Иконка поиска
Логотип Все адвокаты
Вопрос
Возврат денег за услуги

Может ли техподдержка почтового сервиса требовать скан паспорта для восстановления доступа к ящику и законно ли это

Краткий ответ

Ваша ситуация отличается?Опишите её своими словами — Нейроадвокат ответит за 5 минут
Опишите ситуацию своими словами — ответ за 5 минут

Рекомендуемые действия

  1. 1
    Запросите у техподдержки письменное обоснование требования скана паспорта со ссылкой на пункт пользовательского соглашения.descriptionПисьменное требование в техподдержку о предоставлении письменного обоснования требования скана паспорта со ссылкой на пункт пользовательского соглашения (свободная форма)
  2. 2
    Предложите альтернативные способы подтверждения владения ящиком, не требующие передачи паспортных данных.
  3. 3
    Направьте письменное требование о прекращении обработки избыточно запрашиваемых данных и отказе от предоставления биометрии.descriptionТребование оператору почтового сервиса о прекращении обработки избыточно запрашиваемых персональных данных и отказе от предоставления копии паспорта (свободная форма)
  4. 4
    При отказе сервиса восстановить доступ подайте обращение в Роскомнадзор, приложив переписку с техподдержкой.descriptionЖалоба в Роскомнадзор о нарушении законодательства о персональных данных (свободная форма)
  5. 5
    Если будет причинен моральный вред, подлежащий доказыванию: При причинении морального вреда неправомерными действиями сервиса подготовьте иск о его компенсации.

Документы и доказательства

  • Сохраните переписку с техподдержкой, где запрашивается скан паспорта.
  • Зафиксируйте факт предоставления вами телефона, резервного адреса и ответов на контрольные вопросы.
  • Соберите доказательства, что скан паспорта используется для идентификации (биометрия), а не для иных целей.
  • Если сервис откажет в восстановлении доступа: Зафиксируйте отказ сервиса восстановить доступ без скана паспорта, если он последует.

  • Срочно: первые шаги

    • Не отправляйте скан паспорта: предоставление биометрии не может быть обязательным условием восстановления доступа.
    • Запросите у техподдержки письменное обоснование требования — конкретный пункт правил сервиса.
    • Зафиксируйте переписку с техподдержкой: скриншоты запросов и ваших ответов сохраните до разрешения спора.
    • Направьте письменный отказ от предоставления скана со ссылкой на добровольность согласия на обработку биометрии.
    • При отказе восстановить доступ без скана готовьте обращение в Роскомнадзор — не затягивайте.

  • Чего не делать

    • Не отправляйте скан паспорта, если он используется для установления личности: предоставление биометрии не может быть обязательным.
    • Не соглашайтесь на обработку паспортных данных, пока не получите письменное обоснование от техподдержки со ссылкой на пункт правил сервиса.
    • Не предоставляйте данные, которые дублируют уже подтверждённую информацию (телефон, резервный адрес, контрольные ответы) — это избыточно.
    • Не давайте согласие на обработку биометрических данных под давлением угрозы отказа в восстановлении доступа.
    • Не игнорируйте запрос: письменно откажитесь и предложите альтернативный способ подтверждения владения ящиком.
    • Не уничтожайте переписку с техподдержкой — она подтверждает факт требования избыточных данных.

  • Когда нужен адвокат

    • Если сервис откажет в восстановлении доступа после письменного требования: Обратитесь к адвокату, если сервис откажет в восстановлении доступа после вашего письменного требования.
    • Если будет принято решение о подаче иска: Консультация юриста нужна при подготовке иска о компенсации морального вреда за неправомерную обработку данных.
    • Если будет принято решение об обжаловании в суде: Привлеките адвоката, если планируете обжаловать действия сервиса в суде, а не только в Роскомнадзоре.
    • Если из-за блокировки ящика будет понесен реальный ущерб: Юрист поможет оценить перспективы взыскания убытков, если из-за блокировки ящика вы понесли реальный ущерб.
    • Адвокат необходим, если переписка с техподдержкой сложна и требует юридически грамотной фиксации нарушений.
    • Обратитесь за помощью, если сервис представляет крупная компания с собственным юридическим отделом.

