В данной ситуации пользователь столкнулся с запросом от малознакомых лиц (контрагентов по подработке) на предоставление четырёх последних цифр номера своего паспорта. Эти цифры запрашиваются под предлогом подтверждения личности для осуществления денежного перевода. Пользователь также планирует перенаправить полученные средства третьему лицу, что указывает на возможное участие в финансовой цепочке, где он выступает промежуточным звеном.
Юридически значимым является то, что четырёхзначный фрагмент номера паспорта (его последние цифры) относится к персональным данным гражданина. В совокупности с номером банковской карты, который у запрашивающих сторон уже имеется, эти данные могут быть использованы для идентификации пользователя в некоторых финансовых и кредитных системах. Действующее законодательство о персональных данных и банковской тайне предполагает, что такие сведения не должны передаваться без согласия субъекта данных (владельца паспорта), а их сбор и обработка должны быть ограничены строго определёнными законными целями.
Правоотношения, затронутые в данной ситуации, относятся к административному праву (в части обработки персональных данных и защиты информации), а также к финансовому и банковскому праву (в части процедур идентификации клиентов и переводов денежных средств). Существует риск, что запрашиваемая комбинация цифр может использоваться как часть механизма аутентификации в микрофинансовых организациях (МФО) или других сервисах, позволяющих дистанционно оформлять обязательства. При наличии у мошенников таких данных, как номер карты и последние цифры паспорта, возможно получение доступа к личному кабинету или совершение действий от имени пользователя, в том числе попытка оформить заём с использованием упрощённой идентификации.
Кроме того, сам факт участия в схеме, где пользователь принимает деньги от одного лица и переводит их другому по просьбе третьего, может быть косвенно связан с рисками, предусмотренными антиотмывочным законодательством. Если подобные манипуляции с денежными средствами совершаются без ясных экономических оснований и на регулярной основе, это может привлечь внимание банковских служб безопасности и контролирующих органов. Юридическая оценка происходящего также должна учитывать, что у пользователя имеются имена и номера телефонов запрашивающих лиц, что может быть значимым для установления субъекта обработки данных в случае нарушения.
Ключевым юридически значимым обстоятельством является то, что запрашиваемая информация не обязательна для совершения законного банковского перевода: стандартные процедуры перевода денег по номеру карты не требуют предоставления каких-либо паспортных данных отправителю (лицу, которое делает перевод). Это ставит под сомнение легитимность самого запроса и указывает на вероятность попытки получения персональных данных для целей, не связанных с заявленным переводом.
Четыре последние цифры паспорта, как и любая иная информация, позволяющая прямо или косвенно идентифицировать физическое лицо, являются персональными данными по смыслу Федерального закона «О персональных данных». Сами по себе эти цифры в отрыве от других сведений не всегда ведут к конкретному лицу, однако в сочетании с номером карты, именем и телефоном, которые у отправителей уже есть, они однозначно определяют пользователя как субъекта персональных данных. Следовательно, запрос таких цифр и их последующая передача образуют обработку персональных данных (сбор, предоставление, передачу) по смыслу данного закона.
- персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных); 6) предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 3
Передача четырёх цифр паспорта без осознанного, конкретного и однозначного согласия владельца противоречит основополагающим принципам обработки персональных данных, установленным законом. Пользователь сообщает эти цифры под влиянием сомнительной просьбы, не имея полной информации о целях обработки и о том, кто именно будет их использовать. Такое предоставление не является свободным, информированным и предметным согласием. Кроме того, закон прямо допускает обработку персональных данных только с согласия субъекта (за некоторыми исключениями, которые в данной ситуации не просматриваются — нет договора, стороной которого является пользователь в контексте перевода денег между третьими лицами, и нет законного требования об обязательном предоставлении таких данных для совершения перевода).
- Обработка персональных данных должна осуществляться с соблюдением принципов и правил, предусмотренных настоящим Федеральным законом. Обработка персональных данных допускается в следующих случаях: 1) обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных; ... 5) обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем.
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 6
Принцип минимизации обрабатываемых данных, закреплённый в законе, прямо нарушается запросом четырёх цифр паспорта для простого перевода денег. Для перевода с карты на карту обычно достаточно номера карты, иногда — ФИО получателя и банка. Четыре последние цифры паспорта не являются необходимыми для этой операции, они избыточны. Любая обработка должна быть ограничена достижением конкретных, заранее определённых и законных целей; сбор избыточных данных недопустим.
- Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. ... 5. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 5
Обстоятельства получения данных — просьба от незнакомых лиц с подработки — не позволяют пользователю проверить, является ли отправитель добросовестным оператором, и соблюдены ли обязанности по информированию субъекта. Закон обязывает оператора, получающего персональные данные (в том числе от самого субъекта), в определённых случаях разъяснить юридические последствия отказа предоставить данные. Поскольку пользователь добровольно, но под влиянием неопределённости, предоставляет цифры, а цели обработки ему неясны, есть основания считать, что его права как субъекта персональных данных не были соблюдены.
- Если в соответствии с федеральным законом предоставление персональных данных и (или) получение оператором согласия на обработку персональных данных являются обязательными, оператор обязан разъяснить субъекту персональных данных юридические последствия отказа предоставить его персональные данные и (или) дать согласие на их обработку.
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 18
Лица, получившие доступ к персональным данным пользователя (включая четыре цифры паспорта), обязаны обеспечить их конфиденциальность. Они не вправе раскрывать эти цифры третьим лицам или использовать их для иных целей без согласия пользователя. Если они передадут данные дальше или используют их для оформления микрозайма, это будет являться нарушением обязанности по неразглашению.
Операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 7
Если лицо, получившее эти четыре цифры, воспользуется ими для незаконного оформления займа или хищения денег, его действия могут быть квалифицированы по Уголовному кодексу как мошенничество, в том числе в сфере кредитования или с использованием электронных средств платежа. Однако ответственность за такие преступления лежит на злоумышленнике, а пользователь в таком случае становится потерпевшим. Важно, что сам пользователь, передавая цифры, не совершает уголовно наказуемого деяния (если только он не участвовал в сговоре).
- Мошенничество, то есть хищение чужого имущества или приобретение права на чужое имущество путем обмана или злоупотребления доверием, - наказывается ...
— Уголовный кодекс Российской Федерации, ст. 159
Статья 159.1. Мошенничество в сфере кредитования, то есть хищение денежных средств заемщиком путем представления банку или иному кредитору заведомо ложных и (или) недостоверных сведений, - наказывается ...
— Уголовный кодекс Российской Федерации, ст. 159.1
Статья 159.3. Мошенничество с использованием электронных средств платежа - наказывается штрафом ... либо лишением свободы на срок до трех лет.
— Уголовный кодекс Российской Федерации, ст. 159.3
Сама по себе незаконная обработка персональных данных, включая сбор и предоставление без согласия, является административным правонарушением. Если пользователь передал цифры, а третьи лица затем обрабатывают их без его согласия (например, отправляют запросы в бюро кредитных историй), эти лица могут быть привлечены к административной ответственности. Пользователь же, сообщая данные, не является оператором и не обрабатывает данные в коммерческих целях, поэтому на него самого этот штраф не накладывается, но он может инициировать жалобу в Роскомнадзор.
- Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, ... - влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц - от пятидесяти тысяч до ста тысяч рублей; на юридических лиц - от ста пятидесяти тысяч до трехсот тысяч рублей.
— Кодекс Российской Федерации об административных правонарушениях, ст. 13.11
Наконец, если вследствие использования переданных четырёх цифр паспорта будут оформлены фиктивные займы или произойдёт хищение денег, пользователь вправе требовать возмещения имущественного вреда и компенсации морального вреда. Гражданский кодекс предусматривает обязанность причинителя вреда возместить ущерб, если он действовал виновно. Доказать такую вину и причинно-следственную связь между сообщением цифр и наступившим ущербом будет обязан сам потерпевший, что на практике сложно.
- Вред, причиненный личности или имуществу гражданина, а также вред, причиненный имуществу юридического лица, подлежит возмещению в полном объеме лицом, причинившим вред.
— Гражданский кодекс Российской Федерации, ст. 1064
Согласно ст. 24 Закона о персональных данных, лица, виновные в нарушении требований этого закона, несут гражданскую, административную, уголовную или иную ответственность, а моральный вред подлежит возмещению независимо от возмещения имущественного вреда.
- Лица, виновные в нарушении требований настоящего Федерального закона, несут предусмотренную законодательством Российской Федерации ответственность. 2. Моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных, установленных настоящим Федеральным законом, а также требований к защите персональных данных, установленных в соответствии с настоящим Федеральным законом, подлежит возмещению в соответствии с законодательством Российской Федерации. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков.
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 24
