جریمه ۲.۲۵ میلیون دلاری آمازون بر اساس FCRA درباره بررسی سوابق نبود — درباره سوابقی بود که در ۳۰ روز به قربانیان کلاهبرداری بدهکارید

کسی از کارت اعتباری دزدیده‌شده در فروشگاه شما استفاده می‌کند. صاحب کارت موضوع را می‌فهمد، شکایت پلیس ثبت می‌کند و درخواست کتبی برایتان می‌فرستد: لطفاً نسخه‌ای از سوابق تراکنش مربوط به خرید متقلبانه را برایم بفرستید. شما ۳۰ روز فرصت دارید تا آن‌ها را به‌صورت رایگان تحویل دهید. نه ۳۰ روز کاری. نه ۳۰ روز پس از آنکه وکیلتان حالش را داشته باشد. طبق قانون فدرال، سی روز از زمان دریافت — و «دلایل حریم خصوصی» بهانه نیست، چون خود قانون صریحاً این را گفته است.

این همان قاعده‌ای است که آمازون به‌قدری کامل نقض کرد که کمیسیون تجارت فدرال در ژوئن ۲۰۲۶ جریمه مدنی ۲.۲۵ میلیون دلاری را علیه این شرکت گرفت؛ بزرگ‌ترین جریمه‌ای که تاکنون بر اساس این مقرره اعمال شده است. و این مقرره برای کسب‌وکار شما دقیقاً همان‌طور اعمال می‌شود که برای آمازون اعمال شد. اگر کالا یا خدماتی در قبال دریافت عوض می‌فروشید — یعنی اگر کسب‌وکاری دارید — بخش ۶۰۹(e) قانون گزارش اعتباری منصفانه از پیش شما را مخاطب قرار داده است.

آمازون واقعاً چه اشتباهی کرد​

نخست، تصحیحی که باید انجام داد، چون چندین خلاصه از این پرونده آن را اشتباه روایت کرده‌اند: این جریمه هیچ ارتباطی با بررسی سوابق استخدامی یا ارزیابی اعتباری نداشت. آمازون بر اساس بخش ۶۰۹(e) قانون FCRA جریمه شد؛ همان بخشی از قانون که به قربانیان سرقت هویت حق می‌دهد سوابق درخواست و تراکنش‌های تجاری پشت کلاهبرداری‌هایی را که به نامشان انجام شده به دست آورند.

بر اساس شکایتی که وزارت دادگستری به نمایندگی از FTC در دادگاه فدرال واشینگتن دی‌سی تنظیم کرد، آمازون «آگاهانه» قانون را نقض کرده بود. به مصرف‌کنندگانی که درباره کلاهبرداری روی حساب‌ها یا کارت‌های پرداختشان با شرکت تماس گرفته بودند، نمایندگان خدمات مشتری گفته بودند که سوابق به دلایل «امنیتی» یا «حریم خصوصی» قابل ارائه نیست. در آنچه مدیر دفتر حمایت از مصرف‌کننده FTC آن را «مصیبتی کافکایی» خواند، آمازون از قربانیان می‌خواست پیش از آزاد کردن سوابق، هویت دزدی را که اطلاعاتشان را دزدیده بود مشخص کنند — در یک مورد به مصرف‌کننده گفته بود که نمی‌تواند سوابق مربوط به یک حساب متقلبانه را به اشتراک بگذارد مگر اینکه مصرف‌کننده نام روی حساب را حدس بزند، همان نامی که سارق هویت استفاده کرده بود. مصرف‌کننده ۳۰ بار تلاش کرد و ناکام ماند. آمازون همچنین از ارائه سوابق به نهادهای مجری قانون که در حال بررسی کلاهبرداری بودند خودداری کرد.

دو نکته از این پرونده باید ذهن هر صاحب کسب‌وکار کوچکی را به خود متمرکز کند. نخست، کارکنان FTC در ژوئن ۲۰۲۳ به وکلای آمازون هشدار داده بودند که پس از دریافت شکایت یک مصرف‌کننده، انطباق با همین مقرره را بررسی کنند. تخلفات ادامه یافت. دوم، آمازون تا اوایل ۲۰۲۵ هیچ رویه مکتوبی برای رسیدگی به این درخواست‌ها نداشت — یعنی تا زمانی که فهمید FTC تحقیقی را آغاز کرده است. نبود فرایند دفاعیه نبود؛ بخشی از خود داستان بود. بر اساس توافق‌نامه، آمازون باید اطلاعیه عمومی روی وب‌سایتش منتشر کند که توضیح دهد قربانیان سرقت هویت چگونه می‌توانند سوابق را درخواست کنند.

