Сомнительная компания просит паспортные данные при удалённой работе: как проверить документы и распознать мошенников

Какие документы вправе требовать работодатель при приёме на работу и что должно насторожить

Работодатель при заключении трудового договора вправе запрашивать лишь закрытый перечень документов, который прямо установлен ТК РФ. Паспорт, трудовая книжка (сведения о ней), документ о регистрации в системе персонифицированного учёта (СНИЛС), военный билет, документ об образовании — то, что можно требовать. Всё, что сверх этого перечня (инн при необязательности, заполнение произвольных «анкет» с избыточными данными, копии документов сторонним лицам, фото неопределенной цели), предъявлять вы не обязаны:

Запрещается требовать от лица, поступающего на работу, документы помимо предусмотренных настоящим Кодексом, иными федеральными законами, указами Президента Российской Федерации
— абз. 6 ч. 1 ст. 65 ТК РФ

Для вас это означает: если «сомнительная компания» просит сверх установленного перечня, вы вправе отказаться. ИНН законный перечень ст. 65 ТК РФ прямо не называет (он не является документом, удостоверяющим личность или подтверждающим статус), поэтому его затребование до заключения договора и без сквозной цели обработки — уже признак недобросовестности. Более того, по дистанционной работе заключение договора возможно простым обменом электронными документами, а обязательные документы по ст. 65 могут быть представлены в электронной форме — требование «заполнить кучу бумаг» и прислать копии паспорта навалом до подписания договора является дополнительным красным флагом:

Трудовой договор и дополнительное соглашение к трудовому договору, предусматривающие выполнение работником трудовой функции дистанционно, могут заключаться путем обмена между работником (лицом, поступающим на работу) и работодателем электронными документами в порядке, предусмотренном частью первой статьи 312 3 настоящего Кодекса. По письменному заявлению дистанционного работника работодатель не позднее трех рабочих дней со дня получения такого заявления обязан направить дистанционному работнику оформленный надлежащим образом экземпляр трудового договора или дополнительного соглашения к трудовому договору на бумажном носителе. При заключении трудового договора путем обмена электронными документами документы, предусмотренные статьей 65 настоящего Кодекса, могут быть предъявлены работодателю лицом, поступающим на дистанционную работу, в форме электронных документов, если иное не предусмотрено законодательством Российской Федерации. По требованию работодателя данное лицо обязано представить ему нотариально заверенные копии указанных документов на бумажном носителе. При заключении трудового договора путем обмена электронными документами лицом, впервые заключающим трудовой договор, данное лицо получает документ, подтверждающий регистрацию в системе индивидуального (персонифицированного) учета, в том числе в форме электронного документа, самостоятельно. Ознакомление лица, поступающего на дистанционную работу, с документами, предусмотренными частью третьей статьи 68 настоящего Кодекса, может осуществляться путем обмена электронными документами. По желанию дистанционного работника
— ч. 1, 3 ст. 312.2 ТК РФ

Законному трудоустройству соответствует подписание письменного трудового договора в двух экземплярах (один — вам на руки), а не «анкетирование», оплата «обучения», «оборудования», «страховки» или доставка документов. Если вас просят что-то оплатить, чтобы «трудоустроить», — это типичная мошенническая схема.

Вывод: список запрашиваемых документов законно ограничен ст. 65 ТК РФ; паспорт и СНИЛС при оформлении удалённой работы предоставить допустимо, но только после проверки работодателя и в рамках подписания договора, а не произвольного сбора «кучи документов» до него. Требование любых документов сверх закрытого перечня, а также любая просьба оплатить что-либо — признаки развода, от таких условий нужно отказываться.

Можно ли давать паспортные данные и на каких условиях (согласие на обработку ПДн)

Передача паспортных данных, СНИЛС и ИНН потенциальному работодателю допустима только при наличии правового основания обработки. Согласие на обработку персональных данных должно быть добровольным, конкретным, предметным, информированным и однозначным — то есть вы должны чётко знать, кому, зачем и какие данные передаёте:

Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным . Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. В случае получения согласия на обработку персональных данных от представителя субъекта персональных данных полномочия данного представителя на дачу согласия от имени субъекта персональных данных проверяются оператором. (В редакции Федерального закона от 14.07.2022 № 266-ФЗ) 2. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных. В случае отзыва субъектом персональных данных согласия на обработку персональных данных оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона. 3.
— ст. 9 ФЗ-152 «О персональных данных», п. 1

