Правомерна ли передача данных о краже тестера службой безопасности магазина в единую базу и как оспорить внесение в чёрный список

Правовая квалификация вашего поступка: это мелкое хищение, а не кража

Стоимость изъятого тестера — около 200 руб. Это ниже порога, при котором наступает уголовная ответственность за кражу.

Кража, то есть тайное хищение чужого имущества, - наказывается штрафом в размере до восьмидесяти тысяч рублей или в размере заработной платы или иного дохода осужденного за период до шести месяцев, либо обязательными работами на срок до трехсот шестидесяти часов, либо исправительными работами на срок до одного года, либо ограничением свободы на срок до двух лет, либо принудительными работами на срок до двух лет, либо арестом на срок до четырех месяцев, либо лишением свободы на срок до двух лет. (В редакции Федерального закона от 07.12.2011 № 420-ФЗ ) 2. Кража, совершенная: а) группой лиц по предварительному сговору; б) с незаконным проникновением в помещение либо иное хранилище; в) с причинением значительного ущерба гражданину; г) из одежды, сумки или другой ручной клади, находившихся при потерпевшем, - наказывается штрафом в размере до двухсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до восемнадцати месяцев, либо обязательными работами на срок до четырехсот восьмидесяти часов, либо исправительными работами на срок до двух лет, либо принудительными работами на срок до пяти лет с ограничением свободы на срок до одного года или без такового, либо лишением свободы на срок до пяти лет с ограничением свободы на срок до одного года или без такового. (В редакции Федерального закона от 07.12.2011 № 420-ФЗ ) 3. Кража, совершенная: а) с незаконным проникновением в жилище; б) из нефтепровода, нефтепродуктопровода, газопровода;
— ч. 1 ст. 158 УК РФ

Мелкое хищение чужого имущества, стоимость которого не превышает одну тысячу рублей, путем кражи, мошенничества, присвоения или растраты при отсутствии признаков преступлений, предусмотренных частями второй, третьей и четвертой статьи 158, статьей 158 1 , частями второй, третьей и четвертой статьи 159, частями второй, третьей и четвертой статьи 159 1 , частями второй, третьей и четвертой статьи 159 2 , частями второй, третьей и четвертой статьи 159 3 , частями второй, третьей и четвертой статьи 159 5 , частями второй, третьей и четвертой статьи 159 6 и частями второй и третьей статьи 160 Уголовного кодекса Российской Федерации , за исключением случаев, предусмотренных статьями 7.20 и 14.15 3 настоящего Кодекса, - (В редакции федеральных законов от 05.02.2018 № 13-ФЗ, от 08.08.2024 № 241-ФЗ) влечет наложение административного штрафа в размере до пятикратной стоимости похищенного имущества, но не менее одной тысячи рублей, либо административный арест на срок до пятнадцати суток, либо обязательные работы на срок до пятидесяти часов. 2.
— ч. 1 ст. 7.27 КоАП РФ

Разбор: уголовная ответственность за тайное хищение (ст. 158 УК РФ) наступает при наличии признаков преступления, а по ч. 1 ст. 158 УК РФ значительного ущерба или квалифицирующих признаков в вашей ситуации нет; хищение на сумму до 1000 руб. прямо отнесено законодателем к административному правонарушению — мелкому хищению (ч. 1 ст. 7.27 КоАП РФ). Поэтому уголовное дело по ст. 158 УК РФ по такому эпизоду невозможно: вам не грозит ни статус «судимой», ни уголовное преследование, и магазин не вправе был ссылаться на «уголовную статью» и требовать денег под угрозой возбуждения уголовного дела.

Административное наказание по общему правилу может быть назначено не позднее 60 календарных дней (а если дело рассматривает судья — 90 дней) со дня совершения правонарушения:

Постановление по делу об административном правонарушении не может быть вынесено по истечении шестидесяти календарных дней (по делу об административном правонарушении, рассматриваемому судьей, - по истечении девяноста календарных дней ) со дня совершения административного правонарушения, за нарушение законодательства Российской Федерации об экспортном контроле, в области персональных данных, о внутренних морских водах, территориальном море, континентальном шельфе, об исключительной экономической зоне Российской Федерации, о геодезии и картографии, о наименованиях географических объектов, патентного, антимонопольного законодательства Российской Федерации, законодательства Российской Федерации в области охраны окружающей среды и природопользования, законодательства Российской Федерации в области ограничения выбросов парниковых газов, законодательства об энергосбережении и о повышении энергетической эффективности, законодательства Российской Федерации об охране здоровья граждан, в области санитарно-эпидемиологического благополучия населения, о защите детей от информации, причиняющей вред их здоровью и (или) развитию, о безопасности дорожного движения (в части административных правонарушений, предусмотренных статьями 12.8, 12.21 1 , 12.21 3 , 12.21 5 , 12.24, 12.26, частью 3 статьи 12.27, частью 2 статьи 12.30 настоящего Кодекса), законодательства Российской Федерации в области связи (в части административных правонарушений, предусмотренных статьями 13.2 1 , 13.4, 13.29, 13.29 3
— ч. 1 ст. 4.5 КоАП РФ

Поскольку с момента эпизода прошло время, а вопрос о привлечении к ответственности ставится уже сейчас, постановление за пределами указанного срока вынесено быть не может.

Вывод по вопросу: ваше деяние квалифицируется как мелкое хищение (ч. 1 ст. 7.27 КоАП РФ); уголовная ответственность по ст. 158 УК РФ исключена ввиду суммы менее 1000 руб. и отсутствия квалифицирующих признаков; к настоящему моменту срок давности привлечения к административной ответственности (60/90 дней, ч. 1 ст. 4.5 КоАП РФ) истёк — повторно «наказать» вас за этот эпизод нельзя.

