МФО выдали заем по фото паспорта: кто заплатит за ошибку идентификации

История жительницы России, на имя которой оформили около 60 микрозаймов на сумму более 2,5 млн рублей, показывает, как далеко может зайти мошенничество с персональными данными. Злоумышленникам хватило фотографии паспорта. Уже больше года женщина получает звонки и угрозы от коллекторов, а более двадцати МФО продолжают попытки взыскания. Этот случай — не единичный сбой, а индикатор системной проблемы: финансовые организации выдают деньги, не убедившись, что за заявкой стоит владелец документа.

Масштаб риска растет вместе с числом утечек. По отраслевым данным, за 2025 год и первую половину 2026 года в открытый доступ попали 326 баз данных клиентов российских компаний, содержащих около 1,175 млрд строк с информацией о пользователях. Это вдвое больше совокупного числа публичных утечек в Латинской Америке, на Ближнем Востоке, в Африке, Азиатско-Тихоокеанском регионе и других странах СНГ. В таких условиях рассчитывать, что паспортные данные известны только владельцу, нельзя. Оказавшись в открытом доступе, они с высокой вероятностью становятся инструментом для оформления кредита или займа.

Цифровая гигиена со стороны клиента необходима, но она не снимает ответственности с банка или МФО. Паспорт приходится предъявлять в банках, страховых компаниях, гостиницах, медицинских учреждениях, сервисах аренды. После передачи данных третьей стороне владелец уже не контролирует их использование. Всегда сохраняется риск утечки из информационной системы, недобросовестных действий сотрудников или получения злоумышленником доступа к самому документу. Поэтому кредитор не должен исходить из того, что паспортные данные известны только их владельцу. Даже если они оказались в руках мошенника, одной фотографии документа не может быть достаточно для выдачи денег. Между компрометацией данных и выдачей займа должен стоять надежный барьер — проверка личности заемщика.

Задача банка или МФО — не просто получить паспортные данные и убедиться, что поля формально заполнены, а установить, что за деньгами обращается владелец документа. Если заем выдают по фотографии чужого паспорта, значит, финансовая организация не обеспечила надлежащую проверку. Причем такая проверка — не вопрос доброй воли кредитора, а обязанность, прямо предусмотренная законодательством.

Согласно Федеральному закону № 115-ФЗ, банки и МФО до приема человека на обслуживание должны не просто записать данные паспорта, а установить личность и подтвердить достоверность сведений по оригиналам или надлежащим образом заверенным копиям документов. Проверяются как минимум ФИО, гражданство, дата рождения, реквизиты документа и адрес. Если идентификация не проведена, законодательство требует отказать в обслуживании. За нарушение требований идентификации по статье 15.27 КоАП РФ МФО грозит штраф до 400 тыс. рублей, а за неоднократные нарушения — исключение из государственного реестра, то есть фактический запрет выдавать новые микрозаймы. Для банков Банк России может взыскать штраф до 0,1% капитала, но не менее 100 тыс. рублей, а за неисполнение предписания — до 1% капитала, но не менее 1 млн рублей.

Это только линия финансового надзора. Паспортные изображения являются персональными данными: Закон № 152-ФЗ требует защищать данные клиентов от неправомерного доступа. За массовую утечку персональных данных юридическому лицу грозит штраф до 15 млн рублей, биометрических — до 20 млн, а при повторной утечке — оборотный штраф от 1 до 3%, вплоть до 500 млн рублей. Вывод для рынка простой: если банк или МФО выдает кредит по поддельному паспорту или его копии из-за ненадлежащей идентификации, последствия ложатся не только на гражданина, чьими данными воспользовались мошенники. Для самой финансовой организации такая ошибка может обернуться крупными штрафами, потерей лицензии и репутационными издержками.

Пока одни участники рынка ограничиваются формальной проверкой, другие внедряют биометрию, видеоидентификацию и анализ поведенческих факторов. Но даже эти меры не гарантируют полной защиты, если кредитор экономит на процедурах. Вопрос ответственности за последствия мошенничества остается открытым: кто должен возмещать ущерб — гражданин, чьи данные украли, или организация, выдавшая заем без надлежащей проверки? Законодательство склоняется ко второму варианту, но правоприменительная практика пока не дает однозначных ответов.