Правомерно ли соцсеть требует скан паспорта и банковские реквизиты для разблокировки аккаунта или вывода средств?

Законно ли требование соцсети прислать скан паспорта, номер карты и банковские реквизиты для разблокировки/вывода средств

Требование условно распадается на два: (1) требование данных ради самой разблокировки аккаунта и (2) требование данных ради выплаты денег. Для первой цели оно законного основания, как правило, не имеет; для второй — законное основание возникает только у специальных субъектов (банки, платёжные операторы), а не у любой соцсети.

Скан паспорта, номер карты и банковские реквизиты — это персональные данные по прямому определению закона.

1. персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу
   — п. 1 ст. 3 ФЗ-152 «О персональных данных»

Обработка таких данных подчинена принципу минимальной достаточности: оператор вправе запрашивать только те данные, которые отвечают конкретной, заранее определённой цели, и не вправе собирать избыточные.

1. Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных. 3. Не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой. 4. Обработке подлежат только персональные данные, которые отвечают целям их обработки. 5. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.
   — п. 2, 4, 5 ст. 5 ФЗ-152 «О персональных данных»

Из этого следует, что для восстановления доступа к учётной записи соцсети (подтверждения, что аккаунт принадлежит вам) скан полного разворота паспорта и банковские реквизиты цели не отвечают: идентифицировать владельца аккаунта можно и без реквизитов карты. Запрос номера карты и банковских реквизитов для целей разблокировки — это обработка избыточных данных, несовместимая с заявленной целью, что прямо запрещено пп. 2, 4, 5 ст. 5 ФЗ-152. Любая обработка без правового основания и «про запас» недопустима.

Вторая цель — выплата денег — в принципе может оправдывать запрос паспортных и платёжных данных, но только если обязанность идентификации возложена на оператора законом. Такая обязанность установлена для «организаций, осуществляющих операции с денежными средствами или иным имуществом» — банков, платёжных агентов, операторов платёжных систем, но не для владельца соцсети как такового. Объём и порядок идентификации закреплены, в частности, в Положении Банка России № 499-П:

1.1. Кредитная организация обязана до приема на обслуживание идентифицировать: физическое или юридическое лицо, индивидуального предпринимателя, физическое лицо, занимающееся в установленном законодательством Российской Федерации порядке частной практикой, которому кредитная организация оказывает услугу на разовой основе
— п. 1.1 Положения Банка России № 499-П от 15.10.2015

3.2. Для целей идентификации в кредитную организацию представляются оригиналы документов или надлежащим образом заверенные копии. Если к идентификации клиента, представителя клиента, выгодоприобретателя, бенефициарного владельца имеет отношение только часть документа, может быть представлена заверенная выписка из него.
— п. 3.2 Положения Банка России № 499-П от 15.10.2015

КС РФ прямо квалифицировал идентификацию как публичную обязанность, возлагаемую именно на организации, ведущие денежные операции:

При этом если на одну из сторон частноправовых отношений (как в случае отношений, складывающихся при заключении договора между кредитной организацией и гражданином) возлагается публичная обязанность по идентификации гражданина, в том числе путем установления его места жительства, то исполнение такой обязанности не может в качестве общего правила предполагать проверку частным лицом, на которое возлагается такая публичная обязанность, наличия у гражданина субъективного права пользования жилым помещением, указанным им в качестве места своего жительства без предоставления сведений о своей регистрации в этом жилом помещении. Иное существенно нарушало бы баланс интересов сторон. Таким образом, оспариваемое законоположение, предполагающее подтверждение места жительства гражданина в первую очередь регистрацией, направлено на обеспечение безопасности в сфере кредитно-расчетных отношений, в том числе и с целью обеспечения интересов частных лиц, и на поддержание баланса интересов частных сторон, действующих в условиях установленного публичным регулированием контроля. Кроме того, оно может рассматриваться как стимул для гражданина, желающего воспользоваться банковскими услугами, к выполнению возложенной на него законодательством обязанности регистрироваться по месту жительства и (или) по месту пребывания. 3.2.
— п. 3.1 Постановления КС РФ № 31-П от 30.06.2021

Поэтому, если администрация соцсети требует скан паспорта и реквизиты карты «для вывода средств» без ссылки на то, что она является поднадзорной ЦБ финансовой организацией (платёжным агентом, оператором), такое требование не опирается на норму, обязывающую её идентифицировать вас. Отдельно: донаты, монетизация или внутренний баланс на аккаунте — это имущественное право/денежные требования, принадлежащие вам (ст. 128 ГК РФ), и доступ к ним не может быть произвольно обставлен требованием раскрытия избыточных персональных данных.

Вывод: требуя скан паспорта и реквизиты карты именно как условие разблокировки, соцсеть действует вне правовых оснований (ст. 5, 6, 9 ФЗ-152) — такое требование для этой цели незаконно и, как правило, является признаком мошенничества. Для цели выплаты денег требование идентификации законно только для поднадзорных ЦБ платёжных организаций; обычная соцсеть такого права по закону не имеет.

