Някой използва открадната кредитна карта в магазина ви. Притежателят на картата разбира, подава сигнал в полицията и ви изпраща писмено искане: моля, изпратете ми копия от транзакционните записи за измамната покупка. Имате 30 дни да ги предоставите безплатно. Не 30 работни дни. Не 30 дни, след като адвокатът ви реши. Тридесет дни от получаването, по федерален закон — и „съображения за поверителност" не е оправдание, защото законът го казва изрично.
Това е правилото, което Amazon наруши толкова грубо, че Федералната търговска комисия постигна гражданска санкция от $2,25 млн. срещу компанията през юни 2026 г. — най-голямата санкция, налагана някога по тази разпоредба. И разпоредбата се отнася за вашия бизнес точно по същия начин, по който се отнасяше за Amazon. Ако продавате стоки или услуги срещу възнаграждение — тоест, ако управлявате бизнес — член 609(e) от Закона за добросъвестно кредитно отчитане (Fair Credit Reporting Act) вече ви назовава.
Какво всъщност направи Amazon неправилно
Първо, едно уточнение, което си струва да се направи, защото няколко обобщения на този случай го предадоха погрешно: глобата нямаше нищо общо с проверки на миналото на служители или кредитно проучване. Amazon беше санкциониран по член 609(e) от FCRA — частта от закона, която дава на жертвите на кражба на самоличност правото да получат заявлението и търговските транзакционни записи, свързани с измама, извършена от тяхно име.
Според жалбата, която Министерството на правосъдието подаде от името на FTC във федерален съд във Вашингтон, окръг Колумбия, Amazon „съзнателно" е нарушил закона. На потребители, които се свързваха с компанията относно измама по техните сметки или платежни карти, служителите на обслужването на клиенти казваха, че записите не могат да бъдат предоставени по съображения за „сигурност" или „поверителност". В това, което директорът на Бюрото за защита на потребителите на FTC нарече „кафкианско изпитание", Amazon изискваше от жертвите да идентифицират крадецa, който е откраднал информацията им, преди да освободи записите — в един случай казвайки на потребител, че не може да сподели записи за измамна сметка, освен ако потребителят не отгатне името по сметката, името, използвано от крадеца на самоличност. Потребителят опита 30 пъти и не успя. Amazon също отказа записи на правоохранителни органи, разследващи измамата.
Два детайла от случая трябва да фокусират вниманието на всеки собственик на малък бизнес. Първо, служители на FTC бяха предупредили адвокатите на Amazon още през юни 2023 г. да прегледат спазването на точно тази разпоредба, след като получиха потребителска жалба. Нарушенията продължиха. Второ, Amazon нямаше никаква писмена процедура за обработка на тези искания до началото на 2025 г. — след като научи, че FTC е открила разследване. Липсата на процес не беше защита; тя беше част от историята. Като част от спогодбата Amazon трябва да публикува публично известие на уебсайта си, обясняващо как жертвите на кражба на самоличност могат да поискат записи.
С над 1,1 милиона сигнала за кражба на самоличност, подадени до FTC през 2024 г., и 2025 г. с темп, който се очаква да бъде по-висок, искането на жертва, което пристига в пощата ви, е въпрос на „кога", не на „дали". Ето какво изисква законът от вас, когато това се случи.
Правилото за 30 дни, което всеки бизнес трябва да познава
Член 609(e) е кратък и поразително ясен за федерален закон:
Кой е обхванат. Всяко стопанско образувание, което е отпуснало кредит на, продало стоки или услуги на, приело плащане от или по друг начин е влязло в търговска сделка срещу възнаграждение с лице, което според твърденията е използвало самоличността на друго лице без разрешение. Обърнете внимание на „според твърденията": не вие решавате дали кражбата на самоличност наистина се е случила, преди да изпълните задължението си. Твърдението на жертвата, подкрепено с документацията, описана по-долу, задейства вашето задължение.