Законно ли требование службы безопасности о переводе денег

Ключевой вопрос: на каком основании у вас потребовали деньги. Сам факт причинения магазину ущерба (стоимость тестера) даёт ему право на возмещение вреда, но лишь в размере действительного ущерба и в гражданско-правовом порядке. Если требование сопровождалось угрозой распространения порочащих сведений или иных сведений, способных причинить существенный вред вашим интересам, это уже выходит за рамки правомерного взыскания.

Вымогательство, то есть требование передачи чужого имущества или права на имущество или совершения других действий имущественного характера под угрозой применения насилия либо уничтожения или повреждения чужого имущества, а равно под угрозой распространения сведений, позорящих потерпевшего или его близких, либо иных сведений, которые могут причинить существенный вред правам или законным интересам потерпевшего или его близких, - наказывается ограничением свободы на срок до четырех лет, либо принудительными работами на срок до четырех лет с ограничением свободы на срок до двух лет или без такового, либо арестом на срок до шести месяцев, либо лишением свободы на срок до четырех лет со штрафом в размере до восьмидесяти тысяч рублей или в размере заработной платы или иного дохода осужденного за период до шести месяцев либо без такового. (В редакции федеральных законов от 08.12.2003 № 162-ФЗ; от 27.12.2009 № 377-ФЗ; от 07.12.2011 № 420-ФЗ) 2. Вымогательство, совершенное: а) группой лиц по предварительному сговору; б) (Пункт утратил силу - Федеральный закон от 08.12.2003 № 162-ФЗ) в) с применением насилия;
— ч. 1 ст. 163 УК РФ

Разбор применительно к вашей ситуации. Если служба безопасности предложила вам добровольно компенсировать стоимость тестера и вы согласились — это допустимая форма возмещения ущерба. Но если перевод был сделан потому, что вам угрожали «внести в базу», «сообщить на работу/родным», «передать в полицию, и там будет хуже», — это признаки вымогательства (ч. 1 ст. 163 УК РФ), независимо от того, что часть требования совпадала с реальным ущербом. Признак вымогательства — именно угроза, а не размер суммы.

Если переведённая сумма превысила реальную стоимость ущерба (200 руб.), разница удерживалась без правового основания и подлежит возврату как неосновательное обогащение:

Лицо, которое без установленных законом, иными правовыми актами или сделкой оснований приобрело или сберегло имущество (приобретатель) за счет другого лица (потерпевшего), обязано возвратить последнему неосновательно приобретенное или сбереженное имущество (неосновательное обогащение), за исключением случаев, предусмотренных статьей 1109 настоящего Кодекса. 2. Правила, предусмотренные настоящей главой, применяются независимо от того, явилось ли неосновательное обогащение результатом поведения приобретателя имущества, самого потерпевшего, третьих лиц или произошло помимо их воли.
— ст. 1102 ГК РФ, п. 1

На сумму неправомерно удержанных средств начисляются проценты по ключевой ставке Банка России:

В случаях неправомерного удержания денежных средств, уклонения от их возврата, иной просрочки в их уплате подлежат уплате проценты на сумму долга. Размер процентов определяется ключевой ставкой Банка России, действовавшей в соответствующие периоды. Эти правила применяются, если иной размер процентов не установлен законом или договором. (В редакции Федерального закона от 03.07.2016 № 315-ФЗ) 2. Если убытки, причиненные кредитору неправомерным пользованием его денежными средствами, превышают сумму процентов, причитающуюся ему на основании пункта 1 настоящей статьи, он вправе требовать от должника возмещения убытков в части, превышающей эту сумму. 3. Проценты за пользование чужими средствами взимаются по день уплаты суммы этих средств кредитору, если законом, иными правовыми актами или договором не установлен для начисления процентов более короткий срок. 4. В случае, когда соглашением сторон предусмотрена неустойка за неисполнение или ненадлежащее исполнение денежного обязательства, предусмотренные настоящей статьей проценты не подлежат взысканию, если иное не предусмотрено законом или договором. (Дополнение пунктом - Федеральный закон от 08.03.2015 № 42-ФЗ) 5. Начисление процентов на проценты (сложные проценты) не допускается, если иное не установлено законом. По обязательствам, исполняемым при осуществлении сторонами предпринимательской деятельности, применение сложных процентов не допускается, если иное не предусмотрено законом или договором.
— п. 1 ст. 395 ГК РФ

Это ваши гражданско-правовые последствия: излишне уплаченное можно истребовать с магазина с процентами. Однако учтите: если вы добровольно, без угроз и заблуждения, компенсировали именно стоимость тестера, основание для иска о возврате этих 200 руб. слабое — суд может признать это добровольным возмещением вреда.

Вывод по вопросу: если перевод был следствием угрозы — это признак вымогательства (ч. 1 ст. 163 УК РФ), и по этому факту следует подать заявление в полицию. Само требование возместить реальную стоимость тестера законно; излишне взысканные суммы (сверх 200 руб.) можно вернуть как неосновательное обогащение (ст. 1102 ГК РФ) с процентами по ст. 395 ГК РФ. В любом случае сохраните переписку и скриншот перевода — это доказательства и суммы требования, и формулировок, которыми вам угрожали.

Если сумма перевода равнялась стоимости тестера и угроз не было — гражданских требований у вас к магазину нет; если сумма была выше и/или сопровождалась угрозами — основания для иска и заявления в полицию есть.

