Риэлтор просит выписку, паспорт, СНИЛС и код из смс, не показывает документы на квартиру — это мошенничество?

Квалификация действий риэлтора: мошенничество и хищение с использованием электронных средств платежа

Опорная норма — определение мошенничества: это хищение чужого имущества или приобретение права на чужое имущество путём обмана или злоупотребления доверием.

1. Мошенничество, то есть хищение чужого имущества или приобретение права на чужое имущество путем обмана или злоупотребления доверием, - наказывается штрафом в размере до ста двадцати тысяч рублей или в размере заработной платы или иного дохода осужденного за период до одного года, либо обязательными работами на срок до трехсот шестидесяти часов, либо исправительными работами на срок до одного года, либо ограничением свободы на срок до двух лет, либо принудительными работами на срок до двух лет, либо арестом на срок до четырех месяцев, либо лишением свободы на срок до двух лет.
   — ч. 1 ст. 159 УК РФ

Описанный вами сценарий — «я всё оформлю сам через банк», запрет обращаться в банк и к продавцу, ведение всех переговоров только в мессенджере, требование кода из СМС «для заявки» — полностью укладывается в диспозицию этой нормы: вам не передают ни одного документа, вводят в заблуждение относительно своего статуса и предмета сделки, создают искусственную изоляцию от продавца и банка. Именно такая изоляция и нужна, чтобы вы не обнаружили отсутствие реального объекта.

Если дело дойдёт до изъятия денег с вашего счёта посредством кода из СМС (то есть когда операция проводится с использованием вашего электронного средства платежа), применяется специальная норма — уголовная ответственность за мошенничество с использованием электронных средств платежа.

1. Мошенничество с использованием электронных средств платежа - (В редакции Федерального закона от 23.04.2018 № 111-ФЗ ) наказывается штрафом в размере до ста двадцати тысяч рублей или в размере заработной платы или иного дохода осужденного за период до одного года, либо обязательными работами на срок до трехсот шестидесяти часов, либо исправительными работами на срок до одного года, либо ограничением свободы на срок до двух лет, либо принудительными работами на срок до двух лет, либо лишением свободы на срок до трех лет.
   — ч. 1 ст. 159.3 УК РФ

Специальный характер этой нормы принципиален: код из СМС — это фактически «ключ» к вашему счёту, и его выманивание под предлогом «заявки на покупку квартиры» есть способ хищения денежных средств с использованием электронного средства платежа. Законодатель отнёс такие действия к самостоятельному составу преступления, наказываемому вплоть до лишения свободы, — а значит, передача кода ни при каких «посреднических» объяснениях не является безобидной формальностью.

Квалификация может быть и совокупной: если риэлтор проникает в ваши личные кабинеты/приложения (используя фото паспорта и СНИЛС для восстановления доступа), это охватывается составом неправомерного доступа к компьютерной информации.

Статья 272. Неправомерный доступ к компьютерной информации 1. Неправомерный доступ к охраняемой законом компьютерной информации, если это деяние повлекло уничтожение, блокирование, модификацию либо копирование компьютерной информации, за исключением случаев, предусмотренных
— ч. 1 ст. 272 УК РФ

Ваш вывод о том, что «это могут быть мошенники», нормой не опровергается: совокупность признаков (отказ показать договор и документы на квартиру, запрет контактов с банком и продавцом, требование кода из СМС и полного пакета документов до сделки) характерна не для законного посредничества, а для подготовки хищения. Уголовно-правовая оценка конкретных действий — вопрос органов расследования, но описанное поведение даёт достаточные основания для обращения в полицию.

Вывод: действия лица, требующего код из СМС и полностью изолирующего вас от банка и продавца, содержат признаки мошенничества (ч. 1 ст. 159 УК РФ), а при завладении деньгами через ваш счёт — мошенничества с использованием электронных средств платежа (ч. 1 ст. 159.3 УК РФ); передавать код из СМС нельзя ни при каких обстоятельствах.

Законность требования фото паспорта, СНИЛС и выписки по карте: режим персональных данных

Истребование фото паспорта со всех страниц, СНИЛС и выписки по карте за 12 месяцев — это обработка персональных данных, а она допускается только при наличии законного основания, прежде всего вашего согласия.

