Почему нельзя раздавать паспортные данные: право, риски и практические правила

По российскому подходу персональные данные (ПДн) определяются не «важностью» сведений, а тем, позволяют ли они прямо или косвенно определить конкретного человека. Как только набор сведений дает возможность идентификации, они попадают в правовой режим 152‑ФЗ.

Паспортные данные в этом смысле один из самых «сильных» идентификаторов. Серия, номер, дата выдачи, кем выдан, код подразделения, а нередко и адрес регистрации в совокупности надежно привязывают запись в системе к конкретному физическому лицу. Поэтому спор о том, «персональные это данные или нет», в отношении паспорта обычно бессмысленен: паспортные реквизиты почти всегда ведут к идентификации.

152‑ФЗ выделяет отдельные режимы для некоторых категорий:

• Специальные категории (например, сведения о здоровье, убеждениях, интимной жизни) требуют повышенной осторожности и, как правило, более жестких оснований.
• Биометрические данные имеют особый статус, когда используются для установления личности (например, изображение лица, отпечатки, голос).
• Иные персональные данные (все, что не попало в предыдущие группы) обрабатываются по общим правилам.

Паспортные данные относятся к «иным» ПДн. Это важное уточнение: сам по себе паспорт не превращает обработку в «специальную категорию». Однако паспорт часто содержит фотографию, а фото может стать биометрией, если применяется именно для идентификации личности. Тут критична цель: хранить фото как иллюстрацию в анкете одно, использовать как средство сравнения «это тот же человек» другое.

Из этого следует базовая практическая мысль: паспортные данные не требуют «экзотических» режимов, но требуют обычной, строгой дисциплины по целям, основаниям, хранению и доступу. Этого уже достаточно, чтобы большинство бытовых сценариев «попросили паспорт, я отправил» оказалось юридически и технологически уязвимым.

Закон определяет обработку персональных данных широко: это любая операция с ПДн, включая сбор, запись, систематизацию, хранение, уточнение, извлечение, использование, передачу, обезличивание, блокирование, удаление и уничтожение (ст. 3 152‑ФЗ). Важная деталь: передача в этом контуре не сводится к «отправил файл по почте». Достаточно создать доступ третьему лицу, переслать сведения в мессенджере, выгрузить в общий чат, открыть внешнему подрядчику личный кабинет.

Передача раскрывается через три формы, которые часто путают:

• Предоставление: передача конкретному лицу или кругу лиц (например, отправить паспортные данные курьерской службе).
• Распространение: раскрытие неопределенному кругу лиц (например, публикация серии и номера в интернете).
• Доступ: предоставление возможности ознакомиться с данными (например, общий логин в 1С, где лежат паспортные реквизиты клиентов).

Передача паспортных данных в жизни редко оформляется как торжественная «передача ПДн». Обычно это выглядит буднично:

• менеджер пишет: «скиньте паспорт, чтобы оформить договор»;
• бухгалтер просит скан для аккредитации;
• сервис доставки сообщает: «нужны паспортные данные для идентификации при вручении»;
• подрядчик получает доступ к CRM, где в карточках клиентов хранится серия/номер.

Юридически все эти варианты одинаково попадают в обработку. Это означает, что в каждом случае должно быть основание и соблюдены принципы закона. Если нет основания, сама по себе пересылка становится неправомерной обработкой.

1) Регистрация в отеле. Для заселения и выполнения требований учета гостей гостиница вправе запросить документ, удостоверяющий личность, и внести сведения в свои учетные формы. Здесь цель понятна, предусмотрена регулированием, и объем данных, как правило, ограничен тем, что действительно нужно для регистрации.

2) Публикация паспортных данных в интернете. Размещение серии и номера, фото разворота, адреса регистрации в открытом доступе почти всегда означает распространение ПДн неопределенному кругу лиц. Для такой операции нужны особо аккуратные основания, и в бытовых сценариях их обычно нет. Практический результат предсказуем: данные оказываются в копиях и репостах, контролировать распространение дальше невозможно.

3) Несанкционированный доступ к 1С или CRM, где есть паспортные данные. Если в системе лежат паспортные реквизиты клиентов, а доступ построен по принципу «общий пароль на отдел» или «права не пересматриваем годами», то любая утечка учетных данных превращается в неправомерный доступ к ПДн. Важно, что это нарушение может наступить без «публикации» и без злого умысла: достаточно, что третьи лица получили возможность ознакомления.

