Утечка персональных данных: что делать и куда жаловаться
- Обновлено
- Время чтения
- 16 минут
- Категория
- Персональные данные
- Статус
- Актуальная информация
Коротко
Первое — не жалоба, а защита: смените пароли, включите двухфакторную аутентификацию, установите в банке запрет на дистанционные операции и оформите самозапрет на кредиты через Госуслуги.
Затем требуйте от оператора прекратить обработку и удалить данные. Он обязан ответить в течение десяти рабочих дней и уведомить об утечке Роскомнадзор.
Жалоба подаётся в Роскомнадзор — он проводит проверку и штрафует нарушителя. Компенсацию морального вреда за нарушение правил обработки данных взыскивает суд, и доказывать причинение вреда отдельно не требуется.
Простое объяснение
Утечка сама по себе не крадёт деньги — она даёт мошенникам материал для убедительного разговора. Поэтому порядок действий начинается с закрытия каналов, через которые вас могут атаковать, и только потом переходит к жалобам.
Чем опасна утечка
- Звонки от «службы безопасности банка» с точными данными о вас.
- Оформление кредитов и микрозаймов по вашим документам.
- Регистрация на сервисах и в приложениях от вашего имени.
- Восстановление доступа к вашим аккаунтам через известные данные.
- Целевой фишинг с упоминанием реальных покупок и адресов.
- Продажа профиля с историей покупок и перемещений.
- Использование данных для оформления подписок и покупок.
Знание ваших данных не подтверждает личность собеседника
Главный практический вывод: если звонящий называет ваши фамилию, паспорт, адрес и последние покупки — это ничего не доказывает. Именно на эффект узнавания и рассчитаны схемы после утечек.
Обязанности оператора
Оператор — любая организация, обрабатывающая ваши данные: банк, магазин, поликлиника, оператор связи. Закон возлагает на него конкретные обязанности при утечке.
| Обязанность | Срок |
|---|---|
| Уведомить Роскомнадзор об инциденте | 24 часа |
| Сообщить о результатах внутреннего расследования | 72 часа |
| Ответить на ваш запрос о данных | 10 рабочих дней |
| Прекратить обработку при отзыве согласия | 30 дней |
| Уничтожить неправомерно обрабатываемые данные | по требованию, в установленный срок |
Вы вправе знать, что о вас обрабатывают
По запросу оператор обязан сообщить состав обрабатываемых данных, цели, сроки, источники получения и перечень лиц, которым данные передаются. Это бесплатно.
Отзыв согласия
Отзыв согласия на обработку
Заявление, после которого оператор обязан прекратить обработку и уничтожить данные. Но обработка продолжается, если она необходима для исполнения договора, установлена законом или требуется для защиты прав оператора.
Отсюда практическое ограничение: банк не удалит данные по действующему кредиту, а оператор связи — по действующему договору. Зато удалить их вправе интернет-магазин, где вы больше ничего не покупаете.
Часть данных хранится по закону
Сведения о сделках, налоговые и бухгалтерские документы хранятся установленные сроки независимо от вашего требования. Отказ удалить такие данные правомерен, если оператор его обосновал.
Компенсация
Моральный вред, причинённый нарушением правил обработки персональных данных, компенсируется независимо от возмещения имущественного вреда. Факт нарушения сам по себе является основанием для компенсации.
Размер определяет суд. Суммы по индивидуальным искам обычно невелики, но при массовых утечках подаются коллективные иски, и это меняет масштаб.
Доказывать страдания отдельно не нужно
Для взыскания компенсации достаточно доказать факт нарушения оператором требований закона о персональных данных. Это существенно упрощает позицию истца.
Ответственность операторов
За нарушение порядка обработки персональных данных предусмотрены административные штрафы, а с 2025 года — отдельные повышенные санкции за утечки, включая оборотные штрафы при повторных нарушениях.
Введена и уголовная ответственность за незаконное использование и передачу компьютерной информации, содержащей персональные данные. Это касается тех, кто торгует базами, а не только компаний, допустивших утечку.
Штраф уходит государству
Даже при крупном штрафе для компании вы лично денег не получаете. Ваша компенсация — только через отдельный иск, поэтому жалобу и иск имеет смысл вести параллельно.