با بیش از ۱.۱ میلیون گزارش سرقت هویت که در سال ۲۰۲۴ به FTC ارائه شد، و روند ۲۰۲۵ که سرعت بالاتری دارد، ورود درخواست یک قربانی به صندوق ایمیل شما مسئله «چه زمانی» است، نه «آیا». آنچه قانون در آن هنگام از شما می‌خواهد این است.

قاعده ۳۰ روزه‌ای که هر کسب‌وکاری باید بداند​

بخش ۶۰۹(e) برای یک قانون فدرال کوتاه و به‌طور چشمگیری صریح است:

چه کسانی مشمول‌اند. هر نهاد تجاری که به کسی اعتبار اعطا کرده، کالا یا خدمتی فروخته، از کسی پرداخت پذیرفته، یا به نحو دیگری وارد معامله تجاری در قبال عوض با کسی شده که ادعا می‌شود هویت شخص دیگری را بدون اجازه استفاده کرده است. به «ادعا می‌شود» توجه کنید: شما مجاز نیستید پیش از اجرا، درباره وقوع واقعی سرقت هویت داوری کنید. ادعای قربانی، همراه با مستندات شرح‌داده‌شده در ادامه، وظیفه شما را فعال می‌کند.

چه چیزی باید ارائه دهید. نسخه‌ای از درخواست و سوابق تراکنش تجاری که در اختیار شماست و تراکنش ادعایی متقلبانه را اثبات می‌کند — خواه خودتان این سوابق را نگهداری کنید یا شخص دیگری به نمایندگی از شما. منظور سوابق سفارش، درخواست‌های حساب، فاکتورها، رسیدها، مجوزهای پرداخت، نشانی‌های ارسال مرتبط با تراکنش است. قانون صریحاً سوابق نگهداری‌شده توسط شخص دیگری به نمایندگی از شما را نیز دربر می‌گیرد، که در عمل امروزی یعنی سوابق موجود در پردازشگر پرداخت، پلتفرم تجارت الکترونیک یا سیستم فروش نقطه‌ای شما برای این منظور متعلق به شما محسوب می‌شود.

چه کسی می‌تواند آن‌ها را دریافت کند. قربانی، هر نهاد یا مأمور مجری قانون فدرال، ایالتی یا محلی که قربانی در درخواستش نام برده است، یا نهاد مجری قانونی که در حال بررسی سرقت است و قربانی اجازه دریافت سوابق را به آن داده است. امتناع آمازون از به اشتراک‌گذاری با مجریان قانون تخلف جداگانه‌ای بود.

مهلت. حداکثر ۳۰ روز پس از دریافت درخواست.

هزینه. هیچ. قانون می‌گوید سوابق «باید بدون هزینه ارائه شوند».

شکل درخواست. درخواست باید کتبی باشد و به نشانی‌ای ارسال شود که شما تعیین کرده‌اید، اگر تعیین کرده باشید — دلیل دیگری برای اینکه همین حالا یک نقطه تماس مشخص کنید، نه پس از رسیدن درخواست. اگر بخواهید، قربانی باید اطلاعات مرتبط درباره تراکنش را برای کمک به یافتن آن ضمیمه کند: تاریخ، شماره حساب یا تراکنش، یا سایر جزئیات شناسایی، اما تنها اگر قربانی آن‌ها را بداند یا به‌راحتی قابل دسترسی باشند. این محدودیت را دقیق بخوانید: «اگر بداند» کار واقعی انجام می‌دهد. شما می‌توانید برای یافتن سوابق کمک بخواهید. اما نمی‌توانید توانایی قربانی در ارائه جزئیات را پیش‌شرط کنید، و قطعاً نمی‌توانید بخواهید نام سارق را بگوید، آن‌طور که آمازون کرد.

