Микрофинансовым организациям ужесточили требования к передаче данных о попытках мошеннического кредитования
11 июня 2026 года Союз микрофинансовых организаций «Микрофинансирование и Развитие» (СРО «МиР») выпустил информационное письмо, разъясняющее новые правила отчетности для микрофинансовых организаций (МФО). Документ обязывает участников рынка передавать в Банк России полные номера платежных карт клиентов при выявлении случаев или попыток заключения договоров потребительского займа без добровольного согласия заемщика. Игнорирование этих требований, вступивших в силу 2 мая 2026 года, грозит компаниям серьезными ограничениями деятельности и кадровыми перестановками в руководстве.Контекст новых требований регулятора
Основой для нововведений стало Указание Банка России № 7282-У, которое детализирует порядок передачи информации в соответствии с частью 11 статьи 9 Федерального закона № 151-ФЗ «О микрофинансовой деятельности и микрофинансовых организациях». Согласно приложению к этому документу, МФО обязаны предоставлять регулятору конкретные сведения о заемщике в зависимости от способа выдачи денег.Если средства зачисляются на банковский счет с использованием платежной карты, но без применения Системы быстрых платежей (СБП), микрофинансовая организация должна направить в Банк России полный номер платежной карты (PAN, Primary Account Number) или ее электронный идентификатор, а также номер мобильного телефона получателя. Отсутствие любого из этих параметров делает направление сведений о инциденте технически невозможным.
Позиция Департамента информационной безопасности ЦБ
Департамент информационной безопасности Банка России дал четкие разъяснения по поводу спорных моментов в сборе данных. Ведомство подчеркивает, что под «номером платежной карты» понимается именно ее полный номер. Хотя законодательство не содержит прямого определения «идентификатора платежной карты», регулятор допускает использование альтернативного идентификатора, который содержится в инфраструктуре национальной платежной системы. При этом внутренние технические токены, которые платежные сервисы присваивают для взаимодействия с клиентами, использовать в качестве такого идентификатора категорически запрещено.Отсутствие у МФО полного номера карты не освобождает компанию от ответственности за нарушение закона. Регулятор аргументирует эту жесткую позицию тремя ключевыми фактами. Во-первых, действующее законодательство не запрещает МФО собирать и хранить полные номера карт, а необходимость получения сертификата соответствия стандарту безопасности данных индустрии платежных карт (PCI DSS) не является таким запретом. Во-вторых, у компаний существуют законные способы перечисления денег без использования карт, например, через СБП. В-третьих, платежные сервисы готовы предоставлять полные номера карт по запросу МФО для отчетности перед Банком России независимо от уровня сертификации самой микрофинансовой организации.
Риски и рекомендации для участников рынка
СРО «МиР» предупреждает руководителей МФО о высоких рисках неисполнения новых норм. В случае неоднократных нарушений в течение одного года Банк России вправе выдать предписание об ограничении деятельности компании. Такие меры могут включать полный или частичный запрет на привлечение денежных средств физических лиц и индивидуальных предпринимателей, выдачу займов и проведение иных операций. Кроме того, регулятор может потребовать замены лица, осуществляющего функции единоличного исполнительного органа.Директор СРО «МиР» Е.С. Стратьева предлагает компаниям, которые перечисляют деньги на карты без СБП, но не имеют сертификата PCI DSS и не хранят полные номера карт, в разумный срок реализовать ряд защитных мер. Руководителям МФО необходимо оценить не только расходы, но и преимущества получения сертификата PCI DSS, достаточного для легального сбора и хранения данных. Также компаниям следует обсудить с платежными сервисами процедуру получения полных номеров карт для отчетности и тщательно оценить комплаенс-риски хранения этой информации без должной сертификации. В качестве временной меры СРО рекомендует полностью отказаться от перечисления сумм займа на платежные карты до прохождения необходимой сертификации или внедрения иных безопасных процедур.