Законна ли обработка и передача ваших данных («база воров»)

Это главный вопрос вашей ситуации. Любая информация о вас (ФИО, фото, обстоятельства эпизода) — это персональные данные, а их сбор, хранение и передача — «обработка».

персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных); 1 1 ) персональные данные, разрешенные субъектом персональных данных для распространения, - персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном настоящим Федеральным законом; (Дополнение пунктом - Федеральный закон от 30.12.2020 № 519-ФЗ) 2) оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными; 3) обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
— п. 1 ст. 3 ФЗ от 27.07.2006 № 152-ФЗ «О персональных данных»

обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных; 4) автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники; 5) распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц; 6) предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц; 7) блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных); 8) уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
— п. 3 ст. 3 ФЗ № 152-ФЗ

Магазин, который вёл вас, — оператор ваших персональных данных. Внесение сведений о вас в некую «единую базу», доступную другим сетям, — это уже распространение (раскрытие неопределённому кругу лиц):

распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц; 6) предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц; 7) блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных); 8) уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных; 9) обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных; 10) информационная система персональных данных - совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств; 11) трансграничная передача персональных данных - передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу. (Статья в редакции Федерального закона от 25.07.2011 № 261-ФЗ) Статья 4. Законодательство Российской Федерации в области персональных данных 1.
— п. 5 ст. 3 ФЗ № 152-ФЗ

Закон допускает обработку только при наличии определённого основания — прежде всего согласия субъекта либо необходимости для исполнения закона или договора:

Обработка персональных данных допускается в следующих случаях: 1) обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных; 2) обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей; 3) обработка персональных данных осуществляется в связи с участием лица в конституционном, гражданском, административном, уголовном судопроизводстве, судопроизводстве в арбитражных судах; (В редакции Федерального закона от 29.07.2017 № 223-ФЗ) 3 1 ) обработка персональных данных необходима для исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве (далее - исполнение судебного акта);
— п. 1 ст. 6 ФЗ № 152-ФЗ

Причём если согласие получено не было, именно оператор обязан доказать законность обработки, а для распространения нужно отдельное согласие, молчание согласием не считается:

Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным . Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. В случае получения согласия на обработку персональных данных от представителя субъекта персональных данных полномочия данного представителя на дачу согласия от имени субъекта персональных данных проверяются оператором. (В редакции Федерального закона от 14.07.2022 № 266-ФЗ) 2. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных. В случае отзыва субъектом персональных данных согласия на обработку персональных данных оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона. 3.
— п. 1 ст. 9 ФЗ № 152-ФЗ

Из этих норм для вас следует главное: магазин вправе был хранить сведения о произошедшем эпизоде для своих внутренних целей защиты имущества, но не вправе без вашего согласия передавать их третьим лицам (другим торговым сетям) и создавать «чёрный список». Если он это сделал — обработка неправомерна. Отдельно обращу внимание: п. 2 ст. 5 ФЗ № 152-ФЗ требует ограничивать обработку конкретными и заранее заявленными целями и запрещает объединение баз данных, обрабатываемых в несовместимых целях.

Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных. 3. Не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой. 4. Обработке подлежат только персональные данные, которые отвечают целям их обработки. 5. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки. 6. При обработке персональных данных должны быть обеспечены точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных. Оператор должен принимать необходимые меры либо обеспечивать их принятие по удалению или уточнению неполных или неточных данных. 7. Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных.
— п. 2 ст. 5 ФЗ № 152-ФЗ

Это тот самый случай: «базы воров», если они объединены между сетями, прямо противоречат требованию о невозможности объединять базы с несовместимыми целями, а также требованию хранить данные не дольше, чем этого требует цель обработки.

Вывод по вопросу: действия службы безопасности по внесению вас в межсетевую «базу» и передаче сведений другим магазинам незаконны (нарушены ст. 3, 5, 6, 9 ФЗ от 27.06.2006 № 152-ФЗ). Оператор обязан доказать законность обработки; без вашего отдельного согласия на распространение её нет.

Если выяснится, что «единой базы» не существует, а повышенное внимание в сторонних магазинах — плод впечатления, а не реальных данных, — правовых оснований для претензий к оператору персональных данных не будет; тогда остаётся только защита от назойливого внимания и, при необходимости, жалоба на конкретных сотрудников.

Ваши права как субъекта персональных данных: что требовать от оператора

Вы вправе потребовать от оператора сведений об обработке и потребовать устранения нарушений.

Субъект персональных данных вправе требовать от оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав. 2. Сведения, указанные в части 7 настоящей статьи, должны быть предоставлены субъекту персональных данных оператором в доступной форме, и в них не должны содержаться персональные данные, относящиеся к другим субъектам персональных данных, за исключением случаев, если имеются законные основания для раскрытия таких персональных данных. 3. Сведения, указанные в части 7 настоящей статьи, предоставляются субъекту персональных данных или его представителю оператором в течение десяти рабочих дней с момента обращения либо получения оператором запроса субъекта персональных данных или его представителя. Указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления оператором в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.
— п. 1 ст. 14 ФЗ № 152-ФЗ

Отдельно обратите внимание на п. 7 ст. 14 ФЗ № 152-ФЗ: вы вправе получить подтверждение факта обработки, правовые основания и цели, перечень обрабатываемых данных, сроки хранения, а также сведения о лицах, которым эти данные раскрывались. Запрос рассматривается в течение 10 рабочих дней (может быть продлён не более чем на 5 дней). Именно этот запрос — ключ к выяснению, куда «ушли» ваши данные.