Согласие вы вправе отозвать в любой момент — это ключевой механизм защиты:

Согласие на обработку персональных данных может быть отозвано субъектом персональных данных. В случае отзыва субъектом персональных данных согласия на обработку персональных данных оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона
— п. 2 ст. 9 ФЗ-152
В случае отзыва субъектом персональных данных согласия на обработку его персональных данных оператор обязан прекратить их обработку или обеспечить прекращение такой обработки (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий тридцати дней с даты поступления указанного отзыва
— п. 5 ст. 21 ФЗ-152

После отзыва согласия оператор обязан прекратить обработку и уничтожить ваши данные (если их сохранение не требуется для целей обработки) в течение 30 дней. Работодатель же при обработке данных работника обязан соблюдать принцип целевого использования — собирать только те данные, которые необходимы для законных целей:

обработка персональных данных работника может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия работникам в трудоустройстве, получении образования и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества; (В редакции Федерального закона от 02.07.2013 № 185-ФЗ) 2) при определении объема и содержания обрабатываемых персональных данных работника работодатель должен руководствоваться Конституцией Российской Федерации , настоящим Кодексом и иными федеральными законами; 3) все персональные данные работника следует получать у него самого. Если персональные данные работника возможно получить только у третьей стороны, то работник должен быть уведомлен об этом заранее и от него должно быть получено письменное согласие. Работодатель должен сообщить работнику о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа работника дать письменное согласие на их получение; 4) работодатель не имеет права получать и обрабатывать сведения о работнике, относящиеся в соответствии с законодательством Российской Федерации в области персональных данных к специальным категориям персональных данных, за исключением случаев, предусмотренных настоящим Кодексом и другими федеральными законами;
— ч. 1 ст. 86 ТК РФ

Для вас это означает: если компания сомнительная, — указав её данные и попросив прислать полный перечень собираемых персональных данных и цели обработки, вы можете проверить правомерность. Закон требует, чтобы работодатель ограничивал объём собираемых данных и получал их преимущественно от вас самого. Требование избыточных данных (банковские реквизиты, фото, данные близких, копии всех страниц паспорта) без конкретной законной цели — признак неправомерной обработки.

Вывод: паспортные данные передавать можно и закон это допускает, но только после проверки работодателя, в объёме, необходимом для заключения договора, и под оформленное информированное согласие, которое вы вправе отозвать в любой момент с обязанностью оператора уничтожить данные в течение 30 дней.

Если это мошенники: что они могут сделать с паспортными данными и какая ответственность им грозит

С паспортными данными, СНИЛС и ИНН мошенники при отсутствии надлежащей проверки на банковской стороне могут попытаться оформить микрозаймы и кредиты, зарегистрировать на ваше имя ИП или юрлицо, оформлять сим-карты. Такие действия квалифицируются как мошенничество:

Мошенничество, то есть хищение чужого имущества или приобретение права на чужое имущество путем обмана или злоупотребления доверием, - наказывается штрафом в размере до ста двадцати тысяч рублей или в размере заработной платы или иного дохода осужденного за период до одного года, либо обязательными работами на срок до трехсот шестидесяти часов, либо исправительными работами на срок до одного года, либо ограничением свободы на срок до двух лет, либо принудительными работами на срок до двух лет, либо арестом на срок до четырех месяцев, либо лишением свободы на срок д
— ч. 1 ст. 159 УК РФ

Кроме того, сам неправомерный сбор и распространение ваших персональных данных образует состав нарушения неприкосновенности частной жизни:

Незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия либо распространение этих сведений в публичном выступлении, публично демонстрирующемся произведении или средствах массовой информации , за исключением случаев, предусмотренных статьей 272 1 настоящего Кодекса, - (В редакции федеральных законов от 08.12.2003 № 162-ФЗ , от 30.11.2024 № 421-ФЗ ) наказываются штрафом в размере до двухсот тысяч рублей
— ч. 1 ст. 137 УК РФ

А неправомерная обработка персональных данных влечёт административную ответственность по КоАП РФ:

Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частями 2, 11 - 18 настоящей статьи и статьей 17.13 настоящего Кодекса , если эти действия не содержат уголовно наказуемого деяния, - (В редакции федеральных законов от 11.06.2021 № 206-ФЗ, от 30.11.2024 № 420-ФЗ) влечет наложение административного
— ч. 1 ст. 13.11 КоАП РФ

Если против вас используют данные — первое действие: отозвать согласие на обработку персональных данных у этой компании (заявление с требованием уничтожить данные), зафиксировать факт передачи (переписка, скриншоты), и обратиться с заявлением в полицию (возможно мошенничество — ст. 159 УК РФ) и в Роскомнадзор. При неправомерном использовании данных также велика вероятность, что мошенники оформят кредиты — защитный шаг: направить в банки заявления о том, что вы не давали согласия, проверить свою кредитную историю в БКИ, при выявлении несанкционированных займов — оспорить их как не заключённые.

