Если ваши данные оказались в открытом доступе, вам звонят с рекламой без согласия или компания продолжает обрабатывать сведения после окончания отношений, порядок действий одинаков в своей основе. Сначала письменное требование оператору: отозвать согласие, прекратить обработку, уничтожить данные. Затем жалоба в надзорный орган: по обработке персональных данных — в Роскомнадзор, по рекламным звонкам и сообщениям — в Федеральную антимонопольную службу. Затем, если нарушением причинён вред, — иск о возмещении убытков и компенсации морального вреда (ст. 17 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»).
Мотивированный ответ оператор обязан дать в течение десяти рабочих дней, с возможностью продления не более чем на пять рабочих дней (ст. 20 того же закона).
Разбираем, какие права даёт закон субъекту персональных данных, как правильно составить отзыв согласия, куда и в какой форме подавать жалобу, какая ответственность установлена для операторов и что суды учитывают при определении размера компенсации.
Что говорит закон о ваших правах
Статья 9 Федерального закона № 152-ФЗ. Согласие на обработку персональных данных даётся свободно, своей волей и в своём интересе, и оно может быть отозвано субъектом в любой момент. Отзыв — односторонний акт: разрешения оператора он не требует. При этом закон предусматривает случаи, когда обработка продолжается и после отзыва, если она необходима для исполнения договора или прямо предусмотрена законом.
Статья 6 Федерального закона № 152-ФЗ. Обработка допускается только при наличии законного основания: согласие, исполнение договора, исполнение обязанности, возложенной законом, и другие случаи из закрытого перечня. Если основания нет, обработка неправомерна.
Статья 14 Федерального закона № 152-ФЗ. Вы вправе получить сведения о том, кто, какие ваши данные и с какой целью обрабатывает, из каких источников они получены и кому передаются. Это ключевой инструмент: без ответа оператора сложно понять, откуда взялся звонок или рассылка.
Статья 15 Федерального закона № 152-ФЗ. Обработка данных в целях продвижения товаров, работ и услуг на рынке, а также в целях политической агитации допускается только с предварительного согласия субъекта. По требованию субъекта оператор обязан немедленно прекратить такую обработку.
Статья 20 Федерального закона № 152-ФЗ. Мотивированный ответ на обращение или запрос направляется в течение десяти рабочих дней; срок может быть продлён не более чем на пять рабочих дней с уведомлением о причинах.
Статья 21 Федерального закона № 152-ФЗ. Оператор обязан устранить нарушения, прекратить неправомерную обработку и уничтожить данные в установленные этой статьёй сроки. Часть 3.1 закрепляет обязанность уведомить Роскомнадзор об инциденте в течение двадцати четырёх часов и о результатах внутреннего расследования в течение семидесяти двух часов.
Статья 17 Федерального закона № 152-ФЗ. Если обработка нарушила права субъекта, он вправе обжаловать действия оператора в уполномоченный орган или в суд, а также требовать возмещения убытков и компенсации морального вреда.
Статья 18 Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе». Реклама по сетям электросвязи допускается только при предварительном согласии абонента. Реклама признаётся распространённой без согласия, если рекламораспространитель не докажет обратное. Отдельно запрещено использование средств автоматического дозванивания и автоматической рассылки.
Пошаговый порядок действий
- Зафиксируйте нарушение. Скриншоты сообщений, запись звонка, дата, время, номер, название компании, текст предложения. Для утечки — скриншот публикации или уведомление сервиса с указанием, какие именно поля попали в открытый доступ. Без фиксации жалоба останется без предмета.
- Определите оператора. Это тот, кто определяет цели обработки: магазин, банк, оператор связи, сервис доставки, агрегатор. Если звонит подрядчик, отвечает и заказчик обработки. Реквизиты и адрес для обращений обычно указаны в политике обработки персональных данных на сайте.
- Направьте требование оператору. В одном документе можно объединить: отзыв согласия (ч. 2 ст. 9), требование прекратить обработку в целях продвижения (ст. 15), требование предоставить сведения об обработке (ст. 14) и требование уничтожить данные (ст. 21). Указывайте свои идентификаторы: телефон, адрес электронной почты, номер договора или заказа.
- Отправьте так, чтобы осталось доказательство. Заказное письмо с описью вложения по юридическому адресу, электронное обращение через форму на сайте со скриншотом отправки и номером обращения, либо оба способа сразу.
- Дождитесь ответа. Десять рабочих дней, с возможным продлением на пять рабочих дней при уведомлении о причинах (ст. 20). Отсутствие ответа — самостоятельный довод для жалобы.
- Подайте жалобу в надзорный орган. По вопросам обработки персональных данных — обращение в Роскомнадзор через официальный сайт ведомства или портал государственных услуг. По рекламным звонкам и сообщениям — заявление в территориальное управление ФАС России по месту жительства с приложением доказательств и сведений о номере отправителя.
- Обратитесь в полицию, если данные использованы для обмана. Например, при попытке оформить на ваше имя договор. Порядок описан в статье кредит оформили мошенники.
