Как проверить документы человека на подлинность: чек-лист без передачи лишних персональных данных

Сразу важная оговорка. Этот материал носит информационный характер и не заменяет индивидуальную юридическую консультацию. Точный порядок проверки и обработки персональных данных зависит от цели, статуса оператора и конкретной ситуации. Это следует из общей логики Федерального закона № 152-ФЗ, в том числе статей 6 и 18, где требования привязаны к правовому основанию и обязанностям оператора. Если сценарий спорный — лучше сначала проверить внутренний регламент и правовое основание, а уже потом просить документ.

Коротко: если можно обойтись визуальной сверкой без копии, это обычно безопаснее. Нужна фиксация результата? Достаточно минимальной отметки о проверке, а не полного скана документа. Такой подход согласуется и с российским принципом соразмерности обработки по ст. 5 152-ФЗ, и с международной практикой минимизации данных.

Когда проверка документов законна и зачем не собирать лишние персональные данные

Проверка документов законна тогда, когда у нее есть понятная цель и вы не выходите за пределы необходимого. Главное правило тут не в том, чтобы «взять побольше на всякий случай», а в том, чтобы проверить ровно то, что нужно для идентификации, допуска или сделки.

И вот здесь многие ошибаются. Подлинность документа и обработка персональных данных — это не одно и то же, но они быстро пересекаются. Посмотреть документ в руках человека — одна ситуация. Сфотографировать, отправить в мессенджер, загрузить на сайт, занести реквизиты в базу — уже совсем другая. Во втором случае включаются требования к обработке персональных данных: цель, объем, срок хранения, защита.

Вроде бы очевидно. Но на практике эту границу переходят постоянно.

По ст. 5 152-ФЗ содержание и объем обрабатываемых сведений должны соответствовать заявленной цели и не быть избыточными. Юридические комментарии к этой норме отдельно проводят границу между простым визуальным ознакомлением и действиями вроде записи, хранения и систематизации. Визуальная сверка без фиксации данных обычно не считается обработкой, а вот запись в систему уже создает другой правовой режим. Это же соответствует разъяснительной логике Роскомнадзора по составу операций обработки.

Пример из практики. Человек приходит для прохода в офис. Сотрудник на входе просит не просто показать паспорт, а отправить фото разворота в общий чат охраны. Цель — пустить посетителя внутрь. Действие — собирают и пересылают полный документ. Результат — для допуска это почти всегда избыточно, а риск утечки резко растет. Достаточно было визуально сверить фото, записать в журнал ФИО и номер пропуска. Все.

Что считать избыточной передачей данных при проверке

Избыточная передача данных — это когда для цели проверки запрашивают или сохраняют больше, чем реально нужно. Проще говоря: если задачу можно решить сверкой, а у вас почему-то появляется копия всего документа — процесс уже стоит пересмотреть. Подробнее о том, какие данные о человеке можно проверять законно, мы разбираем в отдельном материале.

Типовые признаки избыточности:

• просят полный скан паспорта там, где достаточно визуально сверить ФИО и фото;

• снимают копии всех страниц, хотя нужен один реквизит;

• запрашивают ИНН или СНИЛС для простой проверки личности;

• переписывают адрес регистрации, хотя подтверждать адрес не требуется;

• хранят фото документа в открытом виде «на всякий случай».

Знакомо? Наверняка хотя бы раз вы сами с этим сталкивались — на проходной, при оформлении доставки, при записи к врачу.

Это хорошо совпадает с зарубежной правоприменительной практикой. В кейсе Airbnb регулятор посчитал нарушением не только хранение валидной копии документа после завершения проверки, но и сохранение устаревших и частично отредактированных версий удостоверений — DPC, 2023.

Логика простая: проверить — да, создать лишнюю базу документов — нет.

Как 152-ФЗ влияет на проверку и обработку сведений

Информация носит общий характер и не заменяет консультацию специалиста в области защиты персональных данных.

152-ФЗ влияет на проверку документов сразу, как только вы начинаете не просто смотреть, а фиксировать, хранить, передавать или систематизировать сведения. Сам закон не дает единого «алгоритма проверки паспорта», но задает рамку: цель, минимизация, безопасность, ограничение объема и срока хранения.

