Кадровая система недоступна: когда сбой становится инцидентом с персональными данными

В начале октября 2026 года серия атак на ЦОДы Яндекса нанесли серьезный ущерб облачной бизнес-инфраструктуре. Однако сбой затронул важный вопрос для кадровых служб множества российских организаций – как работать, если привычная система стала недоступна? Без доступа к документам и данным возникают сложности с оформлением кадровых процессов, работой электронного документооборота и расчетом выплат.

Помимо восстановления кадровой работы работодателю необходимо установить, затронул ли сбой конфиденциальность персональных данных сотрудников. Сам по себе отказ системы еще не означает утечку. Дальнейшие действия зависят от того, были ли данные неправомерно или случайно переданы, раскрыты либо стали доступны посторонним.

Разберем, как отличить недоступность системы от утечки, когда уведомлять Роскомнадзор и какие действия предпринять работодателю.

Когда сбой становится инцидентом с персональными данными

Технический сбой, вызвавший недоступность системы, сам по себе не является утечкой, если персональные данные не были неправомерно или случайно переданы, раскрыты или стали доступны третьим лицам.

О нарушении конфиденциальности свидетельствуют несанкционированный доступ к персональным данным, их утечка или публикация.

Если авария привела только к недоступности сервиса, но конфиденциальность персональных данных не нарушена, обязанность уведомлять Роскомнадзор об утечке не возникает. Однако факт сбоя, принятые меры и решения следует документировать. Они могут потребоваться для внутреннего расследования, спора с провайдером или оценки рисков.

Когда уведомлять Роскомнадзор

При установлении факта неправомерной или случайной передачи, предоставления, распространения или доступа к персональным данным, повлекшего нарушение прав субъектов персональных данных, оператор должен уведомить Роскомнадзор.

В течение 24 часов с момента выявления такого инцидента направляется первоначальное уведомление. В нем указываются сведения о произошедшем инциденте, предполагаемых причинах и вреде, принятых мерах по устранению последствий, а также о лице, уполномоченном взаимодействовать с Роскомнадзором по вопросам инцидента.

В течение 72 часов с момента выявления инцидента направляется уведомление о результатах внутреннего расследования. Если установлены лица, действия которых привели к инциденту, сведения о них также включаются в уведомление.

Уведомления направляются по форме и в порядке, установленным Роскомнадзором, с учетом приказа от 14 ноября 2022 года № 187.

Что предпринять при обнаружении утечки

Необходимо немедленно локализовать инцидент и остановить дальнейшую передачу данных. В зависимости от обстоятельств для этого ограничивают доступ, блокируют учетные записи, отзывают ключи, изолируют зараженные системы.

Одновременно следует зафиксировать время обнаружения, источник, объем и категории затронутых данных, перечень работников и характер нарушения. Для расследования нужно сохранить доказательства: журналы событий, образы систем, переписку, логи доступа, копии вредоносных сообщений и результаты технического анализа.

Для расследования создают комиссию. В нее могут входить представители кадровой службы, ИТ, ИБ, юридической службы и руководства. Необходимо определить, произошла ли утечка и требуется ли уведомление Роскомнадзора. При сомнениях специалист рекомендует готовить уведомление и фиксировать обоснование принятого решения.

Далее принимаются меры по снижению вреда: смена паролей, отзыв токенов, мониторинг мошеннических операций, информирование о фишинге. Работников уведомляют, если это необходимо для защиты их прав и предусмотрено законом либо договором.

По итогам оформляются акт расследования, план устранения причин и отчет руководству.

Если нарушение произошло у провайдера

Перед работниками (субъектами персональных данных) за действия привлеченного обработчика отвечает работодатель – оператор персональных данных. Полностью переложить на облачного провайдера ответственность за утечку или утрату данных нельзя.

Провайдер-обработчик отвечает перед работодателем в соответствии с договором и поручением. Если утечка возникла по вине провайдера, работодатель может требовать возмещения убытков и применения договорных санкций. Возможность и размер взыскания зависят от условий договора и доказанности вины. Поэтому в договоре важно закрепить требования к безопасности, обязанность немедленно уведомлять работодателя об инцидентах, порядок расследования и сохранения доказательств.

При сбое кадровой системы работодателю важно установить, ограничилась ли ситуация недоступностью сервиса или затронула конфиденциальность данных сотрудников. От этого зависят дальнейшие действия, включая расследование и уведомление Роскомнадзора.