Утечка данных из МФО — не частная неприятность компании. Она обязана уведомить Роскомнадзор в течение 24 часов, а вы вправе требовать компенсацию морального вреда независимо от имущественного ущерба.
Сначала звонки с незнакомых номеров. Потом сообщения о займах, которых вы не брали. Потом новость о базе, выложенной в сеть.
Связь между этими событиями прямая, и закон в такой ситуации на вашей стороне.
Какие данные о вас хранит микрофинансовая компания
Объём больше, чем кажется по анкете.
Это паспортные данные, СНИЛС и ИНН, адреса регистрации и проживания, номер телефона и электронная почта. Плюс сведения о доходе, месте работы и реквизиты карты, на которую уходили деньги.
Отдельно хранится история обращений: когда подавали заявку, что одобрили, какие суммы гасили и когда допускали просрочку.
Обрабатывать всё это компания вправе и без отдельного согласия. Закон разрешает обработку, которая нужна для исполнения договора и для исполнения обязанностей самого оператора (пп. 2 и 5 ч. 1 ст. 6 152-ФЗ).
Разрешение при этом не безусловное. Оно покрывает только те данные и те цели, без которых договор не исполнить, — всё сверх этого требует вашего согласия.
Такой набор ценен для мошенника целиком. По нему собирают убедительный звонок «из службы безопасности» и оформляют займы в других компаниях.
Что компания обязана сделать в первые сутки
Здесь у закона жёсткий таймер.
При выявлении неправомерной передачи персональных данных оператор уведомляет Роскомнадзор в течение 24 часов. В уведомлении указывают сведения об инциденте, его предполагаемые причины и предполагаемый вред. Плюс принятые меры и контакты ответственного лица (ч. 3.1 ст. 21 152-ФЗ).
Второй срок — 72 часа. За это время оператор сообщает о результатах внутреннего расследования и о лицах, действия которых стали причиной инцидента, если такие лица установлены.
Сроки короткие намеренно. Чем раньше регулятор знает о базе в сети, тем быстрее её ограничивают в распространении.
Обязанность уведомить вас лично в этой норме не установлена. Компании обычно рассылают сообщения сами, но ждать письма не стоит.
Сколько это стоит компании
С мая 2025 года штрафы за утечки перестали быть символическими.
Крупные утечки наказываются штрафом от 3 до 15 млн рублей для юридического лица. Если утекли специальные категории данных или биометрия — от 10 до 20 млн рублей (ст. 13.11 КоАП).
Повторное нарушение переводит штраф в оборотный. Это от 1 до 3 процентов совокупного размера годовой выручки, но не менее 20 млн и не более 500 млн рублей. Для утечки специальных данных нижняя граница выше — 25 млн.
Нормы введены законом от 30.11.2024 № 420-ФЗ и применяются с 30 мая 2025 года.
Появилась и уголовная статья — незаконные использование, передача, сбор и хранение персональных данных (ст. 272.1 УК, введена законом от 30.11.2024 № 421-ФЗ). По первой части наказание доходит до четырёх лет лишения свободы.
Что вправе требовать вы
Штрафы уходят в бюджет, а не вам. Ваши права описаны отдельно.
Субъект персональных данных вправе обжаловать действия оператора в Роскомнадзор или в суд. Там же закреплено право на возмещение убытков и компенсацию морального вреда (ст. 17 152-ФЗ).
Отдельно оговорено главное. Моральный вред возмещается независимо от возмещения имущественного вреда и понесённых убытков (ст. 24 152-ФЗ).
Читается это так: доказывать финансовые потери не обязательно. Достаточно факта нарушения и ваших переживаний по его поводу.
Суммы компенсаций по таким делам обычно скромные. Но иск дешёвый, а факт нарушения при утечке данных из МФО подтверждается материалами проверки регулятора.
Как понять, что утекли именно ваши данные
Прямого уведомления может не быть, поэтому проверяют косвенно.
Резкий рост звонков и сообщений. Особенно от компаний, с которыми вы дела не имели. Массовая рассылка по свежей базе выглядит именно так.
Обращения за займами в кредитном отчёте. Информационная часть кредитной истории показывает заявки, в том числе отклонённые. Чужие обращения там видны.
Коды подтверждения без вашего участия. СМС с одноразовым паролем, которого вы не запрашивали, означает, что кто-то дошёл до финального шага.