Что делать пошагово
- 1
Закройте уязвимости
Немедленно
Это важнее любых жалоб. Пока данные уже утекли, задача — сделать так, чтобы ими нельзя было воспользоваться.
- Смените пароли в почте и банковских приложениях, начиная с почты.
- Включите двухфакторную аутентификацию везде, где она доступна.
- Проверьте активные сессии и отключите неизвестные устройства.
- Установите самозапрет на кредиты и займы через Госуслуги.
- Установите в банке запрет на дистанционное оформление кредитов.
- Настройте уведомления обо всех операциях по счетам.
- Проверьте, не подключена ли переадресация вызовов и сообщений.
Самозапрет на кредиты — главный инструмент
Он вносится в кредитные истории через Госуслуги бесплатно и запрещает выдавать вам кредиты и займы. Снимается тоже по заявлению, но с отложенным сроком вступления — именно это и защищает от оформления кредита мошенниками.
- 2
Проверьте, что уже случилось
1 день
Утечка могла произойти давно, и последствия уже могли наступить. Проверьте ключевые реестры.
- Закажите кредитную историю: список бюро доступен через Госуслуги.
- Проверьте наличие исполнительных производств на сайте ФССП.
- Проверьте задолженность в личном кабинете налогоплательщика.
- Посмотрите в личном кабинете Госуслуг историю действий и заявлений.
- Проверьте, не оформлены ли на вас организации в реестре ФНС.
- Проверьте историю запросов кредитной истории — она показывает попытки оформления.
Кредитную историю можно получить бесплатно
Дважды в год в каждом бюро. Обратите внимание не только на действующие обязательства, но и на запросы: они показывают, кто и когда пытался проверить вашу платёжеспособность.
- 3
Обратитесь к оператору
10 рабочих дней
Направьте письменный запрос организации, допустившей утечку. Требования формулируйте конкретно, со ссылкой на закон.
- Запросите сведения об обработке ваших данных: состав, цели, источники, получатели.
- Потребуйте сообщить, произошёл ли инцидент и какие данные затронуты.
- Отзовите согласие на обработку, если она не нужна для исполнения договора.
- Потребуйте уничтожить данные, обрабатываемые без правовых оснований.
- Направьте запрос заказным письмом с описью либо через официальную форму.
- Сохраните подтверждение отправки и полученный ответ.
Ответ понадобится для жалобы
Роскомнадзор оценивает, обращались ли вы к оператору и что он ответил. Молчание оператора — самостоятельное нарушение и сильный довод в жалобе.
- 4
Пожалуйтесь в Роскомнадзор
30 дней
Это профильный орган по защите прав субъектов персональных данных. Обращение подаётся через сайт ведомства или Госуслуги.
Опишите, какие данные утекли, как вы об этом узнали, обращались ли к оператору и что он ответил. Приложите переписку и скриншоты.
Просите сообщить о результатах проверки
Ответ с описанием выявленных нарушений — готовое доказательство для иска о компенсации морального вреда. Прямо укажите в обращении, что просите сообщить о принятых мерах.
- 5
Удалите данные из поисковой выдачи
Параллельно
Если данные опубликованы в сети, требуйте удаления и у владельца сайта, и у поисковых систем. Механизмы для этого предусмотрены законом.
- Найдите владельца сайта через сервисы проверки доменов.
- Направьте требование об удалении со ссылкой на закон о персональных данных.
- Подайте заявление в поисковую систему о прекращении выдачи ссылок.
- Приложите точные адреса страниц с вашими данными.
- При отказе обращайтесь в Роскомнадзор и в суд.
- Сохраните скриншоты страниц: они могут быть удалены до рассмотрения.
- 6
Обратитесь в полицию при ущербе
При хищении
Если по вашим данным оформили кредит, списали деньги или совершили иные действия, это уже мошенничество и предмет заявления в полицию.
Параллельно направьте в банк или микрофинансовую организацию заявление об оспаривании договора, который вы не заключали.
- 7
Взыщите компенсацию
3 года
Иск подаётся по вашему месту жительства. Государственная пошлина по требованиям о компенсации морального вреда при нарушении прав субъекта персональных данных для граждан минимальна.
