Если ваш телефон появился в чужой базе, а затем вам стали звонить, известны пока два события: доступность контакта и звонки. Из этого ещё не следует, кто передал сведения, были ли это одни и те же данные и связана ли с ними потеря денег. Защита начинается с раздельной фиксации этих обстоятельств. Одновременно нужно остановить продолжающийся вред: защитить доступ к аккаунтам, сообщить банку о спорной операции, потребовать исправления чужой записи. Ожидать окончания расследования утечки для этих действий не нужно.

Персональные данные могут оказаться у постороннего из-за незаконной передачи, ошибки при отправке документа, взлома, подложного обращения или использования старого общедоступного источника. Ошибочная запись в закрытой базе также нарушает права, даже если утечки наружу не было. Отдельно проверяют ситуацию, когда данные точны, но к ним приписали чужой долг, диагноз, заказ или аккаунт. 152‑ФЗ: статьи 3, 5, 6, 14, 19–21.

Что сохранить и кому адресовать запрос

Сохраните сообщение об инциденте, URL, дату и время обнаружения, видимый состав именно ваших данных, уведомления о входах и операциях, ответы поддержки. Не скачивайте чужую утекшую базу и не прикладывайте её целиком к публичной жалобе. Если доказательство содержит сведения других людей, используйте минимальный относимый фрагмент и закрытый канал. Когда страница скоро исчезнет или от неё зависит значимый спор, рассмотрите нотариальную фиксацию; правила доказательств разобраны в Как законно сохранить страницу, переписку, аудио и видео.

Запишите отдельную хронологию: когда и кому вы сообщили данные; какое сочетание полей известно только этому получателю; когда узнали об утечке; какие действия мошенника или оператора последовали; какие расходы возникли. Уникальный ошибочный адрес или адрес электронной почты, использованный только для одного сервиса, — полезный косвенный признак. Он не заменяет исследование иных источников и журналов передачи.

Запросите у предполагаемого оператора подтверждение обработки, источник, цель и основание, состав данных, получателей и обработчиков, сроки хранения; у получателя — откуда он взял ваши данные и на каком основании использует. Если требуется формальный доступ, используйте запрос субъекта с реквизитами статьи 14. Обычный адрес рассылки, имя бренда и фактическое юридическое лицо могут не совпасть. Сверьте политику сервиса, договор, чек и официальные контакты. Не отправляйте паспорт на адрес из подозрительного письма.

Попросите сохранить связанные со спором журналы доступа, изменения записей и передачи данных, документы по проверке инцидента в законном ограниченном режиме. У субъекта нет безусловного права получить все внутренние журналы, чужие данные или всю систему безопасности. При отказе просите объяснить конкретное ограничение и предоставить доступную часть сведений; относимые доказательства можно истребовать через суд. Это существенно точнее требования «выдайте всю базу».

Как разграничить участников и требования

Оператор отвечает перед субъектом за порученную обработку по части 5 статьи 6; обработчик несёт ответственность перед оператором. Утечка у подрядчика поэтому не означает, что человеку следует отказаться от требований к оператору. Если другое лицо самостоятельно определяло цель последующего использования, оно может быть отдельным оператором. Установление ответчиков зависит от их действий: источник неправомерной передачи, самостоятельный распространитель и лицо, принявшее ошибочное решение, не обязательно совпадают.

Для неверной записи направьте требование об исправлении и блокировании: приведите ошибочное поле, правильное значение, доказательство и конкретное последствие. Для незаконного распространения — URL, состав сведений, обстоятельства отсутствия основания и точное требование прекратить передачу. Нельзя добиться исправления официального решения только удалением его копии у коммерческого посредника: нужно обратиться также к органу, принявшему решение, по специальной процедуре.

Статья 21 различает сроки. При выявлении неправомерной обработки в связи с обращением данные блокируют на период проверки; неправомерную обработку прекращают не позднее трёх рабочих дней с выявления, а если обеспечить правомерность нельзя — уничтожают не позднее десяти рабочих дней с выявления. Для подтверждённой неточности действует семидневный рабочий срок; условия и исключения — отдельная глава. Обращение о доступе обычно рассматривается в десять рабочих дней с допустимым мотивированным продлением на пять.

Уведомления об инциденте в течение 24 и 72 часов по части 3.1 статьи 21 направляет оператор в Роскомнадзор. Первое касается инцидента, предполагаемых причин, вреда и принятых мер, второе — результатов внутреннего расследования. Это не установленный данной статьёй срок персонального ответа каждому пострадавшему и не срок для вашей подачи иска. Отсчёт связан с выявлением инцидента оператором, уполномоченным органом или иным заинтересованным лицом.

Что подтверждает свежая практика Верховного Суда

В постановлении ВС РФ от 21.01.2026 № 5‑АД25‑119‑К2 рассмотрен инцидент 27.11.2023 с открытым доступом к данным работников Минтруда и их родственников. Защита указывала на проникновение в инфраструктуру подрядчика. ВС счёл этот довод недостаточным: материалы не подтверждали принятие оператором необходимых мер внутреннего контроля и защиты, а распространение министерство подтвердило после запроса контролирующего органа. Постановление мирового судьи от 07.08.2024, районное решение от 03.02.2025 и кассационное постановление от 01.10.2025 оставлены без изменения. Прочитан официальный PDF целиком, страницы 1–5. Акт и точный scope.

Дело административное, по части 1 статьи 13.11 КоАП в редакции времени нарушения. Штраф 100 000 рублей в этом акте — исторический результат конкретного дела, а не современный тариф и не сумма, причитающаяся каждому субъекту. ВС не разрешал там гражданские требования отдельных работников о компенсации. Полезен установленный подход к мерам оператора и возражению о подрядчике; факты вашего инцидента всё равно нужно доказать.

Убытки, моральный вред и сильное возражение

Для возврата утраченных денег установите не только незаконную обработку, но и конкретный имущественный вред, ответственного участника и причинную связь. Оператор может возразить, что мошенник получил данные из другого источника, а деньги переведены в результате иной цепочки событий. Сопоставляйте время, уникальный состав данных, содержание обмана, банковские и технические документы. Публикация номера телефона сама по себе не доказывает, что именно она стала причиной кредита или перевода.

Моральный вред по части 2 статьи 24 возмещается независимо от имущественных убытков. Опишите, какие права нарушены и как это отразилось на вашей жизни: например, навязчивые контакты, необходимость менять способы связи, раскрытие чувствительных сведений. Размер не рассчитывается автоматически по числу строк утечки; правила оценки — Моральный вред, убытки и расходы: как обосновать сумму. Жалоба в РКН, заявление о признаках преступления и гражданский иск имеют разные задачи. РКН не присуждает вам компенсацию, а заявление в полицию не заменяет своевременное уведомление банка — маршрут по операции.

Сохраните ответы, входящие номера и повторную проверку спорной записи. Результат — установленные источник и участники в пределах доступных доказательств, прекращение опасной обработки, исправление у надлежащего владельца записи и рассмотрение самостоятельных денежных требований. Там, где источник пока не подтверждён, так и пишите: «предполагаемый», с указанием проверяемых оснований.