Жалоба в Роскомнадзор на утечку персональных данных

Утечка персональных данных – это когда сведения о вас (ФИО, телефон, e-mail, адрес, паспортные или платёжные данные) оказались у посторонних: попали в открытую базу, продаются на форумах, используются для спама и звонков «от службы безопасности». За обработку и защиту ваших данных отвечает оператор – магазин, маркетплейс, сайт, банк или сервис, которому вы их когда-то оставили. Контроль за операторами ведёт Роскомнадзор, а основной закон – № 152-ФЗ «О персональных данных».

Что считается нарушением и за что отвечает оператор

Закон № 152-ФЗ обязывает оператора обрабатывать данные только с вашего согласия и в заявленных целях (ст. 6), обеспечивать их защиту (ст. 19), а по вашему требованию – прекратить обработку и удалить данные (ст. 21). Поводом для жалобы будет любой из случаев:

• утечка базы данных, после которой пошли спам, звонки мошенников или появились ваши сведения в открытом доступе;
• обработка без вашего согласия или после его отзыва;
• передача данных третьим лицам, которым вы согласия не давали;
• отказ удалить данные по вашему письменному требованию;
• сбор лишних данных, не нужных для услуги (нарушение принципа минимизации).

С 30 мая 2025 года ответственность операторов резко ужесточена законом № 420-ФЗ. Кроме того, при утечке оператор обязан в течение 24 часов уведомить Роскомнадзор о факте инцидента – за молчание ему грозит отдельный штраф. Это означает, что ваша жалоба попадает в среду, где регулятор настроен на проверки и крупные санкции.

Сначала – требование оператору, потом жалоба

Правильный маршрут начинается не с Роскомнадзора, а с самого оператора. Направьте ему письменное требование (через форму на сайте, по e-mail из политики конфиденциальности или заказным письмом): прекратить обработку, удалить ваши данные и сообщить, кому они передавались. По ст. 21 закона № 152-ФЗ у оператора есть 10 рабочих дней на ответ и устранение нарушения (срок может быть продлён, но не более чем на 5 рабочих дней с уведомлением вас).

Если оператор молчит, отписывается или продолжает нарушать – фиксируйте это. Именно отказ или бездействие оператора превращает вашу жалобу из «эмоции» в обоснованное обращение с приложенным доказательством досудебного требования.

Что может Роскомнадзор и чего он не делает

По жалобе Роскомнадзор вправе провести проверку оператора, выдать предписание прекратить нарушение и удалить данные, а также составить протокол об административном правонарушении по ст. 13.11 КоАП. С 2025 года штрафы за утечку для юридических лиц установлены по числу пострадавших: от 3 до 5 млн рублей при утечке данных 1 000-10 000 человек, 5-10 млн при 10 000-100 000, и 10-15 млн при утечке более 100 000 субъектов. Утечка специальных категорий данных (о здоровье, национальности, убеждениях) карается штрафом для юрлиц 10-15 млн рублей, а утечка биометрических данных – 15-20 млн рублей. За повторную утечку введён оборотный штраф – 1-3% годовой выручки (от 20-25 до 500 млн рублей).

Важно понимать границу: Роскомнадзор наказывает оператора в пользу государства, но не присуждает деньги лично вам. Штраф уходит в бюджет. Поэтому жалоба – это инструмент давления и фиксации нарушения, а ваши личные потери возмещаются отдельно – через суд. На спам-звонки и рекламные рассылки без согласия параллельно жалуются в ФАС (ст. 18 закона «О рекламе»), а если данные использовали мошенники – пишите заявление в полицию.

Как подать жалобу

Обращение подаётся бесплатно онлайн – через электронную приёмную на сайте Роскомнадзора (rkn.gov.ru), портал «Госуслуги» или заказным письмом в территориальное управление по вашему региону. Укажите оператора, опишите нарушение, сошлитесь на конкретные статьи 152-ФЗ и приложите доказательства и копию требования оператору. Срок рассмотрения обращения – 30 дней (ст. 12 закона № 59-ФЗ), с возможным продлением ещё на 30 дней.

Когда идти в суд и что можно взыскать

Если из-за утечки вы понесли вред, по ч. 2 ст. 24 закона № 152-ФЗ вы вправе требовать компенсацию морального вреда. Принципиально важно: вина оператора за утечку презюмируется – то есть доказывать его небрежность не нужно, бремя доказывания добросовестности лежит на операторе. Вам нужно подтвердить сам факт утечки, что данные именно ваши и что оператор – их держатель, а также описать перенесённые неудобства (поток спама, тревога, звонки мошенников). Иск подаётся по месту вашего жительства, госпошлина по требованию о компенсации морального вреда для граждан – 3 000 рублей. Суды по таким делам всё чаще встают на сторону граждан, а размеры компенсаций выросли с символических сумм до десятков и даже 100-150 тыс. рублей при серьёзных последствиях.

Частые ошибки, которые губят дело: жаловаться без предварительного требования к оператору; не сохранить доказательства до того, как утечку «прикроют»; перепутать адресата (спам – это ФАС, обработка данных – Роскомнадзор); требовать компенсацию, не описав конкретный вред. Грамотно собранный пакет – требование, жалоба и иск, увязанные между собой, – кратно повышает шансы и на проверку, и на выплату.