- Требуйте компенсации морального вреда за нарушение правил обработки.
- Приложите ответ Роскомнадзора с результатами проверки.
- Приложите переписку с оператором и его отказ.
- Опишите последствия: звонки мошенников, попытки оформления кредитов.
- При имущественном ущербе заявите его отдельным требованием.
- Рассмотрите присоединение к коллективному иску при массовой утечке.
Факт нарушения — достаточное основание
Компенсация морального вреда за нарушение правил обработки персональных данных присуждается при доказанности самого нарушения. Отдельно доказывать степень страданий не требуется, хотя описание последствий влияет на размер.
Какие документы нужны
Запрос оператору о персональных данных
Со сведениями о составе, целях, источниках и получателях данных. Ответ — в 10 рабочих дней.
Где взять: Составляется вами
Заявление об отзыве согласия
по обстоятельствамТребование прекратить обработку и уничтожить данные. Направляется письменно.
Где взять: Составляется вами
Ответ оператора
по обстоятельствамЛибо доказательство его отсутствия. Основа для жалобы и иска.
Где взять: Оператор
Обращение в Роскомнадзор
по обстоятельствамЧерез сайт ведомства или Госуслуги, с приложением переписки и скриншотов.
Где взять: Роскомнадзор
Кредитная история
по обстоятельствамПоказывает оформленные обязательства и запросы. Бесплатно дважды в год в каждом бюро.
Где взять: Бюро кредитных историй
Скриншоты опубликованных данных
по обстоятельствамС адресной строкой и датой. Страницы удаляются, доказательства нужны заранее.
Где взять: У вас
Заявление в полицию
по обстоятельствамПри оформлении кредитов или хищении средств по вашим данным.
Где взять: Отдел полиции, Госуслуги
Сроки
Уведомление оператором Роскомнадзора
24 часа
С момента выявления инцидента с персональными данными.
Результаты внутреннего расследования
72 часа
Оператор направляет в Роскомнадзор сведения о причинах и принятых мерах.
Ответ оператора на ваш запрос
10 рабочих дней
Срок может быть продлён не более чем на пять рабочих дней с уведомлением.
Прекращение обработки при отзыве согласия
30 дней
Если сохранение данных не требуется по закону или для исполнения договора.
Рассмотрение обращения Роскомнадзором
30 дней
Со дня регистрации, с возможным продлением.
Срок исковой давности
3 года
Для требований о возмещении вреда. На требования о компенсации морального вреда при нарушении личных неимущественных прав давность не распространяется.
Возможные расходы
Запрос оператору
Предоставление сведений об обработке данных производится бесплатно.
0 ₽
Жалоба в Роскомнадзор
Подаётся через сайт ведомства или Госуслуги.
0 ₽
Самозапрет на кредиты
Устанавливается и снимается через Госуслуги бесплатно.
0 ₽
Кредитная история
Дважды в год в каждом бюро бесплатно, далее за плату.
0 ₽
Госпошлина по иску
По требованиям неимущественного характера для граждан установлена фиксированная пошлина.
по НК РФ
Заказное письмо с описью
Взыскивается с ответчика при удовлетворении иска.
300–500 ₽
Частые ошибки
Начинать с жалоб вместо защиты
Чем это грозит
Пока идёт переписка с оператором и Роскомнадзором, мошенники используют данные: звонят, оформляют займы, восстанавливают доступ к аккаунтам. Жалоба не мешает им ничем.
Как правильно
Сначала смените пароли, включите двухфакторную аутентификацию, оформите самозапрет на кредиты и запрет дистанционных операций в банке. Жалобы — вторым шагом.
Доверие звонящим, которые знают ваши данные
Чем это грозит
Именно на это и рассчитана утечка: осведомлённость собеседника создаёт ощущение подлинности. Схемы после утечек строятся на точных фамилиях, адресах и деталях покупок.
Как правильно
Кладите трубку и перезванивайте сами по номеру с оборотной стороны карты или с официального сайта. Знание ваших данных не подтверждает личность звонящего.
Отказ от самозапрета на кредиты
Чем это грозит
Это самая эффективная и при этом бесплатная мера, но её ставят редко, считая процедуру сложной. Между тем оформление кредита мошенниками — основной сценарий ущерба после утечки.
