Отправил фото паспорта и ИНН в WhatsApp при трудоустройстве: чем грозит и можно ли отозвать

Вправе ли работодатель требовать паспорт и ИНН через мессенджер до оформления, и законна ли такая передача

Перечень документов, которые работодатель вправе требовать при приёме на работу, установлен ст. 65 ТК РФ и является закрытым. Паспорт входит в перечень, но его передача — при непосредственном оформлении трудового договора, а не фотография, высланная незнакомому лицу в мессенджере ещё до заключения договора. При этом ИНН в перечне ст. 65 ТК РФ вообще не назван, а закон прямо запрещает требовать документы сверх предусмотренного перечня.

Статья 65. Документы, предъявляемые при заключении трудового договора Если иное не установлено настоящим Кодексом, другими федеральными законами, при заключении трудового договора лицо, поступающее на работу, предъявляет работодателю: (В редакции Федерального закона от 01.12.2014 № 409-ФЗ) паспорт или иной документ, удостоверяющий личность; трудовую книжку и (или) сведения о трудовой деятельности (статья 66 1 настоящего Кодекса), за исключением случаев, если трудовой договор заключается впервые; (В редакции Федерального закона от 16.12.2019 № 439-ФЗ) документ, подтверждающий регистрацию в системе индивидуального (персонифицированного) учета, в том числе в форме электронного документа; (В редакции Федерального закона от 01.04.2019 № 48-ФЗ) документы воинского учета - для военнообязанных и лиц, подлежащих призыву на военную службу; документ об образовании и (или) о квалификации или наличии специальных знаний - при поступлении на работу, требующую специальных знаний или специальной подготовки;
— ч. 1, 3 ст. 65 ТК РФ

Это означает, что для вашей ситуации: справку ИНН от вас требовать при приёме на работу работодатель законных оснований не имел (в перечне ст. 65 ТК РФ её нет), а запрос фотографии паспорта в мессенджер до подписания договора и до того, как вы убедились в реальности работодателя, — сам по себе тревожный признак. То же подтверждает позиция, выработанная в смежных спорах: требовать документы нужно только в объёме, необходимом для заключения трудового договора, и только после проверки работодателя.

Обработка персональных данных работника допустима только в строго определённых целях: «обеспечения соблюдения законов», содействия трудоустройству и т.п. (п. 1 ч. 1 ст. 86 ТК РФ). Простое «прислать фото паспорта в вотсап» такой цели обработки само по себе не образует — сбор данных должен быть соразмерен цели и единовременен с оформлением, а не в обмен на обещание «оформят потом».

В целях обеспечения прав и свобод человека и гражданина работодатель и его представители при обработке персональных данных работника обязаны соблюдать следующие общие требования: 1) обработка персональных данных работника может осуществляться исключительно в целях обеспечения соблюдения законов
— п. 1 ч. 1 ст. 86 ТК РФ

Вывод: требование выслать фотографии паспорта и чужой для трудового оформления ИНН в мессенджер до проверки работодателя — за рамками законного запроса при приёме на работу. Это не «нормальный» способ оформления, а распространённая схема либо мошеннического сбора данных, либо недобросовестного «работодателя». Однако сам по себе факт отправки фотографий не делает вас автоматически жертвой: дальнейшее зависит от того, кто и как использует полученные данные.

Каковы риски и кто отвечает, если полученные данные используют для оформления кредитов или подделки

Главный имущественный риск — мошенник, завладев копией паспорта и ИНН, может попытаться дистанционно оформить на ваше имя потребительский кредит (заём) в банке или микрофинансовой организации. Эти действия при установлении лица квалифицируются как мошенничество — хищение чужого имущества путём обмана:

Статья 159. Мошенничество 1. Мошенничество, то есть хищение чужого имущества или приобретение права на чужое имущество путем обмана или злоупотребления доверием, - наказывается штрафом в размере до ста двадцати тысяч рублей или в размере заработной платы или иного дохода осужденного за период до одного года, либо обязательными работами на срок до трехсот шестидесяти часов, либо исправительными работами на срок до одного года, либо ограничением свободы на срок до двух лет, либо принудительными работами на срок до двух лет, либо арестом на срок до четырех месяцев, либо лишением свободы на срок до д
— ч. 1 ст. 159 УК РФ

