Жалобу на утечку персональных данных гражданин подает в Роскомнадзор - через раздел приема обращений на сайте rkn.gov.ru или письменно почтой. В обращении указывают, чьи данные утекли, из какого источника предположительно произошла утечка, и прикладывают доказательства: скриншоты базы или сайта, где данные обнаружены, ссылки, переписку с компанией, если она уже была.
После регистрации обращения Роскомнадзор запрашивает объяснения у предполагаемого оператора и проверяет, действительно ли утечка произошла на его стороне. Если факт подтверждается, дело может закончиться протоколом по статье 13.11 КоАП РФ - это отдельная история от вашего личного ущерба.
Стоит различать два случая. Если компания сама обнаружила утечку, она обязана в течение 24 часов сообщить об этом в Роскомнадзор, а затем еще за 72 часа - о результатах внутреннего расследования. А если о случившемся стало известно из вашей жалобы, а не от самой компании, регулятор смотрит на это строже: несообщение о собственной утечке наказывается заметнее, чем сама утечка.
Жалоба в Роскомнадзор не отменяет права на отдельный иск в суд о компенсации морального вреда напрямую к компании - это два разных пути, и их можно вести параллельно. Подтвержденное регулятором нарушение обычно только усиливает позицию в таком споре.