Как правильно
Установите самозапрет через Госуслуги. Он вносится в кредитные истории, а снятие происходит с отложенным сроком, что и делает его защитой.
Устные обращения к оператору
Чем это грозит
Звонок в поддержку не создаёт документа, а срок ответа отсчитывается от письменного запроса. Без переписки Роскомнадзору нечего проверять, а суду нечего оценивать.
Как правильно
Направляйте запрос письменно — заказным письмом с описью или через официальную форму с фиксацией номера обращения.
Ожидание компенсации от Роскомнадзора
Чем это грозит
Ведомство штрафует нарушителя в пользу государства. Гражданин по итогам проверки не получает ничего, кроме ответа, и разочаровывается в самом механизме.
Как правильно
Ведите жалобу и иск параллельно: ответ ведомства с описанием нарушений становится доказательством в деле о компенсации морального вреда.
Отсутствие скриншотов
Чем это грозит
Страницы с опубликованными данными удаляются, а вместе с ними исчезает доказательство утечки. Позже подтвердить, что информация была в открытом доступе, невозможно.
Как правильно
Сохраняйте скриншоты с адресной строкой и датой, фиксируйте точные адреса страниц и сообщения от оператора об инциденте.
Согласие на обработку не глядя
Чем это грозит
Галочка в анкете магазина нередко включает передачу данных партнёрам и рекламные рассылки. Утечка происходит уже у третьих лиц, о существовании которых вы не знали.
Как правильно
Читайте, на что даёте согласие, и отказывайтесь от необязательных пунктов. Согласие на обработку для целей рекламы можно отозвать в любой момент.
Как ограничить ущерб на будущее
Полностью избежать утечек нельзя: данные хранятся у десятков операторов, и вы не контролируете их защиту. Но можно сделать так, чтобы утечка не приводила к потерям.
Базовый набор мер
- Самозапрет на кредиты и займы через Госуслуги.
- Запрет на дистанционное оформление кредитов в каждом банке.
- Двухфакторная аутентификация на почте, Госуслугах и в банках.
- Разные пароли для почты и финансовых сервисов.
- Отдельная карта с небольшим остатком для интернет-покупок.
- Уведомления обо всех операциях по счетам.
- Регулярная проверка кредитной истории — минимум раз в полгода.
Почта — главный узел
Через доступ к почте восстанавливается доступ ко всему остальному. Если защищать что-то одно, защищайте почтовый ящик: сложный уникальный пароль и двухфакторная аутентификация.
Как меньше отдавать данных
- Не заполняйте необязательные поля в анкетах и картах лояльности.
- Отказывайтесь от согласия на передачу данных партнёрам — оно не обязательно для покупки.
- Не отправляйте сканы паспорта в мессенджерах.
- Используйте отдельный адрес электронной почты для магазинов и рассылок.
- Не публикуйте фотографии документов, билетов и посадочных талонов.
- Проверяйте, кому и зачем нужны копии документов, прежде чем передавать.
Копия паспорта — не безобидная бумага
Требование предоставить копию должно иметь правовое основание. Организация обязана указать цель обработки, и для большинства бытовых ситуаций сканирование паспорта не требуется вовсе.
Оспаривание кредита, оформленного мошенниками
Если по вашим данным заключён договор, который вы не подписывали, он оспаривается как незаключённый. Судебная практика последних лет заметно сместилась в пользу граждан.
- 1Подайте заявление в полицию и получите талон-уведомление.
- 2Направьте в банк или МФО заявление об оспаривании договора.
- 3Требуйте предоставить копию договора и сведения о способе его заключения.
- 4Запросите данные о том, на какой счёт и куда ушли деньги.
- 5Потребуйте исключить сведения о договоре из вашей кредитной истории.
- 6При отказе подавайте иск о признании договора незаключённым.
Банк обязан оценивать признаки мошенничества
Оформление займа за минуты, немедленный перевод средств третьему лицу, вход с нового устройства — обстоятельства, которые кредитор обязан учитывать. Их игнорирование — довод в вашу пользу.
Коллективные иски
При массовых утечках граждане объединяются: группа лиц может обратиться с коллективным иском, если требования однородны и предъявляются к одному ответчику.