Какво трябва да предоставите. Копие от заявлението и търговските транзакционни записи под ваш контрол, които доказват предполагаемо измамната транзакция — независимо дали вие съхранявате тези записи, или някой друг ги съхранява от ваше име. Помислете за записи за поръчки, заявления за сметки, фактури, разписки, платежни разрешения, адреси за доставка, свързани с транзакцията. Законът изрично включва записи, съхранявани от друго лице от ваше име, което в съвременната практика означава, че записите, намиращи се в процесора ви за плащания, платформата ви за електронна търговия или системата ви за точка на продажба, се считат за ваши за тази цел.
Кой може да ги получи. Жертвата, всяка федерална, щатска или местна правоохранителна агенция или служител, които жертвата посочи в искането, или правоохранителна агенция, разследваща кражбата, която жертвата е упълномощила да получи записите. Отказът на Amazon да сподели с правоохранителните органи беше отделно нарушение.
Срокът. Не по-късно от 30 дни след получаването на искането.
Цената. Никаква. Законът казва, че записите „се предоставят безплатно".
Формата на искането. То трябва да е писмено, изпратено на адрес, който сте посочили, ако сте посочили такъв — още една причина да определите точка за контакт сега, а не след като пристигне искане. Ако поискате, жертвата трябва да включи подходяща информация за транзакцията, за да ви помогне да я намерите: датата, номер на сметка или транзакция или други идентифициращи подробности, но само ако са известни на жертвата или лесно достъпни. Прочетете внимателно това ограничение: „ако са известни" върши истинска работа. Можете да поискате помощ за намирането на записите. Не можете да направите способността на жертвата да предостави подробности предварително условие и със сигурност не можете да изисквате да назове крадеца, както направи Amazon.
Какво трябва да ви покаже жертвата
Законът не оставя вратата ви широко отворена. Преди да предадете каквото и да е, жертвата трябва да предостави две неща във формата, която вие изберете:
-
Доказателство за самоличност. По ваш избор: държавно издадена идентификационна карта, лична идентифицираща информация от същия тип, която неоторизираното лице ви е предоставило, или вида идентифицираща информация, която обикновено изисквате от нови кандидати или за нови транзакции.
-
Доказателство за твърдението за кражба на самоличност. По ваш избор: копие от полицейски протокол, доказващ твърдението, плюс правилно попълнена стандартизирана клетвена декларация за кражба на самоличност — такава, генерирана чрез процеса IdentityTheft.gov на FTC — или друга клетвена декларация за фактите, която намерите за приемлива.
Единственото изключение: ако вече имате висока степен на увереност, че знаете коя е жертвата, можете да пропуснете проверката. На практика изисквайте стандартния пакет всеки път и пазете копие от полученото заедно със самото искане. Последователният контролен списък защитава и в двете посоки: предпазва ви от разкриване на информация на измамник и документира, че всеки заявител е получил еднакво отношение.
Оправданията, които не работят
Случаят с Amazon е полезен именно защото показва, на цена от $2,25 млн., кои откази се провалят:
„Поверителността и сигурността ни пречат да споделяме." Законът предвижда това възражение и го отменя предварително: разпоредбите за финансова поверителност, които обикновено ограничават разкриването на клиентска информация на трети страни, не могат да бъдат използвани за отказ на разкриване пред жертвата. Конгресът реши още през 2003 г., че правото на жертвата да види записи за измама, извършена от нейно име, надделява над инстинктите на бизнеса за поверителност. Обучете всеки, който отговаря на имейли или телефонни обаждания от клиенти, специално по този въпрос, защото иначе „не мога да споделя данни за сметката по съображения за поверителност" е точно правилният рефлекс.
„Първо ни кажете кой открадна самоличността ви." Жертвата е, почти по определение, лицето, което не знае кой е откраднал самоличността ѝ. Обвързването на разкриването с идентифицирането на крадеца превръща 30-дневно задължение в невъзможно, което е и причината регулаторите да го опишат по този начин.
„Нуждаем се от повече време." Тридесет дни от получаването е крайният срок. Връщания на плащания (chargebacks), спорове с процесора и вътрешни проверки за измами текат по собствени часовници; нито един от тях не спира този.
