Что делать, если к моему номеру телефона привязали чужую банковскую карту и приходят сообщения, а банк не решает проблему?

Обработка вашего номера телефона по чужой карте неправомерна, и согласие доказывает банк

Номер телефона — это персональные данные (ст. 3 ФЗ № 152-ФЗ: любая информация, относящаяся к определённому или определяемому физическому лицу), а направление вам уведомлений по чужому банковскому продукту — обработка этих данных. Обработка допускается только при наличии законного основания.

Обработка персональных данных должна осуществляться с соблюдением принципов и правил, предусмотренных настоящим Федеральным законом. Обработка персональных данных допускается в следующих случаях: 1) обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных;
— п. 1 ст. 6 ФЗ № 152-ФЗ «О персональных данных»

Это означает: чтобы слать вам sms/пуши по чужой карте, банк должен иметь ваше конкретное, предметное, информированное и однозначное согласие либо иное основание из п. 2–11 ч. 1 ст. 6. При этом именно оператор обязан доказать наличие согласия — не вы.

Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным . Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. В случае получения согласия на обработку персональных данных от представителя субъекта персональных данных полномочия данного представителя на дачу согласия от имени субъекта персональных данных проверяются оператором. (В редакции Федерального закона от 14.07.2022 № 266-ФЗ) 2. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных. В случае отзыва субъектом персональных данных согласия на обработку персональных данных оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона. 3. Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных или доказательство наличия оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона, возлагается на оператора.
— п. 2, 3 ст. 9 ФЗ № 152-ФЗ «О персональных данных»

Практический вывод: бремя доказывания лежит на банке; достаточно письменно заявить, что согласия не давали, и потребовать прекратить обработку. Дополнительно действует общий запрет на использование информации о частной жизни без согласия.

Операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.
— ст. 7 ФЗ № 152-ФЗ «О персональных данных»

Если иное прямо не предусмотрено законом, не допускаются без согласия гражданина сбор, хранение, распространение и использование любой информации о его частной жизни, в частности сведений о его происхождении, о месте его пребывания или жительства, о личной и семейной жизни.
— п. 1 ст. 152.2 ГК РФ

Вывод: действия банка по использованию вашего номера телефона для чужой карты незаконны; согласия вы не давали и не обязаны его опровергать — бремя доказывания лежит на банке. Требование адресуется письменно банку-оператору.

Как заставить банк прекратить сообщения: сроки и порядок

При обращении с требованием о прекращении неправомерной обработки у банка возникает обязанность действовать в жёсткие сроки.

В случае выявления неправомерной обработки персональных данных при обращении субъекта персональных данных или его представителя либо по запросу субъекта персональных данных или его представителя либо уполномоченного органа по защите прав субъектов персональных данных оператор обязан осуществить блокирование неправомерно обрабатываемых персональных данных, относящихся к этому субъекту персональных данных, или обеспечить их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) с момента такого обращения или получения указанного запроса на период проверки. В случае выявления неточных персональных данных при обращении субъекта персональных данных или его представителя либо по их запросу или по запросу уполномоченного органа по защите прав субъектов персональных данных оператор обязан осуществить блокирование персональных данных, относящихся к этому субъекту персональных данных, или обеспечить их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) с момента такого обращения или получения указанного запроса на период проверки, если блокирование персональных данных не нарушает права и законные интересы субъекта персональных данных или третьих лиц. 2. В случае подтверждения факта неточности персональных данных оператор на основании сведений, представленных субъектом персональных данных или его представителем либо уполномоченным органом по защите прав субъектов персональных данных, или иных необходимых документов обязан уточнить персональные данные либо обеспечить их уточнение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в течение семи рабочих дней со дня представления таких сведений и снять блокирование персональных данных. 3. В случае выявления неправомерной обработки персональных данных, осуществляемой оператором или лицом, действующим по поручению оператора, оператор в срок, не превышающий трех рабочих дней с даты этого выявления, обязан прекратить неправомерную обработку персональных данных или обеспечить прекращение неправомерной обработки персональных данных лицом, действующим по поручению оператора. В случае, если обеспечить правомерность обработки персональных данных невозможно, оператор в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки персональных данных, обязан уничтожить такие персональные данные или обеспечить их уничтожение.
— п. 1, 3 ст. 21 ФЗ № 152-ФЗ «О персональных данных»