Письма о смене пароля или привязке карты. Уведомления из личного кабинета, которых вы не инициировали.
Ни один признак сам по себе доказательством не служит. Но два подряд — повод действовать так, будто утечка произошла.
Шесть шагов в первые дни
- Смените пароль в личном кабинете компании и везде, где использовали тот же пароль.
- Закажите кредитный отчёт во всех своих бюро — список даёт Центральный каталог кредитных историй через Госуслуги.
- Проверьте информационную часть отчёта: там видны обращения за займами, в том числе чужие.
- Установите самозапрет на кредиты и займы — он блокирует оформление на ваше имя.
- Направьте в компанию письменное обращение: что произошло, какие ваши данные затронуты, какие меры приняты.
- Подайте жалобу в Роскомнадзор через его сайт, приложив ответ компании или отметку о его отсутствии.
Четвёртый шаг — самый действенный. Он закрывает главный сценарий ущерба, а не устраняет последствия.
Как отозвать согласие и что это даст
Отзыв согласия — инструмент ограниченный, и важно понимать его границы.
Согласие на обработку может быть отозвано, и обработка прекращается в срок не более тридцати дней с даты поступления отзыва (ч. 2 ст. 9 и ч. 5 ст. 21 152-ФЗ). Тот же срок покрывает и уничтожение данных.
Но уничтожение происходит, только если сохранение данных больше не требуется для целей обработки. Пока договор действует или пока не истекли сроки хранения по закону, часть сведений останется.
Есть и обязанность, которую отзыв не отменяет. Сведения о ваших обязательствах компания передаёт в бюро кредитных историй без согласия — это прямое требование закона.
Отзыв согласия работает против рекламы и лишних рассылок. Против записей в кредитной истории он не работает вовсе.
Чего утечка данных из МФО не отменяет
Разберём частое заблуждение, чтобы на нём не строить планов.
Долг остаётся. Нарушение компанией правил обработки данных не прекращает ваше обязательство по договору.
Договор не становится недействительным. Это разные основания и разные нормы.
Проценты продолжают начисляться. До предела в 100% от суммы займа, установленного законом.
Кредитная история не очищается. Достоверные записи аннулируются только по основаниям из закона, и утечки среди них нет.
История: база в сети и два займа на чужое имя
Человек узнаёт из новостей, что база клиентов компании, где он год назад брал заём, оказалась в открытом доступе. Через неделю ему звонят из другой МФО и спрашивают о просрочке.
Он заказывает кредитные отчёты во всех бюро. В информационной части видны два обращения за займами, которых он не делал, и один выданный заём на 30 000 рублей.
Дальше он действует по порядку: самозапрет, заявление в полицию, обращение к кредитору с требованием признать договор незаключённым по безденежности, жалоба в Роскомнадзор на исходную компанию.
Заём аннулируется: доказательств передачи денег именно ему компания не представила. По жалобе регулятор проводит проверку и подтверждает факт инцидента.
С этим подтверждением он подаёт иск о компенсации морального вреда. Сумма получилась небольшой, но доказывать имущественные потери не пришлось.
Три вещи, которые стоит запомнить
У компании 24 часа. Уведомление регулятора — обязанность, а не добрая воля.
Моральный вред не требует доказывать убытки. Это прямо написано в законе.
Самозапрет важнее жалобы. Он останавливает ущерб, пока разбирательство идёт.
Частые вопросы
Что делать в первую очередь, если утекли мои данные?
Сменить пароли и установить самозапрет на кредиты. Потом заказать кредитные отчёты и проверить информационную часть на чужие обращения.
Можно ли получить компенсацию за утечку данных из МФО?
Да, через суд. Моральный вред возмещается независимо от имущественного ущерба, доказывать финансовые потери не нужно.
Сколько времени у компании на уведомление Роскомнадзора?
24 часа на сообщение о самом инциденте и 72 часа на результаты внутреннего расследования.
Освободит ли утечка от уплаты долга?
Нет. Нарушение правил обработки персональных данных и обязательства по договору займа — разные вещи.
Материал носит информационный характер и не является индивидуальной финансовой или юридической рекомендацией. Условия займов уточняйте у конкретных организаций; правовые нормы приведены на дату публикации.