„Има такса за записите." Копията са безплатни. Без такса за проучване, без такса за копиране, без административна такса.
„Нашият процесор държи тези записи, не ние." Записите, съхранявани от друго лице от ваше име, са изрично обхванати. Ако данните ви за транзакциите живеят в Stripe, Square, Shopify или търговския портал на банката ви, извличането им е ваша работа.
Кога можете да откажете
Законът не е абсолютен и познаването на границите е също толкова важно, колкото познаването на задължението. Бизнесът може да откаже добросъвестно, когато разпоредбата всъщност не изисква разкриване, когато самоличността на заявителя все още оставя бизнеса без висока степен на увереност след преглед на материалите за проверка, когато искането се основава на невярно представяне на факти или когато исканият материал е интернет навигационни данни — история на сърфирането за посещение на уебсайт или онлайн услуга от някого — а не транзакционни записи.
В закона е записана и affirmative defense (положителна защита): ако се стигне до принудително производство, можете да отхвърлите иска, като покажете, че сте направили разумно усърдно търсене в наличните си бизнес записи и исканите записи не съществуват или не са разумно достъпни. Забележете какво възнаграждава тази защита: истинско търсене, документирано. „Никога не търсихме" и „нямаме процес за търсене" са нейната противоположност.
Два щита защитават бизнесите, които спазват закона добросъвестно. Първо, никой бизнес не може да носи гражданска отговорност по който и да е закон за добросъвестно разкриване по тази разпоредба — така че притеснението за поверителността върви точно в погрешната посока. Спазването е защитено; отказът се санкционира. Второ, разпоредбата не създава ново задължение за водене на записи: тя не изисква от вас да получавате, запазвате или поддържате записи, които иначе не бихте съхранявали в обичайния ход на дейността си или съгласно друг закон. Тя урежда само записи, които вече имате.
Изградете процеса си преди да пристигне искане
Най-преносимото учение от Amazon е най-евтиното: напишете процедурата сега. Едностраничен процес побеждава импровизация за $2,25 млн. Вашият трябва да обхваща най-малко:
- Определен адрес и отговорник. Публикувайте къде отиват писмените искания — пощенски адрес или наблюдавана поща — и назовете лицето, отговорно за обработката им. Законът ви позволява да посочите адреса, на който исканията трябва да бъдат изпращани, но само ако действително сте посочили такъв.
- Пакет за проверка. Държавно издадена снимкова идентификационна карта, полицейски протокол и попълнена клетвена декларация за кражба на самоличност, изисквани по един и същ начин всеки път.
- Часовник за 30 дни. Отбелязвайте датата на получаване на всяко искане и записвайте крайния срок. Календарни дни, не работни дни.
- Карта за извличане. Запишете, система по система, къде се намират вашите транзакционни записи: табло на процесора, бекенд на електронната търговия, експорт от POS, счетоводен файл. Картата за извличане е това, което превръща паническото бързане в десетминутна задача.
- Дневник на отговорите. Какво е поискано, какво е проверено, какво е изпратено, кога и на кого. Ако регулатор някога попита, този дневник е доказателството ви за разумна грижа.
- Правило за никакви условия. Без такси, без изискване жертвата да идентифицира крадеца, без отказ по „поверителност" пред проверената жертва или определените от нея правоохранителни органи.
Преглеждайте страницата веднъж годишно, както преглеждате рутината си за архивиране. Обемът на кражбите на самоличност продължава да расте и FTC вече показа, че ще води дело по 609(e) чак до рекордна санкция.
Вашите книги са вашият файл за спазване на закона
Ето частта, която засяга пряко воденето на вашите книги: картата за извличане по-горе е толкова добра, колкото са основните ви записи. Искането по 609(e) изисква да предоставите всеки запис, доказващ конкретна транзакция — което означава, че данните ви за транзакциите трябва да могат да се търсят по поръчка, сметка, клиент и дата, месеци след събитието. Бизнесите, чиито книги са кутия с плащания от процесора без връзка обратно към отделните поръчки, не могат да отговорят в рамките на 30 дни, колкото и да са готови.