1. Обработка персональных данных должна осуществляться с соблюдением принципов и правил, предусмотренных настоящим Федеральным законом. Обработка персональных данных допускается в следующих случаях: 1) обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных; 2) обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей; 3) обработка персональных данных осуществляется в связи с участием лица в конституционном, гражданском, административном, уголовном судопроизводстве, судопроизводстве в арбитражных судах; (В редакции Федерального закона от 29.07.2017 № 223-ФЗ) 3 1 ) обработка персональных данных необходима для исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве (далее - исполнение судебного акта); (Дополнение пунктом - Федеральный закон от 29.07.2017 № 223-ФЗ) 4) обработка персональных данных необходима для исполнения полномочий федеральных органов исполнительной власти, органов государственных внебюджетных фондов, исполнительных органов государственной власти субъектов Российской Федерации, органов местного самоуправления и функций организаций, участвующих в предоставлении соответственно государственных и муниципальных услуг, предусмотренных Федеральным законом от 27 июля 2010 года № 210-ФЗ "Об организации предоставления государственных и муниципальных услуг", включая регистрацию субъекта персональных данных на едином портале государственных и муниципальных услуг и (или) региональных порталах государственных и муниципальных услуг; (В редакции Федерального закона от 05.04.2013 № 43-ФЗ ) 5) обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем.
   — п. 1 ст. 6 ФЗ № 152-ФЗ «О персональных данных»

Ключевой пункт для вас — подпункт 5: обработка без согласия возможна лишь тогда, когда она необходима для исполнения или заключения договора, стороной которого вы являетесь. Но здесь договора нет: вам не показывают ни договор с риэлтором, ни договор купли-продажи, ни документы на квартиру. Следовательно, «необходимости для исполнения договора» не существует, и основание обработки у риэлтора отсутствует. Обратите внимание: банковская выписка за 12 месяцев не нужна ни для одной законной процедуры покупки жилья — для проверки платёжеспособности покупателя банк сам запрашивает данные у вас и в своих системах.

Само согласие, даже если вы его дадите в переписке, должно отвечать особым требованиям.

1. Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным . Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. В случае получения согласия на обработку персональных данных от представителя субъекта персональных данных полномочия данного представителя на дачу согласия от имени субъекта персональных данных проверяются оператором.
   — п. 1 ст. 9 ФЗ № 152-ФЗ «О персональных данных»

Это означает, что согласие «в общем виде» в мессенджере («согласен на обработку моих данных») юридически неполноценно: в нём не определены оператор, цель, перечень данных и срок действия. Молчание и бездействие согласием не являются. Более того, обязанность доказать наличие согласия лежит на операторе (риэлторе), а не на вас.

1. Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных или доказательство наличия оснований, указанных в пунктах 2 - 11 части 1 статьи 6
   — п. 3 ст. 9 ФЗ № 152-ФЗ

Если данные уже переданы и обработка идёт без надлежащего согласия, у вас есть прямой механизм защиты — жалоба уполномоченному органу (Роскомнадзор) и иск о возмещении убытков и компенсации морального вреда.

1. Если субъект персональных данных считает, что оператор осуществляет обработку его персональных данных с нарушением требований настоящего Федерального закона или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке. 2. Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.
   — ст. 17 ФЗ № 152-ФЗ, п. 1

Нарушение требований к письменному согласию образует самостоятельный состав административного правонарушения — это реальный рычаг воздействия на недобросовестного «риэлтора».

1. Обработка персональных данных без согласия в письменной форме субъекта персональных данных на обработку его персональных данных в случаях, когда такое согласие должно быть получено в соответствии с законодательством Российской Федерации в области персональных данных, за исключением случаев, предусмотренных статьей 17.13 настоящего Кодекса, если эти действия не содержат уголовно наказуемого деяния, либо обработка персональных данных с нарушением установленных законодательством Российской Федерации в области персональных данных требований к составу сведений, включаемых в согласие в письменной форме субъекта персональных данных на обработку его персональных данных, - (В редакции Федерального закона от 11.06.2021 № 206-ФЗ) влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц - от ста тысяч до трехсот тысяч рублей; на юридических лиц - от трехсот тысяч до семисот тысяч рублей. (В редакции Федерального закона от 12.12.2023 № 589-ФЗ) 2 1 . Повторное совершение административного правонарушения, предусмотренного частью 2 настоящей статьи, - влечет наложение административного штрафа на граждан в размере от пятнадцати тысяч до тридцати тысяч рублей; на должностных лиц - от трехсот тысяч до пятисот тысяч рублей; на индивидуальных предпринимателей - от пятисот тысяч до одного миллиона рублей; на юридических лиц - от одного миллиона до полутора миллионов рублей.
   — ч. 2 ст. 13.11 КоАП РФ

