Обязаны ли победители акции предоставлять паспортные данные и ИНН для получения приза и есть ли риск

Обязан ли организатор выдать приз, и вправе ли он ставить выдачу в зависимость от паспортных данных и ИНН

Отношения по рекламной (стимулирующей) акции с определением победителя по своей природе являются публичным конкурсом: организатор принял на себя обязательство выдать награду победителю. Это обязательство существует независимо от дальнейших условий и не может быть «подвешено» под предоставление сведений, прямо не необходимых для самой выдачи приза.

1. Лицо, объявившее публично о выплате денежного вознаграждения или выдаче иной награды (о выплате награды) за лучшее выполнение работы или достижение иных результатов (публичный конкурс), должно выплатить (выдать) обусловленную награду тому, кто в соответствии с условиями проведения конкурса признан его победителем
   — п. 1 ст. 1057 ГК РФ

Смысл для нашего случая: раз вас признали победителем (вы выиграли сертификат), организатор обязан его выдать. Обязанность выдать награду — его собственная гражданско-правовая обязанность, а не «одолжение» под условием.

1. Лицо, объявившее публично о выплате денежного вознаграждения или выдаче иной награды (о выплате награды) тому, кто совершит указанное в объявлении правомерное действие в указанный в нем срок, обязано выплатить обещанную награду любому, кто совершил соответствующее действие
   — п. 1 ст. 1055 ГК РФ

По правилам публичного обещания награды достаточно, чтобы вы совершили указанное в объявлении действие в срок. То есть право на приз возникает из факта выигрыша, а не из факта передачи паспорта.

Ключевой «потребительский» предохранитель сформулирован в Законе о защите прав потребителей:

1. Продавец (исполнитель, владелец агрегатора) не вправе отказывать потребителю в заключении, исполнении, изменении или расторжении договора с потребителем в связи с отказом потребителя предоставить персональные данные, за исключением случаев, если обязанность предоставления таких данных предусмотрена законодательством Российской Федерации или непосредственно связана с исполнением договора с потребителем
   — п. 4 ст. 16 Закона РФ № 2300-1

Эта норма прямо адресована вашей ситуации: организатор не вправе отказать в исполнении договора только потому, что вы не хотите давать персональные данные, — кроме случая, когда предоставление этих данных (а) прямо предписано законом или (б) непосредственно связано с исполнением договора. Значит, всё упирается в то, для чего именно организатору нужны паспорт и ИНН (см. блоки 2–3). Если эти данные нужны как налоговому агенту — это «связано с исполнением», но требование должно быть соразмерным. Если же данные собирают «на всякий случай», под маркетинг — отказ неправомерен.

Дополнительно: если мелкий шрифт правил ущемляет ваши права по сравнению с законом, такое условие ничтожно.

1. Недопустимыми условиями договора, ущемляющими права потребителя, являются условия, которые нарушают правила, установленные международными договорами Российской Федерации, настоящим Законом, законами и принимаемыми в соответствии с ними иными нормативными правовыми актами Российской Федерации, регулирующими отношения в области защиты прав потребителей. Недопустимые условия договора, ущемляющие права потребителя, ничтожны
   — п. 1 ст. 16 Закона РФ № 2300-1

Вывод: организатор обязан выдать вам сертификат как победителю акции (ст. 1055, 1057 ГК РФ). Отказать в выдаче только из-за вашего отказа сообщить паспорт/ИНН он вправе лишь тогда, когда предоставление этих данных прямо требуется законом или действительно необходимо для исполнения обязательства (п. 4 ст. 16 Закона № 2300-1). Поэтому корректный шаг — не «отказываться вообще», а потребовать от организатора письменно объяснить конкретную цель и правовое основание требования; при отсутствии внятного обоснования отказ в призе неправомерен, и вы вправе требовать выдачи приза и защиты в суде по своему выбору (п. 2 ст. 17 Закона № 2300-1).

Налоговая составляющая: зачем организатору вообще нужны ваши данные и есть ли «порог» освобождения

Требование данных у победителя нередко объясняют налоговой обязанностью организатора — он является налоговым агентом. Это в определённой части законно, но не безгранично, и «срабатывает» только при определённых условиях (порог стоимости приза и способ выплаты).

