Письмо
Департамент информационной безопасности Банка России, рассмотрев обращение Ассоциации российских банков от 27.05.2024 N А24-02/1Х-238, по представленным в нем вопросам сообщает следующее.
По вопросам 1 и 10. Под "переводами денежных средств в иных случаях" в рамках части 3.1 статьи 8 Федерального закона N 161-ФЗ¹ в редакции Федерального закона N 369-ФЗ² понимаются любые переводы денежных средств, за исключением совершения операции с использованием платежных карт, перевода электронных денежных средств или перевода денежных средств с использованием сервиса быстрых платежей платежной системы Банка России.
¹ Федеральный закон от 27.06.2011 N 161-ФЗ "О национальной платежной системе" (далее - Федеральный закон N 161-ФЗ).
² Федеральный закон от 24.07.2023 N 369-ФЗ "О внесении изменений в Федеральный закон "О национальной платежной системе" (далее - Федеральный закон N 369-ФЗ).
В целях применения Федерального закона N 161-ФЗ переводом денежных средств являются действия оператора по переводу денежных средств (далее - ОПДС) в рамках применяемых форм безналичных расчетов по предоставлению получателю средств денежных средств плательщика (пункт 12 статьи 3 Федерального закона N 161-ФЗ).
При этом следует отметить, что согласно части 4 статьи 5 Федерального закона N 161-ФЗ внесение наличных денежных средств на свой банковский счет или получение наличных денежных средств со своего банковского счета у одного ОПДС не является переводом денежных средств.
По вопросу 2.1. В соответствии со статьей 56 Федерального закона от 10.07.2002 N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)" Банк России не вмешивается в оперативную деятельность кредитных организаций.
Таким образом, оператор по переводу денежных средств (далее - ОПДС) должен самостоятельно определить в документах, регламентирующих процедуры управления рисками, процедуры выявления операций, соответствующих признакам осуществления переводов денежных средств без добровольного согласия клиента, в том числе внутренние этапы взаимодействия структурных подразделений ОПДС.
По вопросу 2.2. ОПДС, согласно положениям статьи 8 Федерального закона N 161-ФЗ в редакции Федерального закона N 369-ФЗ, обязан проводить предусмотренные указанной статьей мероприятия, направленные на противодействие осуществлению переводов денежных средств без (добровольного) согласия клиента (далее - антифрод-мероприятия), в том числе при выявлении операции, соответствующей признакам осуществления перевода денежных средств без (добровольного) согласия клиента, приостанавливать исполнение (прием к исполнению) распоряжения клиента (отказывать в совершении соответствующей операции (перевода).
Полагаем, что письменное согласие клиента ОПДС на исполнение распоряжений клиента об осуществлении переводов денежных средств (совершение операций) в пользу получателя денежных средств без проведения антифрод-мероприятий не является основанием неисполнения требований статьи 8 Федерального закона N 161-ФЗ в редакции Федерального закона N 369-ФЗ, в том числе части 3.13 статьи 8 Федерального закона N 161-ФЗ в редакции Федерального закона N 369-ФЗ.
По вопросу 2.3. Полагаем, что в случае приостановления приема к исполнению распоряжения клиента на два дня в соответствии с частью 3.4 статьи 8 Федерального закона N 161-ФЗ в редакции Федерального закона N 369-ФЗ и предоставления клиенту информации, поименованной в части 3.6 статьи 8 Федерального закона N 161-ФЗ в редакции Федерального закона N 369-ФЗ, клиент вправе отозвать такое распоряжение.
Согласно пункту 2.13 Положения Банка России от 29.06.2021 N 762-П "О правилах осуществления перевода денежных средств" заявление об отзыве распоряжения является основанием для возврата (аннулирования) ОПДС такого распоряжения клиента.
По вопросу 2.4. Приостановление операции в рамках части 3.4 статьи 8 Федерального закона N 161-ФЗ в редакции Федерального закона N 369-ФЗ осуществляется ОПДС с целью уведомления клиента о том, что ОПДС выявлена операция, имеющая признаки осуществления перевода денежных средств без добровольного согласия клиента, а также о том, что прием к исполнению такого распоряжения клиента приостановлен на два дня.