Ключевая норма — ст. 5 152-ФЗ. Она требует, чтобы обработка персональных данных была ограничена достижением конкретных, заранее определенных целей, а объем данных не превышал необходимый. Это и есть критерий соответствия. Если для допуска в помещение вам нужен только факт удостоверения личности, сохранять полный скан паспорта в архиве уже трудно обосновать.

Ст. 3 152-ФЗ определяет саму обработку широко: это сбор, запись, систематизация, накопление, хранение, уточнение, использование, передача и другие действия. Поэтому ошибка многих компаний в том, что они считают безопасным любое действие, пока это «просто проверка». Нет. Сама по себе проверка может быть нейтральной, но как только появляется запись или база — возникает полноценная обработка персональных данных.

Письменное согласие не требуется, если сотрудник лишь смотрит в паспорт без занесения данных на цифровые носители. Это увязано с трактовкой ст. 3 152-ФЗ и позицией Роскомнадзора, где ключевым признаком обработки названа именно фиксация данных. Но как только сведения попали в журнал, CRM, пропускную систему или файл на сайте — вопрос о законности обработки уже нельзя игнорировать.

Кстати, вот что важно знать про штрафы. Нарушения чаще квалифицируются широко — как избыточная или незаконная обработка персональных данных по ст. 13.11 КоАП РФ. Отдельной статистики штрафов именно за копирование паспортов при проверке личности пока не выделяется, однако общий тренд на ужесточение ответственности очевиден: с 2025 года штрафы за нарушения 152-ФЗ выросли до 18 миллионов рублей для юридических лиц.

Восемнадцать миллионов. Это не опечатка. 

Какие документы обычно проверяют на подлинность

Чаще всего на подлинность проверяют паспорт, водительское удостоверение, диплом и иногда отдельные регистрационные документы. Но смешивать все сценарии в один не стоит: подтверждение личности, проверка права управления и проверка квалификации — это разные задачи и разный объем допустимой сверки.

Коммерческие компании чаще всего работают с паспортами граждан РФ, водительскими удостоверениями и дипломами. При этом запрашивать документ без копирования допустимо, если цель проверки понятна и правовое основание существует. Иначе говоря, документ можно проверить, не создавая лишнюю базу персональных данных. Если вам нужно собрать информацию для более серьезных целей, изучите материал о сборе информации для гражданского спора.

В зарубежной модели identity proofing (идентификации личности) набор документов зависит от уровня риска. Для IAL2 обычно используют государственное удостоверение личности или водительские права, а для IAL3 могут добавляться адресная и биометрическая проверка.

Полезный ориентир и для российских сценариев: чем ниже риск, тем проще и легче должен быть процесс.

Паспорт как основной документ для первичной сверки

Паспорт — основной документ для первичной сверки личности. Но даже с ним логика остается прежней: проверить подлинность и соответствие человеку, а не переписать все, что есть на развороте.

Физические параметры бланка паспорта РФ, которые нужно знать:

• Размер бланка — 88 × 125 мм. Если документ заметно больше или меньше, это первый сигнал.

• Количество страниц — 20 (из них 14 пронумерованы). Проверьте, все ли страницы на месте.

• Защитная нить вшита в 19-ю и 20-ю страницы, но видна только на 19-й. Она меняет цвет в зависимости от ракурса. Если нить не видна или не меняет цвет — повод для сомнений.

• Голограмма на 3-й странице — ламинирующий слой с голографическим рисунком, который переливается при изменении угла обзора. Над фотографией должна быть видна голограмма, а слева вверху поверх фото — красный узорчатый уголок.

• Водяные знаки — на каждой внутренней странице при просвете видна объемная надпись «РФ».

• Элемент, меняющий цвет — узор в виде букв «РФ» в круге на 3-й странице, пурпурный, но с некоторых ракурсов выглядит зеленым.

• Прошивка — паспорт прошит по всей длине двухцветными нитями, которые могут светиться в ультрафиолете.

