Утекли персональные данные

Что такое утечка и кто за неё отвечает

Утечка персональных данных – это любой неправомерный доступ к вашим данным или их распространение без вашего согласия: взлом базы интернет-магазина, слив таблицы клиентов недобросовестным сотрудником, открытый доступ к серверу из-за халатной настройки, продажа базы на теневых форумах. По закону за сохранность ваших данных отвечает оператор персональных данных – организация или ИП, которые получили ваши данные и обрабатывают их (магазин, банк, оператор связи, сервис доставки, поликлиника, маркетплейс).

Согласно Федеральному закону от 27.07.2006 № 152-ФЗ «О персональных данных», оператор обязан принимать правовые, организационные и технические меры для защиты данных от неправомерного доступа, копирования и распространения (ст. 18.1 и ст. 19 закона). Если данные утекли – значит, оператор этих мер не обеспечил, и именно он несёт ответственность. Перекладывать вину на «хакеров» оператор не вправе: защита от взлома – это его прямая обязанность.

Какие у вас права после утечки

Закон даёт пострадавшему несколько самостоятельных инструментов, которые можно использовать одновременно. Они не исключают, а усиливают друг друга:

• Потребовать у оператора прекратить незаконную обработку и уничтожить ваши данные, если основания для их хранения отпали (ст. 21 № 152-ФЗ).
• Получить сведения об обработке – оператор обязан по запросу сообщить, какие ваши данные у него есть, откуда получены и кому передавались (ст. 14 № 152-ФЗ).
• Пожаловаться в Роскомнадзор – он проведёт проверку, выдаст предписание и оштрафует оператора.
• Взыскать компенсацию морального вреда через суд за нарушение законодательства о персональных данных (ст. 17 № 152-ФЗ, ст. 151 и 1101 ГК РФ).
• Обратиться в полицию, если данные использовали для мошенничества, оформления кредита или иного преступления против вас.

Отдельно отметим: компенсация морального вреда за утечку не требует доказывать, что вы понесли денежные убытки. Достаточно самого факта незаконного распространения ваших данных и связанных с этим переживаний – тревоги, спам-атаки, звонков мошенников. Размер компенсации определяет суд с учётом характера утёкших данных (особенно строго – если утекли паспорт, СНИЛС, медицинские сведения), масштаба утечки и поведения оператора.

Какие штрафы грозят оператору за утечку

С 30 мая 2025 года вступили в силу поправки в КоАП РФ, кратно повысившие ответственность за утечки. Теперь штрафы по ст. 13.11 КоАП РФ зависят от объёма утёкшей базы:

• утечка данных от 1 000 до 10 000 субъектов – штраф для юрлица от 3 до 5 млн рублей;
• утечка данных от 10 000 до 100 000 субъектов – от 5 до 10 млн рублей;
• утечка данных более 100 000 субъектов – от 10 до 15 млн рублей;
• повторная утечка – оборотный штраф: от 1 до 3 процентов годовой выручки компании, но не более 500 млн рублей.

Эти штрафы идут в бюджет, а не пострадавшему. Но факт привлечения оператора к ответственности и материалы проверки Роскомнадзора становятся сильным доказательством в вашем гражданском иске о компенсации морального вреда. Поэтому жалоба в надзорный орган – это не «месть» компании, а практический шаг, который укрепляет вашу позицию в суде.

Как зафиксировать утечку – пошагово

Главная сложность по таким делам – доказать, что утекли именно ваши данные и именно из базы конкретного оператора. Чем быстрее и полнее вы соберёте доказательства, тем выше шансы. Действуйте по порядку.

1. Зафиксируйте факт утечки

   Сделайте скриншоты публикаций об утечке (с указанием адреса страницы, даты и времени), сохраните уведомление компании, если она его прислала, проверьте себя через сервисы проверки утечек. Нотариальный осмотр интернет-страницы делает доказательство максимально прочным для суда.

2. Определите оператора-источника

   Сопоставьте, какие именно данные утекли и кому вы их предоставляли. Помогают уникальные «маркеры»: адрес e-mail или телефон, который вы давали только одной компании, специфическая история заказов, кодовое слово. Совокупность таких признаков указывает на источник.

3. Направьте запрос и требование оператору

   Письменно запросите у оператора сведения об обработке ваших данных (ст. 14 № 152-ФЗ) и потребуйте прекратить незаконную обработку. Ответ компании – или её молчание – тоже доказательство.

4. Подайте жалобу в Роскомнадзор

   Опишите утечку, приложите доказательства, укажите оператора. Роскомнадзор инициирует проверку, и её результаты вы используете в суде.

5. Подайте иск о компенсации морального вреда

   После проверки (или параллельно) обратитесь в суд с иском к оператору о компенсации морального вреда за нарушение законодательства о персональных данных.

Как защититься от последствий утечки

Жалоба и компенсация – это «работа на перспективу», а защититься от мошенников нужно сразу. Особенно опасна утечка паспортных данных: по ним пытаются оформить онлайн-займы и кредиты на ваше имя. Сделайте следующее не откладывая:

• Установите самозапрет на кредиты и займы. С 1 марта 2025 года через Госуслуги можно бесплатно запретить выдачу кредитов на ваше имя – банки и МФО будут обязаны отказывать по заявкам. Это самая надёжная защита от кредитов «на чужое имя».
• Смените пароли в почте, на маркетплейсах, в банковских приложениях и включите двухфакторную аутентификацию.
• Закажите кредитный отчёт через Госуслуги или в бюро кредитных историй – проверьте, не появились ли заявки или займы, которые вы не оформляли.
• Не отвечайте на звонки «службы безопасности» банка и «сотрудников госорганов» – после утечки мошенники знают ваше имя и часть данных и звучат убедительно.

Куда подавать иск и сколько стоит госпошлина

Иск о компенсации морального вреда за нарушение законодательства о персональных данных подаётся в районный суд – по вашему месту жительства или по месту нахождения оператора, на ваш выбор. Если оператор оказывал вам услуги для личных нужд (связь, онлайн-сервис, доставка), спор дополнительно регулируется Законом «О защите прав потребителей», и тогда от госпошлины при цене иска до 1 млн рублей вы освобождены (ст. 333.36 НК РФ).

Если же требование – только о компенсации морального вреда как о нарушении нематериального блага, оно считается требованием неимущественного характера: для физического лица госпошлина составляет фиксированную сумму. Точную подсудность и расчёт пошлины под вашу ситуацию определит юрист – здесь важны нюансы, потому что от правильного выбора зависит, примет ли суд иск.

Когда мы беремся, а когда честно отговорим

Поможем зафиксировать утечку, грамотно составить жалобу в Роскомнадзор, запрос и требование оператору, а также иск о компенсации морального вреда со ссылками на закон и судебную практику. Подскажем, как защититься от последствий – установить самозапрет на кредиты и сменить доступы.

Честно предупредим, если данных для установления источника утечки недостаточно: например, если ваш телефон есть у десятков компаний и привязать утечку к конкретному оператору нечем. В таких случаях шансы на компенсацию ниже, и мы скажем об этом до оплаты, а не после. Подробный разбор смежной ситуации – в статье «Сайт незаконно использует ПД».