Законно ли получать личные данные через Telegram-бота и как наказать виновных в утечке

Законно ли создание и использование такого «пробивочного» бота без согласия клиента

Нет, это неправомерно. Выданная ботом информация (ФИО, дата рождения, возраст, адрес регистрации, сведения о поездках и «сетях») — это персональные данные клиента: под них подпадает «любая информация, относящаяся к прямо или косвенно определенному физическому лицу».

1. персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных); 1 1 ) персональные данные, разрешенные субъектом персональных данных для распространения, - персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном настоящим Федеральным законом; (Дополнение пунктом - Федеральный закон от 30.12.2020 № 519-ФЗ ) 2) оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными; 3) обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных; 4) автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники; 5) распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц; 6) предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
   — п. 1, 2, 3, 5, 6 ст. 3 ФЗ «О персональных данных»

Сбор, хранение, систематизация, извлечение и предоставление этих данных ботом — это «обработка персональных данных», а лицо, которое организует такую обработку и определяет её цели, является «оператором» (то есть отвечает по закону как оператор, даже если формально нигде не зарегистрировано).

1. Обработка персональных данных должна осуществляться с соблюдением принципов и правил, предусмотренных настоящим Федеральным законом. Обработка персональных данных допускается в следующих случаях: 1) обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных;
   — п. 1 ч. 1 ст. 6 ФЗ «О персональных данных»

Обработка допускается, по общему правилу, только с согласия субъекта персональных данных. Бот работает по чужому номеру телефона и выдаёт сведения постороннему лицу без какого-либо согласия клиента — ни одно из предусмотренных законом исключений (исполнение договора, законные интересы и т.п.) к «пробиву» не применимо.

1. Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным . Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. Согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект персональных данных. В случае получения согласия на обработку персональных данных от представителя субъекта персональных данных полномочия данного представителя на дачу согласия от имени субъекта персональных данных проверяются оператором. (В редакции федеральных законов от 14.07.2022 № 266-ФЗ , от 24.06.2025 № 156-ФЗ ) 2. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных. В случае отзыва субъектом персональных данных согласия на обработку персональных данных оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона. 3. Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных или доказательство наличия оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона, возлагается на оператора.
   — ч. 1, 3 ст. 9 ФЗ «О персональных данных»

Более того, согласие должно быть «конкретным, предметным, информированным, сознательным и однозначным», и обязанность доказать его получение лежит на операторе; в рассматриваемом случае никакого согласия не было вовсе.

Дополнительно подчеркну: то, что человек просто зарегистрирован где-то (оператор связи, банк, соцсети), не означает его согласия на передачу данных любому стороннему боту. Само существование и работа такого бота — это самостоятельное нарушение уже на этапе сбора и хранения данных.

Вывод: работа бота по «пробиву» без согласия субъекта данных неправомерна и квалифицируется прежде всего как нарушение законодательства о персональных данных (ст. 6, 9 ФЗ «О персональных данных»), а при соответствующих обстоятельствах — как уголовно наказуемое деяние (см. ниже).

Какая ответственность грозит создателям ботов и тем, кто сливает базы

Главный состав, специально введённый именно против «слива» баз и создания ботов, — ст. 272.1 УК РФ (в редакции ФЗ от 30.11.2024 № 421-ФЗ). Часть 1 охватывает незаконный оборот полученной незаконным путём компьютерной информации с персональными данными:

1. Незаконные использование и (или) передача (распространение, предоставление, доступ), сбор и (или) хранение компьютерной информации, содержащей персональные данные, полученной путем неправомерного доступа к средствам ее обработки, хранения или иного вмешательства в их функционирование либо иным незаконным путем, за исключением деяний, совершенных в отношении компьютерной информации, содержащей персональные данные, предусмотренные частью второй настоящей статьи, - наказываются штрафом в размере до трехсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до одного года, либо принудительными работами на срок до четырех лет, либо лишением свободы на тот же срок. 2. Те же деяния, совершенные в отношении компьютерной информации, содержащей персональные данные несовершеннолетних лиц, специальные категории персональных данных и (или) биометрические персональные данные, - наказываются штрафом в размере до семисот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до двух лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до двух лет или без такового, либо принудительными работами на срок до пяти лет, либо лишением свободы на тот же срок. 3. Деяния, предусмотренные частью первой или второй настоящей статьи, совершенные: а) из корыстной заинтересованности; б) с причинением крупного ущерба; в) группой лиц по предварительному сговору;
   — ч. 1 ст. 272.1 УК РФ

Часть 6 — это прямо про создателя бота: уголовно наказуемо именно «создание и (или) обеспечение функционирования информационного ресурса (сайта…, информационной системы, программы для ЭВМ), заведомо предназначенного для незаконных хранения, передачи… компьютерной информации, содержащей персональные данные, полученные незаконным путём». Telegram-бот — это как раз программа для ЭВМ, обеспечивающая такое распространение.

1. Создание и (или) обеспечение функционирования информационного ресурса (сайта в сети "Интернет" и (или) страницы сайта в сети "Интернет", информационной системы, программы для электронных вычислительных машин), заведомо предназначенного для незаконных хранения, передачи (распространения, предоставления, доступа) компьютерной информации, содержащей персональные данные, полученной незаконным путем, - наказываются штрафом в размере до семисот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до двух лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до двух лет или без такового, либо принудительными работами на срок до пяти лет со штрафом в размере до семисот тысяч рублей или иного дохода осужденного за период до двух лет и с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до двух лет или без такового, либо лишением свободы на срок до пяти лет со штрафом в размере до семисот тысяч рублей или иного дохода осужденного за период до двух лет и с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до двух лет или без такового. Примечания. 1. Действие настоящей статьи не распространяется на случаи обработки персональных данных физическими лицами исключительно для личных и семейных нужд. 2.
   — ч. 6 ст. 272.1 УК РФ

Для ч. 6 ст. 272.1 УК РФ достаточно самого факта создания/поддержания такого ресурса, предназначенного для раздачи незаконно полученных данных, — заведомой цели; не требуется доказывать, что ущерб причинён именно клиенту. Наказание — до 5 лет лишения свободы. При этом отягчающими являются корыстная заинтересованность (продажа подписок/запросов), группа лиц, служебное положение (среди «сливщиков» часто сотрудники операторов, банков, госорганов) — ч. 3 — до 6 лет; при трансграничной передаче — ч. 4 — до 8 лет.

Важная новелла — примечание 1 к ст. 272.1 ограничивает действие статьи лишь случаями обработки данных «исключительно для личных и семейных нужд»; «пробивочный» бот к таким случаям не относится.

Смежный состав — ч. 1 ст. 137 УК РФ (нарушение неприкосновенности частной жизни), но он применяется субсидиарно («за исключением случаев, предусмотренных статьей 272.1»): адрес регистрации, сведения о выездах, дата рождения — это сведения о частной жизни, составляющие личную тайну.

1. Незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия либо распространение этих сведений в публичном выступлении, публично демонстрирующемся произведении или средствах массовой информации , за исключением случаев, предусмотренных статьей 272 1 настоящего Кодекса, -
   — ч. 1 ст. 137 УК РФ

Наконец, если бот или его владелец требует оплату (подписку, «продление») под угрозой дальнейшего распространения уже «пробитых» данных клиента, это образует вымогательство:

1. Вымогательство, то есть требование передачи чужого имущества или права на имущество или совершения других действий имущественного характера под угрозой применения насилия либо уничтожения или повреждения чужого имущества, а равно под угрозой распространения сведений, позорящих потерпевшего или его близких, либо иных сведений, которые могут причинить существенный вред правам или законным интересам потерпевшего или его близких, -
   — ч. 1 ст. 163 УК РФ

Такое же требование «купи, иначе твои данные останутся в открытом доступе / пойдут третьим лицам» — это угроза распространения сведений, которые могут причинить существенный вред правам потерпевшего, то есть ч. 1 ст. 163 УК РФ.

