Что делать при утечке персональных данных и какая положена компенсация

Сообщение «ваши данные могли попасть в открытый доступ», звонки мошенников по имени и отчеству, поток спама сразу после регистрации в сервисе – всё это признаки того, что оператор не уберёг ваши персональные данные. Утечка – это не только неприятность, но и нарушение закона: оператор отвечает за безопасность данных, которые вы ему доверили. С 2024-2025 годов ответственность за утечки заметно ужесточилась, а у вас появились понятные инструменты защиты. Разберём, что обязан сделать оператор, какие у вас права, как получить компенсацию морального вреда и куда жаловаться.

Что закон требует от оператора при утечке

Оператор персональных данных обязан принимать меры для их защиты от неправомерного доступа, копирования и распространения (ст. 19 ФЗ № 152-ФЗ «О персональных данных»). Если утечка всё же произошла, у него появляются жёсткие обязанности по уведомлению:

• в течение 24 часов с момента обнаружения инцидента уведомить Роскомнадзор о факте утечки и предполагаемых причинах;
• в течение 72 часов сообщить о результатах внутреннего расследования и о лицах, виновных в инциденте;
• обеспечивать конфиденциальность и сохранность данных в течение всего срока обработки (ст. 7 и ст. 24 ФЗ № 152-ФЗ).

Важно понимать: уведомить регулятора оператор обязан в любом случае, даже если считает утечку незначительной. Эти сроки и порядок закреплены в ст. 21 ФЗ № 152-ФЗ и подзаконных актах Роскомнадзора. Если оператор скрыл утечку или не уведомил надзорный орган, это самостоятельное нарушение, за которое он отвечает отдельно.

Ответственность оператора: штрафы выросли

До недавнего времени штрафы за утечку были символическими, и компании предпочитали их платить, а не вкладываться в защиту. Теперь подход изменился. Административная ответственность за нарушения в области персональных данных установлена ст. 13.11 КоАП РФ, и за утечки введены повышенные санкции:

• за сам факт утечки (неправомерную передачу данных) предусмотрены крупные штрафы для юридических лиц, размер которых зависит от объёма скомпрометированных данных;
• за повторную утечку введены так называемые оборотные штрафы – то есть санкция рассчитывается как процент от выручки компании за год;
• отдельно наказывается несвоевременное уведомление Роскомнадзора об инциденте.

Эти штрафы поступают в бюджет, а не вам. Поэтому жалоба в Роскомнадзор – это инструмент давления и наказания оператора, но не способ получить деньги лично. Компенсацию вы получаете отдельно, через суд.

Ваше право на компенсацию морального вреда

Главное личное право пострадавшего – потребовать компенсацию морального вреда. Закон прямо предусматривает, что моральный вред, причинённый субъекту персональных данных нарушением его прав, подлежит возмещению (ст. 17 ФЗ № 152-ФЗ). Размер компенсации определяет суд по правилам ст. 151 и 1101 ГК РФ, исходя из характера нравственных страданий, степени вины оператора и обстоятельств дела.

Что важно знать о такой компенсации:

• вам не нужно доказывать конкретный материальный ущерб – достаточно самого факта нарушения и ваших переживаний из-за того, что данные оказались скомпрометированы;
• суды по таким искам всё чаще встают на сторону граждан, особенно при массовых утечках с подтверждённым фактом распространения данных;
• если из-за утечки вы понесли реальные убытки (например, мошенники оформили на вас услугу), их можно взыскивать дополнительно к моральному вреду.

Как именно рассчитать сумму и обосновать иск, мы подробно разобрали в материале «Как взыскать компенсацию морального вреда».

Как собрать доказательства утечки

Слабое место таких споров – доказывание. Нужно подтвердить, что данные утекли именно у этого оператора и что это затронуло вас. Заранее зафиксируйте:

• официальное уведомление от сервиса об инциденте – письмо на почту, пуш или сообщение в личном кабинете;
• сообщения сервисов мониторинга утечек или вашего банка о компрометации данных;
• всплеск спама, звонков и сообщений с обращением по вашим реальным данным сразу после регистрации в конкретном сервисе;
• публикации в СМИ и сообщения Роскомнадзора о подтверждённой утечке у этого оператора;
• скриншоты с датой и адресом страницы, где ваши данные оказались в открытом доступе.

Чем раньше вы сохраните эти доказательства, тем лучше: оператор может закрыть доступ к скомпрометированным данным или удалить публикации. Если ваши данные используют без согласия и после инцидента, посмотрите смежную ситуацию «Сайт незаконно использует персональные данные».

Куда жаловаться и как действовать пошагово

Жалоба в Роскомнадзор запускает проверку оператора: ведомство вправе запросить документы, оценить меры защиты и привлечь компанию к ответственности по ст. 13.11 КоАП РФ. Действуйте последовательно:

1. Зафиксируйте все доказательства утечки и факт того, что она затронула именно вас.
2. Направьте оператору письменное обращение: потребуйте сведения об инциденте, о том, какие ваши данные пострадали, и о принятых мерах. Это право на доступ к информации об обработке закреплено в ст. 14 ФЗ № 152-ФЗ.
3. Подайте жалобу в Роскомнадзор – через сайт ведомства или Госуслуги, приложив доказательства. Укажите оператора, дату инцидента и какие именно данные пострадали.
4. Параллельно при желании отзовите согласие на обработку и потребуйте удалить данные, если они вам у этого оператора больше не нужны.
5. Для взыскания компенсации морального вреда подайте иск в суд по месту своего жительства – по таким спорам действует льготная подсудность для потребителей.

Жалоба в Роскомнадзор и иск в суд не исключают друг друга, а работают вместе: результаты проверки и привлечение оператора к ответственности усиливают вашу позицию по иску о компенсации. Подавать жалобу госпошлины не требует, а по искам о защите прав потребителей предусмотрены льготы по госпошлине.