Ваш номер знают все. Закон отвечает на это двумя письмами
Пока вы не написали оператору, вы догадываетесь. После того как написали — у него десять рабочих дней. Это и есть главный сдвиг темы: закон о персональных данных сильнее всего работает не в момент утечки, а в момент, когда человек один раз задаёт формальный вопрос и получает формальный ответ. Запрос по ст. 14 и отзыв согласия по ст. 9 — два письма, вокруг которых собрана эта лекция.
Опорные акты темы: Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», Кодекс РФ об административных правонарушениях (ст. 13.11 в редакции с 30.05.2025), Уголовный кодекс РФ (ст. 272.1), Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации…» (ст. 10.3), Федеральный закон от 13.03.2006 № 38-ФЗ «О рекламе» (ст. 18), Федеральный закон от 01.04.2025 № 41-ФЗ, Федеральный закон от 29.12.2022 № 572-ФЗ, Федеральный закон от 02.05.2006 № 59-ФЗ.
Три события переписали тему за полтора года. 11 декабря 2024 года у торговли базами появилась отдельная статья Уголовного кодекса. 30 мая 2025 года штраф за утечку перестал быть символическим: он стал считаться миллионами, а за повтор — процентом от выручки. 1 сентября 2025 года рекламный обзвон без доказанного согласия абонента стал нарушением, которое доказывает не регулятор, а компания.
Тему переписывали трижды за полтора года, и значительная часть статей в интернете старше этих изменений. Особенно осторожно относитесь к текстам про штрафы за утечки, написанным до 30 мая 2025 года: суммы там другие на порядок.
Обещания «удалить данные отовсюду». Отзыв согласия прекращает только ту обработку, которая держалась на согласии. Данные, которые оператор обязан хранить по договору, по налоговому, бухгалтерскому, трудовому законодательству или по банковскому регулированию, остаются — и это законно.
Способа вернуть утёкшее. После публикации базы данные скопированы неограниченным числом лиц, и ни один орган не отзывает их из сети. Речь идёт о снижении ущерба, а не об откате.
Суммы компенсации, на которую можно рассчитывать. Размер определяет суд по обстоятельствам конкретного дела, разброс в практике огромный. Обещать здесь нечего.
Инструкций по поиску чужих данных. Тема соседствует с «пробивом», и это соседство одностороннее: здесь речь только о ваших собственных данных и о защите. Поиск чужих — предмет ст. 272.1 УК РФ, а не этой лекции.
Номеров частей ст. 13.11 КоАП. Публичные источники расходятся в нумерации новых частей, поэтому здесь называются только статья целиком, составы и суммы.
Замены юриста. Иск о компенсации морального вреда, спор с работодателем о копии паспорта, обжалование отказа поисковика — работа с документами и практикой. Задача лекции — показать, какое право у вас есть, в какой срок оно исполняется и с чего начинается разговор.
Дальше — четырнадцать тем. Сначала что закон считает вашими данными и каким бывает согласие, потом два письма оператору и их сроки, затем границы допустимого сбора, утечка с двух сторон — компании и человека, — и в конце тишина в телефоне, поисковая выдача, жалоба, суд и порядок действий на один вечер.
Что закон называет персональными данными: закрытого перечня нет
Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (ст. 3 152-ФЗ). Закрытого перечня в законе нет, и это главное, что люди понимают неправильно: они ищут список «паспорт, СНИЛС, адрес», а определение устроено иначе — через возможность вас установить.
- Один только номер телефона — персональные данные, потому что по нему человек определяем.
- Косвенная определяемость означает, что набор признаков, каждый из которых сам по себе никого не идентифицирует, становится персональными данными, когда вместе позволяет установить человека: город плюс должность плюс год рождения плюс место работы.
- Оператор — государственный орган, юридическое или физическое лицо, которое организует и (или) осуществляет обработку данных.
- Обработка — любое действие: сбор, запись, хранение, уточнение, использование, передача, удаление. Хранение базы клиентов в таблице — уже обработка.
Из определения следует практический вывод: спор «а это вообще персональные данные?» почти всегда решается не перечнем, а вопросом «можно ли по этому набору установить человека». Если можно — значит да, со всеми обязанностями оператора.
Обычные персональные данные. Всё, что позволяет вас определить: имя, телефон, адрес, номер договора, история заказов.
Специальные категории (ст. 10). Раса и национальность, политические взгляды, религиозные и философские убеждения, состояние здоровья, интимная жизнь. Их обработка по общему правилу запрещена — кроме случаев, прямо перечисленных в законе, среди которых письменное согласие субъекта.
Биометрические данные (ст. 11). Сведения, характеризующие физиологические и биологические особенности человека, на основании которых устанавливается его личность. Обрабатываются по общему правилу при наличии письменного согласия.
Разница между этими тремя сортами — не академическая. За утечку обычных данных, специальных категорий и биометрии компания отвечает по-разному, и разница в деньгах кратная: подробный разбор сумм — в теме про утечку глазами компании.