Административная ответственность (когда признаки преступления не установлены) — ч. 1 и ч. 2 ст. 13.11 КоАП РФ:

1. Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частями 2, 11 - 18 настоящей статьи и статьей 17.13 настоящего Кодекса , если эти действия не содержат уголовно наказуемого деяния, - (В редакции федеральных законов от 11.06.2021 № 206-ФЗ, от 30.11.2024 № 420-ФЗ) влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц - от пятидесяти тысяч до ста тысяч рублей; на юридических лиц - от ста пятидесяти тысяч до трехсот тысяч рублей.
   — ч. 1 ст. 13.11 КоАП РФ

1. Обработка персональных данных без согласия в письменной форме субъекта персональных данных на обработку его персональных данных в случаях, когда такое согласие должно быть получено в соответствии с законодательством Российской Федерации в области персональных данных, за исключением случаев, предусмотренных статьей 17.13 настоящего Кодекса, если эти действия не содержат уголовно наказуемого деяния, либо обработка персональных данных с нарушением установленных законодательством Российской Федерации в области персональных данных требований к составу сведений, включаемых в согласие в письменной форме субъекта персональных данных на обработку его персональных данных, - (В редакции Федерального закона от 11.06.2021 № 206-ФЗ) влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц - от ста тысяч до трехсот тысяч рублей; на юридических лиц - от трехсот тысяч до семисот тысяч рублей.
   — ч. 2 ст. 13.11 КоАП РФ

Вывод: для «сливщиков» баз и создателей таких ботов основная ответственность — уголовная по ч. 1 и ч. 6 ст. 272.1 УК РФ (до 5–8 лет лишения свободы при отягчающих обстоятельствах), при требовании оплаты под угрозой — дополнительно ст. 163 УК РФ; в случаях без признаков преступления — административная по ч. 1, 2 ст. 13.11 КоАП РФ. Субсидиарно к случаям, не охваченным ст. 272.1, применяется ч. 1 ст. 137 УК РФ.

Гражданско-правовая защита: удаление данных, компенсация морального вреда, убытки

Независимо от уголовной/административной линии у клиента есть самостоятельные гражданско-правовые требования. Право на охрану частной жизни прямо защищено ГК РФ — сбор, хранение, распространение и использование информации о частной жизни (включая сведения о месте жительства) без согласия гражданина не допускаются:

1. Если иное прямо не предусмотрено законом, не допускаются без согласия гражданина сбор, хранение, распространение и использование любой информации о его частной жизни, в частности сведений о его происхождении, о месте его пребывания или жительства, о личной и семейной жизни.
   — п. 1 ст. 152.2 ГК РФ

Если информация получена с нарушением закона, гражданин вправе через суд требовать её удаления и запрета дальнейшего распространения с изъятием и уничтожением носителей:

1. В случаях, когда информация о частной жизни гражданина, полученная с нарушением закона, содержится в документах, видеозаписях или на иных материальных носителях, гражданин вправе обратиться в суд с требованием об удалении соответствующей информации, а также о пресечении или запрещении дальнейшего ее распространения путем изъятия и уничтожения без какой бы то ни было компенсации изготовленных в целях введения в гражданский оборот экземпляров материальных носителей, содержащих соответствующую информацию, если без уничтожения таких экземпляров материальных носителей удаление соответствующей информации невозможно.
   — п. 4 ст. 152.2 ГК РФ

Компенсация морального вреда — поскольку нарушены личные неимущественные права, суд может возложить на нарушителя обязанность денежной компенсации:

Если гражданину причинен моральный вред (физические или нравственные страдания) действиями, нарушающими его личные неимущественные права либо посягающими на принадлежащие гражданину нематериальные блага, а также в других случаях, предусмотренных законом, суд может возложить на нарушителя обязанность денежной компенсации указанного вреда. (В редакции Федерального закона от 02.07.2013 № 142-ФЗ) При определении размеров компенсации морального вреда суд принимает во внимание степень вины нарушителя и иные заслуживающие внимания обстоятельства. Суд должен также учитывать степень физических и нравственных страданий, связанных с индивидуальными особенностями гражданина, которому причинен вред.
— ст. 151 ГК РФ

Также субъект персональных данных вправе требовать через уполномоченный орган и через суд защиты прав, возмещения убытков и компенсации морального вреда:

1. Если субъект персональных данных считает, что оператор осуществляет обработку его персональных данных с нарушением требований настоящего Федерального закона или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке. 2. Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.
   — ст. 17 ФЗ «О персональных данных», п. 1

Механизм удаления данных: оператор обязан прекратить неправомерную обработку в срок до 3 рабочих дней, а при невозможности обеспечить её правомерность — уничтожить данные в срок до 10 рабочих дней, с уведомлением субъекта:

1. В случае выявления неправомерной обработки персональных данных, осуществляемой оператором или лицом, действующим по поручению оператора, оператор в срок, не превышающий трех рабочих дней с даты этого выявления, обязан прекратить неправомерную обработку персональных данных или обеспечить прекращение неправомерной обработки персональных данных лицом, действующим по поручению оператора. В случае, если обеспечить правомерность обработки персональных данных невозможно, оператор в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки персональных данных, обязан уничтожить такие персональные данные или обеспечить их уничтожение. Об устранении допущенных нарушений или об уничтожении персональных данных оператор обязан уведомить субъекта персональных данных или его представителя, а в случае, если обращение субъекта персональных данных или его представителя либо запрос уполномоченного органа по защите прав субъектов персональных данных были направлены уполномоченным органом по защите прав субъектов персональных данных, также указанный орган.
   — ч. 3 ст. 21 ФЗ «О персональных данных»

Отдельный важный инструмент — «право на забвение» (ч. 1, 5, 7 ст. 10.3 ФЗ «Об информации»): по требованию клиента оператор поисковой системы обязан прекратить выдачу ссылок на информацию о нём, распространяемую с нарушением закона; отказ можно обжаловать в суд.

1. Оператор поисковой системы по требованию гражданина (физического лица) (далее в настоящей статье - заявитель) обязан прекратить выдачу сведений об указателе страницы сайта в сети "Интернет" (далее также - ссылка), позволяющих получить доступ к информации о заявителе, распространяемой с нарушением законодательства Российской Федерации, являющейся недостоверной, а также неактуальной, утратившей значение для заявителя в силу последующих событий или действий заявителя, за исключением информации о событиях, содержащих признаки уголовно наказуемых деяний, сроки привлечения к уголовной ответственности по которым не истекли, и информации о совершении гражданином преступления, по которому не снята или не погашена судимость. (В редакции Федерального закона от 22.06.2024 № 158-ФЗ ) 2. Требование заявителя должно содержать: 1) фамилию, имя, отчество, паспортные данные, контактную информацию (номера телефона и (или) факса, адрес электронной почты, почтовый адрес); 2) информацию о заявителе, указанную в части 1 настоящей статьи, выдача ссылок на которую подлежит прекращению; 3) указатель страницы сайта в сети "Интернет", на которой размещена информация, указанная в части 1 настоящей статьи; 4) основание для прекращения выдачи ссылок поисковой системой; 5) согласие заявителя на обработку его персональных данных. 3. В случае обнаружения неполноты сведений, неточностей или ошибок в требовании заявителя оператор поисковой системы вправе направить заявителю в течение десяти рабочих дней с момента получения указанного требования уведомление об уточнении представленных сведений. Оператор поисковой системы также вправе направить заявителю уведомление о необходимости предоставления документа, удостоверяющего личность. Указанное уведомление может быть направлено заявителю однократно. 4. В течение десяти рабочих дней с момента получения уведомления, указанного в части 3 настоящей статьи, заявитель принимает меры, направленные на восполнение недостающих сведений, устранение неточностей и ошибок, и направляет оператору поисковой системы уточненные сведения, а также документ, удостоверяющий личность (в случае необходимости). 5. В течение десяти рабочих дней с момента получения требования заявителя или уточненных заявителем сведений (в случае направления заявителю уведомления, указанного в части 3 настоящей статьи) оператор поисковой системы обязан прекратить выдачу ссылок на информацию, указанную в требовании заявителя, при показе результатов поиска по запросам пользователей поисковой системы, содержащих имя и (или) фамилию заявителя, уведомить об этом заявителя или направить заявителю мотивированный отказ. 6. Оператор поисковой системы направляет заявителю уведомление об удовлетворении указанного в части 1 настоящей статьи требования заявителя или мотивированный отказ в его удовлетворении в той же форме, в которой было получено указанное требование. 7. Заявитель, считающий отказ оператора поисковой системы необоснованным, вправе обратиться в суд с исковым заявлением о прекращении выдачи ссылок на информацию, указанную в требовании заявителя.
   — ч. 1, 5, 7 ст. 10.3 ФЗ «Об информации, информационных технологиях и о защите информации»