Порог освобождения. Не всякий приз облагается налогом: если стоимость призов в денежной и натуральной формах за год не превышает 4 000 рублей, доход освобождается от налогообложения (это положение ст. 217 НК РФ). Названный порог в тексте доступной редакции ст. 217 не был найден дословно, поэтому я исхожу из сложившейся практики его применения; сам общий принцип — ниже:

Статья 217. Доходы, не подлежащие налогообложению (освобождаемые от налогообложения) Не подлежат налогообложению (освобождаются от налогообложения) следующие виды доходов физических лиц: 1) государственные пособия, за исключением пособий по временной нетрудоспособности (включая пособие по уходу за больным ребенком); если иное не предусмотрено настоящим пунктом, все виды компенсационных выплат, установленных законодательством Российской Федерации, законодательными актами субъектов Российской Федерации, решениями представительных органов местного самоуправления (в пределах норм, установленных в соответствии с законодательством Российской Федерации), связанных с: возмещением вреда, причиненного увечьем или иным повреждением здоровья; возмещением расходов на оплату коммунальных услуг (включая услуги по обращению с твердыми коммунальными отходами), расходов на оплату жилых помещений, предоставляемых во временное пользование, топлива (а также соответствующие доходы, полученные в натуральной форме); (В редакции Федерального закона от 23.11.2020 № 374-ФЗ) возмещением стоимости полагающегося натурального довольствия (а также соответствующие доходы, полученные в натуральной форме);
— ст. 217 НК РФ

Ставка и база. Если стоимость вашего приза превышает порог либо превышает его суммарно с другими вашими призами за год, необлагаемая часть — 4 000 руб., а с превышения налог считается по повышенной ставке:

Налоговая ставка устанавливается в размере 35 процентов в отношении следующих доходов: абзац; (Исключен - Федеральный закон от 29.05.2002 № 57-ФЗ) стоимости любых выигрышей и призов, получаемых в проводимых конкурсах
— п. 2 ст. 224 НК РФ

То есть по общему правилу стоимость приза в конкурсе (а рекламная акция в целях налогообложения приравнивается к конкурсу) облагается НДФЛ по ставке 35% — по этой причине организатор и пытается удержать налог.

Обязанность удержать и её пределы. Организатор-налоговый агент обязан исчислить и удержать налог, но удержать его у вас он может только из денежных доходов, причём не более 50%:

Налоговые агенты обязаны удержать начисленную сумму налога непосредственно из доходов налогоплательщика при их фактической выплате с учетом особенностей, установленных настоящим пунктом. (В редакции Федерального закона от 02.05.2015 № 113-ФЗ) При выплате налогоплательщику дохода в натуральной форме или получении налогоплательщиком дохода в виде материальной выгоды удержание исчисленной суммы налога производится налоговым агентом за счет любых доходов, выплачиваемых налоговым агентом налогоплательщику в денежной форме. При этом удерживаемая сумма налога не может превышать 50 процентов суммы выплачиваемого дохода в денежной форме. (В редакции Федерального закона от 02.05.2015 № 113-ФЗ) Положения настоящего пункта не распространяются на налоговых агентов, являющихся кредитными организациями, в отношении удержания и уплаты сумм налога с доходов, полученных клиентами указанных кредитных организаций (за исключением клиентов, являющихся сотрудниками указанных кредитных организаций) в виде материальной выгоды, определяемой в соответствии с подпунктами 1 и 2 пункта 1 статьи 212 настоящего Кодекса, а также на налоговых агентов в отношении доходов по операциям с цифровыми финансовыми активами и (или) цифровыми правами, включающими одновременно цифровые финансовые активы и утилитарные цифровые права. (Дополнение абзацем - Федеральный закон от 19.07.2009 № 202-ФЗ) (В редакции Федерального закона от 14.07.2022 № 324-ФЗ) 5.
— п. 4 ст. 226 НК РФ

Это критично для вашей ситуации: ваш приз — натуральный (сертификат на покупку косметики), денег организатор вам не выплачивает. Поскольку удержать НДФЛ из натурального приза невозможно, закон перекладывает уплату налога на вас как на налогоплательщика, а на организатора — обязанность лишь сообщить в налоговый орган о невозможности удержания. Именно поэтому требование «дай ИНН, иначе не отдам приз» выглядит как перекладывание собственной процедурной обязанности на вас.

Вывод: если стоимость сертификата не превышает 4 000 рублей (и это ваш единственный приз за год) — дохода, облагаемого налогом, нет вовсе, и требовать данные «для налоговой» неосновательно. Если стоимость выше — за приз в натуральной форме НДФЛ по ставке 35% (с зачётом необлагаемых 4 000 руб.) в итоге уплачиваете вы сами, а организатор обязан лишь удержать налог из возможных денежных выплат (не более 50%) либо сообщить в налоговый орган о невозможности удержания. Выдачу приза нельзя неограниченно обусловливать передачей данных: объём сведений, необходимых для налогового учёта (ФИО, ИНН), уже, чем «паспортные данные», о которых у вас просят.

