Образец претензии: Утечка персональных данных

Кому: ООО «Пример»
ИНН 7701234567, ОГРН 1027700123456
Адрес: 101000, г. Москва, ул. Деловая, д. 10, оф. 5

От: Иванов Иван Иванович
Адрес: 123456, г. Москва, ул. Примерная, д. 1, кв. 1
Телефон: +7 (915) 123-45-67
E-mail: ivanov@example.com
Паспорт: 45 12 345678, выдан 12.03.2015 ОУФМС России по г. Москве по району Тверской

ТРЕБОВАНИЕ
о предоставлении сведений об обработке персональных данных,
о прекращении обработки и об уничтожении персональных данных

Я являюсь субъектом персональных данных. ООО «Пример» (далее — оператор) обрабатывает мои персональные данные в связи с моим участием в отношениях с оператором: договор (учётная запись) № 2026-0457 от 10.02.2026. Оператору переданы фамилия, имя, отчество, номер телефона +7 (915) 123-45-67, адрес электронной почты ivanov@example.com, адрес доставки и сведения о заказах.

05.03.2026 мне стало известно, что персональные данные клиентов оператора оказались доступны третьим лицам. Источник сведений: сообщение в СМИ о публикации базы клиентов сервиса и проверка адреса электронной почты через сервис мониторинга утечек. По имеющимся у меня сведениям, утечка затрагивает и мои персональные данные. Объём затронутых данных, их источник и круг получателей известны только оператору.

Согласно ст. 19 ФЗ-152 оператор обязан принимать правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, копирования, предоставления и распространения. Доступ третьих лиц к данным клиентов означает, что эти меры оказались недостаточными.

В силу ч. 7 ст. 14 ФЗ-152 субъект вправе получить информацию об обработке своих персональных данных: о правовых основаниях и целях, об обрабатываемых данных и источнике их получения, о лицах, которые имеют к ним доступ или которым они могут быть раскрыты, о сроках обработки и хранения, о трансграничной передаче. Сведения предоставляются в срок, не превышающий 10 (десяти) рабочих дней с даты получения запроса, с продлением не более чем на 5 (пять) рабочих дней по мотивированному уведомлению (ч. 3 ст. 14, ч. 1 ст. 20 ФЗ-152). Отказ допускается только по основаниям ч. 8 ст. 14 и должен быть мотивированным (ч. 2 ст. 20 ФЗ-152).

При выявлении неправомерной обработки оператор обязан прекратить её в срок не более 3 (трёх) рабочих дней, а при невозможности обеспечить правомерность — уничтожить данные в срок не более 10 (десяти) рабочих дней, уведомив субъекта (ч. 3 ст. 21 ФЗ-152). Прекращение обработки по требованию субъекта — 10 (десять) рабочих дней, кроме случаев п. 2–11 ч. 1 ст. 6, ч. 2 ст. 10 и ч. 2 ст. 11 ФЗ-152 (ч. 5.1 ст. 21 ФЗ-152). При установлении факта неправомерной или случайной передачи данных оператор обязан уведомить уполномоченный орган по защите прав субъектов персональных данных в течение 24 часов об инциденте и в течение 72 часов о результатах внутреннего расследования (ч. 3.1 ст. 21 ФЗ-152).

Настоящее обращение является юридически значимым сообщением (ст. 165.1 ГК РФ).

На основании изложенного, руководствуясь ч. 3 и ч. 7 ст. 14, ст. 19, ст. 20 и ст. 21 ФЗ-152, ТРЕБУЮ в течение 10 (десяти) рабочих дней с момента получения настоящего требования:

1) Предоставить сведения по ч. 7 ст. 14 ФЗ-152: перечень обрабатываемых моих данных и источник их получения; правовые основания и цели обработки; сроки обработки и хранения; лиц, которым данные были или могут быть раскрыты; сведения о трансграничной передаче.
2) Сообщить, затронуты ли мои персональные данные выявленным инцидентом, и если да — какие именно и в каком объёме.
3) Подтвердить с указанием даты, направлялось ли уведомление в уполномоченный орган по защите прав субъектов персональных данных в порядке ч. 3.1 ст. 21 ФЗ-152.
4) Прекратить обработку моих персональных данных, кроме данных, обработка которых обязательна для оператора в силу закона.
5) Уничтожить мои персональные данные, сохранение которых более не требуется для целей обработки, и письменно подтвердить уничтожение.
6) Принять разумные меры для уведомления третьих лиц, которым мои данные были переданы, о прекращении обработки и об уничтожении данных (ч. 3 ст. 20 ФЗ-152).
7) Письменно уведомить меня об исполнении по адресу: 123456, г. Москва, ул. Примерная, д. 1, кв. 1 либо ivanov@example.com.

Если у оператора есть законное основание продолжать обработку части данных (п. 2–11 ч. 1 ст. 6 ФЗ-152), прошу письменно сообщить, какие данные, на каком основании и в течение какого срока будут обрабатываться.

При неисполнении настоящего требования я обращусь:
— в Роскомнадзор с жалобой на нарушение требований к защите персональных данных и на непредоставление сведений — для проверки и привлечения оператора к ответственности по ст. 13.11 КоАП РФ: она предусматривает отдельные составы за неправомерную передачу персональных данных и за неуведомление надзорного органа об инциденте;
— в суд по моему месту жительства (ч. 6.1 ст. 29 ГПК РФ) с требованием о прекращении обработки и об уничтожении данных, а также о компенсации морального вреда (ст. 24 ФЗ-152), который возмещается независимо от возмещения имущественного вреда.

1. Копия документа, подтверждающего отношения с оператором (договор, учётная запись), — на 2 листах.
2. Копии материалов, из которых стало известно об утечке, — на 2 листах.

Требование направляется заказным письмом с описью вложения и уведомлением о вручении (ст. 165.1 ГК РФ); дополнительно — через официальную форму обращений оператора.

Дата: 20.03.2026

Подпись: ________________ / Иванов Иван Иванович