Паспортные данные: когда их законно требовать, а когда это нарушение

Паспортные данные это персональные данные - вопрос звучит как трюизм, но путаница вокруг него не редкость. Серия и номер, дата и место рождения, кем и когда выдан документ, код подразделения, адрес регистрации, фотография - все это персональные данные по 152-ФЗ, и собирать их можно только при наличии законного основания. Дело не в том, персональные это данные или нет: тут все однозначно. Дело в том, зачем компания вообще запрашивает паспорт и есть ли у нее на это право. Кадровик просит паспорт при приеме на работу - законно. Интернет-магазин просит скан паспорта при заказе чехла для телефона - уже нет. Разница в цели обработки, а закон требует объяснить эту цель, а не просто получить от клиента согласие поставить галочку. Клиника при первичном приеме вправе спросить ФИО и дату рождения для медицинской карты, а самозанятый мастер маникюра, который просто берет предоплату за услугу, права требовать паспорт целиком вообще не имеет.

Дальше - конкретный перечень ситуаций, где паспорт требовать можно и нужно, где это уже избыточный сбор, и что делать с копиями и сканами, которые компания уже накопила без разбора.

Почему паспортные данные это персональные данные по закону

По 152-ФЗ персональные данные - любая информация, которая прямо или косвенно относится к определенному или определяемому физическому лицу. Паспорт именно про это: он однозначно идентифицирует конкретного человека. ФИО, дата и место рождения, пол, гражданство, фотография, серия и номер, дата выдачи и код подразделения, адрес регистрации - каждый из этих реквизитов сам по себе уже относится к персональным данным, а вместе они образуют документ, который снимает всякую неопределенность в том, о ком идет речь.

Отдельный вопрос - фотография в паспорте. Формально это не биометрические персональные данные в смысле статьи 11 152-ФЗ: биометрия - сведения, которые используют для установления личности через специальные технические средства, например через распознавание лица, снятые отдельно и с определенной целью. Фотография в паспорте к такой обработке не относится, пока компания не запускает по ней автоматическое сопоставление лиц. Но это не делает скан паспорта менее чувствительным: в одном файле собран сразу десяток идентифицирующих признаков, и при утечке ущерб выше, чем от утечки одного имени и телефона.

Полный список того, что закон относит к персональным данным помимо документов, есть в статье о том, что такое персональные данные. Если коротко: практически любые сведения о конкретном человеке, от имени до IP-адреса, подпадают под 152-ФЗ, а не только документы.

Принцип минимизации: почему нельзя брать копию на всякий случай

В 152-ФЗ есть норма, которую компании игнорируют чаще всего. Часть 5 статьи 5 закона требует, чтобы объем обрабатываемых персональных данных соответствовал заявленной цели обработки, и прямо запрещает собирать данные с избытком по отношению к этой цели. Формулировка на всякий случай или мало ли пригодится законным основанием не является. Если компания не может объяснить, зачем ей конкретно эти данные для конкретной операции, собирать их нельзя, даже если клиент готов их дать сам.

Пример из практики. Интернет-магазин продает бытовую технику и просит покупателя прислать скан паспорта при оформлении заказа - для проверки личности. Цель звучит разумно, но для доставки холодильника курьеру достаточно назвать номер документа при получении и сверить его с ФИО в накладной, без хранения скана в базе. Держать копию паспорта в CRM для этого не требуется: цель - убедиться, что товар получил тот, кто его заказал - достигается без сбора и хранения полного набора реквизитов.

Похожая история со школами дополнительного образования, курсами и репетиторами: администратор запрашивает паспорт при записи на разовое занятие, хотя для этой сделки достаточно ФИО и телефона, а паспортные данные нужны только если заключается официальный договор на длительный срок с указанием реквизитов сторон. Разница между нужно для этой цели и может пригодиться позже - и есть граница, которую проводит принцип минимизации. Общие требования закона к обработке разобраны в отдельном материале про 152-ФЗ простыми словами, там же - про остальные принципы обработки, не только про документы.

Похожая картина в SaaS-сервисах и платных подписках: попытка выставить счет юридическому лицу иногда сопровождается требованием паспортных данных у физлица-заказчика, хотя для выставления счета достаточно ИНН и реквизитов компании, а не личного документа сотрудника, который оформляет заказ.

Когда паспорт можно и нужно требовать по закону

Есть ситуации, где паспортные данные - обязательный реквизит, и без них операция юридически невозможна.

