Иконка поиска
Логотип Все адвокаты
Вопрос
Обман потребителей

Оператор связи предлагает микрозайм через приложение и просит фото карты с CVV-кодом — это законно или мошенничество?

Краткий ответ

Ваша ситуация отличается?Опишите её своими словами — Нейроадвокат ответит за 5 минут
Опишите ситуацию своими словами — ответ за 5 минут

Рекомендуемые действия

  1. 1
    Зафиксируйте скриншоты сообщения, интерфейса с требованием CVV и переписки с поддержкой.
  2. 2
    Направьте оператору письменную претензию о незаконности запроса CVV-кода.descriptionПретензия оператору связи о незаконном запросе CVV-кода и фотографии банковской карты (свободная форма)
  3. 3
    Подайте жалобу в Роскомнадзор на избыточный сбор персональных данных.descriptionЖалоба на оператора связи (свободная форма)
  4. 4
    Подайте жалобу в Роспотребнадзор на введение в заблуждение и неполную информацию.descriptionЖалоба в Роспотребнадзор на введение в заблуждение оператором связи и незаконное требование CVV-кода банковской карты (свободная форма)
  5. 5
    Если произойдет списание денег со счета клиента: При списании денег обратитесь в полицию с заявлением о мошенничестве.descriptionЗаявление о преступлении в полицию или Следственный комитет (свободная форма)
  6. 6
    Проконсультируйтесь с адвокатом для точных формулировок претензий и исков.

Документы и доказательства

  • Скриншот сообщения с предложением микрозайма, содержащий требование фото карты с CVV-кодом.
  • Скриншот переписки в чате поддержки приложения, где подтверждена легитимность рассылки.
  • Скриншот интерфейса приложения с формой запроса фотографии карты и CVV-кода.
  • Ссылка на договор (или его скриншот), где мелким шрифтом указаны условия обработки данных.
  • Детализация услуг связи за период получения предложения (для подтверждения факта рассылки).
  • Если клиент вел запись разговора или получил письменный ответ на email: Запись разговора с поддержкой (если велась) или её письменный ответ на email.

  • Срочно: первые шаги

    • Если клиент уже вводил или фотографировал карту для отправки: Немедленно заблокируйте карту, если вы её уже вводили или фотографировали для отправки.
    • Сделайте скриншоты сообщения с предложением микрозайма и требования фото карты с CVV.
    • Сохраните переписку с чатом поддержки, где подтвердили легитимность рассылки.
    • Не отправляйте данные карты и не переходите по ссылкам из этого сообщения.

  • Чего не делать

    • Не отправляйте фото карты с номером и CVV-кодом — это незаконное требование избыточных данных.
    • Не подписывайте никакие согласия на обработку данных в приложении, пока не получите разъяснения.
    • Не удаляйте переписку в чате поддержки, где подтвердили легитимность рассылки.
    • Не доверяйте ссылке на договор с мелким шрифтом — такие условия могут быть ничтожными.
    • Не соглашайтесь на микрозайм, если для его оформления требуют CVV-код.
    • Не игнорируйте признаки мошенничества: CVV-код не нужен для перечисления займа.

  • Когда нужен адвокат

    • Если оператор или МФО откажутся добровольно прекратить сбор данных и удалить информацию: Обратитесь к адвокату, если оператор связи или МФО откажутся добровольно прекратить сбор ваших данных и удалить уже полученную информацию.
    • Если клиент решит подать иск в суд о компенсации морального вреда: Консультация адвоката необходима при подаче иска в суд о компенсации морального вреда за нарушение прав потребителя и обработку персональных данных.
    • Если после отказа клиента последует списание денег или иные признаки мошенничества: Привлеките адвоката для составления заявления в полицию, если после вашего отказа последует списание денег или иные признаки мошенничества.
    • Если роскомнадзор не примет мер по жалобе клиента: Юрист потребуется для обжалования действий оператора в Роскомнадзоре, если ведомство не примет мер по вашей жалобе на избыточный сбор данных.
    • Если оператор или МФО уже наняли юриста и клиент не уверен в своих силах: Обратитесь к адвокату, если другая сторона (оператор или МФО) уже наняла юриста и вы не уверены в своих силах в переписке или суде.
    • Если клиент случайно предоставил фото карты с CVV и обнаружил несанкционированное списание: Помощь адвоката обязательна, если вы случайно предоставили фото карты с CVV и обнаружили несанкционированное списание средств — для взыскания убытков.