Роскомнадзор — уполномоченный орган, который рассматривает жалобы о нарушении обработки персональных данных, проводит проверки и вправе обращаться в суд в защиту ваших прав:

обращаться в суд с исковыми заявлениями в защиту прав субъектов персональных данных, в том числе в защиту прав неопределенного круга лиц
— п. 5 ч. 3 ст. 23 ФЗ-152

Вывод: мошенники с паспортными данными могут попытаться оформить кредиты и зарегистрировать на вас юрлицо/ИП; за это предусмотрена уголовная (ст. 137, 159 УК РФ) и административная (ст. 13.11 КоАП РФ) ответственность, а вы вправе отозвать согласие, потребовать уничтожения данных, обратиться в Роскомнадзор и полицию.

Защита прав и денежные последствия (компенсация, обжалование, суд)

Если ваши права нарушены неправомерной обработкой или использованием данных, закон предоставляет два канала защиты: обращение в Роскомнадзор либо в суд, а также право на возмещение убытков и компенсацию морального вреда:

Если субъект персональных данных считает, что оператор осуществляет обработку его персональных данных с нарушением требований настоящего Федерального закона или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке
— п. 1 ст. 17 ФЗ-152
Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке. Глава 4. Обязанности оператора Статья 18. Обязанности оператора при сборе персональных данных 1. При сборе персональных данных оператор обязан предоставить субъекту персональных данных по его просьбе информацию, предусмотренную частью 7 статьи 14 настоящего Федерального закона. 2. Если в соответствии с федеральным законом предоставление персональных данных и (или) получение оператором согласия на обработку персональных данных являются обязательными, оператор обязан разъяснить субъекту персональных данных юридические последствия отказа предоставить его персональные данные и (или) дать согласие на их обработку. (В редакции Федерального закона от 14.07.2022 № 266-ФЗ) 3. Если персональные данные получены не от субъекта персональных данных, оператор, за исключением случаев, предусмотренных частью 4 настоящей статьи, до начала обработки таких персональных данных обязан предоставить субъекту персональных данных следующую информацию: 1) наименование либо фамилия, имя, отчество и адрес оператора или его представителя; 2) цель обработки персональных данных и ее правовое основание; 2 1 ) перечень персональных данных; (Дополнение пунктом - Федеральный закон от 14.07.2022 № 266-ФЗ) 3) предполагаемые пользователи персональных данных; 4) установленные настоящим Федеральным законом права субъекта персональных данных;
— п. 2 ст. 17 ФЗ-152

Моральный вред компенсируется судом за нарушение личных неимущественных прав и посягательство на нематериальные блага (к которым относятся честь, достоинство, личная и семейная тайна):

Если гражданину причинен моральный вред (физические или нравственные страдания) действиями, нарушающими его личные неимущественные права либо посягающими на принадлежащие гражданину нематериальные блага, а также в других случаях, предусмотренных законом, суд может возложить на нарушителя обязанность денежной компенсации указанного вреда
— ст. 151 ГК РФ, п. 2

Срок исковой давности по таким спорам — общий, три года (ст. 196 ГК РФ). Вопрос подсудности: споры о защите персональных данных и компенсации морального вреда рассматриваются судом общей юрисдикции; гражданские дела по искам о компенсации морального вреда при сумме иска до 50 000 рублей — мировым судьёй, свыше — районным судом (рассматриваются как дела, возникающие из гражданских правоотношений). Помимо суда, жалоба может быть подана в уполномоченный орган — Роскомнадзор, который рассматривает обращения и вправе привлекать нарушителей к административной ответственности (ст. 13.11 КоАП РФ).