  • Альтернативные пути

    • Предложите техподдержке альтернативную идентификацию: видеозвонок с демонстрацией паспорта или ответы на вопросы о недавних действиях в ящике.
    • Ссылайтесь на п. 3 ст. 11 ФЗ № 152-ФЗ: предоставление скана паспорта (биометрия) — добровольно, отказ не может быть основанием для отказа в услуге.
    • Потребуйте письменно указать пункт пользовательского соглашения, который обязывает предоставить скан паспорта именно для восстановления доступа.
    • Направьте в техподдержку заявление об отзыве согласия на обработку биометрических данных и требование не использовать уже направленные сведения.
    • Если сервис настаивает, предложите компромисс: предоставить паспортные данные без скана (ФИО, серия, номер) для проверки по базе.
    • Зафиксируйте переписку: она подтвердит, что вы предлагали менее чувствительные способы, а сервис требовал избыточные данные.

Столкнулись с похожей ситуацией?

Подробно опишите детали, и Нейроадвокат подберёт решение

Развёрнутый ответ Нейроадвоката

Ситуация. Пользователь почтового сервиса утратил доступ к учётной записи и обратился в техподдержку для восстановления доступа. При обращении он уже сообщил оператору сервиса привязанный номер телефона, резервный адрес электронной почты и ответы на контрольные вопросы. Несмотря на это, техподдержка требует дополнительно предоставить паспортные данные и скан паспорта. Пользователь сомневается в законности такого требования.

Юридически значимо здесь то, что паспортные данные и скан паспорта являются персональными данными, а скан паспорта, содержащий фотографию и подпись, — биометрическими персональными данными. Оператор сервиса, запрашивая эти сведения, осуществляет обработку персональных данных, на которую распространяются требования ФЗ № 152-ФЗ, включая принцип неизбыточности (ч. 5 ст. 5) и запрет принуждать к предоставлению биометрических данных (п. 3 ст. 11).

Затронутые правоотношения:

  • Пользователь — оператор почтового сервиса (обработка персональных данных). Затронуто, поскольку запрос паспортных данных и скана паспорта является обработкой персональных данных, которая должна соответствовать заявленной цели и не быть избыточной. Это определяет, вправе ли сервис требовать такие сведения и обязан ли пользователь их предоставлять.

  • Пользователь — оператор (добровольность предоставления биометрических данных). Затронуто, поскольку скан паспорта содержит биометрические персональные данные, предоставление которых не может быть обязательным, а отказ в обслуживании за их непредоставление прямо запрещён законом. Это означает, что сервис не вправе ставить восстановление доступа в зависимость от передачи скана паспорта.

  • Пользователь — оператор (договорные отношения по пользовательскому соглашению). Затронуто, поскольку процедура восстановления доступа может регулироваться правилами сервиса, и отказ пользователя предоставить паспорт может повлечь отказ в восстановлении доступа по внутренним правилам. Это влияет на практические последствия отказа, но не отменяет требований закона о неизбыточности и добровольности.

  • Оператор — государство (административная ответственность). Затронуто, поскольку обработка персональных данных с нарушением закона, включая избыточную обработку и обработку биометрических данных без надлежащего согласия, влечёт административную ответственность по ст. 13.11 КоАП РФ. Это создаёт для оператора риск штрафа и усиливает позицию пользователя.

Юридически значимые обстоятельства, которые решают дело:

  1. Пользователь уже подтвердил владение учётной записью через привязанный телефон, резервный адрес и контрольные вопросы. Это означает, что цель идентификации владельца ящика в значительной степени достигнута, а дополнительное требование скана паспорта может быть избыточным по отношению к заявленной цели обработки (ч. 5 ст. 5 ФЗ № 152-ФЗ).

  2. Запрашиваемый скан паспорта содержит биометрические персональные данные (фотографию и подпись). Предоставление таких данных не может быть обязательным, а оператор не вправе отказывать в обслуживании при отказе их предоставить (п. 3 ст. 11 ФЗ № 152-ФЗ). Это делает требование скана паспорта как условия восстановления доступа неправомерным.

  3. Согласие на обработку персональных данных даётся свободно и может быть отозвано (п. 1 ст. 9 ФЗ № 152-ФЗ). Пользователь вправе отказаться предоставлять паспортные данные, и такой отказ сам по себе не является нарушением.

  4. Пользователь вправе требовать блокирования или уничтожения избыточных данных (п. 1 ст. 14 ФЗ № 152-ФЗ). Если сервис настаивает на скане паспорта сверх уже сообщённых сведений, пользователь может потребовать прекратить обработку незаконно затребованных данных.