Вывод: требование фото паспорта, СНИЛС и выписки по карте до заключения договора неправомерно — законного основания для такой обработки нет, поскольку договор не заключается и не показывается (п. 1 ст. 6, п. 1, 3 ст. 9 ФЗ № 152-ФЗ). Передавать эти документы нельзя; при уже состоявшейся передаче вы вправе отозвать согласие, потребовать прекратить обработку, подать жалобу в Роскомнадзор и в суд о компенсации морального вреда, а также привлечь виновное лицо по ч. 2 ст. 13.11 КоАП РФ.

Банковская выписка как охраняемая банковская тайна

Выписка по операциям и счётам — это сведения, составляющие банковскую тайну, и круг лиц, которым они выдаются, прямо ограничен законом.

Кредитная организация, Банк России, организация, осуществляющая функции по обязательному страхованию вкладов, гарантируют тайну об операциях, о счетах и вкладах своих клиентов и корреспондентов. Все служащие кредитной организации обязаны хранить тайну об операциях, о счетах и вкладах ее клиентов и корреспондентов, а также об иных сведениях, устанавливаемых кредитной организацией, если это не противоречит федеральному закону.
— ст. 26 ФЗ № 395-1 «О банках и банковской деятельности»

Для вас важно: тайну хранит сам банк, но и вы не должны содействовать её раскрытию. Закон устанавливает закрытый перечень получателей справок по счетам и вкладам физических лиц.

Справки по счетам и вкладам физических лиц выдаются кредитной организацией им самим, законным представителям несовершеннолетних в возрасте от четырнадцати до восемнадцати лет (за исключением случаев, предусмотренных пунктом 2 статьи 21 и пунктом 1 статьи 27 Гражданского кодекса Российской Федерации ) на основании сведений о таких законных представителях, размещенных в государственной информационной системе "Единая централизованная цифровая платформа в социальной сфере" и полученных кредитными организациями посредством использования единой системы межведомственного электронного взаимодействия, а при отсутствии указанных сведений в этой государственной информационной системе на основании свидетельства о рождении, или свидетельства об усыновлении (удочерении), или акта органа опеки и попечительства о назначении попечителя, судам, органам принудительного исполнения судебных актов, актов других органов и должностных лиц, организации, осуществляющей функции по обязательному страхованию вкладов, при наступлении страховых случаев, предусмотренных Федеральным законом "О страховании вкладов в банках Российской Федерации" , а при наличии согласия руководителя следственного органа - органам предварительного следствия по делам, находящимся в их производстве.
— ст. 26 ФЗ № 395-1 (справки по счетам физических лиц)

Требование «вышлите выписку мне в мессенджер» не подпадает ни под одно из перечисленных оснований: риэлтор не является ни самим клиентом, ни судом, ни органом принудительного исполнения, ни следственным органом, ни организацией по страхованию вкладов. Следовательно, передача постороннему лицу выписки за 12 месяцев — это не «формальность для банка», а добровольное раскрытие охраняемых сведений о вашей финансовой жизни. Риск двойной: содержимое выписки показывает остаток и регулярные поступления (это «карта» для последующего хищения), а сами данные о движении средств составляют охраняемую законом информацию.

Вывод: выписку по банковской карте риэлтору передавать нельзя — такие сведения составляют банковскую тайну и выдаются только самому клиенту и строго определённым законом органам (ст. 26 ФЗ № 395-1); ни один законную процедуру покупки квартиры посредник не требует от покупателя выписки в мессенджере.