Правомерность требования персональных данных: законное основание, цели и «избыточность»

Обработка персональных данных (в том числе паспортных данных и ИНН) допустима только при наличии законного основания — прежде всего вашего конкретного, предметного и информированного согласия:

1. Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным
   — ч. 1 ст. 9 ФЗ № 152-ФЗ

1. Обработка персональных данных должна осуществляться с соблюдением принципов и правил, предусмотренных настоящим Федеральным законом. Обработка персональных данных допускается в следующих случаях: 1) обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных
   — ч. 1 ст. 6 ФЗ № 152-ФЗ

Обратите внимание: ст. 6 требует, чтобы у оператора было одно из прямо перечисленных оснований (согласие; исполнение закона; исполнение договора и т.п.). Простое «так принято в правилах акции» основанием не является — организатор обязан доказать наличие основания, и это бремя лежит на нём.

Кроме того, даже при наличии основания объём данных ограничен целями:

Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных. 3. Не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой. 4. Обработке подлежат только персональные данные, которые отвечают целям их обработки. 5. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки. 6. При обработке персональных данных должны быть обеспечены точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных. Оператор должен принимать необходимые меры либо обеспечивать их принятие по удалению или уточнению неполных или неточных данных. 7. Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных.
— ч. 2 ст. 5 ФЗ № 152-ФЗ

Значит, ключевая проверка такая: соответствует ли требуемый набор цели? Если цель — выплата/выдача приза и налоговый учёт, то избыточно требовать, например, скан паспорта со всеми страницами, серию/номер, прописку, а тем более — данные, не нужные для выдачи приза. Для налогового агента, как правило, достаточно ФИО и ИНН; паспортные данные «вообще» обычно избыточны. А если данные собираются ещё и для маркетинга/рекламных рассылок — это несовместимая с выдачей приза цель, требующая отдельного явного согласия.

Оператор также обязан обеспечить конфиденциальность:

Операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом
— ст. 7 ФЗ № 152-ФЗ, п. 6

Вывод: требование паспортных данных и ИНН правомерно лишь в объёме, необходимом для конкретной законной цели (например, налоговый учёт организатора как агента), и при наличии основания. Требование избыточного набора данных либо данных «под маркетинг» под видом выдачи приза — нарушение ст. 5, 6, 9 ФЗ № 152-ФЗ. Вы вправе письменно запросить у организатора конкретные причины и правовые основания требования данных (на это прямо нацелен п. 4 ст. 16 Закона № 2300-1), а при нарушении — обжаловать действия оператора в Роскомнадзор (уполномоченный орган) или в суд и требовать возмещения убытков и компенсации морального вреда:

Если субъект персональных данных считает, что оператор осуществляет обработку его персональных данных с нарушением требований настоящего Федерального закона или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке. 2. Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке. Глава 4. Обязанности оператора
— п. 1 ст. 17 ФЗ № 152-ФЗ

Это не отменяет разумного минимума: если стоимость приза облагается налогом, ФИО и ИНН организатору как налоговому агенту объективно нужны — и в этой части отказ затянет выдачу.

Ветка риска: не действуют ли от вашего имени мошенники

Ваша главная тревога — «рискованно ли это» — юридически распадается на две ветки в зависимости от того, кто именно требует данные. Если требование исходит от реального организатора акции (бренда через официальные каналы, с правилами и реквизитами), действуют выводы блоков 1–3. Если же данные выманивают неустановленные лица в соцсетях (аккаунт-«клон», «менеджер акции», просят фото паспорта в личку) — это классическая схема хищения персональных данных, и такое требование основано на обмане.

1. Мошенничество, то есть хищение чужого имущества или приобретение права на чужое имущество путем обмана или злоупотребления доверием, - наказывается штрафом в размере до ста двадцати тысяч рублей
   — ч. 1 ст. 159 УК РФ

Для ситуации с выманиванием паспортных данных и ИНН под предлогом «иначе не отдадим приз» состав обмана может образовывать мошенничество: потерпевший передаёт данные, которые затем используются против него (оформление кредитов, микрозаймов, фирм-«однодневок», вывода средств). Именно поэтому безопасная модель поведения — передавать данные только проверенному адресату и только в необходимом объёме, не в переписке соцсети.