Что можно и что нельзя отправлять; признаки мошеннической схемы

Согласие на обработку персональных данных даётся свободно и добровольно, а оператор обязан доказать наличие правового основания (а не наоборот).

1. Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным . Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. Согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и (или) документов
   — п. 1 ст. 9 ФЗ-152 «О персональных данных»

1. Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных или доказательство наличия оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона, возлагается на оператора.
   — п. 3 ст. 9 ФЗ-152 «О персональных данных»

Практический вывод: вы не обязаны отправлять ничего сверх того, что законно необходимо для конкретной цели. Администрация, напротив, обязана сама обосновать, на каком правовом основании она требует именно эти данные.

Что точно НЕ стоит отправлять:

• Скан полного паспорта (все развороты). Для большинства сервисных целей достаточно ФИО и, при необходимости, номера документа — но не фото всего документа, которое при утечке используется для оформления микрозаймов, сим-карт, аккаунтов.
• Полный номер карты + срок действия + CVV/CVC + коды из СМС. Это платёжные реквизиты. Для простого вывода средств на вашу карту достаточно её номера (PAN), который платежи принимает законно; коды CVV и коды подтверждения операций соцсети не нужны ни при каких условиях — их запрос есть практически стопроцентный признак хищения средств.
• Доступ к госуслугам, личному кабинету банка, селфи с паспортом в руках. Ничего из этого не требуется и не предусмотрено нормами.

Если требование поступило с признаками социальной инженерии (поддельная «поддержка», давление, просьба перевести «комиссию за разблокировку», запрос кодов) — это квалифицируется как хищение путём обмана:

Статья 159. Мошенничество 1. Мошенничество, то есть хищение чужого имущества или приобретение права на чужое имущество путем обмана или злоупотребления доверием
— ч. 1 ст. 159 УК РФ

Что можно отправить при добросовестном запросе: подтверждение ФИО, документ в объёме «номер + серия + дата выдачи» (без фото всего разворота), и только в случае выплаты — номер карты/банковского счёта, но не коды и не CVV. Причём и тогда у вас есть право сначала записать в письменном виде правовое основание требования: по п. 4 ст. 16 ЗоЗПП исполнитель не вправе отказывать в исполнении договора из-за отказа предоставить персональные данные, если их предоставление не предусмотрено законом и не связано напрямую с исполнением договора, и обязан в течение семи дней письменно объяснить основание требования.

1. Продавец (исполнитель, владелец агрегатора) не вправе отказывать потребителю в заключении, исполнении, изменении или расторжении договора с потребителем в связи с отказом потребителя предоставить персональные данные, за исключением случаев, если обязанность предоставления таких данных предусмотрена законодательством Российской Федерации или непосредственно связана с исполнением договора с потребителем.
   — п. 4 ст. 16 Закона РФ «О защите прав потребителей»

Вывод: отправлять можно только минимально необходимый для цели объём (ФИО, при оплате — номер карты). Категорически нельзя отправлять полный скан паспорта, CVV/CVC, коды из СМС, доступ к госуслугам/банку. Запрос кодов и CVV — признак мошенничества (ст. 159 УК РФ).

Блокировка с удержанием денег: договорные и денежные последствия

Если на аккаунте находятся реальные денежные средства (заработок от монетизации, донаты), их удержание с постановкой выплаты в зависимость от предоставления избыточных данных — это неправомерное удержание чужих денежных средств.

Деньги и имущественные права (включая безналичные средства и цифровые права) — ваше имущество, которым вы вправе распоряжаться (ст. 128 ГК РФ). За неправомерное удержание взыскиваются проценты по ключевой ставке Банка России:

1. В случаях неправомерного удержания денежных средств, уклонения от их возврата, иной просрочки в их уплате подлежат уплате проценты на сумму долга. Размер процентов определяется ключевой ставкой Банка России, действовавшей в соответствующие периоды. Эти правила применяются, если иной размер процентов не установлен законом или договором.
   — п. 1 ст. 395 ГК РФ

Если сервис возмездный (платная подписка, монетизация), пользователь — потребитель, и условие, ставящее возврат/выплату в зависимость от раскрытия данных, не связанных с этой операцией, является недопустимым условием договора, которое ничтожно:

1. Недопустимыми условиями договора, ущемляющими права потребителя, являются условия, которые нарушают правила, установленные международными договорами Российской Федерации, настоящим Законом, законами и принимаемыми в соответствии с ними иными нормативными правовыми актами Российской Федерации, регулирующими отношения в области защиты прав потребителей. Недопустимые условия договора, ущемляющие права потребителя, ничтожны.
   — п. 1 ст. 16 Закона РФ «О защите прав потребителей»

Удержание денег под предлогом недоказанного требования данных квалифицируется также как злоупотребление правом:

1. Не допускаются осуществление гражданских прав исключительно с намерением причинить вред другому лицу, действия в обход закона с противоправной целью, а также иное заведомо недобросовестное осуществление гражданских прав (злоупотребление правом).
   — п. 1 ст. 10 ГК РФ

Это означает: если соцсеть блокирует и удерживает ваши деньги, требуя за их возврат скан паспорта и реквизиты без законного на то основания, вы вправе требовать не только самой выплаты, но и процентов за период удержания (ст. 395 ГК РФ), а при нарушении прав потребителя — и иных последствий.