  • Альтернативные пути

    • Проверьте, не является ли предложение результатом взлома партнёрского канала оператора — запросите у поддержки письменное подтверждение законности сбора CVV.
    • Отзовите согласие на обработку персональных данных в приложении оператора, если вы его давали, через форму обратной связи или личный кабинет.
    • Подайте жалобу в Банк России на микрофинансовую организацию (партнёра оператора) за запрос избыточных данных — через интернет-приёмную ЦБ.
    • Направьте заявление в службу безопасности вашего банка о возможной компрометации карты — попросите перевыпустить карту с новым номером.
    • Обратитесь в Роскомнадзор с жалобой на избыточный сбор персональных данных — через форму на сайте ведомства.
    • Если оператор настаивает на законности требования, потребуйте от него письменное разъяснение с указанием нормы, разрешающей сбор CVV.

Столкнулись с похожей ситуацией?

Подробно опишите детали, и Нейроадвокат подберёт решение

Развёрнутый ответ Нейроадвоката

Пользователь столкнулся с ситуацией, когда от имени оператора связи (сотового провайдера) было направлено предложение оформить микрозайм. Данное предложение поступило через официальное приложение оператора, и его поддержка подтвердила, что сообщение исходит от них. Ключевым условием для получения займа являлось предоставление фотографии банковской карты, включая её номер и CVV-код (трехзначный код на обратной стороне карты). Пользователь не выполнил это требование и усомнился в его законности.

Правовая квалификация ситуации:

  1. Характер правоотношений. Затронуты отношения в сфере потребительского кредитования (микрозайм) и оказания услуг связи. Фактически оператор связи выступает либо агентом (посредником) микрофинансовой организации (МФО), либо самостоятельным кредитором. Пользователь рассматривается как потенциальный заемщик — потребитель финансовой услуги.

  2. Юридически значимые обстоятельства.

    • Требование CVV-кода. Запрос CVV-кода и полного номера карты в виде фотографии является юридически значимым фактом. CVV-код предназначен для подтверждения операций держателем карты (обычно при онлайн-покупках) и по своей правовой природе является конфиденциальным средством аутентификации. Его передача третьим лицам (кредитору, оператору связи или его партнеру) грубо нарушает правила безопасности платежных систем (например, Visa, Mastercard, МИР) и противоречит стандартам банковской тайны. В отличие от номера карты, который может быть известен для зачисления средств, CVV-код никогда не должен запрашиваться кредитором.
    • Избыточность данных. Для оформления микрозайма обычно необходимы: паспортные данные, ИНН, СНИЛС, сведения о доходах и счете для перевода денег. Требование полных данных банковской карты (с фотографией) является избыточным, так как заемщик сам указывает реквизиты для перевода, а не предоставляет доступ к своему действующему счету через CVV. Такой запрос может указывать на попытку получить несанкционированный доступ к денежным средствам на карте пользователя или на недобросовестную практику сбора данных для последующего мошенничества.
    • Статус оператора связи. То, что предложение поступило через официальное приложение и поддержка подтвердила его легитимность, создает у потребителя правомерные ожидания того, что услуга является официальной и безопасной. Если оператор связи на самом деле является лишь ретранслятором мошеннической схемы (например, из-за взлома его партнерской программы или халатности службы поддержки), то он несет ответственность за введение потребителя в заблуждение относительно того кто и с какой целью собирает данные.
    • Отсутствие добровольного согласия. Пользователь не предоставил данные. Это означает, что у него не возникло обязательств перед предполагаемым кредитором. Однако сам факт сбора или попытки сбора данных в таком формате может быть нарушением, даже если данные не были переданы (попытка побудить к разглашению).
    • Условия договора. Ссылка на договор, где «мелким шрифтом» упомянута обработка данных, не отменяет требования закона о недопустимости включения в договор условий, ущемляющих права потребителя. Условие о сборе CVV-кода является ничтожным, так как прямо противоречит императивным нормам о банковской тайне и безопасности расчетов.

