировки и ухудшат позицию оператора.

Только наказание сотрудника

Без изменения системы аналогичный инцидент повторится.

Когда общего ответа недостаточно

Нужна немедленная помощь, если база содержит паспортные, финансовые, медицинские данные, файл скачан или переслан, получатель не сотрудничает, затронуто много лиц либо сроки уведомления уже идут.

Связанные материалы

• Компания использует зарубежную облачную CRM. Возникает ли трансграничная передача персональных данных? — https://oreshkin-urist.ru/vopros-otvet/kompaniya-ispolzuet-zarubezhnuyu-oblachnuyu-crm-voznikaet/

• Подрядчик по рекламе получает доступ к клиентской базе. Как оформить передачу и ответственность? — https://oreshkin-urist.ru/vopros-otvet/podryadchik-reklame-poluchaet-dostup-k-klientskoy-baze/

• Персональные данные для бизнеса — https://oreshkin-urist.ru/uslugi/personalnye-dannye/

О правовой оценке

Ответ носит общий информационный характер. Правовая оценка зависит от документов, сроков, фактических действий сторон и редакции применимых правил на дату события.