Масштаб проблемы: цифры

По данным компании InfoWatch, в 2024 году в России произошло более 370 публичных утечек персональных данных. В открытый доступ попало свыше 1,4 млрд записей — имена, телефоны, email, адреса, паспортные данные. Крупнейшие утечки: СДЭК, «Яндекс.Еда», «Буквоед», ряд банков и медицинских сервисов.

Ваши данные, скорее всего, уже есть в одной из таких баз. Вопрос не в «если», а в «что с этим делать».

Как проверить утечку своих данных

1. Have I Been Pwned (haveibeenpwned.com)

Международный сервис Троя Ханта — крупнейшая открытая база утечек. Введите свой email — узнаете в каких базах он засветился, когда и что именно утекло (пароль, телефон, адрес).

Как пользоваться: зайдите на haveibeenpwned.com → введите email → сервис покажет список утечек с датами и типами данных. Проверьте все свои email-адреса. Сервис хранит только хэши паролей, не сами пароли — он безопасен.

2. Российские базы и Telegram-боты

Telegram-бот @GetContact — показывает как вас записали в чужих телефонных книгах. Сервис «Прозрачный бизнес» (pb.nalog.ru) — для проверки данных ИП. Сайт «Проверка данных» на Госуслугах — запросы в БКИ.

3. Мониторинг даркнета

Google One (платная подписка) и Norton включают функцию мониторинга даркнета по email. Альтернатива — Mozilla Monitor (monitor.mozilla.org) — бесплатный мониторинг утечек с уведомлениями.

Что значат разные типы утечек

Ваши права по 152-ФЗ

Федеральный закон «О персональных данных» (152-ФЗ) даёт вам ряд важных прав:

• Право знать кто и как обрабатывает ваши данные (ст. 14);
• Право на удаление — требовать удалить ваши данные у оператора (ст. 21);
• Право отозвать согласие на обработку персданных (ст. 9);
• Право на доступ — получить информацию о своих данных у оператора (ст. 14).

При утечке по вине оператора (компании, которой вы давали данные) — вы можете требовать компенсацию морального вреда через суд. С 2022 года штрафы для операторов значительно выросли: до 500 000 руб за первичную утечку и до 3% от оборота за повторную.

Куда жаловаться: пошаговый план

Шаг 1: Фиксация факта

Сделайте скриншоты: страница haveibeenpwned.com с результатом, сообщения о компрометации, письма от сервисов об утечке. Сохраните с датой и временем.

Шаг 2: Немедленные защитные действия

• Смените пароль на скомпрометированном сервисе и везде где использовали тот же пароль;
• Если утекли данные карты — перевыпустить карту в банке (бесплатно);
• Включите двухфакторную аутентификацию на важных аккаунтах.

Шаг 3: Жалоба в Роскомнадзор

Роскомнадзор — регулятор в сфере персональных данных в России. Жалоба подаётся на rkn.gov.ru → «Подать обращение» → «Нарушение закона о персональных данных».

Укажите: название компании-оператора, ваши данные которые утекли, доказательства (скриншоты). РКН проведёт проверку и при нарушениях — выпишет штраф оператору.

Шаг 4: Обращение к оператору

Письменное заявление в компанию (откуда утекли данные) с требованием: подтвердить факт утечки; уточнить какие именно данные скомпрометированы; принять меры по минимизации последствий; уведомить Роскомнадзор (обязанность оператора по ч. 3.1 ст. 21 152-ФЗ — в течение 72 часов). Оператор обязан ответить в течение 30 дней.

Шаг 5: Суд при реальном ущербе

Если из-за утечки вам оформили займ, сим-карту или произошло хищение — подавайте иск о возмещении ущерба и компенсации морального вреда. Суды присуждают компенсацию 5 000–50 000 руб при доказанной причинно-следственной связи. Юрист по персданным поможет собрать доказательную базу.

Если на вас оформили займ или кредит по утечке

1. Запросите кредитную историю в БКИ (бесплатно 2 раза в год на Госуслугах или сайте НБКИ);
2. При обнаружении чужого займа — немедленно обратитесь в МФО/банк с заявлением о мошенничестве;
3. Подайте заявление в полицию (факт мошенничества — ст. 159 УК РФ);
4. Направьте в БКИ заявление об оспаривании записи с приложением постановления полиции;
5. Оспаривать займ через суд — при отказе МФО урегулировать добровольно.

Мария Фёдорова: «Займы по чужим паспортным данным — огромная проблема. МФО не всегда тщательно верифицируют заёмщика. При таком мошенничестве действовать нужно быстро: первые 72 часа критически важны для блокировки сделки до её «созревания».

Профилактика: как минимизировать ущерб от будущих утечек

• Уникальные пароли — каждый сервис свой пароль. Менеджер паролей Bitwarden (бесплатный) хранит их зашифрованно;
• Временные email — для регистраций на малозначимых сервисах используйте временные адреса (10minutemail.com, guerrillamail.com);
• Минимум данных — не указывайте паспортные данные там где это необязательно;
• Мониторинг кредитной истории — подпишитесь на уведомления об изменениях в НБКИ или ОКБ;
• Оповещения об операциях — СМС или push о каждой транзакции по карте;
• Разные карты — отдельная карта для онлайн-покупок с лимитом суммы.

FAQ: персональные данные и утечки

Могу ли я потребовать удалить мои данные из поисковых систем?

Да — это «право на забвение» (ст. 10.3 ФЗ «Об информации»). Вы можете потребовать у Яндекса и Google удалить ссылки на информацию о себе если она устаревшая, недостоверная или нарушает ваши права. Форма на яндекс.ру/support (поиск → «забвение»), у Google — ещё проще. Поисковик рассматривает запрос в течение 10 рабочих дней.

Компания разослала мои данные третьим лицам без согласия — это нарушение?

Да. Передача персданных третьим лицам без вашего согласия нарушает ст. 6 152-ФЗ (если не предусмотрено законом или договором). Исключения: госорганы по запросу, исполнение договора. Жалоба в РКН, иск о возмещении морального вреда.

Что делать если телефон стали заваливать спамом после утечки?

1) Подключить сервис блокировки спама (встроен в iOS и Android, или приложение «Яндекс»). 2) Зарегистрироваться в реестре «Не звонить» (у части операторов). 3) На жалобы ФАС — если нарушается закон о рекламе (реклама без согласия — ст. 18 ФЗ «О рекламе», штраф для рекламодателя до 500 000 руб). 4) Подать иск на организацию которая рекламирует при идентификации — компенсация 5 000–10 000 руб.

Обязан ли я соглашаться с «политикой конфиденциальности» при установке приложений?

Формально — да, иначе приложение не работает. Но у вас есть право позднее отозвать согласие на маркетинговые рассылки и передачу данных партнёрам — в настройках аккаунта или через запрос в поддержку. Обязательная обработка (исполнение договора) — не требует отдельного согласия, отозвать нельзя.

Сколько лет компания может хранить мои данные?

152-ФЗ требует хранить данные не дольше цели их обработки. Если вы удалили аккаунт — данные должны быть уничтожены в течение 30 дней (если нет законного основания хранить дольше). Бухгалтерские и налоговые данные — 5 лет. Данные по договору — срок исковой давности (3 года после исполнения). Требуйте удаления через запрос, при отказе — жалоба в РКН.