  3. Квалификация рисков. Если бы пользователь предоставил данные, это могло бы привести к незаконному списанию денежных средств (хищению) или навязыванию дополнительных услуг. Сама по себе схема «микрозайм через CVV» является маркером нелегитимной или мошеннической деятельности, даже если она исходит от крупной компании.

Таким образом, ситуация характеризуется как попытка получения от потребителя конфиденциальных платежных данных (CVV-код), которые не требуются для законного оформления микрозайма и сбор которых прямо запрещен правилами безопасности. Несмотря на формальное подтверждение от оператора связи, такое требование с высокой вероятностью является незаконным (нарушает права потребителя на безопасность услуг и защиту персональных данных), а сама финансовая услуга может быть частью мошеннической схемы или недобросовестной практикой партнера оператора.

Согласно ст. 5 Федерального закона «О персональных данных», обработке подлежат только те данные, которые отвечают целям их обработки, и их объём не должен быть избыточным. Целью получения микрозайма является оценка платёжеспособности и заключение договора, для чего достаточно паспортных данных, сведений о доходах и номера счёта для перечисления. Получение фотографии банковской карты с номером и CVV-кодом не требуется ни для идентификации заёмщика, ни для оценки рисков, ни для исполнения обязательств по микрозайму — CVV предназначен только для подтверждения операций по карте, и его предоставление третьим лицам создаёт риск несанкционированного списания средств. Следовательно, требование такого объёма данных является избыточным по отношению к заявленной цели.

  1. Обработке подлежат только персональные данные, которые отвечают целям их обработки.
  2. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.
    — Федеральный закон «О персональных данных», ст. 5

Далее, в силу ст. 6 того же Закона обработка персональных данных возможна только с согласия субъекта либо для исполнения договора. Даже если предположить, что предоставление данных необходимо для заключения договора микрозайма (п. 5 ч. 1 ст. 6), то CVV-код не относится к информации, необходимой для исполнения такого договора, — он не участвует в расчётах по займу и не является идентификатором заёмщика. Соответственно, условие о его передаче не подпадает под договорное основание и требует отдельного информированного согласия.

— Федеральный закон «О персональных данных», ст. 6

Статья 9 этого же Закона устанавливает, что согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным. Если в предложении оператора ссылка на договор с мелким шрифтом содержала общую фразу об обработке данных без чёткого указания на передачу фотографии карты с CVV, такое согласие нельзя признать информированным и конкретным. Пользователь не осознавал, какие именно данные в какой объём передаются, и тем более не давал отдельного согласия на обработку CVV.

  1. Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным.
    — Федеральный закон «О персональных данных», ст. 9

Кроме того, оператор связи, предлагая услугу микрозайма через своё приложение, может выступать в роли владельца агрегатора информации о товаре (услуге). Согласно ст. 12 Закона РФ «О защите прав потребителей», владелец агрегатора несёт ответственность за убытки, причинённые потребителю вследствие предоставления недостоверной или неполной информации о товаре (услуге) или продавце (исполнителе). Если оператор не предупредил, что для получения микрозайма не требуется CVV, или, напротив, сообщил, что это стандартная процедура, — такая информация является неполной. При этом подтверждение в чате поддержки, что сообщение действительно отправлено оператором, укрепляет доверие потребителя, и если реальная микрофинансовая организация не запрашивает CVV, потребитель введён в заблуждение.

