Здравствуйте, Богдан!
Ситуация, которую вы описали, действительно вызывает обеспокоенность, и вы совершенно справедливо интересуетесь возможностью привлечения к ответственности за незаконное использование персональных данных.
Согласно ст. 6 Федерального закона № 152-ФЗ "О персональных данных", обработка персональных данных допускается только с согласия субъекта данных, за исключением прямо предусмотренных законом случаев. Если вы не передавали свои данные и согласие на их обработку не давали, а организация не может обосновать законный источник получения информации, — речь может идти о нарушении закона.
Вы имеете право подать жалобу в Роскомнадзор. В ней укажите, какие данные использовались, каким образом, и приложите переписку или иные доказательства. Роскомнадзор может провести проверку, запросить у организации основание для обработки данных, и если нарушения подтвердятся, применить меры административного воздействия вплоть до штрафов по ст. 13.11 КоАП РФ.
Кроме того, вы вправе обратиться в суд с требованием о прекращении обработки персональных данных, удалении их, а также взыскании компенсации морального вреда — практика по таким делам имеется, особенно если был нарушен сам факт конфиденциальности данных.
Если у вас есть предположение, что данные получены путем утечки, подлога или иных противоправных действий, дополнительно можно инициировать проверку со стороны правоохранительных органов, обратившись с заявлением в полицию по признакам состава преступления, предусмотренного, например, ст. 137 УК РФ (нарушение неприкосновенности частной жизни).
Держитесь уверенно и последовательно. У вас есть право на защиту своей частной жизни и данных — государство предоставляет для этого правовые инструменты.
С наилучшими пожеланиями, Хабас Феликсович.