Отдельный механизм — отзыв согласия (согласия на обработку номера под чужую карту у вас нет, и оно отзывается одним заявлением):

В случае отзыва субъектом персональных данных согласия на обработку его персональных данных оператор обязан прекратить их обработку или обеспечить прекращение такой обработки (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий тридцати дней с даты поступления указанного отзыва
— п. 5 ст. 21 ФЗ № 152-ФЗ «О персональных данных»

Требовать этого вы вправе прямо как субъект персональных данных:

Субъект персональных данных вправе требовать от оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.
— п. 1 ст. 14 ФЗ № 152-ФЗ «О персональных данных»

У вас также есть право на доступ к сведениям о ваших данных; банк обязан ответить на письменный запрос в срок 10 рабочих дней:

Оператор обязан сообщить в порядке, предусмотренном статьей 14 настоящего Федерального закона, субъекту персональных данных или его представителю информацию о наличии персональных данных, относящихся к соответствующему субъекту персональных данных, а также предоставить возможность ознакомления с этими персональными данными при обращении субъекта персональных данных или его представителя либо в течение десяти рабочих дней с даты получения запроса субъекта персональных данных или его представителя.
— п. 1 ст. 20 ФЗ № 152-ФЗ «О персональных данных»

Что это значит: направьте банку письменную претензию (на юридический адрес или через официальную форму), в которой одновременно отзываете согласие, требуете прекратить обработку и удалить номер из чужого профиля, требуете письменно подтвердить меры. С даты получения претензии действуют сроки: 3–10 рабочих дней на устранение неправомерной обработки (п. 1, 3 ст. 21), 30 дней — по отзыву согласия (п. 5 ст. 21), 10 рабочих дней — на ответ о ваших данных (ст. 20). Устные обращения в чат эти сроки не запускают в полном объёме.

Вывод: правильная процедура — письменная претензия банку с отзывом согласия и требованием прекратить обработку; сроки ответа — 3–10 рабочих дней на устранение, 30 дней по отзыву согласия, 10 рабочих дней на запрос о данных.

Куда жаловаться при бездействии банка: Роскомнадзор, Банк России, прокуратура

Профильный орган по вашей ситуации — уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор), который рассматривает обращения о соответствии обработки данных закону.

Уполномоченным органом по защите прав субъектов персональных данных является федеральный орган исполнительной власти, осуществляющий самостоятельно функции по контролю и надзору за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных. (В редакции Федерального закона от 14.07.2022 № 266-ФЗ) 1 1 . (Дополнение частью - Федеральный закон от 22.02.2017 № 16-ФЗ) (Утратила силу - Федеральный закон от 11.06.2021 № 170-ФЗ) 2. Уполномоченный орган по защите прав субъектов персональных данных рассматривает обращения субъекта персональных данных о соответствии содержания персональных данных и способов их обработки целям их обработки и принимает соответствующее решение.
— ч. 1, 2 ст. 23 ФЗ № 152-ФЗ «О персональных данных»

рассматривать жалобы и обращения граждан или юридических лиц по вопросам, связанным с обработкой персональных данных, а также принимать в пределах своих полномочий решения по результатам рассмотрения указанных жалоб и обращений;
— п. 2 ч. 5 ст. 23 ФЗ № 152-ФЗ «О персональных данных»

Срок рассмотрения ваших обращений в госорганы — 30 дней:

