Утекли сведения пользователей с сайта или из приложения (App): сразу устраняйте, сообщите пользователям и ведомству, а если вас атаковали — заявите в полицию

Сведения пользователей утекли или могут утечь — сразу устраняйте ущерб и сообщите ведомству и тем, кого это задело. Скрыли и не сообщили — сначала велят исправиться, не исправите — штраф до 1000000 юаней, в тяжёлом случае до 50000000 юаней. Пользователь из-за этого понёс ущерб, а вы не докажете, что вины нет, — придётся платить. Если защита была, вы шли по заготовленному плану и вовремя сообщили, ответственность могут смягчить или не применять.

Стоимость

Денег не нужно. Заранее напишите, что делать в день сбоя: кто решает, какую дыру закрывать первой и какими словами писать пользователям. Трудно то, что в ту минуту первое желание — замолчать и не говорить пользователям.

Эффект

В законе о защите персональных данных сказано: «если персональные данные утекли, их изменили или они потеряны, либо это может случиться, тот, кто их обрабатывает, сразу принимает меры и сообщает ведомству, которое исполняет обязанности по защите персональных данных, и самому человеку». В сообщении три вещи: какие сведения утекли, причина и возможный вред; какие меры вы приняли и что человек может сделать сам, чтобы вред был меньше; как с вами связаться. Если ваши меры и правда не дают вреду случиться, пользователю можно не сообщать. Но если ведомство считает, что вред возможен, оно вправе потребовать, чтобы вы сообщили. Положение об управлении безопасностью сетевых данных говорит, что сообщить можно «по телефону, SMS, в мессенджере, по электронной почте или объявлением». Если при разборе видны признаки преступления, заявите в органы общественной безопасности и в органы государственной безопасности. Кто эти обязанности не исполняет, тому велят исправиться, выносят предупреждение и изымают незаконный доход; приложение (App), через которое нарушили закон, могут заставить приостановить или прекратить услугу. Кто отказывается исправиться, штраф до 1000000 юаней, непосредственно ответственному — от 10000 до 100000 юаней. В тяжёлом случае штраф до 50000000 юаней или до 5% оборота за предыдущий год, руководителю — от 100000 до 1000000 юаней. По гражданскому праву, если пользователь из-за этого понёс ущерб, а вы «не можете доказать, что вины нет, несёте ответственность за нарушение, в том числе возмещаете ущерб». Крупную утечку надо ещё и вовремя доложить. По мерам Государственного управления по делам киберпространства утечка персональных данных 1000000 и более человек считается «относительно крупным инцидентом кибербезопасности». О таком обычный сайт и приложение (App) сообщают управлению по делам киберпространства своей провинции, «не позднее чем через 4 часа»; один из каналов — линия 12387. В течение 30 дней после окончания разбора сдаёте итоговый отчёт. Если опоздание, пропуск, ложное или скрытое сообщение привело к тяжёлому вреду, наказывают строже. Наоборот: кто уже принял разумно необходимые меры защиты, разбирал по плану и вовремя сообщил, «смотря по обстоятельствам, может получить смягчение или его могут не привлекать» (по всей стране, меры об отчётах с ноября (11) 2025 года).

Примечания

Маленький сайт, с которого утекли сведения нескольких сотен или нескольких тысяч человек, всё равно устраняет ущерб и сообщает по закону о защите персональных данных, просто не доходит до порога отчёта в 4 часа. Когда пишете пользователю, называйте дело прямо: какой пароль сменить, каких звонков от якобы службы поддержки остерегаться. Журналы храните 6 месяцев, иначе в день сбоя не выяснить, откуда утекло, см. «раздел 11, пункт 16» (хранить журналы так, как требует защита по уровням). Как самому беречься после утечки, см. «раздел 14».

Источники · 4

1. 全国人大常委会 (2021). 个人信息保护法（第五十七、六十六、六十九条）. spp.gov.cn/spp/fl/202108/t20210820_527244.shtml
2. 全国人大常委会 (2025). 网络安全法（2025 年修正，2026 年 1 月 1 日施行，第二十七、四十四、七十一条；2016 年文本为第二十五、四十二条）. cac.gov.cn/2025-12/29/c_1768735112911946.htm
3. 国务院 (2024). 网络数据安全管理条例（国务院令第 790 号，第十一条）. gov.cn/gongbao/2024/issue_11646/202410/conten…
4. 国家互联网信息办公室 (2025). 国家网络安全事件报告管理办法（第四、八、九、十、十一条，附件《网络安全事件分级指南》）. cac.gov.cn/2025-09/15/c_1759583017717009.htm