При выявлении неправомерной обработки оператор обязан её прекратить и уничтожить данные в установленные сроки:

В случае выявления неправомерной обработки персональных данных при обращении субъекта персональных данных или его представителя либо по запросу субъекта персональных данных или его представителя либо уполномоченного органа по защите прав субъектов персональных данных оператор обязан осуществить блокирование неправомерно обрабатываемых персональных данных, относящихся к этому субъекту персональных данных, или обеспечить их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) с момента такого обращения или получения указанного запроса на период проверки. В случае выявления неточных персональных данных при обращении субъекта персональных данных или его представителя либо по их запросу или по запросу уполномоченного органа по защите прав субъектов персональных данных оператор обязан осуществить блокирование персональных данных, относящихся к этому субъекту персональных данных, или обеспечить их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) с момента такого обращения или получения указанного запроса на период проверки, если блокирование персональных данных не нарушает права и законные интересы субъекта персональных данных или третьих лиц. 2.
— п. 1 ст. 21 ФЗ № 152-ФЗ

В случае выявления неправомерной обработки персональных данных, осуществляемой оператором или лицом, действующим по поручению оператора, оператор в срок, не превышающий трех рабочих дней с даты этого выявления, обязан прекратить неправомерную обработку персональных данных или обеспечить прекращение неправомерной обработки персональных данных лицом, действующим по поручению оператора. В случае, если обеспечить правомерность обработки персональных данных невозможно, оператор в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки персональных данных, обязан уничтожить такие персональные данные или обеспечить их уничтожение. Об устранении допущенных нарушений или об уничтожении персональных данных оператор обязан уведомить субъекта персональных данных или его представителя, а в случае, если обращение субъекта персональных данных или его представителя либо запрос уполномоченного органа по защите прав субъектов персональных данных были направлены уполномоченным органом по защите прав субъектов персональных данных, также указанный орган. 3 1 .
— п. 3 ст. 21 ФЗ № 152-ФЗ

Практический механизм: сначала направляете оператору письменное требование о прекращении неправомерной обработки и уничтожении (блокировании) ваших данных в порядке ст. 14, 21 ФЗ № 152-ФЗ. Если оператор бездействует или отказывает — жалуетесь в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор), который и назван в ст. 21 как орган, чей запрос оператор обязан исполнять.

Вывод по вопросу: вы вправе требовать от магазина: (1) подтверждения факта обработки, (2) прекращения неправомерной обработки и уничтожения данных, (3) сведений о том, кому передавались ваши данные. Срок блокирования — с момента обращения; прекращение — в течение 3 рабочих дней, уничтожение — до 10 рабочих дней, уведомление вас — обязательно. При отказе обращайтесь в Роскомнадзор.

Ответственность магазина за незаконную обработку и распространение ваших данных

За обработку персональных данных вне предусмотренных законом случаев, а равно за обработку, несовместимую с целями сбора, установлена административная ответственность:

Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частями 2, 11 - 18 настоящей статьи и статьей 17.13 настоящего Кодекса , если эти действия не содержат уголовно наказуемого деяния, - (В редакции федеральных законов от 11.06.2021 № 206-ФЗ, от 30.11.2024 № 420-ФЗ) влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц - от пятидесяти тысяч до ста тысяч рублей; на юридических лиц - от ста пятидесяти тысяч до трехсот тысяч рублей. (В редакции федеральных законов от 24.02.2021 № 19-ФЗ, от 30.11.2024 № 420-ФЗ) 1 1 . Повторное совершение административного правонарушения, предусмотренного частью 1 настоящей статьи, - влечет наложение административного штрафа на граждан в размере от пятнадцати тысяч до тридцати тысяч рублей; на должностных лиц - от ста тысяч до двухсот тысяч рублей; на юридических лиц - от трехсот тысяч до пятисот тысяч рублей. (В редакции Федерального закона от 30.11.2024 № 420-ФЗ) (Дополнение частью - Федеральный закон от 24.02.2021 № 19-ФЗ) 2.
— ч. 1 ст. 13.11 КоАП РФ

За невыполнение в срок законного требования субъекта персональных данных об уничтожении/блокировании данных наступает отдельная ответственность:

Невыполнение оператором в сроки, установленные законодательством Российской Федерации в области персональных данных, требования субъекта персональных данных или его представителя либо уполномоченного органа по защите прав субъектов персональных данных об уточнении персональных данных, их блокировании или уничтожении в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, - влечет наложение административного штрафа на граждан в размере от двух тысяч до четырех тысяч рублей; на должностных лиц - от восьми тысяч до двадцати тысяч рублей; на индивидуальных предпринимателей - от двадцати тысяч до сорока тысяч рублей; на юридических лиц - от пятидесяти тысяч до девяноста тысяч рублей. (В редакции Федерального закона от 24.02.2021 № 19-ФЗ) 5 1 . Повторное совершение административного правонарушения, предусмотренного частью 5 настоящей статьи, - влечет наложение административного штрафа на граждан в размере от двадцати тысяч до тридцати тысяч рублей; на должностных лиц - от тридцати тысяч до пятидесяти тысяч рублей; на индивидуальных предпринимателей - от пятидесяти тысяч до ста тысяч рублей; на юридических лиц - от трехсот тысяч до пятисот тысяч рублей. (Дополнение частью - Федеральный закон от 24.02.2021 № 19-ФЗ) 6.
— ч. 5 ст. 13.11 КоАП РФ

Существенно: срок давности по делам об административных правонарушениях в области персональных данных — один год, что даёт вам время:

Постановление по делу об административном правонарушении не может быть вынесено по истечении шестидесяти календарных дней (по делу об административном правонарушении, рассматриваемому судьей, - по истечении девяноста календарных дней ) со дня совершения административного правонарушения, за нарушение законодательства Российской Федерации об экспортном контроле, в области персональных данных, о внутренних морских водах, территориальном море, континентальном шельфе, об исключительной экономической зоне Российской Федерации, о геодезии и картографии, о наименованиях географических объектов, патентного, антимонопольного законодательства Российской Федерации, законодательства Российской Федерации в области охраны окружающей среды и природопользования, законодательства Российской Федерации в области ограничения выбросов парниковых газов, законодательства об энергосбережении и о повышении энергетической эффективности, законодательства Российской Федерации об охране здоровья граждан, в области санитарно-эпидемиологического благополучия населения, о защите детей от информации, причиняющей вред их здоровью и (или) развитию, о безопасности дорожного движения (в части административных правонарушений, предусмотренных статьями 12.8, 12.21 1 , 12.21 3 , 12.21 5 , 12.24, 12.26, частью 3 статьи 12.27, частью 2 статьи 12.30 настоящего Кодекса), законодательства Российской Федерации в области связи (в части административных правонарушений, предусмотренных статьями 13.2 1 , 13.4, 13.29, 13.29 3
— ч. 1 ст. 4.5 КоАП РФ

Разбор применительно к вам: если магазин передал ваши данные в чужую сеть без основания (ч. 1 ст. 13.11 КоАП РФ) или не исполнил ваше требование об уничтожении (ч. 5 ст. 13.11 КоАП РФ), вы вправе просить Роскомнадзор привлечь виновных к ответственности. Штрафы по ч. 1 ст. 13.11 достигают 300 000 руб. для юридических лиц, по ч. 5 — до 90 000 руб.

Если данные собирались/распространялись в отношении сведений, составляющих вашу личную тайну, возможно и уголовное преследование виновных лиц:

Незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия либо распространение этих сведений в публичном выступлении, публично демонстрирующемся произведении или средствах массовой информации , за исключением случаев, предусмотренных статьей 272 1 настоящего Кодекса, - (В редакции федеральных законов от 08.12.2003 № 162-ФЗ , от 30.11.2024 № 421-ФЗ ) наказываются штрафом в размере до двухсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до восемнадцати месяцев, либо обязательными работами на срок до трехсот шестидесяти часов, либо исправительными работами на срок до одного года, либо принудительными работами на срок до двух лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до трех лет или без такового, либо арестом на срок до четырех месяцев, либо лишением свободы на срок до двух лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до трех лет. (В редакции Федерального закона от 07.12.2011 № 420-ФЗ ) 2.
— ч. 1 ст. 137 УК РФ

Вывод по вопросу: за незаконную обработку/распространение ваших данных магазин несёт административную ответственность по ст. 13.11 КоАП РФ (для организации — штраф до 300 000 руб.), а конкретные сотрудники при определённых условиях — уголовную по ст. 137 УК РФ. Срок давности по персональным данным — 1 год. Реализация — через обращение в Роскомнадзор и, при необходимости, в полицию.

Защита чести, достоинства, изображения и компенсация морального вреда

Если магазин распространял о вас сведения, подрывающие репутацию (в том числе как о «воре»), у вас есть самостоятельные гражданско-правовые средства защиты.

Если иное прямо не предусмотрено законом, не допускаются без согласия гражданина сбор, хранение, распространение и использование любой информации о его частной жизни, в частности сведений о его происхождении, о месте его пребывания или жительства, о личной и семейной жизни. Не являются нарушением правил, установленных абзацем первым настоящего пункта, сбор, хранение, распространение и использование информации о частной жизни гражданина в государственных, общественных или иных публичных интересах, а также в случаях, если информация о частной жизни гражданина ранее стала общедоступной либо была раскрыта самим гражданином или по его воле. 2. Стороны обязательства не вправе разглашать ставшую известной им при возникновении и (или) исполнении обязательства информацию о частной жизни гражданина, являющегося стороной или третьим лицом в данном обязательстве, если соглашением не предусмотрена возможность такого разглашения информации о сторонах. 3. Неправомерным распространением полученной с нарушением закона информации о частной жизни гражданина считается, в частности, ее использование при создании произведений науки, литературы и искусства, если такое использование нарушает интересы гражданина. 4.
— ст. 152.2 ГК РФ, п. 1

Гражданин вправе требовать по суду опровержения порочащих его честь, достоинство или деловую репутацию сведений, если распространивший такие сведения не докажет, что они соответствуют действительности. Опровержение должно быть сделано тем же способом, которым были распространены сведения о гражданине, или другим аналогичным способом. По требованию заинтересованных лиц допускается защита чести, достоинства и деловой репутации гражданина и после его смерти. 2. Сведения, порочащие честь, достоинство или деловую репутацию гражданина и распространенные в средствах массовой информации, должны быть опровергнуты в тех же средствах массовой информации. Гражданин, в отношении которого в средствах массовой информации распространены указанные сведения, имеет право потребовать наряду с опровержением также опубликования своего ответа в тех же средствах массовой информации. 3. Если сведения, порочащие честь, достоинство или деловую репутацию гражданина, содержатся в документе, исходящем от организации, такой документ подлежит замене или отзыву. 4.
— п. 1 ст. 152 ГК РФ

Обратите внимание: порочащие сведения защищаются даже тогда, когда часть из них соответствует действительности, — для защиты важна не «правдивость», а нарушение ваших личных неимущественных прав и причинённые страдания. В вашем случае эпизод был реальным, но распространение сведений о нём третьим лицам (другим сетям, неопределённому кругу) без вашего согласия уже является посягательством на неприкосновенность частной жизни. Если использовалось ваше изображение (фото/видео), нужно было ваше согласие:

Обнародование и дальнейшее использование изображения гражданина (в том числе его фотографии, а также видеозаписи или произведения изобразительного искусства, в которых он изображен) допускаются только с согласия этого гражданина. После смерти гражданина его изображение может использоваться только с согласия детей и пережившего супруга, а при их отсутствии - с согласия родителей. Такое согласие не требуется в случаях, когда: (В редакции Федерального закона от 02.07.2013 № 142-ФЗ) 1) использование изображения осуществляется в государственных, общественных или иных публичных интересах; 2) изображение гражданина получено при съемке, которая проводится в местах, открытых для свободного посещения, или на публичных мероприятиях (собраниях, съездах, конференциях, концертах, представлениях, спортивных соревнованиях и подобных мероприятиях), за исключением случаев, когда такое изображение является основным объектом использования; 3) гражданин позировал за плату. 2. Изготовленные в целях введения в гражданский оборот, а также находящиеся в обороте экземпляры материальных носителей, содержащих изображение гражданина, полученное или используемое с нарушением пункта 1 настоящей статьи, подлежат на основании судебного решения изъятию из оборота и уничтожению без какой бы то ни было компенсации. (Дополнение пунктом - Федеральный закон от 02.07.2013 № 142-ФЗ) 3.
— п. 1 ст. 152.1 ГК РФ

Требования, которые вы можете заявить в суде:

В случаях, когда сведения, порочащие честь, достоинство или деловую репутацию гражданина, стали широко известны и в связи с этим опровержение невозможно довести до всеобщего сведения, гражданин вправе требовать удаления соответствующей информации, а также пресечения или запрещения дальнейшего распространения указанных сведений путем изъятия и уничтожения без какой бы то ни было компенсации изготовленных в целях введения в гражданский оборот экземпляров материальных носителей, содержащих указанные сведения, если без уничтожения таких экземпляров материальных носителей удаление соответствующей информации невозможно. 5. Если сведения, порочащие честь, достоинство или деловую репутацию гражданина, оказались после их распространения доступными в сети "Интернет", гражданин вправе требовать удаления соответствующей информации, а также опровержения указанных сведений способом, обеспечивающим доведение опровержения до пользователей сети "Интернет". 6. Порядок опровержения сведений, порочащих честь, достоинство или деловую репутацию гражданина, в иных случаях, кроме указанных в пунктах 2 - 5 настоящей статьи, устанавливается судом. 7. Применение к нарушителю мер ответственности за неисполнение судебного решения не освобождает его от обязанности совершить предусмотренное решением суда действие. 8.
— ст. 152 ГК РФ, п. 4

В случаях, когда информация о частной жизни гражданина, полученная с нарушением закона, содержится в документах, видеозаписях или на иных материальных носителях, гражданин вправе обратиться в суд с требованием об удалении соответствующей информации, а также о пресечении или запрещении дальнейшего ее распространения путем изъятия и уничтожения без какой бы то ни было компенсации изготовленных в целях введения в гражданский оборот экземпляров материальных носителей, содержащих соответствующую информацию, если без уничтожения таких экземпляров материальных носителей удаление соответствующей информации невозможно. 5. Право требовать защиты частной жизни гражданина способами, предусмотренными пунктом 2 статьи 150 настоящего Кодекса и настоящей статьей, в случае его смерти имеют дети, родители и переживший супруг такого гражданина. (Дополнение статьей - Федеральный закон от 02.07.2013 № 142-ФЗ) Подраздел 4. Сделки. Решения собраний. Представительство (Наименование в редакции Федерального закона от 07.05.2013 № 100-ФЗ) Глава 9. Сделки § 1. Понятие, виды и форма сделок
— ст. 152.2 ГК РФ, п. 4

Наконец, вы вправе требовать денежной компенсации морального вреда, и в случае распространения порочащих сведений она взыскивается независимо от вины причинителя:

Если гражданину причинен моральный вред (физические или нравственные страдания) действиями, нарушающими его личные неимущественные права либо посягающими на принадлежащие гражданину нематериальные блага, а также в других случаях, предусмотренных законом, суд может возложить на нарушителя обязанность денежной компенсации указанного вреда. (В редакции Федерального закона от 02.07.2013 № 142-ФЗ) При определении размеров компенсации морального вреда суд принимает во внимание степень вины нарушителя и иные заслуживающие внимания обстоятельства. Суд должен также учитывать степень физических и нравственных страданий, связанных с индивидуальными особенностями гражданина, которому причинен вред. (В редакции Федерального закона от 02.07.2013 № 142-ФЗ)
— ст. 151 ГК РФ

Компенсация морального вреда осуществляется независимо от вины причинителя вреда в случаях, когда: вред причинен жизни или здоровью гражданина источником повышенной опасности; вред причинен гражданину в результате его незаконного осуждения, незаконного привлечения к уголовной ответственности, незаконного применения в качестве меры пресечения заключения под стражу или подписки о невыезде, незаконного наложения административного взыскания в виде ареста или исправительных работ; вред причинен распространением сведений, порочащих честь, достоинство и деловую репутацию; в иных случаях, предусмотренных законом.
— ст. 1100 ГК РФ