- Заявите требование о компенсации. Иск по ст. 17 Закона № 152-ФЗ подаётся в суд по месту жительства истца или по месту нахождения ответчика. К иску прикладываются переписка с оператором, ответ или подтверждение его отсутствия, решение надзорного органа, если оно уже принято.
Сроки, суммы и госпошлина
| Что | Срок / размер | Норма |
|---|---|---|
| Ответ оператора на обращение или запрос | 10 рабочих дней, продление не более чем на 5 рабочих дней | ст. 20 ФЗ № 152-ФЗ |
| Прекращение обработки в целях продвижения | немедленно по требованию субъекта | ст. 15 ФЗ № 152-ФЗ |
| Уведомление Роскомнадзора об инциденте | 24 часа | ч. 3.1 ст. 21 ФЗ № 152-ФЗ |
| Уведомление о результатах внутреннего расследования | 72 часа | ч. 3.1 ст. 21 ФЗ № 152-ФЗ |
| Штраф по ч. 1 ст. 13.11 КоАП РФ | граждане 10 000–15 000 рублей, должностные лица 50 000–100 000 рублей, организации 150 000–300 000 рублей | ч. 1 ст. 13.11 КоАП РФ |
| Оборотный штраф за повторную утечку для организаций | от 1 до 3 процентов выручки, но не более 500 млн рублей | ст. 13.11 КоАП РФ в редакции ФЗ от 30.11.2024 № 420-ФЗ |
| Штраф за рекламу по сетям электросвязи без согласия | граждане 10 000–20 000 рублей, должностные лица 20 000–100 000 рублей, организации 300 000–1 000 000 рублей | ст. 14.3 КоАП РФ |
| Уголовная ответственность за незаконный оборот персональных данных | штраф до 300 000 рублей либо лишение свободы до 4 лет по части 1 | ст. 272.1 УК РФ |
| Госпошлина по иску о компенсации морального вреда | уплачивается как по требованию неимущественного характера | ст. 333.19 НК РФ |
| Срок исковой давности по требованию о компенсации | общий — 3 года | ст. 196 ГК РФ |
Как составить отзыв согласия и требование о прекращении обработки
Документ пишется в свободной форме, но должен решать три задачи: идентифицировать вас, обозначить требование и зафиксировать дату.
Что указать: наименование и адрес оператора; ваши фамилию, имя, отчество, номер телефона и адрес электронной почты, которые обрабатываются; сведения о том, откуда возникли отношения (номер договора, дата заказа, дата регистрации на сайте); перечень требований со ссылками на нормы; способ получения ответа; дату и подпись.
Формулировки требований:
- отзываю согласие на обработку персональных данных на основании ч. 2 ст. 9 Федерального закона № 152-ФЗ;
- требую прекратить обработку моих данных в целях продвижения товаров, работ и услуг на основании ст. 15 того же закона;
- требую предоставить сведения об обработке в объёме, предусмотренном ст. 14;
- требую уничтожить персональные данные в порядке ст. 21 и сообщить о выполнении.
Персональные данные в самом обращении указывайте только те, что нужны для идентификации: копии паспорта в полном объёме прикладывать не требуется, а лишние сведения лучше не направлять.
Частые ошибки
Ошибка 1. Звонить и требовать устно. Телефонный разговор не подтверждает ни факт обращения, ни его содержание. Как правильно: направлять письменное требование и сохранять доказательство отправки.
Ошибка 2. Писать в надзорный орган раньше оператора. Жалоба без предшествующего обращения часто заканчивается предложением сначала обратиться к оператору. Как правильно: сначала требование оператору, затем жалоба с приложением его ответа или подтверждения, что ответа нет.
Ошибка 3. Не различать рекламу и информационные сообщения. Уведомление о статусе заказа или напоминание о платеже рекламой не является. Как правильно: в жалобе в ФАС показывать именно рекламный характер сообщения — предложение товара, услуги, скидки.
Ошибка 4. Не фиксировать номер и время звонка. Без этих данных проверить обращение сложно. Как правильно: вести короткий журнал: дата, время, номер, что предлагали, представилась ли компания.
Ошибка 5. Требовать компенсацию без обоснования последствий. Само по себе указание на факт утечки без объяснения, что изменилось для вас, обычно приводит к минимальной сумме. Как правильно: описывать конкретные последствия: поток звонков, попытки оформить договор, необходимость менять номер, обращения в банк.
Ошибка 6. Пропускать срок исковой давности. По требованию о компенсации действует общий трёхлетний срок (ст. 196 ГК РФ). Как правильно: не откладывать иск, даже если переписка с оператором продолжается.
Ответственность операторов
Административная ответственность установлена ст. 13.11 КоАП РФ. Составы различаются: обработка без правового основания, обработка без согласия в требуемых случаях, невыполнение обязанности по уничтожению данных, неуведомление о произошедшем инциденте. Федеральным законом от 30.11.2024 № 420-ФЗ размеры штрафов с 30 мая 2025 года повышены, а за повторную утечку для организаций и индивидуальных предпринимателей введены штрафы, исчисляемые от выручки.