Обязанность раскрыть информацию и недопустимость навязывания условий (защита прав потребителей)

Если риэлтор оказывает вам услугу (подбор объекта, сопровождение сделки), ваши отношения с ним — это отношения исполнителя и потребителя, и они регулируются Законом РФ «О защите прав потребителей». Первая обязанность исполнителя — довести до вас необходимую и достоверную информацию, обеспечивающую правильный выбор.

1. Изготовитель (исполнитель, продавец) обязан своевременно предоставлять потребителю необходимую и достоверную информацию о товарах (работах, услугах), обеспечивающую возможность их правильного выбора.
   — п. 1 ст. 10 Закона РФ «О защите прав потребителей»

В вашей ситуации не раскрыто главное: кто именно является исполнителем (наименование, адрес, ИНН), какие услуги и по какой цене оказываются, что за объект недвижимости и кто его собственник. Требование «не связывайтесь с продавцом без меня» прямо лишает вас возможности проверить эту информацию, а значит, нарушает ваше право на информацию.

Кроме того, запрет самостоятельно обращаться в банк и к продавцу, а также истребование избыточных персональных данных — это условия, ущемляющие права потребителя, и они ничтожны.

1. Продавец (исполнитель, владелец агрегатора) не вправе отказывать потребителю в заключении, исполнении, изменении или расторжении договора с потребителем в связи с отказом потребителя предоставить персональные данные, за исключением случаев, если обязанность предоставления таких данных предусмотрена законодательством Российской Федерации или непосредственно связана с исполнением договора с потребителем.
   — п. 4 ст. 16 Закона РФ «О защите прав потребителей»

Здесь действует важная защита: исполнитель не вправе отказать вам в заключении, исполнении, изменении или расторжении договора из-за отказа предоставить персональные данные, если их предоставление не обязательно по закону и не связано с исполнением договора. Фото паспорта «со всех страниц», СНИЛС и выписка по карте за 12 месяцев — очевидно избыточны для подбора квартиры, и отказ их направить не может служить основанием для отказа вам в услуге.

Вывод: риэлтор обязан раскрыть сведения о себе и о предмете сделки (п. 1 ст. 10 Закона РФ «О защите прав потребителей»), а его условия о полном запрете контактов с банком и продавцом и об обязательной передаче избыточных персональных данных ничтожны как ущемляющие права потребителя (п. 4 ст. 16 Закона РФ «О защите прав потребителей»); вы вправе требовать документы, письменный договор и проверять объект самостоятельно.

Если документы, код или деньги уже переданы: гражданско-правовые последствия

Отдельно разберите вариант, при котором вы уже направили фото паспорта, СНИЛС, выписку, сообщили код или перевели риэлтору деньги (аванс, «оплата услуг»). В этом случае к уголовно-правовому пласту добавляется гражданско-правовой: всё полученное без законного основания риэлтором подлежит возврату.

Лицо, которое без установленных законом, иными правовыми актами или сделкой оснований приобрело или сберегло имущество (приобретатель) за счет другого лица (потерпевшего), обязано возвратить последнему неосновательно приобретенное или сбереженное имущество (неосновательное обогащение), за исключением случаев, предусмотренных статьей 1109
— п. 1 ст. 1102 ГК РФ

Если деньги переведены лицу, которое никаких услуг не оказало и никакого объекта не предоставило, оно приобрело их без установленных законом или сделкой оснований — то есть является неосновательно обогатившимся и обязано вернуть вам всю сумму. Это самостоятельное гражданско-правовое требование, не зависящее от того, будет ли возбуждено уголовное дело.

Дополнительно на удержанную сумму начисляются проценты за пользование чужими денежными средствами.

На сумму неосновательного денежного обогащения подлежат начислению проценты за пользование чужими средствами (статья 395) с того времени, когда приобретатель узнал или должен был узнать о неосновательности
— п. 2 ст. 1107 ГК РФ

На практике это означает: помимо возврата суммы вы вправе требовать проценты по ст. 395 ГК РФ с момента, когда приобретатель узнал или должен был узнать о неосновательности получения денег (обычно — с момента перевода или с момента вашего требования о возврате).