Эти примеры показывают ключевую идею: паспортные данные опасны не потому, что «паспорт = зло», а потому, что они усиливают последствия любой ошибки в процессе. Там, где с номером телефона ущерб ограничен спамом, с паспортными реквизитами риски уходят в экономические преступления и долгие юридические разбирательства.

Закон не допускает обработки ПДн «по умолчанию». Оператор обязан опираться на одно из оснований, перечисленных в ст. 6 152‑ФЗ. Согласие субъекта лишь один из вариантов, и далеко не самый удобный: согласие можно отозвать, а в некоторых процессах оно вообще не подходит.

Для паспортных данных это особенно заметно. Их часто требуют не ради маркетинга, а для юридически значимых действий. В таких сценариях правовым основанием обычно выступает не согласие, а необходимость исполнения договора или исполнение обязанностей, установленных законом.

Открытие счета в банке. Банковская идентификация клиента и выполнение требований комплаенса предполагают установление личности. Паспортные данные здесь не прихоть, а часть юридической процедуры, и отказ предоставить их фактически означает невозможность оказания услуги.

Покупка авиабилетов. Для перевозки пассажира перевозчику нужны идентификационные сведения. Даже если билет куплен онлайн, в момент регистрации на рейс и посадки перевозчик должен иметь возможность связать билет с конкретным человеком.

Такие случаи полезно держать в голове, чтобы не уйти в крайность «никогда не даю паспорт». Вопрос не в запрете как таковом, а в проверке: кто просит, для чего, какой объем, на каком основании, как будет хранить, кому передаст.

Самый проблемный класс ситуаций связан с сервисами, которым паспортные реквизиты не нужны для исполнения обязательств.

Типовой пример: цифровая подписка, регистрация в приложении, участие в вебинаре, получение бонусной карты, разовая доставка недорогого товара. Если услуга не предполагает юридически значимых последствий и закон не требует идентификации по паспорту, запрос серии и номера обычно избыточен.

С практической точки зрения полезно задавать простой вопрос: «Если я не дам паспортные данные, услугу можно оказать законно и технически?» Если ответ «да», значит, запрос чаще всего продиктован удобством компании, а не необходимостью.

В 152‑ФЗ закреплены принципы обработки, среди которых центральный для паспорта принцип ограниченности целями и недопущения избыточности (в логике ч. 5 ст. 5 152‑ФЗ). На человеческом языке это означает следующее: компания должна собирать ровно те сведения, которые нужны для конкретной, заранее определенной цели, и не расширять набор «на всякий случай».

Поэтому паспортные данные, даже когда они правомерны, должны быть соразмерны задаче.

Со стороны клиента это выглядит как дисциплина выбора: если цель достигается без паспорта, не стоит передавать паспортные реквизиты ради удобства или из вежливости.

Со стороны оператора это превращается в управляемый процесс: фиксировать цели в документах, привязывать к ним состав данных, отсекать лишнее на уровне форм, анкет и чек-листов сотрудников.

Для исполнения договора иногда нужны идентификационные данные: например, при заключении некоторых видов договоров с физическим лицом, при финансовых операциях, при оформлении услуг с повышенными рисками.

Но если цифровой сервис просит паспортные данные при подписке на музыку или при регистрации в личном кабинете без юридически значимых функций, это почти всегда сигнал избыточности. Компании проще «захватить побольше» и потом разбираться, но для субъекта и для оператора это плохая стратегия: возрастает объем хранимых ПДн, усложняются меры защиты, растут последствия инцидента.

Здесь полезна аналогия с ключами от квартиры. Да, иногда копия ключа нужна (например, доверенному человеку на случай аварии). Но если каждый сервис, который оказывает вам услугу, просит копию ключа «на всякий случай», проблема очевидна. Паспортные данные в цифровом мире работают примерно так же: они открывают слишком много дверей, чтобы раздавать их без веской причины.

Тема копий документов, включая паспорт, традиционно вызывает два полярных подхода.

Позиция «за» хранение копий опирается на управляемость кадровых и юридически значимых процедур: работодателю нужно подтверждать, что работник предоставил документы, соответствовал требованиям, имел нужное образование, а кадровые действия оформлялись корректно. В практических разъяснениях встречается подход, что наличие копий паспорта и иных документов в личных делах само по себе не считается нарушением, если это связано с исполнением трудового, пенсионного, страхового и иных обязательных требований, и если обеспечены условия хранения и доступа.