То есть если «работодатель» действительно окажется мошенником и с помощью ваших данных попытается похитить деньги, это преступление по ст. 159 УК РФ, и при обнаружении вы вправе обратиться в полицию с заявлением (нарушение, если кредит оформлен, будет выражаться и в уголовно-наказуемом деянии). Кроме того, незаконное собирание сведений о частной жизни (к которым относятся и паспортные данные) без согласия — отдельный состав ч. 1 ст. 137 УК РФ:

Незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия либо распространение этих сведений в публичном выступлении, публично демонстрирующемся произведении или средствах массовой информации , за исключением случаев, предусмотренных статьей 272 1 настоящего Кодекса, - (В редакции федеральных законов от 08.12.2003 № 162-ФЗ , от 30.11.2024 № 421-ФЗ ) наказываются штрафом в размере до двухсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до восемнадцати месяцев, либо обязательными работами на срок до трехсот шестидесяти часов, либо исправительными работами на срок до одного года, либо принудительными работами на срок до двух лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до трех лет или без такового, либо арестом на срок до четырех месяцев, либо лишением свободы на срок до двух лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до трех лет. (В редакции Федерального закона от 07.12.2011 № 420-ФЗ ) 2. Те же деяния, совершенные лицом с использованием своего служебного положения, - наказываются штрафом в размере от ста тысяч до трехсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период от одного года до двух лет, либо лишением права занимать определенные должности или заниматься определенной деятельностью на срок от двух до пяти лет, либо принудительными работами на срок до четырех лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до пяти лет или без такового, либо арестом на срок до шести месяцев, либо лишением свободы на срок до четырех лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до пяти лет. (В редакции федеральных законов от 08.12.2003 № 162-ФЗ ; от 22.12.2008 № 272-ФЗ ; от 07.03.2011 № 26-ФЗ ; от 07.12.2011 № 420-ФЗ ) 3. Незаконное распространение в публичном выступлении, публично демонстрирующемся произведении, средствах массовой информации или информационно-телекоммуникационных сетях информации, указывающей на личность несовершеннолетнего потерпевшего
— ч. 1 ст. 137 УК РФ (фрагмент)

По линии административной ответственности незаконная обработка персональных данных (которую осуществляет оператор/работодатель, собирающий их без законного основания и вне целей трудовых отношений) влечёт штраф по ч. 1 ст. 13.11 КоАП РФ:

Статья 13.11. Нарушение законодательства Российской Федерации в области персональных данных 1. Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частями 2, 11 - 18 настоящей статьи и статьей 17.13 настоящего Кодекса , если эти действия не содержат уголовно наказуемого деяния
— ч. 1 ст. 13.11 КоАП РФ

Вывод: риск оформления на ваше имя займов по переданной копии паспорта реален и является главной угрозой. Но ответственность за такие действия лежит на злоумышленнике (ст. 159 УК РФ), а за незаконный сбор данных — на операторе (ст. 137 УК РФ, ст. 13.11 КоАП РФ). Ваша задача — не «доказывать свою вину», а принять меры, чтобы пресечь возможность использования данных, и зафиксировать факт незаконного сбора. Ниже — какие меры доступны уже сейчас.

Можно ли «отозвать» отправленное: отзыв согласия и требование уничтожить данные

Юридически «отозвать отправленное» нельзя — сообщение в мессенджере уже получено собеседником (техническое удаление для всех в WhatsApp возможно лишь в течение примерно 2 дней и не даёт гарантии, что получатель не сохранил фото раньше). Но закон даёт вам действенный правовой механизм: отзыв согласия на обработку персональных данных и требование об уничтожении переданных данных.