Совокупный механизм действий при подтверждении мошенничества: (1) отозвать согласие и потребовать уничтожения данных (ст. 9, 21 ФЗ-152); (2) подать заявление в полицию о мошенничестве (ст. 159 УК РФ); (3) обратиться с жалобой в Роскомнадзор (ст. 17, 23 ФЗ-152); (4) при реальном ущербе — предъявить иск о возмещении убытков и компенсации морального вреда (ст. 17 ФЗ-152, ст. 151 ГК РФ).

Куда жаловаться, если данные уже переданы (Роскомнадзор, полиция)

Если вы уже передали паспортные данные «сомнительной компании», закон прямо устанавливает два канала защиты: обжалование действий/бездействия оператора в уполномоченный орган (Роскомнадзор) либо в судебном порядке, а также право на возмещение убытков и компенсацию морального вреда:

Если субъект персональных данных считает, что оператор осуществляет обработку его персональных данных с нарушением требований настоящего Федерального закона или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке
— п. 1 ст. 17 ФЗ-152
Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке. Глава 4. Обязанности оператора Статья 18. Обязанности оператора при сборе персональных данных 1. При сборе персональных данных оператор обязан предоставить субъекту персональных данных по его просьбе информацию, предусмотренную частью 7 статьи 14 настоящего Федерального закона. 2. Если в соответствии с федеральным законом предоставление персональных данных и (или) получение оператором согласия на обработку персональных данных являются обязательными, оператор обязан разъяснить субъекту персональных данных юридические последствия отказа предоставить его персональные данные и (или) дать согласие на их обработку. (В редакции Федерального закона от 14.07.2022 № 266-ФЗ) 3. Если персональные данные получены не от субъекта персональных данных, оператор, за исключением случаев, предусмотренных частью 4 настоящей статьи, до начала обработки таких персональных данных обязан предоставить субъекту персональных данных следующую информацию: 1) наименование либо фамилия, имя, отчество и адрес оператора или его представителя; 2) цель обработки персональных данных и ее правовое основание; 2 1 ) перечень персональных данных; (Дополнение пунктом - Федеральный закон от 14.07.2022 № 266-ФЗ) 3) предполагаемые пользователи персональных данных; 4) установленные настоящим Федеральным законом права субъекта персональных данных;
— п. 2 ст. 17 ФЗ-152

Уполномоченный орган (Роскомнадзор) обязан рассматривать жалобы и обращения граждан по вопросам обработки персональных данных и принимать решения по их результатам:

рассматривать жалобы и обращения граждан или юридических лиц по вопросам, связанным с обработкой персональных данных, а также принимать в пределах своих полномочий решения по результатам рассмотрения указанных жалоб и обращений; 3) вести реестр операторов; 4) осуществлять меры, направленные на совершенствование защиты прав субъектов персональных данных; 5) принимать в установленном законодательством Российской Федерации порядке по представлению федерального органа исполнительной власти, уполномоченного в области обеспечения безопасности, федерального органа исполнительной власти в области государственной охраны или федерального органа исполнительной власти, уполномоченного в области противодействия техническим разведкам и технической защиты информации, меры по приостановлению или прекращению обработки персональных данных; (В редакции Федерального закона от 01.07.2017 № 148-ФЗ) 6) информировать государственные органы, а также субъектов персональных данных по их обращениям или запросам о положении дел в области защиты прав субъектов персональных данных; 7) выполнять иные предусмотренные законодательством Российской Федерации обязанности. 5 1 .
— п. 2 ч. 5 ст. 23 ФЗ-152

Указанный орган также вправе обращаться в суд в защиту прав субъектов персональных данных и привлекать нарушителей к административной ответственности (ст. 13.11 КоАП РФ):

обращаться в суд с исковыми заявлениями в защиту прав субъектов персональных данных, в том числе в защиту прав неопределенного круга лиц
— п. 5 ч. 3 ст. 23 ФЗ-152

При наличии признаков преступления (хищение денег путём обмана, попытка оформить на вас кредит) обращение подаётся в органы внутренних дел (полицию) — по ст. 159 УК РФ (мошенничество) и ст. 137 УК РФ (нарушение неприкосновенности частной жизни). Заявление можно подать как в территориальное подразделение полиции лично, так и через портал госуслуг, с приложением доказательств (переписка, сведения о компании, копии запрашиваемых документов).

Вывод: при уже состоявшейся передаче данных вы вправе обратиться в Роскомнадзор (жалоба на неправомерную обработку) и в полицию (заявление о мошенничестве), а при реальном ущербе — в суд с требованием возмещения убытков и компенсации морального вреда.