Что еще можно и нужно смотреть визуально — без избыточного копирования:

• соответствие фото предъявителю;

• целостность страницы и ламинации;

• качество печати и отсутствие грубых следов замены;

• реквизиты документа;

• отсутствие исправлений, помарок, надписей другим шрифтом.

Эти признаки описаны в ГОСТ Р 51511-2001, методике МВД РФ по проверке подлинности паспортов и стандарте ISO/IEC 19798-1.

Серия и номер — серия (первые 4 цифры, два блока по две) и номер (6 цифр) печатаются на 2-й и 3-й страницах, а на остальные наносятся лазером. В нижней части любой страницы можно увидеть отверстия, которые складываются в цифры серии и номера. Убедитесь, что они везде одинаковы.

Пример из практики детективного агентства. На входе в объект охрана получила паспорт с визуально неровной строкой и странным оттенком номера. Сотрудник не стал фотографировать документ и рассылать его коллегам. Ограничились отказом в допуске и перевели вопрос в официальный порядок проверки, не накапливая лишние персональные данные. Как потом выяснилось, паспорт действительно был подделкой — мошенник пытался получить доступ к офису финансовой компании. Именно внимание к физическим параметрам бланка позволило выявить проблему без единого скана.

Без единого скана. Просто внимательный взгляд.

Когда нужно сверять документ с другими данными

Сверять документ с другими данными нужно не всегда, а только когда одного документа объективно недостаточно для цели проверки. Например, если надо не просто понять, кто перед вами, а сопоставить личность с уже существующей записью в договоре, пропускной системе или заявке.

Это может быть уместно в таких ситуациях:

• нужно проверить, что предъявитель документа — именно тот человек, который указан в ранее оформленной заявке;

• требуется сопоставить документ с уже имеющимися у оператора данными клиента или посетителя;

• есть юридически значимая операция, где ошибка в личности создает высокий риск (например, сделка с недвижимостью).

При этом — и это важный момент — надежных источников, которые бы подтверждали типовые законные сценарии сопоставления паспорта именно с ИНН или СНИЛС без копирования для обычной проверки личности, не найдено. Если у вас нет прямой необходимости, не надо расширять проверку до ИНН, СНИЛС и других идентификаторов только потому, что так «спокойнее». Спокойнее обычно только на бумаге. На деле это расширяет обработку персональных данных без понятной пользы.

Дополнительные проверки при высоких рисках. При сделках с недвижимостью или крупных финансовых операциях может быть полезно проверить, нет ли у человека задолженностей или статуса банкрота. Для этого существуют открытые сервисы: Единый федеральный реестр сведений о банкротстве (ЕФРСБ) и база исполнительных производств ФССП. Оба сервиса требуют только ФИО и дату рождения — без сканов паспорта.

Текстом то же самое: в обычной ситуации достаточно проверить документ, который прямо относится к цели. Чем меньше дополнительных идентификаторов вы затрагиваете, тем безопаснее с точки зрения 152-ФЗ.

Чек-лист проверки подлинности документа без лишней обработки персональных данных

Безопасный чек-лист выглядит так: определить цель, провести визуальную сверку, проверить реквизиты, при необходимости обратиться к официальному источнику, затем зафиксировать только результат. Не копировать документ целиком, если без этого можно обойтись.

Это не теория. Именно к такой логике ведут и ст. 5 152-ФЗ о соразмерности обработки, и международные кейсы минимизации данных, и практические подходы identity proofing, где объем проверки зависит от уровня риска, а не от желания собрать все сразу — NIST / IDManagement.gov; DPC Airbnb, 2023.

Визуальная сверка, реквизиты и признаки несоответствия

Начинать стоит с визуальной сверки. Если документ вызывает сомнения уже на этом этапе, углублять обработку персональных данных и собирать больше сведений не нужно.

Практический порядок такой:

1. Убедиться, что фото соответствует предъявителю. Внимательно сверьте реальную внешность с фото в документе — мошенники иногда используют настоящие документы, принадлежащие другим людям.

2. Проверить физические параметры бланка: размер (88×125 мм), 20 страниц, наличие всех разделов.