Трудоустройство

При приеме на работу работодатель обязан получить паспорт или другой документ, удостоверяющий личность - это следует из порядка оформления трудового договора по Трудовому кодексу. Копия паспорта или выписка реквизитов входит в личное дело сотрудника, используется при внесении данных в трудовой договор, приказ о приеме и отчетность в фонды. Это законное основание, и отказ работника показать паспорт при трудоустройстве блокирует саму возможность заключить договор.

Финансовые операции

Банки, платежные системы, микрофинансовые организации обязаны идентифицировать клиента по паспорту в силу законодательства о противодействии легализации доходов, полученных преступным путем. Это касается не только банков: любая компания, которая по закону отнесена к субъектам такого контроля, обязана запрашивать паспортные данные при определенных суммах операций. При этом обычный прием оплаты через эквайринг на сайте, без признаков подозрительной операции, паспорта не требует - самозанятому или интернет-магазину, который просто принимает оплату картой, этот повод для сбора документа не подходит.

Гостиницы и миграционный учет

При заселении в гостиницу или сдаче жилья в аренду с постановкой на миграционный учет паспортные данные гостя обязательны - так требует законодательство о регистрационном учете граждан и учете иностранных граждан. При этом на этапе онлайн-бронирования номера паспорт не нужен: закон требует предъявить документ при заселении, а не при бронировании через сайт или агрегатор.

Нотариальные действия и сделки с недвижимостью

Нотариус обязан установить личность каждого участника сделки по паспорту - без этого удостоверение сделки невозможно. При сделках с недвижимостью через риэлторское агентство паспортные данные сторон нужны для подготовки договора купли-продажи или аренды и его последующей регистрации.

Договоры ГПХ с физическими лицами

Если компания заключает с физическим лицом договор подряда или оказания услуг вместо трудового, паспортные данные исполнителя нужны для самого текста договора и для последующей отчетности по налогу на доходы. Это отдельное основание от трудоустройства: человек не становится сотрудником, но реквизиты документа все равно требуются законно, потому что без них договор гражданско-правового характера юридически не оформить.

Таблица ниже - краткая шпаргалка по частым ситуациям.

Ситуация	Нужен ли паспорт	Основание
Оформление трудового договора	да, полностью	Трудовой кодекс РФ
Открытие счета, крупный платеж, займ	да, полностью	законодательство о противодействии отмыванию доходов
Заселение в гостиницу, регистрация по месту пребывания	да, полностью	законодательство о миграционном учете
Нотариальное действие, сделка с недвижимостью	да, полностью	законодательство о нотариате
Заказ товара в интернет-магазине	нет, только сверка при получении	принцип минимизации, часть 5 статьи 5 152-ФЗ
Запись на курс, вебинар, разовую консультацию	нет	нет законного основания
Участие в розыгрыше, конкурсе, подписка на рассылку	нет	нет законного основания
Первичный прием в клинике	частично: ФИО, дата рождения, не скан целиком	законодательство об охране здоровья граждан
Договор ГПХ с физическим лицом	да, полностью	Гражданский кодекс РФ, налоговая отчетность

Когда требование паспорта - нарушение

Список выше отвечает на вопрос, можно ли требовать паспорт: можно, если это прямо следует из закона и без данных операция невозможна. Во всех остальных случаях компания собирает лишнее, и это не техническая небрежность, а нарушение принципа минимизации.

Частые примеры из практики:

• интернет-магазины просят скан паспорта для проверки при обычном заказе без рассрочки и без крупной суммы;
• образовательные платформы и организаторы вебинаров требуют паспорт при регистрации, хотя платеж проходит через обычный эквайринг, а договор не заключается как формальный документ с реквизитами сторон;
• организаторы розыгрышей и конкурсов просят фото паспорта, чтобы подтвердить возраст участника, хотя для этого достаточно чек-бокса с подтверждением совершеннолетия;
• сайты услуг - юристы, психологи, репетиторы - просят паспорт до первой консультации, когда сотрудничество еще не оформлено ни как договор, ни как что-либо, требующее идентификации;
• бизнес-центры и коворкинги при разовом посещении требуют полные паспортные данные для пропуска, хотя закон обязывает делать это только для режимных и охраняемых объектов особого назначения;
• курьерские службы при доставке товаров с возрастным ограничением фотографируют паспорт покупателя на пороге - показать документ курьеру для проверки возраста нормально, а сохранять фотографию у себя уже избыточно;
• арендодатели при показе квартиры или офиса требуют паспорт у каждого, кто пришел на просмотр, хотя документ нужен только той стороне, которая в итоге подписывает договор.

