Если оператор персональных данных установил факт неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, которая повлекла нарушение прав субъектов персональных данных, он обязан в течение 24 часов уведомить об этом Роскомнадзор.
В течение 72 часов после инцидента необходимо передать в Роскомнадзор дополнительное уведомление о результатах внутреннего расследования, а также сведения о лицах, действия которых стали причиной выявленного инцидента (при наличии).
Подробнее см. в ответе на вопрос ИС 1С:ИТС.