قربانی چه چیزی باید به شما نشان دهد​

قانون درِ شما را کاملاً باز نمی‌گذارد. پیش از تحویل هر چیزی، قربانی باید دو مورد را به شکلی که شما انتخاب می‌کنید ارائه دهد:

1. اثبات هویت. به انتخاب شما: کارت شناسایی صادرشده توسط دولت، اطلاعات شناسایی شخصی از همان نوعی که شخص غیرمجاز به شما داده است، یا همان نوع اطلاعات شناسایی که معمولاً از متقاضیان جدید یا برای تراکنش‌های جدید درخواست می‌کنید.

2. اثبات ادعای سرقت هویت. به انتخاب شما: نسخه‌ای از گزارش پلیس که ادعا را اثبات می‌کند به‌همراه یک سوگندنامه استاندارد سرقت هویت که به‌درستی تکمیل شده — همان نوعی که از طریق فرایند IdentityTheft.gov در FTC تولید می‌شود — یا سوگندنامه دیگری از وقایع که آن را قابل قبول بدانید.

تنها استثنا: اگر از پیش اطمینان بالایی دارید که می‌دانید قربانی چه کسی است، می‌توانید از احراز هویت صرف‌نظر کنید. در عمل، هر بار بسته استاندارد را درخواست کنید و نسخه‌ای از آنچه دریافت شده را همراه با خود درخواست نگه دارید. یک چک‌لیست یکنواخت از دو جهت محافظت می‌کند: مانع افشا به یک جاعل می‌شود، و مستند می‌کند که همه درخواست‌کنندگان رفتار یکسانی دیده‌اند.

بهانه‌هایی که کار نمی‌کنند​

پرونده آمازون دقیقاً به این دلیل مفید است که با هزینه ۲.۲۵ میلیون دلاری نشان می‌دهد کدام امتناع‌ها شکست می‌خورند:

«حریم خصوصی و امنیت مانع از به اشتراک‌گذاری می‌شود.» قانون این اعتراض را پیش‌بینی و از پیش رد کرده است: مقررات حریم خصوصی مالی که معمولاً افشای اطلاعات مشتری به اشخاص ثالث را محدود می‌کند، نمی‌تواند برای رد افشا به خود قربانی استفاده شود. کنگره در سال ۲۰۰۳ تصمیم گرفت که حق قربانی برای دیدن سوابق کلاهبرداری انجام‌شده به نامش بر غرایز حریم خصوصی کسب‌وکار اولویت دارد. هر کسی را که به ایمیل یا تماس مشتری پاسخ می‌دهد دقیقاً درباره این نکته آموزش دهید، چون «به دلایل حریم خصوصی نمی‌توانم جزئیات حساب را به اشتراک بگذارم» در غیر این صورت دقیقاً واکنش درست به نظر می‌رسد.

«اول بگویید چه کسی هویتتان را دزدیده.» قربانی، تقریباً بنا به تعریف، همان کسی است که نمی‌داند چه کسی هویتش را دزدیده است. مشروط کردن افشا به شناسایی سارق، وظیفه ۳۰ روزه را به وظیفه‌ای ناممکن تبدیل می‌کند، و همین دلیل توصیف نهادهای نظارتی از این رفتار بود.

«به زمان بیشتری نیاز داریم.» مهلت سی روز از زمان دریافت است. بازپس‌گیری پرداخت‌ها، اختلافات با پردازشگر و بررسی‌های داخلی کلاهبرداری ساعت‌های خودشان را دارند؛ هیچ‌کدام این یکی را متوقف نمی‌کنند.

«هزینه سوابق وجود دارد.» نسخه‌ها رایگان‌اند. نه هزینه جست‌وجو، نه هزینه تکثیر، نه هزینه اداری.

«پردازشگر ما این سوابق را دارد، نه ما.» سوابق نگهداری‌شده توسط شخص دیگری به نمایندگی از شما صریحاً پوشش داده شده‌اند. اگر داده تراکنش شما در Stripe، Square، Shopify یا پورتال فروشنده بانک شما قرار دارد، بازیابی آن وظیفه شماست.

چه زمانی مجاز به گفتن «نه» هستید​

قانون مطلق نیست، و دانستن مرزها به‌اندازه دانستن وظیفه اهمیت دارد. کسب‌وکار می‌تواند به‌حسن نیت امتناع کند، در جایی که مقرره واقعاً افشا را الزام نمی‌کند، در جایی که هویت درخواست‌کننده پس از بررسی مواد احراز هویت همچنان کسب‌وکار را بدون اطمینان بالا رها می‌کند، در جایی که درخواست بر یک اظهار خلاف واقع استوار است، یا در جایی که مواد درخواستی داده ناوبری اینترنتی است — تاریخچه مرور درباره بازدید کسی از یک وب‌سایت یا خدمت آنلاین — نه سوابق تراکنش.