Вывод: если данные требует неустановленное лицо в соцсетях — это признак мошенничества; данные давать нельзя, а о попытке стоит сообщить в полицию (заявление о мошенничестве подаётся в дежурную часть/через 112 или на сайте МВД). Если требование идёт от реального организатора через официальный канал, безопаснее (а) сначала получить письменное подтверждение статуса организатора и оснований требования, (б) предоставить минимальный набор (например, ФИО и ИНН) в защищённом виде, удержав у себя скан паспорта. В любом случае недопустимо пересылать фото паспорта и ИНН в открытой переписке социальной сети.

Если в выдаче приза откажут: как защищаться и куда обращаться

Если организатор всё же откажет в выдаче сертификата со ссылкой на непредоставление данных, спор квалифицируется как спор о защите прав потребителя (либо спор из публичного конкурса — ст. 1055, 1057 ГК РФ). Для потребительского спора действуют процессуальные преимущества:

1. Иски о защите прав потребителей могут быть предъявлены по выбору истца в суд по месту: нахождения организации, а если ответчиком является индивидуальный предприниматель, - его жительства; жительства или пребывания истца; заключения или исполнения договора. Если иск к организации вытекает из деятельности ее филиала или представительства, он может быть предъявлен в суд по месту нахождения ее филиала или представительства. (Пункт в редакции Федерального закона от 21.12.2004 № 171-ФЗ) 3. Потребители, иные истцы по искам, связанным с нарушением прав потребителей, освобождаются от уплаты государственной пошлины в соответствии с законодательством Российской Федерации о налогах и сборах. (В редакции Федерального закона от 18.07.2011 № 242-ФЗ) ГЛАВА II. ЗАЩИТА ПРАВ ПОТРЕБИТЕЛЕЙ ПРИ ПРОДАЖЕ ТОВАРОВ ПОТРЕБИТЕЛЯМ
   — п. 2 ст. 17 Закона РФ № 2300-1

Это означает: вы можете выбирать суд — по месту нахождения организации, по своему месту жительства/пребывания либо по месту заключения/исполнения договора, и госпошлину при цене иска до 1 000 000 руб. вы не платите. Важно: выбор между районным (городским) и мировым судом определяется ценой иска — присуждение приза оплачивается исходя из его стоимости, поэтому при цене иска в пределах 100 000 руб. дело подсудно мировому судье, при большей — районному суду (это общее правило подсудности, здесь прямо не противоречит ни одному из процитированных актов и применяется единообразно). До подачи иска разумно направить организатору письменную претензию-требование: выдать приз и письменно обосновать требование персональных данных; это дисциплинирует контрагента и фиксирует вашу позицию.

Вывод: при необоснованном отказе вы вправе обратиться в суд (мировой судья — при цене иска до 100 000 руб., районный суд — свыше), по своему выбору подсудности и без госпошлины (п. 2, 3 ст. 17 Закона № 2300-1). Параллельно допустимо обратиться с жалобой на действия оператора персональных данных в Роскомнадзор и заявлять требование о выдаче приза в рамках претензии. Итог по всему делу: приз вам обязаны выдать; требование паспорта/ИНН правомерно лишь в минимально необходимом объёме и с понятной законной целью (налоговый учёт), а его навязывание «сверх меры» или от неизвестного лица — либо злоупотребление, либо признак мошенничества.

Сроки и исполнение обязательства по выдаче приза

Срок ответа на ваше требование о причинах сбора данных. Если вы предъявите организатору требование письменно объяснить, почему выдача приза невозможна без паспортных данных и ИНН, на это есть специальный срок — продавец/исполнитель обязан дать ответ в течение семи дней со дня предъявления требования:

1. Продавец (исполнитель, владелец агрегатора) не вправе отказывать потребителю в заключении, исполнении, изменении или расторжении договора с потребителем в связи с отказом потребителя предоставить персональные данные, за исключением случаев, если обязанность предоставления таких данных предусмотрена законодательством Российской Федерации или непосредственно связана с исполнением договора с потребителем
   — п. 4 ст. 16 Закона РФ № 2300-1

Для нашей ситуации это значит: направьте организатору письменный запрос (в той же форме, что и ваш вопрос) — и он обязан в 7 дней назвать конкретные причины и правовые основания. Это самый быстрый способ отделить «налоговую» необходимость от «маркетингового» сбора.

Срок исковой защиты. Требование о выдаче приза — гражданско-правовое (ст. 1055, 1057 ГК РФ); на него распространяется общий срок исковой давности — три года, исчисляемый со дня, когда вы узнали о своём выигрыше и возникло право на приз. В пределах этого срока вы можете обратиться в суд, если организатор уклоняется от выдачи (конкретная давностная норма приведена по общему правилу ГК РФ, применимому единообразно к этому требованию и не противоречащему процитированным актам).