В соответствии с пунктом 3 части 3.6 статьи 8 Федерального закона N 161-ФЗ в редакции Федерального закона N 369-ФЗ клиент вправе подтвердить распоряжение не позднее одного дня, следующего за днем приостановления ОПДС приема к исполнению указанного распоряжения, способами, предусмотренными договором, заключенным ОПДС с клиентом.
В силу части 3.10 статьи 8 Федерального закона N 161-ФЗ в редакции Федерального закона N 369-ФЗ, если, несмотря на направление клиентом подтверждения распоряжения, ОПДС получил от Банка России информацию, содержащуюся в базе данных, о случаях и попытках осуществления переводов денежных средств без согласия клиента (далее - База данных Банка России), ОПДС приостанавливает прием к исполнению подтвержденного распоряжения клиента на два дня со дня направления клиентом подтверждения распоряжения и незамедлительно уведомляет клиента о причинах и сроках такого приостановления.
При этом ОПДС, согласно 3.11 статьи 8 Федерального закона N 161-ФЗ в редакции Федерального закона N 369-ФЗ, в случае приостановления приема к исполнению подтвержденного распоряжения клиента в соответствии с частью 3.10 статьи 8 Федерального закона N 161-ФЗ в редакции Федерального закона N 369-ФЗ по истечении двух дней со дня направления клиентом подтверждения распоряжения в соответствии с пунктом 3 части 3.6 статьи 8 Федерального закона N 161-ФЗ в редакции Федерального закона N 369-ФЗ обязан незамедлительно принять к исполнению подтвержденное распоряжение клиента при отсутствии иных установленных законодательством Российской Федерации оснований не принимать подтвержденное распоряжение клиента к исполнению.
Таким образом, статья 8 Федерального закона N 161-ФЗ в редакции Федерального закона N 369-ФЗ не предусматривает обязанность ОПДС осуществлять переводы на транзитные счета и запрашивать дополнительные подтверждения распоряжения клиента, отличные от поименованных в статье 8 Федерального закона N 161-ФЗ в редакции Федерального закона N 369-ФЗ.
По вопросу 3.1. Федеральным законом N 161-ФЗ в редакции Федерального закона N 369-ФЗ не определены временные рамки незамедлительного выполнения ОПДС действий в соответствии с частями 3.6, 3.8, 3.10 и 3.11 статьи 8, частями 11.8 и 11.11 статьи 9 Федерального закона N 161-ФЗ в редакции Федерального закона N 369-ФЗ.
При этом полагаем, что действия ОПДС, которые в соответствии с частями 3.6, 3.8, 3.10 и 3.11 статьи 8, частями 11.8 и 11.11 статьи 9 Федерального закона N 161-ФЗ в редакции Федерального закона N 369-ФЗ выполняются незамедлительно, должны осуществляться в максимально короткий срок.
По вопросам 3.2 и 4. Часть 3.6 статьи 8 Федерального закона N 161-ФЗ в редакции Федерального закона N 369-ФЗ устанавливает обязанность по незамедлительному информированию клиента в порядке, предусмотренном договором, заключенным с клиентом.
Таким образом, ОПДС в договорах с клиентом должен предусмотреть такие порядок и способы информирования клиента, которые позволили бы выполнять требования статьи 8 Федерального закона N 161-ФЗ в редакции Федерального закона N 369-ФЗ, а также (при необходимости) подтвердили бы факт направления такой информации клиенту.
При этом считаем, что информирование клиента путем направления писем или ожидания личного обращения клиента к ОПДС не соответствует требованиям незамедлительного уведомления, в то же время ОПДС несет риски невозможности подтвердить (при необходимости) факт получения устного подтверждения распоряжения клиентом.
Вместе с тем ОПДС не несет ответственности за неполучение клиентом информации, направленной способом, с ним согласованным и указанным в договоре (например, в связи с недоступностью номера телефона).