Согласие на обработку персональных данных вы даёте свободно и можете отозвать его в любой момент (ч. 1, 2 ст. 9 ФЗ-152):

Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным . Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. В случае получения согласия на обработку персональных данных от представителя субъекта персональных данных полномочия данного представителя на дачу согласия от имени субъекта персональных данных проверяются оператором. (В редакции Федерального закона от 14.07.2022 № 266-ФЗ) 2. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных. В случае отзыва субъектом персональных данных согласия на обработку персональных данных оператор вправе продолжить обработку персональных данных без согласия
— ч. 1, 2 ст. 9 ФЗ-152

После отзыва согласия у оператора (получателя данных) возникает обязанность прекратить обработку и, если сохранение данных более не требуется для целей, уничтожить их — в срок не более 30 дней с даты поступления отзыва (ч. 5 ст. 21 ФЗ-152):

В случае отзыва субъектом персональных данных согласия на обработку его персональных данных оператор обязан прекратить их обработку или обеспечить прекращение такой обработки (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий тридцати дней с даты поступления указанного отзыва
— ч. 5 ст. 21 ФЗ-152

Что это значит для вас: вы должны направить получателю письменное требование (через тот же мессенджер с сохранением переписки, а лучше — на юридический адрес, если компания реальная) об отзыве согласия на обработку ваших персональных данных и об уничтожении высланных копий паспорта и ИНН. Если получатель не подчинён требованию или уклоняется, вы вправе обжаловать его действия в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в суд, а также требовать возмещения убытков и компенсации морального вреда (ст. 17 ФЗ-152):

Если субъект персональных данных считает, что оператор осуществляет обработку его персональных данных с нарушением требований настоящего Федерального закона или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке. 2. Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке
— ст. 17 ФЗ-152, п. 1

Гражданско-правовое последствие нарушения ваших неимущественных прав закреплено и в ст. 151 ГК РФ — возможность взыскать компенсацию морального вреда за действия, посягающие на ваши нематериальные блага (личная информация, паспортные данные):

Статья 151. Компенсация морального вреда Если гражданину причинен моральный вред (физические или нравственные страдания) действиями, нарушающими его личные неимущественные права либо посягающими на принадлежащие гражданину нематериальные блага, а также в других случаях, предусмотренных законом, суд может возложить на нарушителя обязанность денежной компенсации указанного вреда. (В редакции Федерального закона от 02.07.2013 № 142-ФЗ) При определении размеров компенсации морального вреда суд принимает во внимание степень вины нарушителя и иные заслуживающие внимания обстоятельства. Суд должен также учитывать степень физических и нравственных страданий, связанных с индивидуальными особенностями гражданина, которому причинен вред. (В редакции Федерального закона от 02.07.2013 № 142-ФЗ) Статья 152. Защита чести, достоинства и деловой репутации 1. Гражданин вправе требовать по суду опровержения порочащих его честь, достоинство или деловую репутацию сведений, если распространивший такие сведения не докажет, что они соответствуют действительности. Опровержение должно быть сделано тем же способом, которым были распространены сведения о гражданине, или другим аналогичным способом. По требованию заинтересованных лиц допускается защита чести, достоинства и деловой репутации гражданина и после его смерти. 2.
— ст. 151 ГК РФ, п. 2

Вывод: «отозвать» уже отправленные фото технически и юридически в полном смысле нельзя — они у получателя. Но вы вправе немедленно и письменно отозвать согласие на обработку персональных данных и потребовать уничтожения копий (срок 30 дней, ч. 5 ст. 21 ФЗ-152), а при отказе — обратиться в Роскомнадзор и суд (ст. 17 ФЗ-152) с требованием уничтожить данные, взыскать убытки и компенсировать моральный вред (ст. 151 ГК РФ). Главное — действовать, а не паниковать.