2.1. Владелец агрегатора, предоставивший потребителю недостоверную или неполную информацию о товаре (услуге) или продавце (исполнителе), на основании которой потребителем был заключен договор купли-продажи (договор возмездного оказания услуг) с продавцом (исполнителем), несет ответственность за убытки, причиненные потребителю вследствие предоставления ему такой информации.
— Закон Российской Федерации «О защите прав потребителей», ст. 12

Статья 16 того же Закона признаёт недопустимыми условиями договора те, которые обусловливают приобретение одних услуг обязательным приобретением иных. Если для получения микрозайма (основная услуга) потребитель вынужден предоставить данные банковской карты (что по сути является дополнительным действием, не связанным с займом), это может квалифицироваться как навязывание. Такое условие ничтожно.

  1. К недопустимым условиям договора, ущемляющим права потребителя, относятся: ...
  1. условия, которые обусловливают приобретение одних товаров (работ, услуг) обязательным приобретением иных товаров (работ, услуг), в том числе предусматривают обязательное заключение иных договоров, если иное не предусмотрено законом;
    — Закон Российской Федерации «О защите прав потребителей», ст. 16

Отдельно следует рассмотреть нормы Федерального закона «О микрофинансовой деятельности и микрофинансовых организациях». Ст. 9 предоставляет микрофинансовой организации право запрашивать только те документы и сведения, которые необходимы для решения вопроса о предоставлении микрозайма и исполнения обязательств. CVV-код не относится к таким сведениям, а значит, требование его предоставления выходит за пределы законных полномочий МФО. Если оператор связи является агентом или партнёром МФО, он не может требовать больше, чем вправе запрашивать сама МФО.

  1. Микрофинансовая организация вправе:
  1. запрашивать у лица, подавшего заявление на предоставление микрозайма, документы и сведения, необходимые для решения вопроса о предоставлении микрозайма и исполнения обязательств по договору микрозайма, в порядке и на условиях, которые установлены правилами предоставления микрозаймов;
    — Федеральный закон «О микрофинансовой деятельности и микрофинансовых организациях», ст. 9

Более того, CVV-код, а также полный номер банковской карты являются сведениями, составляющими банковскую тайну. Статья 183 Уголовного кодекса РФ устанавливает ответственность за незаконное получение таких сведений. Даже если оператор действует в рамках партнёрской программы, требование предоставить фотографию карты с CVV может расцениваться как собирание банковской тайны незаконным способом, поскольку для этого нет установленного законом основания. Уголовно-правовая квалификация применима, если будет доказан умысел, однако сам факт такого требования уже создаёт предпосылки для привлечения к ответственности по ч. 1 данной статьи.

  1. Собирание сведений, составляющих коммерческую, налоговую или банковскую тайну, путем похищения документов, обмана, шантажа, принуждения, подкупа или угроз, а равно иным незаконным способом - наказывается штрафом в размере до пятисот тысяч рублей...
    — Уголовный кодекс Российской Федерации, ст. 183

В случае если предложение оказалось мошенническим (например, кто-то взломал приложение оператора), действия виновных подпадают под ст. 159 УК РФ (мошенничество). Но даже если это ошибка поддержки, но реальная МФО не запрашивает CVV, оператор связи несёт ответственность за предоставление недостоверной информации о порядке оказания услуги по ст. 12 Закона о защите прав потребителей, а также по ст. 1095 и 1096 Гражданского кодекса РФ. Согласно ст. 1095 ГК, вред, причинённый вследствие недостатков услуги или недостоверной информации о ней, подлежит возмещению исполнителем независимо от вины. Статья 1096 уточняет, что ответственным является лицо, оказавшее услугу (исполнитель), а при недостатках информации — и продавец, и изготовитель. В данной ситуации оператор связи, рассылающий предложение и подтверждающий его легитимность, выступает как исполнитель (или агент исполнения), поэтому на него может быть возложена ответственность.