По вопросу 5. Пункт 3 части 3.6 статьи 8 Федерального закона N 161-ФЗ в редакции Федерального закона N 369-ФЗ предусматривает возможность клиента подтвердить распоряжение не позднее одного дня, следующего за днем приостановления ОПДС приема к исполнению указанного распоряжения, или совершить повторную операцию, содержащую те же реквизиты получателя (плательщика) и ту же сумму перевода.
Согласно части 3.9 статьи 8 Федерального закона N 161-ФЗ в редакции Федерального закона N 369-ФЗ при неполучении от клиента подтверждения распоряжения указанное распоряжение считается не принятым к исполнению, а при осуществлении действий по совершению клиентом повторной операции способом, не предусмотренным договором, заключенным ОПДС с клиентом, или иным, чем указанный в соответствии с частью 3.7 статьи 8 Федерального закона N 161-ФЗ в редакции Федерального закона N 369-ФЗ ОПДС, способом и (или) при неполучении информации, запрошенной в соответствии с частью 3.7 статьи 8 Федерального закона N 161-ФЗ в редакции Федерального закона N 369-ФЗ, повторная операция считается несовершенной.
Таким образом, статья 8 Федерального закона N 161-ФЗ в редакции Федерального закона N 369-ФЗ устанавливает обязанность для ОПДС проводить антифрод-мероприятия по каждой операции клиента, в том числе подтверждать при необходимости каждую его операцию. Следовательно, статьей 8 Федерального закона N 161-ФЗ в редакции Федерального закона N 369-ФЗ не предусматриваются автоматическое отклонение операций клиента и приостановление использования клиентом-отправителем денежных средств электронного средства платежа в рамках проводимых антифрод-мероприятий.
Случаи и сроки приостановления использования клиентом электронного средства платежа в рамках проводимых антифрод-мероприятий регулируются частями 11.6 и 11.7 статьи 9 Федерального закона N 161-ФЗ в редакции Федерального закона N 369-ФЗ.
По вопросу 6. В соответствии со статьей 8 Федерального закона N 161-ФЗ в редакции Федерального закона N 369-ФЗ ОПДС обязан осуществить проверку наличия признаков осуществления перевода денежных средств без добровольного согласия клиента до момента списания денежных средств клиента либо при приеме к исполнению распоряжения клиента³.
³ Часть 3.1 статьи 8 Федерального закона N 161-ФЗ в редакции Федерального закона N 369-ФЗ.
Далее ОПДС при выявлении им операции, соответствующей признакам осуществления перевода денежных средств без добровольного согласия клиента, приостанавливает прием к исполнению распоряжения клиента на два дня либо отказывает в совершении соответствующей операции (перевода)⁴ и направляет клиенту информацию, в том числе о возможности клиента подтвердить распоряжение не позднее одного дня, следующего за днем приостановления, или о возможности совершения клиентом повторной операции, содержащей те же реквизиты получателя (плательщика) и ту же сумму перевода⁵.
⁴ Часть 3.4 статьи 8 Федерального закона N 161-ФЗ в редакции Федерального закона N 369-ФЗ.
⁵ Пункт 3 части 3.6 статьи 8 Федерального закона N 161-ФЗ в редакции Федерального закона N 369-ФЗ.
Вместе с тем, в случае если, несмотря на направление клиентом подтверждения распоряжения или осуществление действий по совершению повторной операции, ОПДС получил от Банка России информацию, содержащуюся в Базе данных Банка России, ОПДС приостанавливает прием к исполнению подтвержденного распоряжения клиента на два дня со дня направления клиентом подтверждения распоряжения или отказывает в совершении клиентом повторной операции и незамедлительно уведомляет клиента о приостановлении приема к исполнению подтвержденного распоряжения клиента или об отказе в совершении клиентом повторной операции с указанием причины такого приостановления (отказа) и срока такого приостановления, а также о возможности совершения клиентом последующей повторной операции⁶.
⁶ Часть 3.10 статьи 8 Федерального закона N 161-ФЗ в редакции Федерального закона N 369-ФЗ.
Таким образом, в рамках антифрод-мероприятий, установленных статьей 8 Федерального закона N 161-ФЗ в редакции Федерального закона N 369-ФЗ, ОПДС обязан проводить ряд последовательных действий в сроки и порядке, установленные вышеуказанной нормой.