Вывод: удержание реальных денег с блокировкой аккаунта без законного основания — неправомерно; на сумму долга начисляются проценты по ст. 395 ГК РФ, а условие о раскрытии избыточных данных как предпосылки выплаты ничтожно (п. 1 ст. 16 ЗоЗПП, п. 1 ст. 10 ГК РФ).

Ответственность оператора и порядок действий: куда жаловаться

Если соцсеть (как оператор персональных данных) обрабатывает данные без правового основания или с избыточным объёмом — это административное правонарушение:

Статья 13.11. Нарушение законодательства Российской Федерации в области персональных данных 1. Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных
— ч. 1 ст. 13.11 КоАП РФ

Практические механизмы защиты, а не «спор с поддержкой»:

1. Не отправлять запрошенные избыточные данные и коды; зафиксировать скриншотами всю переписку (даты, адреса отправителя, текст требования).
2. Письменно (через официальную форму обратной связи) запросить у оператора правовое основание требования данных — он обязан ответить (п. 4 ст. 16 ЗоЗПП, 7 дней).
3. Если данные уже переданы — направить оператору отзыв согласия; оператор обязан прекратить обработку и уничтожить данные в 30-дневный срок:

1. В случае отзыва субъектом персональных данных согласия на обработку его персональных данных оператор обязан прекратить их обработку или обеспечить прекращение такой обработки (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий тридцати дней с даты поступления указанного отзыва, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между оператором и субъектом персональных данных либо если оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных настоящим Федеральным законом или другими федеральными законами. 5 1 .
   — п. 5 ст. 21 ФЗ-152 «О персональных данных»

1. Пожаловаться в Роскомнадзор (Федеральная служба по надзору в сфере связи, ИТ и массовых коммуникаций) — это уполномоченный орган по защите прав субъектов персональных данных; жалоба подаётся через официальный сайт.
2. Если требование имеет признаки фишинга (коды, CVV, «комиссия», доступ к госуслугам) — заявление в полицию о мошенничестве (ст. 159 УК РФ).
3. При неправомерном удержании средств — судебный иск о взыскании суммы и процентов (ст. 395 ГК РФ); для защиты прав потребителя — по правилам ЗоЗПП.

Вывод: арсенал защиты — письменное требование правового основания, отзыв согласия, жалоба в Роскомнадзор, заявление в полицию, иск в суд о возврате средств с процентами. Единый надзорный орган по нарушениям обработки данных — Роскомнадзор; по мошенничеству — органы полиции; по возврату денег — суд общей юрисдикции.

Альтернативные законные способы и порядок принудительного исполнения

Альтернативы безопасной верификации. Вместо отправки скана паспорта и реквизитов «в чат поддержки» используйте: (1) официальную форму обращения/верификации внутри сервиса (не в стороннем мессенджере) — если сервис всё же предусматривает КYC-верификацию для выплат, она должна проходить через его защищённый интерфейс; (2) если выводите деньги на карту — предоставьте только номер карты/счёта, без CVV и кодов; (3) для подтверждения принадлежности аккаунта используйте факторы, не раскрывающие платёжные данные (история входов, привязанный номер телефона, содержимое аккаунта). Раскрытие полного паспорта оправданно только в прямо предусмотренных законом случаях (договор с поднадзорной ЦБ финансовой организацией), в остальных — законно отказаться и потребовать письменного обоснования (п. 4 ст. 16 ЗоЗПП).

Исполнение. Последовательность принуждения одинакова во всех ветках:

1. Письменное требование оператору (правовое основание + разблокировка + возврат средств); срок ответа по ЗоЗПП — 7 дней (обоснование требования данных) и 10 дней (требование о возмещении убытков, п. 1 ст. 16).
2. При игнорировании — жалоба в Роскомнадзор (нарушение порядка обработки данных, ст. 13.11 КоАП), при признаках фишинга — заявление в полицию (ст. 159 УК РФ).
3. Судебное взыскание удержанной суммы с процентами по ст. 395 ГК РФ — в суд общей юрисдикции (по месту жительства истца-потребителя либо по месту нахождения ответчика). Отзыв согласия на обработку данных обязывает оператора уничтожить данные в 30-дневный срок (п. 5 ст. 21 ФЗ-152).

Вывод: законные альтернативы существуют всегда (минимальный объём данных через официальный канал); при отказе оператора действует единая цепочка — письменное требование → Роскомнадзор/полиция → иск в суд общей юрисдикции о возврате средств с процентами (ст. 395 ГК РФ).