Вред, причиненный жизни, здоровью или имуществу гражданина вследствие недостатков товара, работы или услуги, а также вследствие недостоверной или недостаточной информации о товаре (работе, услуге), подлежит возмещению продавцом или изготовителем товара, лицом, выполнившим работу или оказавшим услугу (исполнителем), независимо от их вины...
— Гражданский кодекс Российской Федерации, ст. 1095

  1. Вред, причиненный вследствие непредоставления полной или достоверной информации о товаре (работе, услуге), подлежит возмещению лицами, указанными в пунктах 1 и 2 настоящей статьи.
    — Гражданский кодекс Российской Федерации, ст. 1096

Наконец, ст. 15 Закона о защите прав потребителей и ст. 24 Федерального закона «О персональных данных» предусматривают компенсацию морального вреда за нарушение прав потребителя и правил обработки персональных данных соответственно. Если пользователь испытал стресс из-за требования передать CVV или опасался за сохранность денег, он вправе требовать компенсацию в судебном порядке.

Моральный вред, причиненный потребителю вследствие нарушения изготовителем (исполнителем, продавцом, уполномоченной организацией или уполномоченным индивидуальным предпринимателем, импортером) прав потребителя, предусмотренных законами и правовыми актами Российской Федерации, регулирующими отношения в области защиты прав потребителей, подлежит компенсации причинителем вреда при наличии его вины.
— Закон Российской Федерации «О защите прав потребителей», ст. 15

  1. Моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных, установленных настоящим Федеральным законом, а также требований к защите персональных данных, установленных в соответствии с настоящим Федеральным законом, подлежит возмещению в соответствии с законодательством Российской Федерации. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков.
    — Федеральный закон «О персональных данных», ст. 24

Требование предоставить фотографию банковской карты с CVV-кодом для оформления микрозайма является незаконным, избыточным и не соответствующим целям кредитования. Поскольку CVV-код не нужен ни для идентификации заемщика, ни для перечисления средств, оператор связи и его партнер грубо нарушили нормы о персональных данных и ввели вас в заблуждение, официально подтвердив сомнительную акцию. Вы вправе требовать прекращения сбора таких данных и привлечения оператора к ответственности за недобросовестные действия.

Рекомендуемые действия

  • Зафиксируйте доказательства: сделайте скриншоты сообщения с предложением микрозайма, интерфейса с требованием фото карты, а также сохраните переписку в чате поддержки, где вам подтвердили легитимность рассылки.
  • Направьте оператору письменную претензию с требованием разъяснить, на каком основании запрашивается CVV-код, сославшись на избыточность обработки данных (ст. 5 Федерального закона «О персональных данных») и запрет навязывания дополнительных условий по ст. 16 Закона РФ «О защите прав потребителей».
  • Потребуйте немедленно прекратить обрабатывать запрос на предоставление карты и отозвать согласие на обработку персональных данных в этой части, если вы его случайно дали в приложении.
  • Параллельно направьте жалобу в Роскомнадзор на нарушение принципов обработки персональных данных (избыточность, отсутствие конкретного согласия на сбор CVV).
  • Подайте жалобу в Роспотребнадзор на введение в заблуждение и предоставление неполной информации об услуге, что запрещено ст. 12 Закона РФ «О защите прав потребителей».
  • Поскольку требование CVV может указывать на попытку несанкционированного доступа к счету, в случае списания денег или при явных признаках мошенничества обратитесь в правоохранительные органы с заявлением по ст. 159 или ст. 183 Уголовного кодекса РФ.
  • Если вы понесли убытки или испытали сильные переживания, в судебном порядке потребуйте компенсацию морального вреда на основании ст. 15 Закона РФ «О защите прав потребителей» и ст. 24 Федерального закона «О персональных данных».
  • Для уверенности в правильности формулировок претензий и жалоб проконсультируйтесь с адвокатом, специализирующимся на защите прав потребителей и цифровом праве.