Как защититься от оформления кредитов и займов на ваше имя (самозапрет) и что делать, если мошенничество уже произошло

Самый надёжный практический шаг сразу после утечки паспортных данных — установить самозапрет на заключение договоров потребительского кредита (займа). Он внесён в кредитную историю и блокирует дистанционное оформление займов/кредитов на ваше имя (за исключением кредитов с ипотекой/залогом ТС и образовательного кредита). Установить запрет можно бесплатно через МФЦ или портал Госуслуг, неограниченное число раз (ст. 5.1 ФЗ-218 «О кредитных историях»):

Для установления запрета (снятия запрета) субъект кредитной истории - физическое лицо вправе бесплатно любое количество раз подать во все квалифицированные бюро кредитных историй через многофункциональный центр предоставления государственных и муниципальных услуг или с использованием единого портала государственных и муниципальных услуг: 1) заявление о запрете; 2) заявление о снятии запрета. 2. Запрет может распространяться на заключение кредитными организациями и (или) микрофинансовыми организациями с субъектом кредитной истории - физическим лицом договоров потребительского займа (кредита), за исключением договоров потребительского займа (кредита), обязательства заемщика по которым обеспечены ипотекой и (или) залогом транспортного средства, и договоров основного образовательного кредита, предоставление государственной поддержки по которому осуществляется в порядке, установленном в соответствии с частью 4 статьи 104 Федерального закона от 29 декабря 2012 года № 273-ФЗ "Об образовании в Российской Федерации", а также отдельно на заключение кредитными организациями и (или) микрофинансовыми организациями способом, не предполагающим личную явку субъекта кредитной истории - физического лица, договоров потребительского займа (кредита), за исключением договоров потребительского займа (кредита), обязательства заемщика по которым обеспечены ипотекой и (или) залогом транспортного средства, и договоров основного образовательного кредита, предоставление государственной поддержки по которому осуществляется в порядке, установленном в соответствии с частью 4 статьи 104 Федерального закона от 29 декабря 2012 года № 273-ФЗ "Об образовании в Российской Федерации" (далее - условия запрета). 3. Заявление о запрете (снятии запрета) должно содержать: 1) фамилию, имя, отчество (если последнее имеется), дату рождения, данные паспорта гражданина Российской Федерации или при его отсутствии иного документа, удостоверяющего личность в соответствии с законодательством Российской Федерации, идентификационный номер налогоплательщика; 2) сведения, состав которых определен пунктом 1 части 4 5 статьи 4 настоящего Федерального закона; 3) сведения, состав которых определен пунктом 4 части 4 5 статьи 4 настоящего Федерального закона (за исключением случая подачи заявления о снятии запрета); 4) сведения, состав которых может быть определен в соответствии с частью 4 6 статьи 4 настоящего Федерального закона. 4. Заявление о запрете подается субъектом кредитной истории - физическим лицом во все квалифицированные бюро кредитных историй
— ч. 1, 4 ст. 5.1 ФЗ-218 «О кредитных историях»

Здесь важно понимать порядок: запрет действует на будущие договоры, подаваемые после его внесения в кредитную историю. Поэтому действовать нужно как можно быстрее — до того, как злоумышленник успеет подать заявку. Само заявление о запрете требует указать ваши паспортные данные и ИНН (п. 3 ч. 3 ст. 5.1 ФЗ-218) — их вы знаете сами, никакой беды от передачи данных злоумышленнику это не добавляет.

Дополнительно:

• Проверьте свою кредитную историю (бесплатно 2 раза в год через ЦККИ/БКИ) — чтобы убедиться, не оформлены ли уже от вашего имени займы. Если обнаружите — немедленно заявите в полицию (ст. 159 УК РФ) и в банк/МФО.
• Согласие на обработку данных уже отзывается (см. блок выше) — это лишает оператора законного основания держать ваши копии.
• Если узнали, что кредит оформлен без вас, — оспаривайте его через кредитную организацию и суд; по правилам оспаривания кредитной истории и займов, заключённых без вашей воли, вы не отвечаете за обязательства, на которые не давали согласия.

Вывод: немедленно (в пределах часов-дней) установите самозапрет на кредиты через Госуслуги или МФЦ (ст. 5.1 ФЗ-218) и проверьте кредитную историю на предмет уже оформленных на ваше имя займов. При обнаружении несанкционированного кредита — заявление в полицию по ст. 159 УК РФ и обжалование в банке/МФО. Параллельно отзывайте согласие на обработку персональных данных.