По вопросу 7.1. Ответственность, установленная частью 3.13 статьи 8 Федерального закона N 161-ФЗ в редакции Федерального закона N 369-ФЗ, применяется в отношении ОПДС, если после получения информации, содержащейся в Базе данных Банка России, он исполняет распоряжение клиента - физического лица об осуществлении перевода денежных средств или совершает операцию с использованием платежных карт, перевод электронных денежных средств или перевод денежных средств с использованием сервиса быстрых платежей платежной системы Банка России, соответствующие признакам осуществления перевода денежных средств без добровольного согласия клиента, в нарушение требований, установленных частями 3.1 - 3.5, 3.8 - 3.11 статьи 8 Федерального закона N 161-ФЗ в редакции Федерального закона N 369-ФЗ.
В соответствии с пунктом 1 статьи 858 Гражданского кодекса Российской Федерации, если иное не предусмотрено законом или договором, ограничение распоряжения денежными средствами, находящимися на счете, не допускается, за исключением наложения ареста на денежные средства, находящиеся на счете, или приостановления операций по счету, в том числе блокирования (замораживания) денежных средств в случаях, предусмотренных законом.
Таким образом, ОПДС не вправе ограничивать клиента в распоряжении собственными денежными средствами, но обязан осуществлять такие переводы с учетом положений частей 3.1 - 3.14 статьи 8 Федерального закона N 161-ФЗ в редакции Федерального закона N 369-ФЗ.
Кроме того, в случае неисполнения обязанности, установленной частью 3.10 статьи 8 Федерального закона N 161-ФЗ в редакции Федерального закона N 369-ФЗ, ОПДС несет ответственность, предусмотренную частью 3.13 статьи 8 Федерального закона N 161-ФЗ в редакции Федерального закона N 369-ФЗ.
По вопросу 7.2. Сроки, предусмотренные частями 3.4, 3.10, 3.11 статьи 8 Федерального закона N 161-ФЗ в редакции Федерального закона N 369-ФЗ и во втором предложении части 11.4 статьи 9 Федерального закона N 161-ФЗ, исчисляются в календарных днях.
При этом сроки, установленные частями 3.10 и 3.11 статьи 8 Федерального закона N 161-ФЗ в редакции Федерального закона N 369-ФЗ, исчисляются с того дня, в который клиентом направлено подтверждение распоряжения / осуществлены действия по совершению клиентом повторной операции.
В соответствии с пунктом 1 статьи 194 Гражданского кодекса Российской Федерации, если срок установлен для совершения какого-либо действия, оно может быть выполнено до двадцати четырех часов последнего дня срока.
Таким образом, предусмотренный частями 3.10 и 3.11 статьи 8 Федерального закона N 161-ФЗ в редакции Федерального закона N 369-ФЗ двухдневный срок должен заканчиваться в двадцать четыре часа дня, следующего за днем направления клиентом подтверждения распоряжения (в случае приостановления приема к исполнению подтвержденного распоряжения клиента), в двадцать четыре часа дня, следующего за днем осуществления действий по совершению клиентом повторной операции (в случае отказа в совершении клиентом повторной операции).
По вопросу 8.1. Полагаем, что правила, сроки и порядок передачи ОПДС, обслуживающим получателя средств, информации о выявленных операциях, соответствующих признакам осуществления перевода денежных средств без добровольного согласия клиента, ОПДС, обслуживающему плательщика, должны быть определены в правилах платежной системы, в рамках которой осуществляется перевод денежных средств.
При осуществлении переводов денежных средств в рамках платежной системы Банка России допустимо информирование ОПДС, обслуживающего плательщика, о выявлении операции, соответствующей признакам осуществления перевода денежных средств без добровольного согласия клиента, через Автоматизированную систему обработки инцидентов ФинЦЕРТ Банка России (АСОИ ФинЦЕРТ) с учетом текущих технических возможностей данной системы.
Вместе с тем согласно пункту 10 Положения Банка России N 802-П⁷ передача и прием электронных сообщений участника сервиса срочного перевода и сервиса несрочного перевода осуществляются с использованием автоматизированного рабочего места обмена электронными сообщениями с платежной системой Банка России. Автоматизированное рабочее место обмена электронными сообщениями с платежной системой Банка России должно быть реализовано с использованием программного обеспечения Банка России.