  5. Неправомерная обработка персональных данных влечёт административную ответственность оператора по ч. 1 ст. 13.11 КоАП РФ, а обработка биометрических данных без надлежащего согласия — по ч. 2 той же статьи. Это подтверждает, что действия сервиса при принудительном требовании скана паспорта являются правонарушением.

  6. Пользователь вправе требовать компенсации морального вреда при нарушении правил обработки персональных данных (п. 2 ст. 24 ФЗ № 152-ФЗ). Это даёт пользователю дополнительный правовой инструмент защиты.

  7. Процедура восстановления доступа может быть урегулирована пользовательским соглашением сервиса. Если правила сервиса предусматривают идентификацию по паспорту, отказ пользователя может повлечь отказ в восстановлении доступа по внутренним правилам. Однако такие правила не могут противоречить императивным требованиям закона о добровольности биометрических данных и неизбыточности обработки.

Что из себя представляют запрашиваемые данные и вправе ли сервис их требовать

Паспортные данные (ФИО, серия и номер документа, дата выдачи и т.д.), а тем более скан паспорта, содержащий вашу фотографию и подпись, — это персональные данные в смысле закона:

персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных); 1 1 ) персональные данные, разрешенные субъектом персональных данных для распространения, - персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном настоящим Федеральным законом; (Дополнение пунктом - Федеральный закон от 30.12.2020 № 519-ФЗ) 2) оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными; 3) обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
— п. 1 ст. 3 ФЗ № 152-ФЗ

Для ваших фактов это означает, что почтовый сервис, запрашивая паспорт, становится оператором, обрабатывающим ваши персональные данные, а вся обработка подчинена требованиям ФЗ № 152-ФЗ. Сервис не может собирать данные «просто так»: состав и объём запрашиваемых сведений должны соответствовать цели обработки и не быть избыточными.

Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки
— ч. 5 ст. 5 ФЗ от 27.07.2006 № 152-ФЗ «О персональных данных»

Значит, ключевой вопрос не «запрещено ли вообще», а «соразмерен ли запрос цели». Цель восстановления доступа — идентифицировать, что обратившийся действительно владелец ящика. Если вы уже подтвердили владение телефоном, резервным адресом и контрольными вопросами, требование именно скана паспорта с фотографией сверх этого может быть избыточным для заявленной цели (идентификация владельца), что является нарушением принципа неизбыточности.

Отдельно важно: скан паспорта содержит изображение лица и подпись, которые при использовании для установления личности являются биометрическими персональными данными. По закону их предоставление не может быть обязательным, а оператор не вправе отказывать в обслуживании за отказ их предоставить.

Предоставление биометрических персональных данных не может быть обязательным, за исключением случаев, предусмотренных частью 2 настоящей статьи. Оператор не вправе отказывать в обслуживании в случае отказа субъекта персональных данных предоставить биометрические персональные данные и (или) дать согласие на обработку персональных данных, если в соответствии с федеральным законом получение оператором согласия на обработку персональных данных не является обязательным
— п. 3 ст. 11 ФЗ № 152-ФЗ

Следовательно, требовать именно скан паспорта как условие восстановления доступа сервис принудительно не вправе: предоставление таких данных — это всегда ваше добровольное решение.

Общим правилом обработка персональных данных допускается с согласия субъекта либо для исполнения договора с ним:

обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных; 2) обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей; 3) обработка персональных данных осуществляется в связи с участием лица в конституционном, гражданском, административном, уголовном судопроизводстве, судопроизводстве в арбитражных судах; (В редакции Федерального закона от 29.07.2017 № 223-ФЗ) 3 1 ) обработка персональных данных необходима для исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве (далее - исполнение судебного акта);
— п. 1 ч. 1 ст. 6 ФЗ № 152-ФЗ

При этом согласие даётся субъектом свободно, своей волей и в своём интересе и может быть в любой момент отозвано:

Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным . Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом
— п. 1 ст. 9 ФЗ № 152-ФЗ

Вывод по вопросу. Закон не запрещает сервису запросить данные для подтверждения личности при восстановлении доступа, если это соразмерно и продиктовано целью защиты учётной записи. Но вы не обязаны предоставлять паспорт, а тем более его скан: решение о передаче таких данных принимаете только вы сами. Требование скана паспорта (биометрических данных) сверх уже сообщённых вами сведений принудительным быть не может.