Вывод: при уже состоявшейся передаче денег вы вправе требовать их возврата как неосновательного обогащения (п. 1 ст. 1102 ГК РФ) с начислением процентов за пользование чужими денежными средствами (п. 2 ст. 1107 ГК РФ); при передаче документов или кода — заявить об этом в полицию и банк, поскольку это уже основание для блокировки и разбирательства, а не для «ожидания» риэлтора.

Защитная ветка: как отличить добросовестного посредника и какая сделка считается нормальной

Проверьте и противоположную гипотезу: возможно, перед вами не мошенник, а реальный риэлтор, который просто ведёт сделку и просит документы для банка или для проверки покупателя. Разграничение строится на двух критериях: раскрытие информации о себе и объекте и прозрачность самой сделки.

1. Продавец (исполнитель, владелец агрегатора) не вправе отказывать потребителю в заключении, исполнении, изменении или расторжении договора с потребителем в связи с отказом потребителя предоставить персональные данные, за исключением случаев, если обязанность предоставления таких данных предусмотрена законодательством Российской Федерации или непосредственно связана с исполнением договора с потребителем.
   — п. 4 ст. 16 Закона РФ «О защите прав потребителей»

Норма о персональных данных очерчивает границу: даже добросовестный исполнитель не вправе требовать персональные данные, не связанные с исполнением договора. Значит, даже честный посредник не запрашивает СНИЛС и выписку по карте за 12 месяцев — эти данные избыточны. Если риэлтор отказывается сообщить ИНН, название агентства, адрес, показать выписку из ЕГРН и паспорт собственника, отказаться от письменного договора и требует код из СМС — это уже не «процедура банка», а признак обмана, и защитная ветка не работает.

Со стороны самой сделки законную сделку сопровождают: письменный договор оказания услуг с ИНН и адресом исполнителя, проверка права собственности в ЕГРН, прямой контакт с продавцом, безналичные расчёты через аккредитив или счёт эскроу в банке, а не переводы на карту посредника. Получение продавцом денег и переход права оформляются в Росреестре, а не в мессенджере.

Вывод: добросовестность риэлтора проверяется просто — он раскрывает свои реквизиты и договор, показывает выписку из ЕГРН и паспорт собственника, разрешает прямой контакт с продавцом и банком, а расчёты идут через банк (аккредитив/эскроу), а не через посредника. Поскольку в вашей ситуации не выполнено ни одного из этих условий, а запрошены избыточные персональные данные и код из СМС, защитная версия «это просто добросовестный риэлтор» объяснениями не подтверждается, и безопасным является отказ от передачи документов и кода и самостоятельная проверка объекта и продавца.

Как действовать: заявление в полицию, в Роскомнадзор и в банк

Порядок обращения в правоохранительные органы установлен УПК РФ: заявление о преступлении можно подать устно или письменно.

1. Заявление о преступлении может быть сделано в устном или письменном виде. 2. Письменное заявление о преступлении должно быть подписано заявителем. 3. Устное заявление о преступлении заносится в протокол, который подписывается заявителем и лицом, принявшим данное заявление. Протокол должен содержать данные о заявителе, а также о документах, удостоверяющих личность заявителя. 4. Если устное сообщение о преступлении сделано при производстве следственного действия или в ходе судебного разбирательства, то оно заносится соответственно в протокол следственного действия или протокол судебного заседания. 5. В случае, когда заявитель не может лично присутствовать при составлении протокола, его заявление оформляется в порядке, установленном статьей 143 настоящего Кодекса. 6. Заявитель предупреждается об уголовной ответственности за заведомо ложный донос
   — ст. 141 УПК РФ, п. 1

Это значит, что вы вправе прийти в отдел полиции по месту совершения деяния или месту своего жительства и подать заявление о приготовлении к мошенничеству (ч. 1 ст. 159, ч. 1 ст. 159.3 УК РФ), приложив распечатки переписки в мессенджере, скриншоты требований прислать код из СМС и фото запрошенных документов. Отказ в приёме недопустим: сообщение о преступлении регистрируется и по нему проводится проверка в порядке ст. 144–145 УПК РФ.

В части персональных данных у вас есть отдельный, независимый от уголовного дела механизм защиты. Уполномоченный орган (Роскомнадзор) наделён правом требовать от оператора блокирования и уничтожения незаконно полученных данных и привлекать виновных к административной ответственности.