همچنین دفاع اثباتی‌ای در قانون نوشته شده است: اگر کار به اقدام اجرایی برسد، می‌توانید با نشان دادن اینکه جست‌وجوی بسیار کوشایانه‌ای در سوابق تجاری در دسترس خود انجام داده‌اید و سوابق درخواستی وجود ندارند یا به‌طور معقول در دسترس نیستند، ادعا را رد کنید. توجه کنید این دفاع چه چیزی را پاداش می‌دهد: یک جست‌وجوی واقعی، مستندشده. «ما هرگز نگشتیم» و «هیچ فرایندی برای گشتن نداریم» نقطه مقابل آن هستند.

دو سپر از کسب‌وکارهایی که به‌حسن نیت انطباق دارند محافظت می‌کند. نخست، هیچ کسب‌وکاری را نمی‌توان تحت هیچ قانونی برای افشای حسن‌نیتیانه بر اساس این مقرره مسئول مدنی دانست — پس نگرانی حریم خصوصی دقیقاً در جهت نادرست عمل می‌کند. انطباق محافظت‌شده است؛ امتناع جریمه دارد. دوم، این مقرره هیچ الزام جدیدی برای نگهداری سوابق ایجاد نمی‌کند: از شما نمی‌خواهد سوابقی را به دست آورید، نگه دارید یا حفظ کنید که در جریان عادی کسب‌وکار یا تحت قانون دیگری نگه نمی‌دارید. فقط سوابقی را که از قبل دارید تنظیم می‌کند.

فرایندتان را پیش از رسیدن درخواست بسازید​

قابل‌انتقال‌ترین درس آمازون ارزان‌ترین آن است: رویه را همین حالا بنویسید. یک فرایند یک‌صفحه‌ای بهتر از یک بداهه‌پردازی ۲.۲۵ میلیون دلاری است. فرایند شما باید دست‌کم شامل موارد زیر باشد:

• یک نشانی و مسئول مشخص. منتشر کنید که درخواست‌های کتبی کجا بروند — یک نشانی پستی یا صندوق ایمیل پایش‌شده — و شخص مسئول رسیدگی را نام ببرید. قانون به شما اجازه می‌دهد نشانی‌ای را که درخواست‌ها باید به آن پست شود تعیین کنید، اما فقط اگر واقعاً تعیین کرده باشید.
• یک بسته احراز هویت. کارت شناسایی عکس‌دار صادرشده توسط دولت، گزارش پلیس و سوگندنامه تکمیل‌شده سرقت هویت، که هر بار یکسان درخواست می‌شوند.
• یک ساعت ۳۰ روزه. تاریخ رسیدن هر درخواست را ثبت کنید و مهلت را یادداشت کنید. روزهای تقویمی، نه روزهای کاری.
• یک نقشه بازیابی. سیستم به سیستم بنویسید که سوابق تراکنش شما کجا زندگی می‌کنند: داشبورد پردازشگر، بک‌اند تجارت الکترونیک، خروجی POS، فایل حسابداری. نقشه بازیابی همان چیزی است که تلاش و تقلای هراس‌آلود را به کاری ده‌دقیقه‌ای تبدیل می‌کند.
• یک گزارش پاسخ. چه چیزی درخواست شد، چه چیزی احراز شد، چه چیزی فرستاده شد، چه زمانی و به چه کسی. اگر روزی نهاد نظارتی بپرسد، این گزارش شاهد کوشایی معقول شماست.
• قاعده بدون شرط. بدون هزینه، بدون درخواست شناسایی سارق از قربانی، بدون امتناع «حریم خصوصی» از قربانی احرازشده یا مجریان قانون تعیین‌شده او.

این صفحه را سالی یک بار بازبینی کنید، همان‌طور که رویه پشتیبان‌گیری خود را بازبینی می‌کنید. حجم سرقت هویت همچنان بالا می‌رود، و FTC اکنون نشان داده است که یک پرونده ۶۰۹(e) را تا جریمه‌ای بی‌سابقه پیش خواهد برد.