распространением сведений, порочащих честь, достоинство и деловую репутацию гражданина, наличие морального вреда предполагается. В указанных случаях компенсация морального вреда взыскивается судом независимо от вины причинителя вреда (абзац четвертый статьи 1100 ГК РФ). Компенсация морального вреда может быть взыскана судом также в случаях распространения о гражданине сведений, как соответствующих, так и не соответствующих действительности, которые не являются порочащими его честь, достоинство, деловую репутацию, но распространение этих сведений повлекло нарушение иных принадлежащих гражданину личных неимущественных прав или нематериальных благ (например, сведений, относящихся к личной или семейной тайне). Обязанность компенсировать моральный вред, причиненный распространением такой информации, может быть возложена на ответчика в силу статей 150, 151 ГК РФ.
— п. 50 Постановления Пленума ВС РФ от 15.11.2022 № 33

Гражданин, в отношении которого распространены сведения, порочащие его честь, достоинство или деловую репутацию, наряду с опровержением таких сведений или опубликованием своего ответа вправе требовать возмещения убытков и компенсации морального вреда, причиненных распространением таких сведений. 10. Правила пунктов 1 - 9 настоящей статьи, за исключением положений о компенсации морального вреда, могут быть применены судом также к случаям распространения любых не соответствующих действительности сведений о гражданине, если такой гражданин докажет несоответствие указанных сведений действительности. Срок исковой давности по требованиям, предъявляемым в связи с распространением указанных сведений в средствах массовой информации, составляет один год со дня опубликования таких сведений в соответствующих средствах массовой информации. 11. Правила настоящей статьи о защите деловой репутации гражданина, за исключением положений о компенсации морального вреда, соответственно применяются к защите деловой репутации юридического лица. (Статья в редакции Федерального закона от 02.07.2013 № 142-ФЗ)
— п. 9 ст. 152 ГК РФ

Разбор: вам нужно доказать сам факт распространения сведений о вас (скриншоты переписки, свидетельские показания, ответы магазинов на ваши запросы) и то, что это причинило вам нравственные страдания (переживания, изменение обычного образа жизни, вынужденное избегание магазинов). Размер компенсации определяется судом с учётом характера страданий и степени вины нарушителя. Требования об удалении информации и прекращении дальнейшего распространения прямо предусмотрены п. 4 ст. 152 и п. 4 ст. 152.2 ГК РФ и не требуют доказывания вины нарушителя.

Вывод по вопросу: вы вправе в суде требовать: (1) удаления ваших данных из баз и пресечения их дальнейшего распространения (ст. 152, 152.1, 152.2 ГК РФ); (2) опровержения распространённых сведений; (3) компенсации морального вреда (ст. 151, 1100 ГК РФ) — при распространении порочащих сведений даже независимо от вины; (4) возмещения убытков. Доказывать соответствие сведений действительности обязан распространитель, а по «непорочащим» сведениям, относящимся к личной тайне, моральный вред также возможен (п. 50 Постановления Пленума ВС РФ от 15.11.2022 № 33).

Алгоритм действий: куда обращаться и в каком порядке

Ниже — сводная последовательность, вытекающая из процитированных норм.

Шаг 1. Зафиксируйте доказательства: переписку со службой безопасности, скриншот перевода, скриншоты/свидетелей фактов слежки и шептания в сторонних магазинах, даты и адреса магазинов. Это база для всех дальнейших обращений.

Шаг 2. Направьте магазину письменный запрос-требование (ст. 14, 21 ФЗ № 152-ФЗ): подтвердить факт обработки ваших данных, назвать основания и цели, перечень данных, сроки хранения, лиц, которым они раскрывались; потребовать прекратить неправомерную обработку и уничтожить данные. Направьте заказным письмом с уведомлением, оставьте себе копию и опись. Оператор обязан ответить в срок 10 рабочих дней (при запросе сведений) и исполнить требование об уничтожении/блокировании в сроки, указанные в ст. 21 (3 и 10 рабочих дней).

Шаг 3. При отказе или молчании — жалоба в территориальное управление Роскомнадзора (уполномоченный орган по защите прав субъектов персональных данных): просите проверить законность обработки и привлечь к ответственности по ст. 13.11 КоАП РФ (ч. 1 — обработка без основания; ч. 5 — неисполнение вашего требования).

Шаг 4. Если требование денег сопровождалось угрозами — заявление в полицию о вымогательстве (ст. 163 УК РФ). Полиция обязана принять и рассмотреть заявление; сохраняйте переписку и показания о содержании угроз.

Шаг 5. Иск в суд. Требования о защите личных неимущественных прав, компенсации морального вреда и удалении информации предъявляются по вашему выбору — в том числе по месту вашего жительства (по требованию о защите персональных данных и нематериальных благ допустимо по месту жительства истца). В иске соедините: пресечение распространения данных, обязание удалить информацию, компенсацию морального вреда и убытки/излишне уплаченные суммы.

Вывод по вопросу: последовательность — зафиксировать доказательства → письменное требование оператору (ст. 14, 21 ФЗ № 152-ФЗ) → жалоба в Роскомнадзор (ст. 13.11 КоАП РФ) → заявление в полицию при угрозах (ст. 163 УК РФ) → иск в суд (ст. 151, 152, 152.1, 152.2 ГК РФ, ст. 1102, 395 ГК РФ). Срок давности по персональным данным — 1 год (ч. 1 ст. 4.5 КоАП РФ).

Сроки и развилки, от которых зависит исход

По вашему делу сроки распадаются на три группы.