1. требовать от оператора уточнения, блокирования или уничтожения недостоверных или полученных незаконным путем персональных данных; 3 1 ) ограничивать доступ к информации, обрабатываемой с нарушением законодательства Российской Федерации в области персональных данных, в порядке, установленном законодательством Российской Федерации; (Дополнение пунктом - Федеральный закон от 21.07.2014 № 242-ФЗ) 4) принимать в установленном законодательством Российской Федерации порядке меры по приостановлению или прекращению обработки персональных данных, осуществляемой с нарушением требований настоящего Федерального закона; 5) обращаться в суд с исковыми заявлениями в защиту прав субъектов персональных данных, в том числе в защиту прав неопределенного круга лиц, и представлять интересы субъектов персональных данных в суде; (В редакции Федерального закона от 25.07.2011 № 261-ФЗ) 5 1 ) направлять в федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности, и федеральный орган исполнительной власти, уполномоченный в области противодействия техническим разведкам и технической защиты информации, применительно к сфере их деятельности, сведения, указанные в пункте 7 части 3 статьи 22 настоящего Федерального закона; (Дополнение пунктом - Федеральный закон от 25.07.2011 № 261-ФЗ) 6) направлять заявление в орган, осуществляющий лицензирование деятельности оператора, для рассмотрения вопроса о принятии мер по приостановлению действия или аннулированию соответствующей лицензии в установленном законодательством Российской Федерации порядке, если условием лицензии на осуществление такой деятельности является запрет на передачу персональных данных третьим лицам без согласия в письменной форме субъекта персональных данных; 7) направлять в органы прокуратуры, другие правоохранительные органы материалы для решения вопроса о возбуждении уголовных дел по признакам преступлений, связанных с нарушением прав субъектов персональных данных, в соответствии с подведомственностью; 8) вносить в Правительство Российской Федерации предложения о совершенствовании нормативного правового регулирования защиты прав субъектов персональных данных и деятельности по обработке персональных данных; (В редакции Федерального закона от 14.07.2022 № 266-ФЗ) 9) привлекать к административной ответственности лиц, виновных в нарушении настоящего Федерального закона.
   — п. 3 ст. 23 ФЗ № 152-ФЗ

При уже состоявшейся передаче документов вы вправе направить риэлтору (оператору) требование о прекращении неправомерной обработки: он обязан заблокировать данные с момента обращения, а отзыв согласия влечёт обязанность уничтожить данные в срок до тридцати дней.

1. В случае выявления неправомерной обработки персональных данных при обращении субъекта персональных данных или его представителя либо по запросу субъекта персональных данных или его представителя либо уполномоченного органа по защите прав субъектов персональных данных оператор обязан осуществить блокирование неправомерно обрабатываемых персональных данных, относящихся к этому субъекту персональных данных, или обеспечить их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) с момента такого обращения или получения указанного запроса на период проверки. В случае выявления неточных персональных данных при обращении субъекта персональных данных или его представителя либо по их запросу или по запросу уполномоченного органа по защите прав субъектов персональных данных оператор обязан осуществить блокирование персональных данных, относящихся к этому субъекту персональных данных, или обеспечить их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) с момента такого обращения или получения указанного запроса на период проверки, если блокирование персональных данных не нарушает права и законные интересы субъекта персональных данных или третьих лиц.
   — ч. 1 ст. 21 ФЗ № 152-ФЗ

1. В случае отзыва субъектом персональных данных согласия на обработку его персональных данных оператор обязан прекратить их обработку или обеспечить прекращение такой обработки (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий тридцати дней с даты поступления указанного отзыва
   — п. 5 ст. 21 ФЗ № 152-ФЗ

Параллельно следует немедленно уведомить свой банк и, если код из СМС уже был сообщён, потребовать блокировки операций и перевыпуска карты — это защита от списания средств с использованием электронного средства платежа, на что и направлено «требование кода для заявки».

Вывод: заявление о преступлении подаётся в полицию в устной или письменной форме (ст. 141 УПК РФ) с приложением переписки; жалобу на неправомерную обработку персональных данных — в Роскомнадзор (п. 3 ст. 23 ФЗ № 152-ФЗ); при переданных данных — направить оператору требование о блокировании и уничтожении (ст. 21 ФЗ № 152-ФЗ) и одновременно обратиться в банк для блокировки карты.