Това е един от тихите аргументи да водите собствен регистър, вместо да третирате таблото на процесора като свои книги. Когато всяка продажба се записва с идентификатора на поръчката и канала като метаданни, извличането на пълния запис на спорна транзакция е една заявка вместо разкопки. В Beancount метаданните на транзакцията вършат точно тази работа:
2026-01-02 open Assets:Checking:Operating USD
2026-01-02 open Income:Sales:Online USD
2026-01-02 open Expenses:Chargebacks:Fraud USD
2026-03-14 * "Online order #48210" "Card payment - J. Rivera"
order-id: "48210"
channel: "online-store"
Assets:Checking:Operating 189.99 USD
Income:Sales:Online -189.99 USD
2026-03-20 * "Chargeback - order #48210" "Issuer fraud dispute"
order-id: "48210"
Assets:Checking:Operating -189.99 USD
Expenses:Chargebacks:Fraud 189.99 USDС идентификатора на поръчката както при продажбата, така и при последващото връщане на плащане, една заявка показва пълната документална следа — продажбата, сторнирането, датите, сумите — за секунди. Такава е формата на запис, готов за 609(e): всяка транзакция проследима до изходния си документ, всяко сторниране свързано с оригинала си. Ако сегашните ви книги не могат да направят това, поправката е счетоводен проект с полза за спазването на закона, а не обратното. Читателите, които искат механиката, могат да намерят документация за заявките в /docs/.
Друго задължение по FCRA: проверки на миналото на служители
Тъй като този случай толкова често се описва погрешно, кратко уточнение за работодателите, които правят проверки на миналото или кредитни проверки на кандидати за работа: това е истинско задължение по FCRA, но то живее в друга част на закона и работи съвсем различно от член 609(e). Според съвместните указания на FTC и EEOC за работодателите, преди да получите доклад от компания, чиято дейност е съставяне на информация за миналото, трябва да дадете на кандидата ясно писмено разкритие — в отделен документ — че може да бъде получен доклад, и да получите писмено разрешение. Ако след това предприемете неблагоприятно действие въз основа на доклада, например да не наемете кандидата, първо трябва да предоставите известие преди неблагоприятното действие с копие от доклада и обобщение на правата по FCRA, да изчакате разумен период и след това да изпратите окончателно известие за неблагоприятно действие с данните за контакт на докладващата компания и декларация за правата на кандидата да оспори.
Две задължения, един закон, противоположни посоки: член 609(e) е за записите, които давате на жертвите на измами; разпоредбите за наемане са за докладите, които получавате за кандидатите. Не изпълнявайте едното, като се позовавате на другото.
Грешки, които да избягвате
- Да третирате искането на жертва като клиентска жалба. Това е искане по федерален закон с 30-дневен срок, не тикет за поддръжка. Насочете го към определения отговорник в деня, в който пристигне.
- Да оставите служителите на първа линия сами да импровизират отговора. „Не можем да споделим това по съображения за поверителност" е естественият отговор и незаконният такъв. Дайте на служителите скрипт: потвърдете получаването, поискайте пакета за проверка, отбележете датата.
- Да търсите само в собствените си системи. Записите на процесора, платформата и POS, съхранявани от ваше име, са обхванати. Картата ви за извличане трябва да ги включва.
- Да отлагате искания от правоохранителни органи. Агенция, определена или упълномощена от жертвата, застава на мястото на жертвата. Отказът към нея е отказ към жертвата.
- Да предполагате, че малките бизнеси са освободени. Нищо в член 609(e) не зависи от размера на компанията. Малкият магазин, който приема карти, дължи същото задължение като търговеца за трилион долара — който този път е страната, платила, за да го демонстрира.
Последната ви полезна стъпка е малка: отворете празна страница, напишете шестте точки от раздела за процеса с действителните имена и адреси на вашия бизнес и я запазете там, където ще я намерите, когато пликът пристигне. Тридесет дни започват от получаването и бизнесите, които се затрудняват, никога не са тези, които са се подготвили.