Ущерб от такого сбора не абстрактный. При утечке базы с паспортными сканами компания рискует не только ответственностью за нарушение самого 152-ФЗ, но и дополнительными претензиями от субъектов персональных данных: копия паспорта в чужих руках - готовый материал для оформления кредита или сим-карты на чужое имя. Чем больше в базе данных, которые компании юридически не были нужны, тем выше цена инцидента и тем труднее объяснить регулятору, зачем эти данные вообще собирались. При этом отказ клиента дать паспорт там, где он объективно не нужен, не может быть причиной отказа в услуге: если компания не способна назвать законное основание для сбора, отказ клиента правомерен, а не наоборот.

Чем грозит незаконный сбор и хранение паспортных данных

За обработку персональных данных без законного основания или с нарушением принципа минимизации предусмотрена административная ответственность по статье 13.11 КоАП РФ. С 30 мая 2025 года по отдельным составам действуют оборотные штрафы - их размер привязан к выручке компании, а не фиксирован заранее, и это делает нарушение ощутимо дороже для среднего и крупного бизнеса, чем прежние фиксированные суммы. Эти изменения ввел закон 420-ФЗ от 30 ноября 2024 года.

Отдельно закон выделяет случаи, когда утечка происходит не по неосторожности, а в результате действий сотрудника, который получил доступ к данным по работе и передал их третьим лицам или продал. Для таких случаев с 30 мая 2025 года действует статья 272.1 Уголовного кодекса - уголовная ответственность за незаконные действия с персональными данными, если они совершены из корыстной заинтересованности или причинили существенный вред.

Для компании, которая собирала паспортные данные без необходимости, оба риска складываются вместе. Чем больше избыточных копий хранится без основания, тем выше вероятность, что при проверке или при утечке найдется файл, который вообще не должен был там оказаться, и тем сложнее объяснить регулятору, зачем он собирался. Штраф в такой ситуации накладывается не за сам факт утечки, а за то, что данные хранились без законного основания и в объеме, который не соответствовал заявленной цели.

Скан паспорта на сайте - отдельные технические риски

Форма на сайте с полем загрузить скан паспорта - частый способ собрать документ, и здесь добавляются проблемы уже не с законностью цели, а с хранением. Когда речь о скане паспорта, 152-ФЗ требует не только законного основания для сбора, но и адекватной защиты при хранении: шифрование канала передачи, ограниченный доступ, отдельное согласие именно на этот способ обработки.

На практике у малого бизнеса скан чаще всего оседает в почтовом ящике администратора или в общей папке на диске без пароля - годами, без какого-либо срока хранения и без человека, который отвечает за удаление. При проверке или при жалобе субъекта данных это будет первое, что найдет инспектор: файл с полным набором идентифицирующих признаков, лежащий там, куда может добраться любой, у кого есть доступ к почте или диску.

Похожая ситуация у самозанятых мастеров и небольших студий: форма записи на сайте просит прислать фото паспорта для надежности перед предоплатой, файл падает в личный чат мессенджера и остается там на неопределенный срок вместе с перепиской о совершенно других клиентах. Основания для такого сбора обычно нет вообще, а риск при этом ничем не меньше, чем у крупной компании: чат в мессенджере не защищен лучше, чем корпоративная почта.

Отдельная категория риска - интеграция форм с CRM и рассылочными сервисами. Если скан паспорта из формы автоматически прикрепляется к карточке клиента в CRM или пересылается в мессенджер отдела продаж, компания расширяет число мест хранения этого файла, даже не замечая этого. Каждое новое место хранения - дополнительная точка утечки и дополнительная обязанность, которую нужно закрыть: доступ, шифрование, срок хранения, порядок удаления. Полный перечень того, что обязан делать оператор персональных данных с такими сведениями, собран в статье про обязанности оператора персональных данных - она пригодится, если на сайте вообще есть формы, собирающие документы, а не только контакты.

Согласие не спасает, если данные не нужны для цели

Частая ошибка - логика клиент подписал согласие, значит все законно. Согласие субъекта - одно из оснований для обработки персональных данных, но не единственное и не универсальное. Есть операции, которые компания вправе проводить и без отдельного согласия: исполнение договора, обязанность по закону, защита жизни и здоровья человека и еще несколько оснований - полный список законных оснований для обработки без согласия разобран отдельно.