Согласие: пять требований, кто доказывает — и когда оно вообще не нужно
Ст. 9 152-ФЗ описывает согласие пятью словами: оно должно быть конкретным, предметным, информированным, сознательным и однозначным. И даваться свободно, по своей воле. Каждое из этих слов отсекает какую-то распространённую практику.
Обязанность доказать, что согласие получено, лежит на операторе. Человек не обязан доказывать, что не соглашался. Эта одна строка закона меняет всю конструкцию спора: вопрос «покажите моё согласие» законен всегда, а ответ на него — обязанность компании.
- Согласие не может быть «на всё сразу и навсегда». Формулировка «согласен на обработку моих данных в любых целях» не отвечает требованию конкретности.
- Согласие оформляется отдельно от других документов. Тренд регулирования 2025–2026 годов: согласие — самостоятельный документ или отдельно проставляемая отметка, а не пункт внутри пользовательского соглашения или политики конфиденциальности.
- Предзаполненная галочка «согласен» — не свободное волеизъявление. Свобода означает выбор, а выбор означает возможность не поставить отметку.
- Молчание согласием не является. Прямо это записано для согласия на распространение: молчание или бездействие ни при каких обстоятельствах не может считаться согласием (ч. 8 ст. 10.1). Та же логика — в общем требовании однозначности.
Когда согласие не требуется вообще
Согласие — лишь одно из оснований обработки, и далеко не самое частое. По ст. 6 152-ФЗ обработка законна и без согласия, если она нужна для исполнения договора, стороной которого является субъект; для исполнения обязанности, возложенной на оператора законом; для осуществления правосудия; и в других перечисленных в статье случаях.
Не удалит, и это законно. Данные о ваших кредитах обрабатываются не на основании согласия, а по другому основанию, и отзыв согласия его не отменяет. Ровно та же логика — с бухгалтерскими документами по вашей покупке, с трудовой документацией и с банковскими сведениями.
Правильная формулировка того, что даёт отзыв: он убирает рассылки и рекламный профиль, но не стирает историю ваших платежей в банке.
Первое письмо: запрос по ст. 14 и десять рабочих дней
Первая версия этой темы строилась на допущении «данные утекли — человек беззащитен». Оно неверно. Безоружен человек ровно до момента, когда он один раз применяет ст. 14 и ст. 20: запрос и жёсткий срок ответа делают отношения с оператором формальными и проверяемыми.
Право на доступ к своим данным (ст. 14 152-ФЗ) — это право получить сведения, касающиеся обработки ваших персональных данных. Не «попросить посмотреть», а получить, с обязанностью оператора ответить.
Что обязаны сообщить
- Подтверждение самого факта обработки ваших данных.
- Правовые основания и цели обработки.
- Применяемые оператором способы обработки.
- Наименование и адрес оператора.
- Обрабатываемые данные и источник их получения.
- Сроки обработки, в том числе сроки хранения.
- Порядок реализации субъектом своих прав.
- Сведения об осуществлённой или предполагаемой трансграничной передаче.
- Наименование лица, которое обрабатывает данные по поручению оператора.
Строка «источник получения» в этом списке — самая полезная. Именно она отвечает на вопрос «откуда у вас мой номер», который иначе повисает в воздухе.
Продление возможно не более чем на пять рабочих дней и только при направлении вам мотивированного уведомления с указанием причин. Мотивированный отказ тоже даётся в срок, не превышающий десяти рабочих дней, с тем же продлением. Отсюда следствие, ради которого стоит запомнить всю тему: молчание оператора незаконно в любом случае — он обязан либо предоставить сведения, либо письменно обосновать отказ.
Часть популярных публикаций называет срок ответа на запрос субъекта «30 календарных дней». Это ошибка: тридцать дней в этой теме есть, но они про другое.
| Срок | К чему относится | Норма |
|---|---|---|
| 10 рабочих дней (+5) | Ответ оператора на ваш запрос или обращение | ст. 20 152-ФЗ |
| 30 дней | Уничтожение данных после отзыва согласия | ст. 21 152-ФЗ |
| 30 дней | Рассмотрение обращения государственным органом, в том числе жалобы в Роскомнадзор | 59-ФЗ |
Механика «письменный запрос — жёсткий срок ответа — мотивированный отказ — жалоба регулятору» совпадает с той, по которой добиваются перерасчёта за ЖКХ и оспаривают запись в кредитной истории. Три шага те же самые. Если вы хоть раз проходили этот путь в другой области, здесь вам не нужно учиться заново — нужно только знать номер статьи и срок.
Дальше нужен аккаунт
Первые 3 темы из 14 — свободно. Оставьте почту, чтобы продолжить бесплатно (ещё 3 темы). Пароль придумывать не нужно — пришлём его письмом.
Прогресс и монеты сохранятся.