Моя борьба с Яндекс банком (ЯБ)⁠⁠1

Сначала я думал, что случившееся со мной - некоторая аномалия, казус. Но, заглянув на Пикабу, понял, что ЯБ массово нарушает законодательство, и страдальцев здесь много. Поэтому я решил поделиться практическим опытом борьбы – возможно, массовость обращений сподвигнет регуляторов как-то приструнить эту лавочку.

Вкратце мой кейс: завел аккаунт, идентифицировался через госуслуги, завел деньги, попробовал потратить небольшую сумму (10тр) – прилетел блок как на операции, так и вообще на аккаунт.
Ситуация не новая. Как ведут себя хорошие банки? Тут же раздается звонок, отвечаешь на несколько вопросов, блок снимают. Как ведут себя обычные банки? Звонишь сам, пробиваешься через ботов, ждешь оператора, он задает несколько вопросов, блок снимают.

Как ведет себя ЯБ? Во-первых, ждет сутки от подачи обращения. Через сутки прилетает требование предоставить селфи с паспортом. Это явное нарушение требований законодательства о персональных данных, при этом в ФЗ, по которому блокируется операция, нет требования об обязательной идентификации клиента вообще, т.к. сумма менее 15тр. Дальнейшие попытки достичь компромисса, например, показать паспорт при личной встрече, попытка отправить заявление на закрытие счета и перечислении денег, натыкались на стену – только селфи с паспортом, отосланное в чат или в почту. А ответы на вопросы клиента отправляются обычно с задержкой в сутки.

Что делать? Во-первых, жалоба в ЦБ. Как показывает опыт, ЦБ – наиболее вменяемый и работающий регулятор, в отличие от многих. Заполняем на https://cbr.ru/reception/ форму с жалобой примерно следующего содержания:

____ 2024 года АО «Яндекс Банк» без всяких оснований ограничил мне доступ к моим денежным средствам и заблокировал мой аккаунт в своей платежной системе. Для снятия ограничений и разблокировки доступа к моим средствам, банк предъявил следующее требование (цитата): «отправьте, пожалуйста, в этот чат своё селфи с паспортом (разворот с фотографией), на котором будет отчетливо видно лицо и данные документа».

Это же требование было предъявлено мне в ответ на запрос о расторжении договора с АО «Яндекс Банк» и возврате денег со счета. Другие способы идентификации моей личности, например, личная встреча с представителем и очное предъявление документов, идентификация через мобильный телефон или Госуслуги, банком были отвергнуты.

Использование «селфи» и скана паспорта в целях идентификации клиента является, в соответствии со ст. 11 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных", обработкой биометрических персональных данных. Данная категория персональных данных может обрабатываться только при наличии согласия в письменной форме субъекта персональных данных, которое я в АО «Яндекс Банк» не предоставлял. Согласно п. 3 этой же статьи «предоставление биометрических персональных данных не может быть обязательным», при этом «Оператор не вправе отказывать в обслуживании в случае отказа субъекта персональных данных предоставить биометрические персональные данные и (или) дать согласие на обработку персональных данных».

Кроме этого, передача биометрических персональных данных по незащищенным каналам связи (каковым является чат банка) также является нарушением действующего законодательства в области защиты информации.

Таким образом, требование АО «Яндекс Банк» о предоставлении «селфи» и скана паспорта, а также отказ в переводе или возврате моих денежных средств по причине непредоставления т.н. «селфи» являются незаконными.

Прошу принять меры банковского надзора в отношении АО «Яндекс Банк» и восстановить нарушенные банком мои права.

ЦБ отправляет запрос в банк, там наконец-то начинают шевелиться. Кстати, одновременно ЦБ переправил копию жалобы в Федеральную службу по надзору в сфере защиты прав потребителей и благополучия человека. Оказывается, можно и туда жаловаться, я что-то про это упустил.

Следующая инстанция – Роскомнадзор (https://rkn.gov.ru/treatments/ask-question/). Там заполняем жалобу следующего содержания:

Прошу принять меры в отношении оператора персональных данных АО «Яндекс Банк».

Данный оператор осуществляет обработку биометрических персональных данных клиентов с нарушением действующего законодательства, которое заключается в том, что для снятия ограничений доступа к денежным средствам клиента или для расторжения договора обслуживания оператор требует в обязательном порядке представить через канал чат-поддержки «селфи с паспортом (разворот с фотографией), на котором будет отчетливо видно лицо и данные документа», при этом я, как клиент оператора, не давал письменного согласия на обработку биометрических персональных данных.

Данное требование о предоставлении "фотографии Пользователя с действующим паспортом Пользователя в руках" также закреплено в «Условиях использования Счёта в Яндексе» (https://yandex.ru/legal/bank_account_terms_of_use , пп. 9.2.1 и 12.3), при этом наличие письменного согласия на обработку биометрических персональных данных в условиях не предусматривается.

Данные действия оператора являются нарушением ст. 11 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных", в соответствии с которой биометрические персональные данные могут обрабатываться только при наличии согласия в письменной форме субъекта персональных данных, при этом «предоставление биометрических персональных данных не может быть обязательным» и «Оператор не вправе отказывать в обслуживании в случае отказа субъекта персональных данных предоставить биометрические персональные данные и (или) дать согласие на обработку персональных данных».

Кроме этого, передача биометрических персональных данных по незащищенным каналам связи (каковым является чат банка) также является нарушением действующего законодательства в области защиты информации, т.к. отсутствуют обязательные в данном случае сертифицированные средства криптографической защиты информации.

Но на РКН надежды мало, т.к. у них и так много работы по блокировке всего интернета… Поэтому еще один адрес, куда направляем обращение (это обязательная досудебная инстанция) – служба финансового уполномоченного (www.finombudsman.ru). Но тут есть нюанс – чтобы жалобу приняли, надо отправить формальную претензию в адрес банка и получить от него отказ (или выждать почти месяц). Претензия должна быть составлена по определенной форме, она приведена в https://finombudsman.ru/kb/glossarij/zayavlenie-(pretenziya).html Ее можно отправить в электронном виде на адрес connect@bank.yandex.ru

Тут случился казус – в ответ на претензию ЯБ опять ответил «шлите селфи», я счел это отказом, отправил обращение финомбудсмену (приводить не буду, оно почти не отличается от предыдущих), приложил ответ ЯБ – и… получил отказ! По причине, что данный ответ ЯБ нельзя рассматривать как ответ на претензию! Поэтому предложили подождать установленный срок (15 рабочих дней), и если больше ничего не будет – то вновь подать обращение. Сидим, ждем… А попутно финомбудсмен отправил копии обращения и в ЦБ, и в РКН – таким образом, круг замкнулся. Пока наблюдаем, что будет дальше…

Страдальцы, присоединяйтесь!