Письменное обращение, поступившее в государственный орган, орган местного самоуправления или должностному лицу в соответствии с их компетенцией, рассматривается в течение 30 дней со дня регистрации письменного обращения
— ч. 1 ст. 12 ФЗ № 59-ФЗ «О порядке рассмотрения обращений граждан РФ»

Орган обязан принять меры к восстановлению прав, а не отписаться:

Государственный орган, орган местного самоуправления или должностное лицо: 1) обеспечивает объективное, всестороннее и своевременное рассмотрение обращения, в случае необходимости - с участием гражданина, направившего обращение; 2) запрашивает, в том числе в электронной форме, необходимые для рассмотрения обращения документы и материалы в других государственных органах, органах местного самоуправления и у иных должностных лиц, за исключением судов, органов дознания и органов предварительного следствия; (В редакции Федерального закона от 27.07.2010 № 227-ФЗ ) 3) принимает меры, направленные на восстановление или защиту нарушенных прав, свобод и законных интересов гражданина;
— п. 3 ч. 1 ст. 10 ФЗ № 59-ФЗ «О порядке рассмотрения обращений граждан РФ»

Параллельно, поскольку речь о банковской услуге, направьте обращение в Банк России (интернет-приёмная). Отметим также обязанность банка рассматривать заявления о спорах, связанных с электронным средством платежа:

Оператор по переводу денежных средств обязан информировать клиента о совершении каждой операции с использованием электронного средства платежа путем направления клиенту соответствующего уведомления в порядке, установленном договором с клиентом. 5. Оператор по переводу денежных средств обязан обеспечить возможность направления ему клиентом уведомления об утрате электронного средства платежа и (или) о его использовании без добровольного согласия клиента. (В редакции Федерального закона от 24.07.2023 № 369-ФЗ) 6. Оператор по переводу денежных средств обязан фиксировать направленные клиенту и полученные от клиента уведомления, а также хранить соответствующую информацию не менее трех лет. 7. Оператор по переводу денежных средств обязан предоставлять клиенту документы и информацию, которые связаны с использованием клиентом его электронного средства платежа, в порядке, установленном договором. 8. Оператор по переводу денежных средств обязан рассматривать заявления клиента, в том числе при возникновении споров, связанных с использованием клиентом его электронного средства платежа, а также предоставить клиенту возможность получать информацию о результатах рассмотрения заявлений, в том числе в письменной форме по требованию клиента, в срок, установленный договором, но не более 30 дней со дня получения таких заявлений
— ч. 4, 8 ст. 9 ФЗ № 161-ФЗ «О национальной платежной системе»

Что это значит: алгоритм — (1) письменная претензия банку; (2) при бездействии/отказе — жалоба в Роскомнадзор (обработка без согласия) и обращение в Банк России; (3) при игнорировании — жалоба в прокуратуру. Срок ответа по каждому обращению — до 30 дней. Приложите скриншоты ЛК и переписку с поддержкой.

Вывод: при отказе или молчании банка подаются жалобы в Роскомнадзор (персональные данные) и Банк России (банковское обслуживание), каждое рассматривается до 30 дней; прокуратура — при бездействии надзорных органов.

Административная ответственность банка за нарушение обработки данных

Обработка данных без законного основания наказуема по КоАП РФ.

Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частями 2, 11 - 18 настоящей статьи и статьей 17.13 настоящего Кодекса , если эти действия не содержат уголовно наказуемого деяния, - (В редакции федеральных законов от 11.06.2021 № 206-ФЗ, от 30.11.2024 № 420-ФЗ) влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц - от пятидесяти тысяч до ста тысяч рублей; на юридических лиц - от ста пятидесяти тысяч до трехсот тысяч рублей.
— ч. 1 ст. 13.11 КоАП РФ

Отдельно установлена ответственность за невыполнение законного требования субъекта об уточнении, блокировании или уничтожении незаконно полученных данных — ровно ваш случай при бездействии после претензии.