Вывод: клиент вправе требовать (1) удаления и запрета распространения его данных через суд (п. 4 ст. 152.2 ГК РФ), (2) уничтожения данных оператором в срок до 10 рабочих дней (ч. 3 ст. 21 ФЗ-152), (3) прекращения выдачи поисковых ссылок (ст. 10.3 ФЗ-149), а также (4) компенсации морального вреда и возмещения убытков (ст. 151 ГК РФ, ст. 17 ФЗ-152, ч. 2 ст. 17 ФЗ-149) — в районном суде по правилам гражданского судопроизводства.

Как зафиксировать нарушение и куда обращаться; что делать при отказе

Порядок привлечения к уголовной ответственности — заявление в полицию. Заявление может быть устным или письменным, письменное подписывается заявителем:

1. Заявление о преступлении может быть сделано в устном или письменном виде. 2. Письменное заявление о преступлении должно быть подписано заявителем.
   — ч. 1, 2 ст. 141 УПК РФ

Обязанность принять и проверить сообщение, решение в срок до 3 суток (с возможностью продления до 10, а при необходимости экспертиз — до 30 суток):

1. Дознаватель, орган дознания, следователь, руководитель следственного органа обязаны принять, проверить сообщение о любом совершенном или готовящемся преступлении и в пределах компетенции, установленной настоящим Кодексом, принять по нему решение в срок не позднее 3 суток со дня поступления указанного сообщения. При проверке сообщения о преступлении дознаватель, орган дознания, следователь, руководитель следственного органа вправе получать объяснения, образцы для сравнительного исследования, истребовать документы и предметы, изымать их в порядке, установленном настоящим Кодексом, назначать судебную экспертизу, принимать участие в ее производстве и получать заключение эксперта в разумный срок, производить осмотр места происшествия, документов, предметов, трупов, освидетельствование, требовать производства документальных проверок, ревизий, исследований документов, предметов, трупов, привлекать к участию в этих действиях специалистов, давать органу дознания обязательное для исполнения письменное поручение о проведении оперативно-розыскных мероприятий. (В редакции Федерального закона от 04.03.2013 № 23-ФЗ) 1 1 .
   — ч. 1, 4 ст. 144 УПК РФ

Если не договориться об ином, при отказе в возбуждении дела копия постановления направляется заявителю в течение 24 часов с разъяснением права обжалования:

1. Копия постановления об отказе в возбуждении уголовного дела в течение 24 часов с момента его вынесения направляется заявителю и прокурору. При этом заявителю разъясняются его право обжаловать данное постановление и порядок обжалования. 4 1 . По уголовным делам о преступлениях, предусмотренных статьями 198 - 199 4 Уголовного кодекса Российской Федерации , копия постановления об отказе в возбуждении уголовного дела в течение 24 часов с момента его вынесения направляется в налоговый орган или территориальный орган страховщика, направившие в соответствии с законодательством Российской Федерации о налогах и сборах и (или) законодательством Российской Федерации об обязательном социальном страховании от несчастных случаев на производстве и профессиональных заболеваний материалы для принятия решения о возбуждении уголовного дела. (Дополнение частью - Федеральный закон от 29.07.2017 № 250-ФЗ) 5. Отказ в возбуждении уголовного дела может быть обжалован прокурору, руководителю следственного органа или в суд в порядке, установленном статьями 124 и 125 настоящего Кодекса.
   — ч. 4, 5 ст. 148 УПК РФ

Отказ обжалуется прокурору, руководителю следственного органа или в районный суд по месту совершения деяния (ст. 125 УПК РФ):

1. Постановления органа дознания, дознавателя, следователя, руководителя следственного органа об отказе в возбуждении уголовного дела, о прекращении уголовного дела, а равно иные действия (бездействие) и решения дознавателя, начальника подразделения дознания, начальника органа дознания, органа дознания, следователя, руководителя следственного органа и прокурора, которые способны причинить ущерб конституционным правам и свободам участников уголовного судопроизводства либо затруднить доступ граждан к правосудию, могут быть обжалованы в районный суд по месту совершения деяния, содержащего признаки преступления.
   — ч. 1 ст. 125 УПК РФ

Кроме полиции, клиенту следует параллельно обратиться в Роскомнадзор (уполномоченный орган по защите прав субъектов персональных данных) — он ведёт реестр операторов, принимает жалобы и вправе инициировать блокировку ресурсов: единый реестр запрещённой информации ведёт именно этот орган.

1. В целях ограничения доступа к сайтам в сети "Интернет", содержащим информацию, распространение которой в Российской Федерации запрещено, создается единая автоматизированная информационная система "Единый реестр доменных имен, указателей страниц сайтов в сети "Интернет" и сетевых адресов, позволяющих идентифицировать сайты в сети "Интернет", содержащие информацию, распространение которой в Российской Федерации запрещено" (далее - реестр). 2. В реестр включаются: 1) доменные имена и (или) указатели страниц сайтов в сети "Интернет", содержащих информацию, распространение которой в Российской Федерации запрещено; 2) сетевые адреса, позволяющие идентифицировать сайты в сети "Интернет", содержащие информацию, распространение которой в Российской Федерации запрещено. 3. Создание, формирование и ведение реестра осуществляются федеральным органом исполнительной власти, осуществляющим функции по контролю и надзору в сфере средств массовой информации, массовых коммуникаций, информационных технологий и связи, в порядке, установленном Правительством Российской Федерации.
   — ч. 1, 2, 3 ст. 15.1 ФЗ «Об информации, информационных технологиях и о защите информации»

Практические шаги для фиксации: (1) сохранить идентификатор/название бота, переписку, сообщения с выданными данными; (2) зафиксировать факт выдачи данных нотариальным протоколом осмотра (интернет-страницы/переписки) — это усиливает доказательственную ценность для суда и следствия; (3) в заявлении в полицию указать на признаки ст. 272.1 УК РФ (и при наличии требования оплаты — ст. 163 УК РФ), приложив скриншоты и нотариальный протокол.

Вывод: обращаться одновременно в полицию (заявление о преступлении по ст. 272.1 и, при вымогательстве, ст. 163 УК РФ — решение в срок до 3 суток, при отказе — обжалование прокурору или в районный суд по ст. 125 УПК РФ) и в Роскомнадзор (жалоба на оператора, вплоть до инициирования блокировки ресурса). Гражданские требования (удаление данных, моральный вред, убытки) — в районный суд. Везде орган и подсудность едины: районный суд по месту совершения деяния/жительства — для обжалования процессуальных решений и для гражданского иска.