Уголовная ответственность предусмотрена ст. 272.1 УК РФ, введённой Федеральным законом от 30.11.2024 № 421-ФЗ. Норма охватывает незаконные использование, передачу, сбор и хранение компьютерной информации, содержащей персональные данные, полученные незаконным путём, а также создание ресурсов для их незаконного хранения и распространения. Обработка данных физическим лицом исключительно для личных и семейных нужд под действие статьи не подпадает.
Для человека, чьи данные пострадали, практическое значение имеет другое: привлечение оператора к ответственности не заменяет возмещения вреда. Штраф уплачивается в бюджет, а компенсация взыскивается отдельным иском по ст. 17 Закона № 152-ФЗ.
Отдельные ситуации
Звонки по чужому долгу. Если обращаются по обязательству другого человека, укажите, что вы не являетесь стороной обязательства, и потребуйте прекратить взаимодействие и обработку ваших данных. Ограничения взаимодействия установлены Федеральным законом от 03.07.2016 № 230-ФЗ, подробности — в статье что могут коллекторы.
Данные в открытом доступе после утечки. Сохраните доказательства публикации, направьте требование оператору и жалобу в Роскомнадзор. Одновременно имеет смысл сменить пароли, включить двухфакторную аутентификацию и проверить кредитную историю.
Списания после утечки платёжных данных. Порядок возврата средств разобран в материале мошенники списали деньги с карты. Действовать нужно быстро: сроки уведомления банка ограничены.
Данные на работе и в государственных органах. Обработка работодателем регулируется главой 14 Трудового кодекса РФ. Обращения к органам власти рассматриваются по правилам Федерального закона от 02.05.2006 № 59-ФЗ, а при нарушении порядка рассмотрения можно направить жалобу в прокуратуру. Другие материалы этого направления собраны в разделе государство и гражданин.
Судебная практика
Требования о компенсации морального вреда за нарушения при обработке персональных данных рассматриваются судами общей юрисдикции по правилам гражданского судопроизводства.
Суды, как правило, исходят из того, что нарушение права на защиту персональных данных само по себе является нарушением личного неимущественного права, поэтому доказывать физические страдания не требуется — достаточно установить факт неправомерной обработки. Общие подходы к определению размера компенсации изложены в постановлении Пленума Верховного Суда Российской Федерации от 15.11.2022 № 33 «О практике применения судами норм о компенсации морального вреда»: учитываются характер нарушения, степень вины, индивидуальные особенности потерпевшего, требования разумности и справедливости.
При этом суды обычно разграничивают сам факт нарушения и его последствия. Если истец подтверждает только факт попадания данных в открытый доступ, суммы компенсации, как правило, невелики. Если доказаны последствия — массовые звонки, попытки оформления обязательств на имя истца, вынужденная смена контактных данных, расходы на восстановление, — суды оценивают вред выше.
По спорам о рекламных сообщениях практика устойчива: обязанность доказать наличие предварительного согласия абонента возложена на рекламораспространителя (ст. 18 Закона № 38-ФЗ), и при отсутствии такого доказательства реклама признаётся распространённой без согласия. Решение антимонопольного органа по такому делу впоследствии используется в гражданском иске как письменное доказательство.
Отдельный вопрос — идентификация источника утечки. Суды принимают во внимание совокупность доказательств: уникальные идентификаторы, использовавшиеся только у конкретного оператора, публичные сообщения самого оператора об инциденте, материалы проверки надзорного органа.
Когда нужен юрист
Отозвать согласие и подать жалобу можно самостоятельно. Помощь юриста оправдана, если:
- данные утекли у нескольких операторов и нужно определить, кто отвечает за конкретное нарушение;
- по вашим данным пытались оформить кредит, займ или сделку, и параллельно идёт спор с финансовой организацией;
- оператор отвечает формально либо не отвечает вовсе, и требуется подготовить иск с расчётом требований;
- нарушение затронуло специальные категории данных или биометрию и последствия серьёзнее обычного;
- предстоит доказывать причинно-следственную связь между утечкой и наступившими последствиями.
Загрузите переписку с оператором, скриншоты сообщений и звонков, ответы надзорных органов в сервис AI-Юрист: система оценит состав нарушения, подготовит отзыв согласия, жалобу и исковое заявление о компенсации, а юрист центра «ТРИУМФ» проверит документы перед подачей.
Вопросы и ответы
Можно ли получить компенсацию за утечку персональных данных?
Куда жаловаться на спам-звонки с рекламой?
Как отозвать согласие на обработку персональных данных?
В какой срок оператор обязан ответить на требование?
Обязана ли компания сообщать об утечке персональных данных?
Какая ответственность грозит за нарушения с персональными данными?
Что делать, если по утёкшим данным на меня оформили кредит?
Материал носит справочный характер и не заменяет консультацию юриста по вашим документам. Актуальность проверена 13.09.2026.