Жалобу на нарушение 152-ФЗ подают в Роскомнадзор - через личный кабинет на сайте регулятора, портал Госуслуг или письменным обращением в территориальное управление. В жалобе укажите, какой оператор нарушил закон, какие именно данные и как были использованы или утекли, и приложите доказательства - переписку, скриншоты, чеки о заказе.
Дополнительно есть смысл параллельно обратиться в сам магазин с письменной претензией и потребовать объяснений и прекращения обработки - это фиксирует факт обращения и пригодится, если дело дойдет до суда или до иска о компенсации морального вреда. Если утечка данных подтвердится, у магазина как у оператора возникает обязанность сообщить о ней в Роскомнадзор в течение 24 часов, а дальше - о результатах расследования.
После получения жалобы Роскомнадзор вправе назначить внеплановую проверку оператора. Срок рассмотрения обращений граждан - как правило, до 30 дней, при необходимости с продлением. Если параллельно хотите добиться удаления своих данных из утекшей базы, отдельно направьте оператору требование об уничтожении данных - формально он обязан ответить в течение 10 рабочих дней.
Чем конкретнее жалоба, тем быстрее по ней двигаются: не пишите общими словами «нарушают закон», а укажите точный магазин, дату заказа и ссылку или описание, где именно обнаружили свои данные в открытом доступе.