Невыполнение оператором в сроки, установленные законодательством Российской Федерации в области персональных данных, требования субъекта персональных данных или его представителя либо уполномоченного органа по защите прав субъектов персональных данных об уточнении персональных данных, их блокировании или уничтожении в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, - влечет наложение административного штрафа на граждан в размере от двух тысяч до четырех тысяч рублей; на должностных лиц - от восьми тысяч до двадцати тысяч рублей; на индивидуальных предпринимателей - от двадцати тысяч до сорока тысяч рублей; на юридических лиц - от пятидесяти тысяч до девяноста тысяч рублей.
— ч. 5 ст. 13.11 КоАП РФ

Что это значит: это инструмент давления. Указывая в жалобе в Роскомнадзор на ч. 1 или ч. 5 ст. 13.11 КоАП РФ, вы просите привлечь банк к ответственности за уже совершённое нарушение — штраф для юридического лица достигает 300 000 руб., что стимулирует банк быстро устранить проблему.

Вывод: банк может быть привлечён к административной ответственности по ч. 1 и (или) ч. 5 ст. 13.11 КоАП РФ (штраф для юрлица до 300 000 руб.) — самостоятельное основание для жалобы в Роскомнадзор.

Компенсация морального вреда и штраф за 3 месяца бесплодных обращений

Три месяца сообщений днём и ночью — нравственные страдания, которые вы вправе компенсировать по двум линиям: как потребитель и как субъект персональных данных.

Как потребитель банковской услуги:

Моральный вред, причиненный потребителю вследствие нарушения изготовителем (исполнителем, продавцом, уполномоченной организацией или уполномоченным индивидуальным предпринимателем, импортером) прав потребителя, предусмотренных законами и правовыми актами Российской Федерации, регулирующими отношения в области защиты прав потребителей, подлежит компенсации причинителем вреда при наличии его вины. Размер компенсации морального вреда определяется судом и не зависит от размера возмещения имущественного вреда. (В редакции федеральных законов от 17.12.1999 № 212-ФЗ; от 21.12.2004 № 171-ФЗ) Компенсация морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных потребителем убытков.
— ст. 15 Закона РФ № 2300-1 «О защите прав потребителей»

Как субъект персональных данных — по ФЗ № 152-ФЗ:

Моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных, установленных настоящим Федеральным законом, а также требований к защите персональных данных, установленных в соответствии с настоящим Федеральным законом, подлежит возмещению в соответствии с законодательством Российской Федерации. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков.
— ч. 2 ст. 24 ФЗ № 152-ФЗ «О персональных данных»

Плюс общая норма ГК РФ:

Если гражданину причинен моральный вред (физические или нравственные страдания) действиями, нарушающими его личные неимущественные права либо посягающими на принадлежащие гражданину нематериальные блага, а также в других случаях, предусмотренных законом, суд может возложить на нарушителя обязанность денежной компенсации указанного вреда.
— ст. 151 ГК РФ

Отдельно при неудовлетворении претензии добровольно взыскивается штраф 50%:

При удовлетворении судом требований потребителя, установленных законом, суд взыскивает с изготовителя (исполнителя, продавца, уполномоченной организации или уполномоченного индивидуального предпринимателя, импортера) за несоблюдение в добровольном порядке удовлетворения требований потребителя штраф в размере пятьдесят процентов от суммы, присужденной судом в пользу потребителя.
— п. 6 ст. 13 Закона РФ № 2300-1 «О защите прав потребителей»

Что это значит: компенсация морального вреда по ЗПП и ФЗ № 152-ФЗ взыскивается независимо от имущественных убытков; дополнительно — штраф 50% от присуждённой суммы. Чтобы штраф был взыскан, до суда нужна письменная претензия (иначе банк заявит, что не мог исполнить добровольно).