Сроки давности по административному наказанию за сам проступок:

Постановление по делу об административном правонарушении не может быть вынесено по истечении шестидесяти календарных дней (по делу об административном правонарушении, рассматриваемому судьей, - по истечении девяноста календарных дней ) со дня совершения административного правонарушения, за нарушение законодательства Российской Федерации об экспортном контроле, в области персональных данных, о внутренних морских водах, территориальном море, континентальном шельфе, об исключительной экономической зоне Российской Федерации, о геодезии и картографии, о наименованиях географических объектов, патентного, антимонопольного законодательства Российской Федерации, законодательства Российской Федерации в области охраны окружающей среды и природопользования, законодательства Российской Федерации в области ограничения выбросов парниковых газов, законодательства об энергосбережении и о повышении энергетической эффективности, законодательства Российской Федерации об охране здоровья граждан, в области санитарно-эпидемиологического благополучия населения, о защите детей от информации, причиняющей вред их здоровью и (или) развитию, о безопасности дорожного движения (в части административных правонарушений, предусмотренных статьями 12.8, 12.21 1 , 12.21 3 , 12.21 5 , 12.24, 12.26, частью 3 статьи 12.27, частью 2 статьи 12.30 настоящего Кодекса), законодательства Российской Федерации в области связи (в части административных правонарушений, предусмотренных статьями 13.2 1 , 13.4, 13.29, 13.29 3
— ч. 1 ст. 4.5 КоАП РФ

Для мелкого хищения действует общий шестидесятидневный (а при рассмотрении судьёй — девяностодневный) срок со дня совершения. Это означает, что за эпизод с тестером вас уже нельзя привлечь к административной ответственности по ч. 1 ст. 7.27 КоАП РФ. Обратите внимание: по правонарушениям в области персональных данных срок давности — один год, что даёт вам время на жалобу в Роскомнадзор.

Сроки исполнения вашего требования оператором (обязанности магазина):

В случае выявления неправомерной обработки персональных данных, осуществляемой оператором или лицом, действующим по поручению оператора, оператор в срок, не превышающий трех рабочих дней с даты этого выявления, обязан прекратить неправомерную обработку персональных данных или обеспечить прекращение неправомерной обработки персональных данных лицом, действующим по поручению оператора. В случае, если обеспечить правомерность обработки персональных данных невозможно, оператор в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки персональных данных, обязан уничтожить такие персональные данные или обеспечить их уничтожение. Об устранении допущенных нарушений или об уничтожении персональных данных оператор обязан уведомить субъекта персональных данных или его представителя, а в случае, если обращение субъекта персональных данных или его представителя либо запрос уполномоченного органа по защите прав субъектов персональных данных были направлены уполномоченным органом по защите прав субъектов персональных данных, также указанный орган. 3 1 .
— п. 3 ст. 21 ФЗ № 152-ФЗ

В случае выявления неправомерной обработки персональных данных при обращении субъекта персональных данных или его представителя либо по запросу субъекта персональных данных или его представителя либо уполномоченного органа по защите прав субъектов персональных данных оператор обязан осуществить блокирование неправомерно обрабатываемых персональных данных, относящихся к этому субъекту персональных данных, или обеспечить их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) с момента такого обращения или получения указанного запроса на период проверки. В случае выявления неточных персональных данных при обращении субъекта персональных данных или его представителя либо по их запросу или по запросу уполномоченного органа по защите прав субъектов персональных данных оператор обязан осуществить блокирование персональных данных, относящихся к этому субъекту персональных данных, или обеспечить их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) с момента такого обращения или получения указанного запроса на период проверки, если блокирование персональных данных не нарушает права и законные интересы субъекта персональных данных или третьих лиц. 2.
— п. 1 ст. 21 ФЗ № 152-ФЗ

Здесь сроки конкретны: на информацию по запросу — 10 рабочих дней (возможно продление не более чем на 5 рабочих дней); на прекращение неправомерной обработки — 3 рабочих дня; на уничтожение данных, если правомерность обеспечить невозможно, — до 10 рабочих дней; о результате оператор обязан вас уведомить.

Развилки, меняющие объём защиты:

Ветка 1 — ваши данные реально внесены в межсетевую базу и переданы сторонним магазинам. Тогда работают все блоки выше: требование об удалении (ст. 14, 21 ФЗ № 152-ФЗ), жалоба в Роскомнадзор по ст. 13.11 КоАП РФ и иск о пресечении распространения и моральном вреде (ст. 152, 152.2, 151 ГК РФ).

Ветка 2 — «единой базы» не существует, и повышенное внимание продавцов не связано с вашими данными. В этом случае правовых оснований для претензий именно об обработке персональных данных нет; защита ограничивается пресечением назойливого наблюдения и, при наличии конкретных виновных, дисциплинарными/жалобными мерами. Поэтому первый шаг к разграничению веток — письменный запрос магазину о факте обработки и перечне лиц, которым данные раскрывались.

Ветка 3 — при требовании денег угроз не было и сумма равнялась стоимости тестера. Тогда нет ни признаков вымогательства (ст. 163 УК РФ), ни неосновательного обогащения (ст. 1102 ГК РФ) — это добровольное возмещение вреда. Если угрозы были либо сумма превысила реальный ущерб — работают блоки 2 и 5 (заявление в полицию; иск о возврате излишне уплаченного с процентами по ст. 395 ГК РФ).

Вывод по вопросу: по самому проступку срок административной давности (60/90 дней) истёк — наказания за эпизод быть не может; по персональным данным применяется годовой срок давности, а оператор обязан исполнить требование об удалении в сроки 3 и 10 рабочих дней (запрос — 10 рабочих дней). Исход зависит от того, реально ли ваши данные внесены в чужую базу и сопровождалось ли требование денег угрозами: при подтверждении — иск в суд и жалоба в Роскомнадзор; при отсутствии — достаточной будет пресекательная защита. Во всех ветках исковые требования о защите персональных данных и компенсации морального вреда предъявляются в суд (в том числе по вашему месту жительства), а органы обращения едины: Роскомнадзор, полиция, суд.