Условия, при которых поведение риэлтора является мошенничеством, а не законным посредничеством

Разграничение строится на двух наборах признаков, каждый из которых опирается на уже приведённые нормы.

Первый — наличие реального договора и раскрытие информации. Законное оказание услуги возможно только при доведении до потребителя достоверных сведений об исполнителе и предмете сделки.

1. Изготовитель (исполнитель, продавец) обязан своевременно предоставлять потребителю необходимую и достоверную информацию о товарах (работах, услугах), обеспечивающую возможность их правильного выбора.
   — п. 1 ст. 10 Закона РФ «О защите прав потребителей»

Если исполнитель не сообщает ИНН, наименование агентства, адрес, не показывает договор и выписку из ЕГРН, запрещает контакты с продавцом и банком — условие о свободном выборе и достоверной информации нарушено, что исключает добросовестность посредника.

Второй — соразмерность истребуемых данных. Даже при наличии договора обработка персональных данных допускается лишь в объёме, необходимом для его исполнения.

1. Обработка персональных данных должна осуществляться с соблюдением принципов и правил, предусмотренных настоящим Федеральным законом. Обработка персональных данных допускается в следующих случаях: 1) обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных; 2) обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей; 3) обработка персональных данных осуществляется в связи с участием лица в конституционном, гражданском, административном, уголовном судопроизводстве, судопроизводстве в арбитражных судах; (В редакции Федерального закона от 29.07.2017 № 223-ФЗ) 3 1 ) обработка персональных данных необходима для исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве (далее - исполнение судебного акта); (Дополнение пунктом - Федеральный закон от 29.07.2017 № 223-ФЗ) 4) обработка персональных данных необходима для исполнения полномочий федеральных органов исполнительной власти, органов государственных внебюджетных фондов, исполнительных органов государственной власти субъектов Российской Федерации, органов местного самоуправления и функций организаций, участвующих в предоставлении соответственно государственных и муниципальных услуг, предусмотренных Федеральным законом от 27 июля 2010 года № 210-ФЗ "Об организации предоставления государственных и муниципальных услуг", включая регистрацию субъекта персональных данных на едином портале государственных и муниципальных услуг и (или) региональных порталах государственных и муниципальных услуг; (В редакции Федерального закона от 05.04.2013 № 43-ФЗ ) 5) обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем.
   — п. 1 ст. 6 ФЗ № 152-ФЗ «О персональных данных»

Требование СНИЛС и банковской выписки за 12 месяцев не связано с подбором квартиры, а потому не может быть оправдано «необходимостью исполнения договора». Наконец, требование кода из СМС выходит за пределы любых законных посреднических функций: код подтверждения — это средство доступа к банковскому счёту, и его выманивание под предлогом «подачи заявки» квалифицируется как способ хищения (ч. 1 ст. 159.3 УК РФ).

1. Мошенничество с использованием электронных средств платежа - (В редакции Федерального закона от 23.04.2018 № 111-ФЗ ) наказывается штрафом в размере до ста двадцати тысяч рублей или в размере заработной платы или иного дохода осужденного за период до одного года, либо обязательными работами на срок до трехсот шестидесяти часов, либо исправительными работами на срок до одного года, либо ограничением свободы на срок до двух лет, либо принудительными работами на срок до двух лет, либо лишением свободы на срок до трех лет.
   — ч. 1 ст. 159.3 УК РФ

Совокупность трёх признаков — непредоставление документов и изоляция от продавца/банка, избыточные персональные данные, требование кода из СМС — указывает на мошенническую схему, а не на законное агентское сопровождение.

Вывод: законное посредничество предполагает письменный договор, раскрытие реквизитов исполнителя и документов на объект (п. 1 ст. 10 Закона РФ «О защите прав потребителей»), соразмерный объём персональных данных (п. 1 ст. 6 ФЗ № 152-ФЗ) и расчёты через банк; при одновременном наличии изоляции от банка/продавца, требовании избыточных данных и кода из СМС поведение лица соответствует признакам мошенничества, а не добросовестной услуги, — именно эта квалификация и применима к вашей ситуации.