В силу ст. 779 ГК РФ отношения между пользователем и поставщиком цифрового сервиса квалифицируются как возмездное оказание услуг (в данном случае — информационных услуг). Исполнитель обязан оказать услугу надлежащим образом, а блокировка доступа из-за утери SIM-карты без предоставления альтернативного механизма идентификации свидетельствует о ненадлежащем исполнении обязательств. Пользователь, оплачивая услуги (или используя сервис на возмездной основе), вправе рассчитывать на возможность восстановления доступа разумными способами.
"1. По договору возмездного оказания услуг исполнитель обязуется по заданию заказчика оказать услуги (совершить определенные действия или осуществить определенную деятельность), а заказчик обязуется оплатить эти услуги. 2. Правила настоящей главы применяются к договорам оказания услуг связи, ... информационных услуг, ... и иных..."
— Гражданский кодекс Российской Федерации, ст. 779
Согласно ст. 14 Федерального закона «О персональных данных» субъект персональных данных (пользователь) имеет право на доступ к своим персональным данным, их уточнение и получение сведений об их обработке. Отказ в восстановлении доступа по сути блокирует реализацию этого права, поскольку пользователь не может ни войти в аккаунт, ни распоряжаться своими данными. При этом закон устанавливает, что при обращении к оператору (владельцу сервиса) пользователь может подтвердить свою личность, в том числе предъявив основной документ (паспорт) и сведения о дате его выдачи, а также иную информацию, подтверждающую его участие в отношениях с оператором (например, старые логин/пароль, адрес электронной почты, данные платежей). Таким образом, требование поставщика подтвердить личность исключительно через утерянный номер телефона не соответствует закону — пользователь вправе предложить альтернативные способы, предусмотренные ст. 14.
"Субъект персональных данных имеет право на получение сведений, указанных в части 7 настоящей статьи... Субъект персональных данных вправе требовать от оператора уточнения его персональных данных, их блокирования или уничтожения... 3. ...Запрос должен содержать номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие субъекта персональных данных в отношениях с оператором (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных оператором, под"
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 14
В соответствии со ст. 6 того же закона обработка персональных данных допускается, в частности, для исполнения договора, стороной которого является субъект данных. Это означает, что оператор обязан обрабатывать данные пользователя таким образом, чтобы обеспечить исполнение договора (включая доступ к учетной записи). Отказ в предоставлении доступа при наличии у пользователя возможности подтвердить личность иными документами (паспорт, старые данные) может рассматриваться как необоснованное ограничение прав субъекта персональных данных, не соответствующее целям обработки.
"Обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем. Заключаемый с субъектом персональных данных договор не может содержать положения, ограничивающие права и свободы субъекта персональных данных..."
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 6