Для отдельного человека это выгоднее: судебные расходы распределяются, а внимание к делу выше. Присоединиться к уже поданному коллективному иску можно на любой стадии до принятия решения.
Осторожно с посредниками
После крупных утечек появляются предложения «взыскать компенсацию за процент» с предоплатой. Проверяйте, действительно ли иск подан: сведения о движении дел публикуются на сайтах судов и доступны бесплатно.
Частые вопросы
Что делать в первую очередь при утечке?
Защититься: сменить пароли начиная с почты, включить двухфакторную аутентификацию, установить самозапрет на кредиты через Госуслуги и запрет на дистанционное оформление кредитов в банке. Жалобы подаются вторым шагом.
Обязан ли оператор сообщать об утечке?
Да, он уведомляет Роскомнадзор в течение 24 часов с момента выявления инцидента, а в течение 72 часов сообщает о результатах внутреннего расследования.
Можно ли заставить удалить мои данные?
Да, отзывом согласия. Но обработка продолжится, если она необходима для исполнения договора или предусмотрена законом: банк не удалит данные по действующему кредиту, а бухгалтерские документы хранятся установленные сроки.
Куда жаловаться на утечку?
В Роскомнадзор — это профильный орган по защите прав субъектов персональных данных. При хищении денег или оформлении кредитов дополнительно в полицию.
Можно ли получить компенсацию?
Да, моральный вред за нарушение правил обработки персональных данных компенсируется по решению суда. Доказывать степень страданий отдельно не требуется — достаточно факта нарушения.
Что такое самозапрет на кредиты?
Внесение в кредитные истории отметки о запрете заключать с вами кредитные договоры. Устанавливается бесплатно через Госуслуги, снимается по заявлению с отложенным сроком вступления.
Как узнать, оформили ли на меня кредит?
Заказать кредитную историю — список бюро доступен через Госуслуги, а в каждом бюро отчёт бесплатен дважды в год. Смотрите и обязательства, и запросы вашей истории.
Как удалить данные из поисковой выдачи?
Направить требование владельцу сайта и подать заявление в поисковую систему о прекращении выдачи ссылок с указанием точных адресов страниц. При отказе — жалоба в Роскомнадзор и иск.
Что грозит компании за утечку?
Административные штрафы за нарушение порядка обработки данных, а с 2025 года — отдельные повышенные санкции за утечки, включая оборотные штрафы при повторных нарушениях. Штраф уплачивается в бюджет, а не потерпевшим.
Что делать, если по моим данным оформили заём?
Подать заявление в полицию, направить в организацию заявление об оспаривании договора и потребовать исключить сведения из кредитной истории. Договор, который вы не заключали, оспаривается в суде как незаключённый.
Нормативная база
Федеральный закон «О персональных данных»
№ 152-ФЗ от 27.07.2006Основной закон: принципы обработки, права субъекта и обязанности оператора.
Официальный источникФедеральный закон № 152-ФЗ
ст. 14Право на доступ к своим персональным данным и сроки ответа оператора.
Официальный источникФедеральный закон № 152-ФЗ
ст. 9, 21Отзыв согласия на обработку и обязанность прекратить обработку и уничтожить данные.
Официальный источникФедеральный закон № 152-ФЗ
ст. 17Право на защиту прав и компенсацию морального вреда при нарушении правил обработки.
Официальный источникФедеральный закон № 152-ФЗ
ст. 19Обязанность оператора уведомлять об инцидентах и обеспечивать безопасность данных.
Официальный источникКодекс РФ об административных правонарушениях
ст. 13.11Ответственность за нарушение законодательства о персональных данных, включая утечки.
Официальный источникФедеральный закон «О кредитных историях»
№ 218-ФЗ от 30.12.2004Кредитная история, самозапрет на заключение кредитных договоров и порядок его установления.
Официальный источникРоскомнадзор
rkn.gov.ruПодача обращений о нарушении прав субъектов персональных данных.
Официальный источникПодготовлено редакцией «Справлюсь»
Материал создан на основе анализа законодательства РФ. Последнее обновление: 08 сентября 2026.