⁷ Положение Банка России от 25.07.2022 N 802-П "О требованиях к защите информации в платежной системе Банка России".
С учетом изложенного для обмена вышеуказанной информацией между ОПДС, обслуживающими получателя средств и плательщика, допустимо использовать резервный способ обмена путем направления посредством ПП АРМ КБР-Н⁸ сообщений ED243 и ED244⁹ с указанием в реквизитах "Код запроса" и (или) "Код ответа" значения 99¹⁰.
⁸ Программный продукт Автоматизированное рабочее место клиента Банка России Н.
⁹ Форматы электронных сообщений, установленные Банком России в Альбоме унифицированных форматов электронных банковских сообщений.
¹⁰ При необходимости с заполнением реквизитов "Текст запроса / Пояснение к запросу" / "Текст ответа" информацией об операции, соответствующей признакам осуществления перевода денежных средств без добровольного согласия клиента.
По вопросу 8.2. Часть 3.12 статьи 8 Федерального закона N 161-ФЗ в редакции Федерального закона N 369-ФЗ не обязывает ОПДС, обслуживающего получателя средств, направлять информацию о выявленных операциях, соответствующих признакам осуществления перевода денежных средств без добровольного согласия клиента, в момент зачисления денежных средств.
Статья 8 Федерального закона N 161-ФЗ в редакции Федерального закона N 369-ФЗ также не предусматривает для ОПДС, обслуживающего получателя средств, процедуру возврата или незачисления денежных средств.
По вопросу 9. В силу частей 12 и 15 статьи 9 Федерального закона N 161-ФЗ в редакции Федерального закона N 369-ФЗ ОПДС обязан возместить клиенту сумму операции, совершенной после направления клиентом - физическим лицом уведомления в соответствии с частью 11 статьи 9 Федерального закона N 161-ФЗ в редакции Федерального закона N 369-ФЗ, а также сумму операции, совершенной без согласия клиента до момента направления клиентом - физическим лицом уведомления, если не докажет, что клиент - физическое лицо нарушил порядок использования электронного средства платежа, что повлекло совершение операции без его согласия.
Банк России не усматривает противоречий в вышеуказанных пунктах.
По вопросу 11. Согласно части 4 статьи 27 Федерального закона N 161-ФЗ ОПДС обязаны реализовывать мероприятия по противодействию осуществлению переводов денежных средств без согласия клиента в порядке¹¹, установленном Банком России.
¹¹ Указание Банка России от 09.01.2023 N 6354-У "О форме и порядке направления операторами по переводу денежных средств, операторами платежных систем, операторами услуг платежной инфраструктуры, операторами электронных платформ в Банк России информации обо всех случаях и (или) попытках осуществления переводов денежных средств без согласия клиента, форме и порядке получения ими от Банка России информации, содержащейся в базе данных о случаях и попытках осуществления переводов денежных средств без согласия клиента, а также о порядке реализации операторами по переводу денежных средств, операторами платежных систем, операторами услуг платежной инфраструктуры, операторами электронных платформ мероприятий по противодействию осуществлению переводов денежных средств без согласия клиента" (далее - Указание Банка России N 6354-У).
Порядок реализации ОПДС мероприятий, включающий применение полученной от Банка России информации, содержащейся в Базе данных Банка России, в целях выявления операций, соответствующих признакам осуществления переводов денежных средств без добровольного согласия клиента, установлен Указанием Банка России N 6354-У.
Таким образом, считаем, что ОПДС обязан применять всю имеющуюся в Базе данных Банка России информацию с учетом особенностей совершаемой операции.
Например, если одним из атрибутов данных по операции является номер телефона, полагаем, что ОПДС должен осуществлять его проверку в Базе данных Банка России и при выявлении совпадений реализовывать процедуры, предусмотренные статьей 8 Федерального закона N 161-ФЗ в редакции Федерального закона N 369-ФЗ.
Заместитель директора Департамента информационной безопасности А.О. Выборнов