3. Осмотреть защитные элементы: голограмму на 3-й странице, водяные знаки «РФ» на просвет, защитную нить на 19-й странице (должна менять цвет), цветопеременный элемент «РФ» вверху 3-й страницы.

4. Сверить ФИО и номер документа с той информацией, которая уже есть по цели проверки.

5. Убедиться, что серия и номер одинаковы на всех страницах (перфорация в нижней части).

6. Оценить, нет ли явных признаков вмешательства.

Признаки, которые должны насторожить:

• неровные или смещенные строки;

• разные шрифты в соседних полях;

• следы переклейки, подчистки, вторичной ламинации;

• неестественный цвет номера;

• нарушение рисунка защиты или отсутствие ожидаемых визуальных элементов;

• фото наклеено поверх ламинации (в подлинном паспорте фото всегда под ламинирующим слоем);

• отсутствие красного узорчатого уголка поверх фото на 3-й странице;

• в паспорте не хватает страниц или есть повреждения.

Фиксировать лучше не весь документ, а результат: «сверка пройдена» или «документ вызывает сомнения». Если нужно внутреннее обоснование, достаточно короткой служебной отметки без фото полного разворота.

Проверка действительности через официальные онлайн-сервисы

Проверять действительность документа через онлайн-сервисы нужно только тогда, когда это действительно необходимо, и только в минимально необходимом объеме. Смысл такой проверки — подтвердить действительность реквизитов, а не собрать полное досье на человека.

Проверка через Госуслуги. Официальный сервис проверки паспортов сейчас работает на портале Госуслуг (ранее он располагался на сайте МВД). Для сверки достаточно ввести серию, номер паспорта и ФИО. Это минимальный набор данных — не нужно загружать скан, указывать прописку или код подразделения. Такой подход полностью соответствует принципу минимизации данных по ст. 5 152-ФЗ.

Как работает сервис:

• если с паспортом все хорошо, появится статус «Действительный»;

• если документ потерян, украден или просрочен, сервис выдаст результат «Недействительный»;

• если документ не найден — появится окно «Данные не найдены», что может указывать на подделку, но стоит перепроверить правильность ввода.

Услуга бесплатная, результат приходит за несколько секунд. Пренебрегать этой проверкой не стоит — она быстрая, информативная и безопасная с точки зрения закона.

Чего делать не стоит. Проверка через сайт ФНС требует полный номер паспорта, дату рождения и СНИЛС или ИНН, что уже выглядит как избыточный набор для многих бытовых сценариев. Если ваша цель — просто подтвердить, что паспорт действителен, используйте Госуслуги, а не ФНС.

Практический вывод:

• если официальный сайт требует больше сведений, чем нужно для вашей цели, не стоит использовать его автоматически;

• проверка действительности и полная идентификация — не одно и то же;

• если риск невысокий, визуальная сверка плюс проверка через Госуслуги могут быть вполне достаточными.

Как фиксировать результат проверки и не нарушать 152-ФЗ

Фиксировать лучше не копию документа, а сам факт проверки. Обычно этого достаточно, чтобы подтвердить добросовестность процедуры и не раздувать базу персональных данных без необходимости.

Это, кстати, один из самых полезных выводов во всей теме. Люди часто думают: если не сохранили копию, значит, потом ничего не докажем. Но регуляторная логика и практика говорят обратное. Вообще… нет, точнее так: при нормальном процессе часто достаточно краткой отметки — дата, цель, результат, ответственный сотрудник. Этого хватает и для внутреннего аудита, и для проверки Роскомнадзора.

Что достаточно зафиксировать вместо копии документа

Вместо копии документа обычно достаточно зафиксировать минимальный набор сведений о факте проверки. Безопасный ориентир: бумажные журналы или электронные логи с минимальной фиксацией, без превращения их в незаконную базу персональных данных.

Что можно использовать:

• дата и время проверки;

• цель проверки;

• отметка «документ предъявлен»;

• результат проверки (действителен / вызывает сомнения);

• идентификатор сотрудника или подразделения;

• при необходимости — ограниченный реквизит документа (например, номер), если без него нельзя обосновать действие.