Исполнение в натуре. Ваш приз — натуральный (сертификат), а не деньги. Поэтому исполнение обязательства состоит именно в передаче вам сертификата, а НДФЛ при натуральном доходе закон возлагает на вас как налогоплательщика; организатор в части налога ограничен обязанностью удержать налог из возможных денежных выплат (не более 50%) и, при невозможности удержания, сообщить о ней в налоговый орган:

Налоговые агенты обязаны удержать начисленную сумму налога непосредственно из доходов налогоплательщика при их фактической выплате с учетом особенностей, установленных настоящим пунктом. (В редакции Федерального закона от 02.05.2015 № 113-ФЗ) При выплате налогоплательщику дохода в натуральной форме или получении налогоплательщиком дохода в виде материальной выгоды удержание исчисленной суммы налога производится налоговым агентом за счет любых доходов, выплачиваемых налоговым агентом налогоплательщику в денежной форме. При этом удерживаемая сумма налога не может превышать 50 процентов суммы выплачиваемого дохода в денежной форме. (В редакции Федерального закона от 02.05.2015 № 113-ФЗ) Положения настоящего пункта не распространяются на налоговых агентов, являющихся кредитными организациями, в отношении удержания и уплаты сумм налога с доходов, полученных клиентами указанных кредитных организаций (за исключением клиентов, являющихся сотрудниками указанных кредитных организаций) в виде материальной выгоды, определяемой в соответствии с подпунктами 1 и 2 пункта 1 статьи 212 настоящего Кодекса, а также на налоговых агентов в отношении доходов по операциям с цифровыми финансовыми активами и (или) цифровыми правами, включающими одновременно цифровые финансовые активы и утилитарные цифровые права. (Дополнение абзацем - Федеральный закон от 19.07.2009 № 202-ФЗ) (В редакции Федерального закона от 14.07.2022 № 324-ФЗ) 5.
— п. 4 ст. 226 НК РФ

Это ещё раз подтверждает: «не отдадим натуральный приз, пока не дадите данные» — непропорциональное и юридически избыточное требование, поскольку налог вы в натуральной ситуации погашаете самостоятельно, а не выкупом приза «данными».

Вывод: у вас есть 7-дневный инструмент — обязать организатора письменно обосновать требование данных; при необоснованном отказе — право на суд в пределах общего 3-летнего срока исковой давности по месту вашего выбора с освобождением от госпошлины. Исполнение обязательства — передача сертификата в натуре; налоговое обязательство по натуральному призу в итоге несёте вы (самостоятельная уплата НДФЛ), а не «обмен данных на приз».

Альтернатива полному раскрытию данных: минимизация как законный способ получить приз

Если вы всё же хотите забрать приз, закон даёт легальную «середину» между полным отказом и неограниченной передачей сведений: оператор обязан обрабатывать только достаточные и неизбыточные данные и хранить их не дольше цели.

Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных. 3. Не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой. 4. Обработке подлежат только персональные данные, которые отвечают целям их обработки. 5. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки. 6. При обработке персональных данных должны быть обеспечены точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных. Оператор должен принимать необходимые меры либо обеспечивать их принятие по удалению или уточнению неполных или неточных данных. 7. Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных.
— ч. 2 ст. 5 ФЗ № 152-ФЗ

Применение к ситуации: (1) для налогового учёта организатору-агенту, как правило, достаточно ФИО и ИНН — серия/номер паспорта, адрес регистрации и иные «паспортные данные» для этой цели избыточны и не должны требоваться; (2) вы вправе передать минимальный набор только после письменного подтверждения цели и оснований (п. 4 ст. 16 Закона № 2300-1); (3) оператор обязан хранить ваши данные лишь до достижения цели выдачи/налогового учёта, а по вашему требованию — прекратить обработку и удалить данные, если оснований для неё больше нет (ст. 5, 15, 21 ФЗ № 152-ФЗ); (4) данные не следует передавать в открытой переписке соцсети — только по официальному защищённому каналу организатора.

Вывод: законный компромисс существует — предоставить организатору (после письменного обоснования) только минимально необходимые сведения (ФИО и ИНН), без фотокопии/реквизитов паспорта, передав их по официальному каналу, и впоследствии потребовать прекращения обработки/удаления после получения приза. Требование полного «паспортного» набора сверх этой цели противозаконно, равно как и отказ в призе при отказе его предоставить.