Как мы готовим материалыИстория изменений материала1 запись
Материал опубликован
Информация на сайте носит ознакомительный характер и не является юридической консультацией. Законодательство может изменяться. Перед принятием важных решений рекомендуется проверить актуальную информацию в официальных источниках.
Читайте также
Удалить данные из сети
Работают два разных механизма. Первый — требование к владельцу сайта об удалении персональных данных. Второй — право на забвение: требование к поисковой системе прекратить выдачу ссылок, при этом сама страница остаётся. Начинать нужно с сайта: если удалить исходную публикацию, ссылки из поиска уйдут сами. Если владелец не отвечает, подключаются поисковые системы, Роскомнадзор и суд. Удалить можно не всё. Достоверная информация о событиях, содержащих признаки уголовно наказуемых деяний по неснятой судимости, а также сведения, распространяемые в соответствии с законом, из выдачи не исключаются.
Обман в интернете
Сначала определите, с кем вы имели дело: с зарегистрированным продавцом или с мошенником. От этого зависит всё — в первом случае работает защита прав потребителей, во втором нужны банк и полиция. Если платили картой, подайте в банк заявление на возврат платежа — процедуру опротестования обычно называют чарджбэком. Срок ограничен правилами платёжной системы, поэтому обращайтесь сразу, не дожидаясь ответа продавца. Параллельно направьте продавцу письменную претензию, а при признаках мошенничества подайте заявление в полицию. Действовать по всем трём направлениям одновременно эффективнее, чем последовательно.
Украли деньги с карты
Действовать нужно немедленно и в строгом порядке: заблокировать карту через приложение или горячую линию банка, затем подать в банк письменное заявление о несогласии с операцией и параллельно — заявление в полицию. Критичный срок — один день. Уведомить банк о несанкционированной операции нужно не позднее дня, следующего за днём получения уведомления о ней. Пропустив этот срок, вы теряете право требовать возврата по закону о национальной платёжной системе. Банк обязан вернуть деньги, если вы уведомили его вовремя и не нарушали порядок использования карты. Но если вы сами назвали коды из СМС или перевели деньги «сотруднику безопасности», банк, скорее всего, откажет: формально операцию подтверд
Взломали аккаунт
Порядок действий определяется важностью аккаунта. Первым делом восстанавливайте почту: к ней привязано всё остальное, и без контроля над ней любые пароли будут сброшены заново. Взлом учётной записи на Госуслугах — самый опасный случай. Через неё оформляют кредиты, регистрируют фирмы и получают доступ к персональным данным. Здесь нужно действовать немедленно и обязательно проверить кредитную историю. Неправомерный доступ к компьютерной информации — уголовно наказуемое деяние. Заявление в полицию имеет смысл подавать не столько ради поиска взломщика, сколько для фиксации даты: если от вашего имени успели совершить действия с последствиями, это ваша защита.
Кредит от мошенников
Платить по кредиту, который вы не брали, вы не обязаны. Требование одно: договор нужно оспорить, а не игнорировать. Молчание приводит к процентам, коллекторам, судебному приказу и списанию денег приставами. Действовать нужно параллельно по трём направлениям: заявление в полицию, письменное заявление в банк о том, что договор вы не заключали и денег не получали, и заявление о несогласии в бюро кредитных историй. Правовое основание — договор считается незаключённым, поскольку отсутствовало ваше волеизъявление. Верховный Суд неоднократно указывал: сам факт корректного ввода кода из СМС не подтверждает согласованную волю, если заявка подана обманом, а деньги ушли третьим лицам.
Что делать при ДТП
Первое и главное: остановитесь, включите аварийную сигнализацию, выставьте знак аварийной остановки и не перемещайте автомобили до фиксации обстановки. Уехать с места ДТП — это лишение прав на срок до полутора лет или арест до пятнадцати суток, даже если вы не виноваты. Если есть пострадавшие — вызывайте скорую и полицию, это обязательно. Если пострадали только машины, участников двое, у обоих есть ОСАГО и разногласий нет, аварию можно оформить самостоятельно по европротоколу и разъехаться, не дожидаясь ГИБДД. После оформления у вас есть пять рабочих дней, чтобы подать заявление о выплате в свою страховую компанию, и такой же срок, чтобы направить извещение о ДТП страховщику. Автомобиль в те