Но верно и обратное: подписанное согласие не отменяет принцип минимизации. Если компания собирает копию паспорта, а для конкретной цели эти данные не нужны, факт согласия клиента ничего не исправляет - собирать все равно нельзя, а хранение такой копии остается избыточным по отношению к заявленной цели, даже если формально клиент со всем согласился. Регулятор при проверке смотрит не на факт наличия галочки, а на то, соответствует ли объем данных цели их сбора. Отдельный документ с описанием, зачем нужна именно копия паспорта, а не общее согласие на обработку персональных данных строкой внутри договора - обязательное требование с 1 сентября 2025 года: закон 156-ФЗ от 24 июня 2025 года обязал оформлять такое согласие отдельным документом, а не мелким шрифтом внутри пользовательского соглашения или оферты.

Отсюда практический вывод: если для операции достаточно номера документа без фотографии и без адреса регистрации, собирать нужно именно номер, а не полный скан, даже когда клиент сам предлагает прислать все, чтобы было быстрее.

Что делать с уже накопленными копиями паспортов

У большинства компаний, которые работают дольше пары лет, где-то в почте, в 1С или на диске лежат десятки, а то и сотни сканов паспортов, собранных без всякой системы: часть - по закону, кадровые документы и договоры, часть - просто потому что кто-то когда-то попросил прислать на всякий случай. Разбираться с этим массивом стоит по одному алгоритму для каждого файла.

Шаг первый - выяснить, есть ли для конкретной копии законное основание хранения прямо сейчас, а не в момент сбора. Кадровые документы сотрудника, уволенного пять лет назад, хранятся по правилам архивного дела, и трогать их без разбора не стоит. Скан паспорта клиента, который один раз оформил разовый заказ и с тех пор не появлялся, - другое дело: если основание для сбора изначально было слабым или вовсе отсутствовало, хранить такой файл дальше нет смысла. На практике у компании среднего размера таких файлов без всякого основания за несколько лет работы обычно набирается несколько десятков, и разобрать их за один вечер силами одного человека реально, если не пытаться сразу выстроить идеальный процесс, а просто пройти папку за папкой.

Шаг второй - для всего, что хранится без основания, оформить уничтожение, а не просто удалить файл без следа. Закон требует зафиксировать факт и дату уничтожения персональных данных документально: как это сделать правильно, разобрано в статье про акт уничтожения персональных данных - там же образец самого акта.

Шаг третий - для того, что остается на законном основании, свести число мест хранения к минимуму. Один защищенный каталог с ограниченным доступом лучше, чем копии, разбросанные по почтовым ящикам нескольких сотрудников. Это не разовая акция, а изменение процесса: если форма на сайте продолжает собирать сканы без явной необходимости, через год возникнет тот же архив, только уже новый. Клинике, кадровому агентству или самозанятому специалисту, который ведет прием клиентов лично, стоит один раз развести накопленные файлы по этим трем шагам и дальше просто следовать правилу при каждом новом запросе документа.

Что делать дальше - порядок действий

Прежде чем менять формы и документы, стоит свести всю картину в один список и пройти по нему один раз, а не латать отдельные проблемы по мере обнаружения.

1. Выписать все точки на сайте и в офлайн-процессах, где сейчас запрашивается паспорт: формы заказа, регистрация на курсы, кадровые анкеты, договоры с подрядчиками.
2. Для каждой точки определить, есть ли законное основание требовать именно паспорт, а не более скромный набор данных, и убрать поле там, где основания нет.
3. Там, где паспорт нужен по закону, сократить объем: не скан целиком, а только номер документа, если для цели этого достаточно.
4. Настроить отдельное согласие на обработку паспортных данных там, где сбор оправдан, оформленное отдельным документом, а не строкой в общей политике.
5. Провести ревизию уже накопленных копий: разделить на хранится по основанию и хранится без основания, второе - в уничтожение с актом.
6. Ограничить число мест хранения того, что остается: один каталог с доступом по ролям вместо почтовых ящиков и общих папок.

Если после такой ревизии окажется, что формы сайта, договоры и политика обработки персональных данных не соответствуют фактическому объему собираемых данных, привести их в порядок можно точечно, без полной переделки сайта - этим занимается 152fzpro.ru. Мы дорабатываем формы, документы и настройки сайта под требования 152-ФЗ - без обещаний гарантированной защиты, просто в соответствие с тем, что реально требует закон.