Ст. 7 Федерального закона «О персональных данных» возлагает на операторов и иных лиц, получивших доступ к персональным данным, обязанность не раскрывать и не распространять такие данные без согласия субъекта. Если бы указанные реквизиты загранпаспорта были получены мошенниками от оператора (например, из базы данных организации) в результате нарушения этой нормы, то нарушителем был бы оператор, раскрывший данные. Сам пользователь, чьи данные оказались у мошенников, вправе требовать от оператора прекращения обработки и компенсации убытков. Однако применительно к действиям мошенников эта норма не налагает на них обязанность хранить тайну — их поведение может быть квалифицировано как незаконное получение или использование персональных данных, но это потребует дополнительной уголовно-правовой оценки.
Операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст.7
Ст. 9 того же закона устанавливает, что согласие на обработку персональных данных должно быть конкретным, предметным, информированным и сознательным. В письменном согласии должны быть указаны, в числе прочего, фамилия, имя, отчество, адрес субъекта, номер основного документа, удостоверяющего личность, сведения о дате его выдачи и выдавшем органе. Значит, для законной обработки данных (например, для открытия счета или регистрации фирмы) требуется именно письменное согласие, содержащее указанные реквизиты. Мошенники, не имея волеизъявления самого владельца паспорта, не могут получить действительное согласие, поэтому любая обработка его данных без согласия будет незаконной. Однако сами по себе реквизиты (имя, номер загранпаспорта, даты) являются лишь частью сведений, которые должны включаться в согласие, но не заменяют его. Отсутствие фото и копии документа не отменяет необходимости получения согласия, но дополнительно затрудняет идентификацию, что делает невозможным совершение юридически значимых действий без участия самого владельца.
Статья 9. Согласие субъекта персональных данных на обработку его персональных данных. 1. Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным. ... 4. ... Согласие в письменной форме субъекта персональных данных на обработку его персональных данных должно включать в себя, в частности: 1) фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст.9
В отношении процедур открытия счетов и регистрации юридических лиц нормы, непосредственно определяющие достаточность реквизитов для идентификации, в предоставленном контексте отсутствуют. Такие требования обычно содержатся в Федеральном законе «О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма» и в Федеральном законе «О государственной регистрации юридических лиц и индивидуальных предпринимателей», где для подтверждения личности требуется предъявление оригинала документа или нотариально заверенной копии, что делает использование только цифровых реквизитов без фото практически невозможным.