Позиция «против» строится на минимизации: если для задачи достаточно реквизитов (серия/номер, кем выдан) и отметки о проверке документа, хранение полной копии разворота может быть избыточным. Дополнительный аргумент здесь чисто риск-ориентированный: копия паспорта, попавшая в утечку, создает более тяжелые последствия, чем набор реквизитов.

Как свести эти позиции в рабочее решение. В большинстве организаций разумно отходить от крайностей и задавать два вопроса:

1. Для каких кадровых процессов копия действительно необходима (а не просто удобна)?
2. Если копия нужна, можно ли ограничить состав копируемых страниц и срок хранения?

Часто практический компромисс выглядит так: копии хранятся только там, где это реально оправдано (например, для подтверждения выполнения обязательных требований), доступ ограничен, сроки хранения привязаны к кадровым и архивным правилам, а в остальных случаях фиксируются реквизиты и факт проверки документа без хранения изображения.

Бумага остается живой частью процессов: личные дела, анкеты, заявления, журналы посетителей, карточки контрагентов. И именно бумага часто оказывается «слепой зоной» комплаенса: на ИТ накладывают пароли и DLP, а папки на шкафах считаются чем-то второстепенным.

Для обработки без использования средств автоматизации действует отдельное регулирование, которое требует обеспечить управляемость материальных носителей: чтобы по каждой категории данных можно было определить места хранения и круг лиц с доступом.

В контрольных вопросах Роскомнадзора это прямо отражено: проверяется, изданы ли документы, которые устанавливают места хранения персональных данных (материальных носителей) и перечень лиц, которые обрабатывают данные или имеют к ним доступ (п. 62 проверочного листа, утвержденного приказом РКН № 253, с отсылкой к требованиям ПП РФ № 687 о неавтоматизированной обработке).

Практический вывод для бизнеса прост: одного факта «папки лежат в сейфе» недостаточно. Должны существовать локальные правила, где описано:

• какие бумажные документы содержат ПДн;
• где они хранятся (конкретные помещения, шкафы, архив);
• кто имеет доступ (по должностям, а не пофамильно);
• как выдаются/возвращаются, как фиксируется доступ при необходимости;
• как уничтожаются (и как подтверждается уничтожение).

Это не бюрократия ради бюрократии. Когда происходит спор с субъектом, внутреннее расследование или проверка, именно такие документы помогают доказать управляемость процесса.

Паспортные данные редко «ломают» компанию в момент сбора. Проблемы начинаются позже: данные хранятся дольше, чем нужно, доступ расширяется, учет носителей теряется, подрядчики получают лишние права, а затем случается инцидент.

С точки зрения ответственности риски возникают как за нарушение принципов и условий обработки, так и за несоблюдение требований к хранению и обеспечению безопасности. В отдельных случаях нарушение требований при обработке ПДн может квалифицироваться по соответствующим частям ст. 13.11 КоАП РФ, включая эпизоды, связанные с несоблюдением установленных требований к обработке и защите, а также существует возможность привлечения по ст. 272.1 УК РФ.

Вопрос «почему нельзя давать паспортные данные» правильнее переформулировать так: почему нельзя передавать их без проверки цели, основания и условий обработки. В правовом режиме 152‑ФЗ именно это отличает безопасный сценарий от проблемного.

Для человека минимально достаточное правило выглядит так: передавайте паспортные данные только там, где без них услугу объективно нельзя оказать законно, и где понятна роль получателя. Если паспорт «нужен для оформления скидки» или «для регистрации в сервисе», просите объяснить цель и нормативное или договорное основание, уточняйте, можно ли обойтись более мягким идентификатором. Не пересылайте сканы в общих чатах и мессенджерах без необходимости, не публикуйте серию и номер в открытом доступе, а при передаче копии ограничивайте объем (ровно то, что нужно по процессу) и ожидайте от организации ясных ответов о сроках хранения.

Для бизнеса логика похожа, но превращается в управляемую систему: привязать паспортные данные к конкретным целям и основаниям (ст. 6 152‑ФЗ), убрать избыточный сбор из форм и анкет (принцип ограничения целями), разграничить доступ в системах и на бумаге, а для неавтоматизированной обработки закрепить места хранения и перечни допущенных лиц документально (ориентируясь на требования ПП РФ № 687 и контрольные вопросы РКН). Когда эти элементы выстроены, паспортные данные перестают быть «токсичным активом» и становятся обычным, контролируемым реквизитом, с которым компания умеет работать без излишних рисков.