Письмо
Департамент информационной безопасности Банка России, рассмотрев обращение от 20.02.2026 о порядке передачи сведений об инцидентах, связанных с оформлением займов без согласия клиентов, сообщает следующее.
Направление микрофинансовой организацией (далее - МФО) информации о займах в базу данных о случаях и попытках осуществления переводов денежных средств без согласия клиента (далее - база данных), как и проверка наличия сведений в базе данных¹, осуществляется по полному номеру платежной карты (немаскированным данным).
¹ В соответствии с частью 9.1 статьи 7 Федерального закона от 21.12.2013 N 353-ФЗ "О потребительском кредите (займе)" МФО при принятии решения о предоставлении потребительского займа обязаны с 01.09.2025 проводить проверку сведений о получателе денежных средств, указанных в заявлении о предоставлении потребительского кредита (займа) и (или) распоряжении заемщика о перечислении заемных денежных средств на счет третьего лица, на наличие в базе данных.
Согласно Стандарту безопасности данных индустрии платежных карт (PCI DSS), который используется в платежной системе "Мир" для обеспечения безопасности платежных карт, PCI DSS не заменяет собой местные или региональные законы, постановления правительства или иные требования законодательства².
² Стандарт безопасности данных индустрии платежных карт (PCI DSS), версия 3.2, раздел "Введение и обзор стандарта PCI DSS" (с. 6).
Полагаем, что МФО необходимо организовать реализацию мероприятия по противодействию заключению договоров потребительского займа без согласия клиента таким образом, чтобы обеспечить выполнение норм Федерального закона от 21.12.2013 N 353-ФЗ "О потребительском кредите (займе)" и Федерального закона от 02.07.2010 N 151-ФЗ "О микрофинансовой деятельности и микрофинансовых организациях".
Банком России актуализирована Инструкция о порядке заполнения электронных форм, направляемых через АСОИ ФинЦЕРТ (информационное письмо FinCERT-20260218-01-INFO). При заполнении форм необходимо руководствоваться следующим:
- в полях "Тип инцидента" и "Географическое местоположение" указываются значения "по умолчанию";
- в поле "Тип субъекта" при указании информации о заемщике выбирается значение "Физическое лицо".
Для деактуализации сведений, ранее переданных в базу данных (ОБДС), необходимо направить "Диспутный запрос" с темой "Заявление о деактуализации ОБДС" в соответствии с указанной Инструкцией.
МФО обязана направить в Банк России информацию по всем обращениям о случаях и попытках заключения договоров потребительского займа без добровольного согласия клиента. Федеральный закон от 02.07.2010 N 151-ФЗ "О микрофинансовой деятельности и микрофинансовых организациях" не содержит требований по проведению МФО внутренних проверок на наличие признаков заключения договоров потребительского займа без добровольного согласия клиента.
Директор Департамента информационной безопасности В.А. Уваров