Уголовная ответственность компании Достависта невозможна, так как юрлица не являются субъектами УК РФ. К ответственности могут быть привлечены сотрудники компании по ст. 272.1 УК РФ (незаконный оборот персональных данных, до 4 лет лишения свободы), но только если следствие докажет неправомерный доступ к базе данных.
Статья 137 УК РФ неприменима, так как номер телефона не относится к личной/семейной тайне.
Административная ответственность — единственный реалистичный путь привлечения компании. По ст. 13.11 КоАП РФ возможны штрафы от 60 тыс. до 5 млн руб. в зависимости от масштаба утечки. Для привлечения подайте жалобу в Роскомнадзор, который проведёт проверку и установит факт нарушения Закона № 152-ФЗ.
Гражданско-правовая ответственность — по ст. 151 ГК РФ и ст. 17 Закона № 152-ФЗ вы вправе взыскать с компании материальный ущерб (2500 руб.) + компенсацию морального вреда (50–150 тыс. руб.). Для этого нужно доказать: (1) факт утечки данных из базы компании,
(2) причинно-следственную связь между утечкой и мошенничеством.