В журнале учета посетителей минимально допустимым набором считаются фамилия, имя и номер паспорта без даты выдачи, места рождения и лишних реквизитов. Это подается как ориентир на основе рекомендаций Роскомнадзора. При этом если даже такой объем вам не нужен по цели — лучше сократить и его.

Пример записи в журнале посетителей, к которой не придерется проверка:

Обратите внимание: ни скана, ни серии паспорта, ни адреса регистрации.

Международная практика это поддерживает. В деле Airbnb компании предписали удалить копии документов и оставить только запись о факте предоставления документа и дате.

Кейс из практики. Компания раньше прикладывала сканы паспортов к заявкам посетителей. После внутреннего аудита процесс изменили: оставили дату визита, ФИО, номер пропуска и отметку о визуальной сверке. Результат — задача допуска решается, а объем обработки персональных данных стал заметно меньше. При проверке Роскомнадзора к такой системе вопросов не возникло.

Когда хранение копий создает лишние риски

Хранение копий создает лишние риски почти всегда, если нет отдельной прямой необходимости. Чем больше копий документов вы накапливаете, тем шире база, выше риск утечки и сложнее обосновать соответствие 152-ФЗ.

Риски тут не абстрактные:

• растет объем персональных данных в системе;

• появляется больше точек доступа;

• сложнее обеспечить режим защиты;

• увеличивается срок хранения «на всякий случай»;

• в споре труднее доказать, что сбор был соразмерным.

А ведь каждая такая копия — это потенциальная утечка. Кажется, мелочь, но когда копий сотни, а защита — папка на общем диске, масштаб проблемы становится совсем другим.

По данным правоприменительной практики, нет публичной статистики штрафов именно за хранение ксерокопий паспортов как отдельного состава, но есть общий контур: нарушения квалифицируют как незаконную или избыточную обработку персональных данных. Роскомнадзор неоднократно выносил предупреждения компаниям о незаконном сборе паспортов, и штрафов удавалось избежать только потому, что нарушения устранялись до вынесения решения.

Для ориентира по нормативной базе:

• Федеральный закон № 152-ФЗ «О персональных данных», прежде всего ст. 3, 5, 6, 18;

• разъяснения и методические материалы Роскомнадзора по минимизации объема собираемых сведений;

• практика надзорных органов по принципу data minimization и storage limitation, в частности кейсы DPC и EDPB. 

Как распознать подделку на фото или скане паспорта в мессенджере

Все чаще люди видят не живой паспорт, а его фотографию в WhatsApp, Telegram или на электронную почту. Это отдельный сценарий, и он требует специальных знаний. Мошенники — «инвесторы», «женихи из-за рубежа», «продавцы квартир» — присылают сканы и фото паспортов, которые могут быть полностью или частично подделаны в графических редакторах.

Честно говоря, качество подделок за последние пару лет выросло настолько, что отличить хороший фейк от оригинала по маленькой картинке в мессенджере — задача нетривиальная. Но есть маркеры, которые помогают.

На что обращать внимание при проверке фото/скана:

• Шрифты. В подлинном паспорте все шрифты единообразны. Если отдельные буквы или цифры отличаются по толщине, стилю или размеру — скорее всего, документ редактировали.

• Тени и освещение. На настоящей фотографии тени падают одинаково. Если фото лица освещено с одной стороны, а текст — с другой, это признак монтажа.

• Границы вставок. Увеличьте изображение и посмотрите на границы фото, текста и фона. Размытие, пиксельные артефакты или «ступеньки» вокруг вставленного элемента — типичные следы Photoshop.

• Разрешение. Намеренно низкое качество фото может скрывать следы редактирования. Если человек присылает «фото паспорта» в разрешении 300×200 пикселей — это повод задуматься.

• EXIF-данные. Если фото вам прислали файлом (не через мессенджер, который удаляет метаданные), можно проверить EXIF-данные: дату съемки, модель камеры, программное обеспечение. Если в EXIF указан Adobe Photoshop — документ почти наверняка редактировался.

Если вы подозреваете подделку, но не уверены — не пытайтесь разобраться самостоятельно. Обратитесь за профессиональной проверкой документов к специалистам, которые работают в рамках закона. 

