Ваш номер знают все. Закон отвечает на это двумя письмами
Пока вы не написали оператору, вы догадываетесь. После того как написали — у него десять рабочих дней. Это и есть главный сдвиг темы: закон о персональных данных сильнее всего работает не в момент утечки, а в момент, когда человек один раз задаёт формальный вопрос и получает формальный ответ. Запрос по ст. 14 и отзыв согласия по ст. 9 — два письма, вокруг которых собрана эта лекция.
Опорные акты темы: Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», Кодекс РФ об административных правонарушениях (ст. 13.11 в редакции с 30.05.2025), Уголовный кодекс РФ (ст. 272.1), Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации…» (ст. 10.3), Федеральный закон от 13.03.2006 № 38-ФЗ «О рекламе» (ст. 18), Федеральный закон от 01.04.2025 № 41-ФЗ, Федеральный закон от 29.12.2022 № 572-ФЗ, Федеральный закон от 02.05.2006 № 59-ФЗ.
Три события переписали тему за полтора года. 11 декабря 2024 года у торговли базами появилась отдельная статья Уголовного кодекса. 30 мая 2025 года штраф за утечку перестал быть символическим: он стал считаться миллионами, а за повтор — процентом от выручки. 1 сентября 2025 года рекламный обзвон без доказанного согласия абонента стал нарушением, которое доказывает не регулятор, а компания.
Тему переписывали трижды за полтора года, и значительная часть статей в интернете старше этих изменений. Особенно осторожно относитесь к текстам про штрафы за утечки, написанным до 30 мая 2025 года: суммы там другие на порядок.
Обещания «удалить данные отовсюду». Отзыв согласия прекращает только ту обработку, которая держалась на согласии. Данные, которые оператор обязан хранить по договору, по налоговому, бухгалтерскому, трудовому законодательству или по банковскому регулированию, остаются — и это законно.
Способа вернуть утёкшее. После публикации базы данные скопированы неограниченным числом лиц, и ни один орган не отзывает их из сети. Речь идёт о снижении ущерба, а не об откате.
Суммы компенсации, на которую можно рассчитывать. Размер определяет суд по обстоятельствам конкретного дела, разброс в практике огромный. Обещать здесь нечего.
Инструкций по поиску чужих данных. Тема соседствует с «пробивом», и это соседство одностороннее: здесь речь только о ваших собственных данных и о защите. Поиск чужих — предмет ст. 272.1 УК РФ, а не этой лекции.
Номеров частей ст. 13.11 КоАП. Публичные источники расходятся в нумерации новых частей, поэтому здесь называются только статья целиком, составы и суммы.
Замены юриста. Иск о компенсации морального вреда, спор с работодателем о копии паспорта, обжалование отказа поисковика — работа с документами и практикой. Задача лекции — показать, какое право у вас есть, в какой срок оно исполняется и с чего начинается разговор.
Дальше — четырнадцать тем. Сначала что закон считает вашими данными и каким бывает согласие, потом два письма оператору и их сроки, затем границы допустимого сбора, утечка с двух сторон — компании и человека, — и в конце тишина в телефоне, поисковая выдача, жалоба, суд и порядок действий на один вечер.
Что закон называет персональными данными: закрытого перечня нет
Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (ст. 3 152-ФЗ). Закрытого перечня в законе нет, и это главное, что люди понимают неправильно: они ищут список «паспорт, СНИЛС, адрес», а определение устроено иначе — через возможность вас установить.
- Один только номер телефона — персональные данные, потому что по нему человек определяем.
- Косвенная определяемость означает, что набор признаков, каждый из которых сам по себе никого не идентифицирует, становится персональными данными, когда вместе позволяет установить человека: город плюс должность плюс год рождения плюс место работы.
- Оператор — государственный орган, юридическое или физическое лицо, которое организует и (или) осуществляет обработку данных.
- Обработка — любое действие: сбор, запись, хранение, уточнение, использование, передача, удаление. Хранение базы клиентов в таблице — уже обработка.
Из определения следует практический вывод: спор «а это вообще персональные данные?» почти всегда решается не перечнем, а вопросом «можно ли по этому набору установить человека». Если можно — значит да, со всеми обязанностями оператора.
Обычные персональные данные. Всё, что позволяет вас определить: имя, телефон, адрес, номер договора, история заказов.
Специальные категории (ст. 10). Раса и национальность, политические взгляды, религиозные и философские убеждения, состояние здоровья, интимная жизнь. Их обработка по общему правилу запрещена — кроме случаев, прямо перечисленных в законе, среди которых письменное согласие субъекта.
Биометрические данные (ст. 11). Сведения, характеризующие физиологические и биологические особенности человека, на основании которых устанавливается его личность. Обрабатываются по общему правилу при наличии письменного согласия.
Разница между этими тремя сортами — не академическая. За утечку обычных данных, специальных категорий и биометрии компания отвечает по-разному, и разница в деньгах кратная: подробный разбор сумм — в теме про утечку глазами компании.
Дальше нужен аккаунт
Прогресс и монеты сохранятся.