Обязан ли пользователь предоставлять паспорт и последствия отказа; ответственность оператора

Вы вправе отказаться предоставлять паспорт и при этом можете потребовать от сервиса не обрабатывать (уничтожить/заблокировать) уже переданные данные, если они избыточны или не необходимы для заявленной цели:

Субъект персональных данных вправе требовать от оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки
— п. 1 ст. 14 ФЗ № 152-ФЗ

Для ваших фактов: если сервис настаивает на скане паспорта, хотя вы уже подтвердили владение ящиком иными способами, вы вправе сослаться на эту норму и потребовать прекратить обработку незаконно затребованных данных.

Правовые последствия для самого сервиса при неправомерной обработке складываются из двух пластов.

Административная ответственность. Обработка персональных данных в случаях, не предусмотренных законом (в том числе избыточная для заявленной цели), — административное правонарушение:

Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частями 2, 11 - 18 настоящей статьи и статьей 17.13 настоящего Кодекса , если эти действия не содержат уголовно наказуемого деяния, - (В редакции федеральных законов от 11.06.2021 № 206-ФЗ, от 30.11.2024 № 420-ФЗ) влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц - от пятидесяти тысяч до ста тысяч рублей; на юридических лиц - от ста пятидесяти тысяч до трехсот тысяч рублей. (В редакции федеральных законов от 24.02.2021 № 19-ФЗ, от 30.11.2024 № 420-ФЗ) 1 1 . Повторное совершение административного правонарушения, предусмотренного частью 1 настоящей статьи, - влечет наложение административного штрафа на граждан в размере от пятнадцати тысяч до тридцати тысяч рублей; на должностных лиц - от ста тысяч до двухсот тысяч рублей; на юридических лиц - от трехсот тысяч до пятисот тысяч рублей. (В редакции Федерального закона от 30.11.2024 № 420-ФЗ) (Дополнение частью - Федеральный закон от 24.02.2021 № 19-ФЗ) 2.
— ч. 1 ст. 13.11 КоАП РФ

Обработка без согласия в случаях, когда письменное согласие обязательно (например, биометрических данных — ст. 11 ФЗ № 152-ФЗ), наказывается отдельно:

Обработка персональных данных без согласия в письменной форме субъекта персональных данных на обработку его персональных данных в случаях, когда такое согласие должно быть получено в соответствии с законодательством Российской Федерации в области персональных данных, за исключением случаев, предусмотренных статьей 17.13 настоящего Кодекса, если эти действия не содержат уголовно наказуемого деяния, либо обработка персональных данных с нарушением установленных законодательством Российской Федерации в области персональных данных требований к составу сведений, включаемых в согласие в письменной форме субъекта персональных данных на обработку его персональных данных, - (В редакции Федерального закона от 11.06.2021 № 206-ФЗ) влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей
— ч. 2 ст. 13.11 КоАП РФ

Гражданско-правовые последствия. Независимо от штрафа вы вправе требовать возмещения морального вреда, причинённого нарушением правил обработки ваших данных или их неправомерным использованием:

Моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных, установленных настоящим Федеральным законом, а также требований к защите персональных данных, установленных в соответствии с настоящим Федеральным законом
— п. 2 ст. 24 ФЗ № 152-ФЗ

Важное ограничение вывода про обязанности пользователя. Отказываясь предоставить паспорт, вы можете столкнуться с тем, что сервис откажет в восстановлении доступа, ссылаясь на собственные правила (оферту/пользовательское соглашение) о процедуре идентификации. Формально сервис самостоятелен в определении процедуры восстановления доступа к своей услуге, пока она не нарушает закон. Поэтому практический совет: если доступ вам критично важен, проверьте, предусмотрена ли такая идентификация правилами сервиса, и запросите у техподдержки правовое основание (ссылку на пункт правил), а при возможности предложите альтернативное подтверждение владения ящиком (степень детализации переписки, даты писем, устройства входа).

Куда жаловаться при неправомерном требовании/обработке. Уполномоченный орган по защите прав субъектов персональных данных — Роскомнадзор; при неправомерной обработке вы вправе направить туда обращение, а при причинении ущерба — также в суд за компенсацией морального вреда и возмещением убытков.

Вывод по вопросу. Предоставлять паспорт вы не обязаны — это ваше добровольное право. Навязывание скана паспорта как обязательного условия сверх уже сообщённых вами данных может быть избыточной обработкой с риском административной ответственности для оператора и основанием для взыскания морального вреда. Вместе с тем упорный отказ чреват тем, что сервис не восстановит доступ по своим правилам; поэтому приоритетно требование у сервиса правового основания запроса и предложение менее чувствительного способа подтверждения владения ящиком.