Частые ошибки при проверке документов и работе с персональными данными

Информация носит общий характер и не заменяет консультацию специалиста. Точный порядок действий зависит от конкретной ситуации и применимого законодательства.

Частые ошибки почти всегда одинаковые: просят больше, чем нужно, передают документ не туда и забывают, что сама проверка не отменяет закон об обработке персональных данных. Проблема обычно не в желании проверить, а в неаккуратной процедуре. Узнайте больше о законных способах проверки человека через открытые источники.

По международным кейсам и по практике видно одно и то же: нарушения начинаются там, где проверку подлинности подменяют привычкой собирать документы «на всякий случай». Именно это становится центральным упреком в решениях европейских регуляторов — EDPB, 2023; DPC Airbnb, 2023.

Ошибка: просить весь документ там, где нужна только сверка

Если нужна только сверка, не надо просить полный документ в копии. Это самая частая и самая дорогая по последствиям ошибка.

Типовые примеры:

• просят фото паспорта для прохода в офис;

• требуют скан разворота для разовой доставки;

• снимают копию удостоверения для простой записи на встречу;

• просят отправить документ через мессенджер, хотя человек находится перед сотрудником.

Ну вот зачем? Человек стоит перед вами с паспортом в руках, а вы просите его сфотографировать и отправить в чат. Это не безопасность, это привычка.

В таких сценариях часто достаточно предъявления документа и визуального сравнения. Если это не так, вопрос нужно задавать сразу: какая именно цель требует копию, а не просто осмотр.

Если цель можно закрыть предъявлением, копия почти всегда лишняя.

Ошибка: проверять подлинность, но не проверять законность обработки

Даже если документ подлинный, сама процедура может быть незаконной. Это второй важный слой, о котором часто забывают.

Например:

• документ проверили правильно, но фото сохранили без основания;

• реквизиты занесли в таблицу без срока хранения;

• данные передали подрядчику без поручения на обработку;

• подключили сторонний API или камеру с распознаванием лиц без должного согласия.

Особенно осторожно нужно относиться к биометрии. Проверка через сторонние API или камеры с распознаванием лиц может нарушать закон из-за отсутствия письменного согласия на обработку биометрических персональных данных и из-за проблем с передачей данных третьим лицам. Это увязано со ст. 11 152-ФЗ и общими требованиями к поручению на обработку.

Международные privacy-документы подтверждают тот же подход: технологически сильные системы строятся вокруг принципа privacy by design — минимум данных, понятная цель, защищенная обработка, ограниченное хранение.

Готовый чек-лист для быстрой проверки

Этот чек-лист можно сохранить на телефон или распечатать. Он подходит для типовых ситуаций: допуск на территорию, прием посетителей, проверка контрагента при встрече, наем няни или репетитора.

▢ Определена цель проверки (допуск / сделка / идентификация).

▢ Документ предъявлен лично, фото совпадает с лицом предъявителя.

▢ Бланк соответствует стандарту: размер 88 × 125 мм, 20 страниц, все разделы на месте.

▢ Защитные элементы присутствуют: голограмма на 3-й странице переливается, водяные знаки «РФ» видны на просвет, защитная нить на 19-й странице меняет цвет.

▢ Нет следов вмешательства: ровные строки, единый шрифт, нет подчисток, переклеек, вторичной ламинации.

▢ Серия и номер одинаковы на всех страницах (включая перфорацию).

▢ При необходимости — действительность проверена через Госуслуги (ввод только ФИО и серии/номера, без сохранения скана).

▢ В журнал или систему внесена только отметка о проверке (дата, результат, сотрудник) — без скана или фото документа.

▢ Копия документа не сохранялась, если для этого нет прямого правового основания.

▢ При сомнениях в подлинности — отказано в продолжении процедуры, при признаках подделки — вызвана полиция. Документ у предъявителя не изымался.

Если самостоятельной проверки недостаточно и ставки высоки, лучше обратиться за профессиональной проверкой документов к детективу, чем рисковать деньгами, безопасностью или семьей.