Вывод: вы вправе требовать компенсацию морального вреда (ст. 15 ЗПП, ч. 2 ст. 24 ФЗ № 152-ФЗ, ст. 151 ГК РФ) и штраф 50% (п. 6 ст. 13 ЗПП). Основание — письменная претензия и доказательства (скриншоты, переписка).

Есть ли у вас обязательства по чужой карте (риски отсутствуют)

За чужой продукт вы не отвечаете: обязательство не создаёт обязанностей для лиц, не участвующих в нём в качестве сторон.

Если каждая из сторон по договору несет обязанность в пользу другой стороны, она считается должником другой стороны в том, что обязана сделать в ее пользу, и одновременно ее кредитором в том, что имеет право от нее требовать. 3. Обязательство не создает обязанностей для лиц, не участвующих в нем в качестве сторон (для третьих лиц).
— п. 3 ст. 308 ГК РФ

Вы не открывали карту и не являетесь стороной отношений между банком и посторонним лицом — ни списаний с ваших счетов, ни требований по чужому долгу быть не может.

Оговорка о возможной развилке: если технически чужой продукт привязан так, что банк видит вас как «клиента» с вашим номером, единственный риск — возможные мошеннические операции с вашими данными. Поэтому в претензии требуйте не только удалить номер, но и письменно подтвердить, что с ним не связаны иные продукты, а также проверьте свою кредитную историю в БКИ.

Вывод: обязательств по чужой карте у вас не возникает — вы не сторона договора (п. 3 ст. 308 ГК РФ); ваш интерес — прекратить обработку данных и получить подтверждение об отсутствии других связанных продуктов.

Как блокировать сообщения прямо сейчас (временная мера)

Помимо претензии есть технические меры. Запрет на использование информации о частной жизни без согласия действует независимо от банковских процедур:

Операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.
— ст. 7 ФЗ № 152-ФЗ «О персональных данных»

Требуйте в претензии не просто «прекратить», а удалить ваш номер из анкеты/профиля чужого клиента — иначе банк формально прекратит рассылку, но номер останется в чужом договоре, и сообщения возобновятся.

Что это значит: до ответа банка настройте фильтр сообщений и фиксируйте ночные сообщения скриншотами с датой/временем — это усилит требование о компенсации морального вреда. Но техническая блокировка — временная мера; юридический эффект даёт письменная претензия об удалении данных.

Вывод: техническая блокировка отправителя — временная мера; окончательное решение — письменное требование банку удалить ваш номер из чужого профиля с последующей жалобой в Роскомнадзор.

Если банк не исполняет в срок: иск в суд

При полном бездействии банка спор рассматривается судом. Иск предъявляется по вашему выбору, в том числе по месту вашего жительства (ст. 17 Закона о защите прав потребителей). Требования потребителя о нарушении его прав, по общему правилу, госпошлиной при цене иска до 1 000 000 руб. не облагаются (льгота по ст. 333.36 НК РФ).

Что это значит: предмет иска — (1) обязать банк прекратить обработку и удалить ваш номер из чужого профиля; (2) взыскать компенсацию морального вреда (ст. 151 ГК РФ, ст. 15 ЗПП, ч. 2 ст. 24 ФЗ № 152-ФЗ); (3) взыскать штраф 50% (п. 6 ст. 13 ЗПП); (4) судебные расходы. Досудебный порядок не обязателен, но письменная претензия нужна как доказательство и условие штрафа 50%.

По цене иска до 100 000 руб. дело рассматривает мировой судья, при большей сумме — районный суд; в обоих случаях подсудность определяется с учётом права потребителя подать иск по месту жительства (ст. 17 ЗПП), и именно это правило одинаково применяется в обеих инстанциях.

Вывод: вы вправе подать иск в суд по своему месту жительства (ст. 17 ЗПП) об обязании прекратить обработку и удалить номер, о взыскании морального вреда и штрафа 50%, без уплаты госпошлины по требованиям до 1 000 000 руб. К иску приложите скриншоты ЛК и переписку с поддержкой.