Требовать скан паспорта как обязательное условие восстановления доступа к почтовому ящику сервис не вправе, если такой скан используется для установления личности (биометрия) — в этом случае предоставление таких сведений является исключительно вашим добровольным решением (п. 3 ст. 11, п. 1 ст. 9 ФЗ № 152-ФЗ). Предоставление же иных паспортных данных (ФИО, серия и номер документа) может быть обязательным по договору, если это соразмерно цели обработки.

Запрос паспортных данных сам по себе законом не запрещён, если он соразмерен цели — идентификации владельца учётной записи. Однако, поскольку вы уже подтвердили владение ящиком через привязанный телефон, резервный адрес и контрольные вопросы, требование дополнительно прислать скан паспорта с фотографией и подписью приобретает признаки избыточной обработки персональных данных, что прямо запрещено ч. 5 ст. 5 ФЗ № 152-ФЗ: объём обрабатываемых данных должен соответствовать заявленной цели и не быть избыточным.

Скан паспорта содержит изображение лица и подпись, которые при использовании для установления личности относятся к биометрическим персональным данным. Согласно п. 3 ст. 11 ФЗ № 152-ФЗ, предоставление биометрических персональных данных не может быть обязательным, а оператор не вправе отказывать в обслуживании за отказ их предоставить. Это означает, что сервис не может ставить восстановление доступа в зависимость от направления скана паспорта, если он используется для установления личности.

Вы вправе отказаться от предоставления паспорта и потребовать от сервиса прекратить обработку уже переданных данных, если они не являются необходимыми для заявленной цели (п. 1 ст. 14 ФЗ № 152-ФЗ). При неправомерной обработке, включая избыточный сбор данных, оператору грозит административная ответственность по ч. 1 ст. 13.11 КоАП РФ (штраф для юридических лиц — от 150 000 до 300 000 рублей), а при обработке биометрии без письменного согласия — по ч. 2 ст. 13.11 КоАП РФ. Кроме того, вы вправе требовать компенсации морального вреда на основании п. 2 ст. 24 ФЗ № 152-ФЗ.

Вместе с тем сервис вправе самостоятельно определять процедуру восстановления доступа в своих правилах (пользовательском соглашении). Если вы откажетесь предоставить запрошенные данные, сервис может отказать в восстановлении доступа, ссылаясь на эти правила. Поэтому приоритетный шаг — запросить у техподдержки правовое основание требования (конкретный пункт правил) и предложить альтернативный, менее чувствительный способ подтверждения владения ящиком.

Пошаговые действия

  1. Запросите у техподдержки письменное обоснование требования паспортных данных: попросите указать конкретный пункт пользовательского соглашения или иного документа, который предусматривает обязательное предоставление скана паспорта для восстановления доступа. Ссылайтесь на ч. 5 ст. 5 и п. 3 ст. 11 ФЗ № 152-ФЗ о недопустимости избыточной обработки и обязательности предоставления биометрии.

  2. Предложите альтернативные способы подтверждения владения ящиком, которые не требуют передачи паспортных данных: например, указание дат и тем писем, сведений об устройствах входа, деталей переписки, подтверждение через привязанный телефон или резервный адрес (если эти способы ещё не исчерпаны).

  3. Если сервис настаивает на скане паспорта, направьте письменное требование о прекращении обработки избыточно запрашиваемых данных со ссылкой на п. 1 ст. 14 ФЗ № 152-ФЗ. Укажите, что вы не даёте согласия на обработку биометрических персональных данных, а их предоставление не может быть обязательным (п. 3 ст. 11 ФЗ № 152-ФЗ).

  4. При отказе сервиса восстановить доступ или при неправомерной обработке данных подайте обращение в Роскомнадзор — уполномоченный орган по защите прав субъектов персональных данных. В обращении укажите, какие данные запрашивает сервис, какие способы подтверждения вы уже предоставили, и приложите переписку с техподдержкой.

  5. Для взыскания морального вреда (если он причинён неправомерной обработкой данных или отказом в доступе) вы вправе обратиться в суд по месту жительства с исковым заявлением, сославшись на п. 2 ст. 24 ФЗ № 152-ФЗ. К иску приложите доказательства обращения в сервис, его ответы (или отсутствие ответа), а также документы, подтверждающие причинение морального вреда.