دفاتر شما پرونده انطباق شماست​

این همان بخشی است که مستقیماً به حسابداری شما مربوط می‌شود: نقشه بازیابی بالا تنها به‌اندازه سوابق پایه شما خوب است. درخواست ۶۰۹(e) از شما می‌خواهد هر سابقی را که تراکنش مشخصی را اثبات می‌کند ارائه دهید — یعنی داده تراکنش شما باید ماه‌ها بعد، بر اساس سفارش، حساب، مشتری و تاریخ قابل جست‌وجو باشد. کسب‌وکارهایی که دفاترشان انبوهی از واریزهای پردازشگر بدون هیچ پیوندی به سفارش‌های فردی است، هرقدر هم که بخواهند، نمی‌توانند در ۳۰ روز پاسخ دهند.

این یکی از استدلال‌های خاموش برای نگه‌داشتن دفتر کل خودتان است، به‌جای اینکه داشبورد پردازشگر را دفاتر خود بدانید. وقتی هر فروش با شناسه سفارش و کانال به‌عنوان فراداده ثبت می‌شود، بیرون کشیدن سوابق کامل یک تراکنش مورد اختلاف یک پرس‌وجوی واحد است، نه یک کاوش. در Beancount، فراداده تراکنش دقیقاً همین کار را می‌کند:

2026-01-02 open Assets:Checking:Operating USD
2026-01-02 open Income:Sales:Online USD
2026-01-02 open Expenses:Chargebacks:Fraud USD
 
2026-03-14 * "Online order #48210" "Card payment - J. Rivera"
  order-id: "48210"
  channel: "online-store"
  Assets:Checking:Operating  189.99 USD
  Income:Sales:Online  -189.99 USD
 
2026-03-20 * "Chargeback - order #48210" "Issuer fraud dispute"
  order-id: "48210"
  Assets:Checking:Operating  -189.99 USD
  Expenses:Chargebacks:Fraud  189.99 USD

با شناسه سفارش روی هم فروش و هم بازپس‌گیری پرداخت بعدی، یک پرس‌وجو کل ردپای مستند — فروش، برگشت، تاریخ‌ها، مبالغ — را در چند ثانیه بیرون می‌آورد. این همان شکلی است که یک سابقه آماده ۶۰۹(e) به خود می‌گیرد: هر تراکنش قابل ردیابی تا سند منبعش، هر برگشت مرتبط با اصلش. اگر دفاتر فعلی شما نمی‌توانند این کار را بکنند، راه‌حل یک پروژه حسابداری با سود انطباقی است، نه برعکس. خوانندگانی که می‌خواهند سازوکار را ببینند می‌توانند مستندات پرس‌وجو را در /docs/ بیابند.

یک وظیفه متفاوت FCRA: بررسی سوابق استخدامی​

چون این پرونده اغلب اشتباه توصیف می‌شود، توضیح مختصری برای کارفرمایانی که بررسی سوابق یا اعتبار متقاضیان شغلی انجام می‌دهند: آن یک وظیفه واقعی FCRA است، اما در بخش دیگری از قانون قرار دارد و هیچ شباهتی به بخش ۶۰۹(e) ندارد. بر اساس راهنمای مشترک FTC و EEOC برای کارفرمایان، پیش از دریافت گزارش از شرکتی که کارش گردآوری اطلاعات سوابق است، باید به متقاضی افشای کتبی روشنی — در سندی مستقل — بدهید که ممکن است گزارشی دریافت شود، و مجوز کتبی بگیرید. اگر سپس بر اساس گزارش اقدام نامساعدی انجام دهید، مثل استخدام نکردن متقاضی، باید نخست اطلاعیه پیش از اقدام نامساعد همراه با نسخه‌ای از گزارش و خلاصه‌ای از حقوق FCRA بدهید، مدت معقولی صبر کنید و سپس اطلاعیه نهایی اقدام نامساعد همراه با جزئیات تماس شرکت گزارش‌دهنده و بیانیه‌ای از حقوق اعتراض متقاضی بفرستید.

دو وظیفه، یک قانون، در دو جهت متضاد: بخش ۶۰۹(e) درباره سوابقی است که به قربانیان کلاهبرداری می‌دهید؛ مقررات استخدامی درباره گزارش‌هایی است که درباره متقاضیان دریافت می‌کنید. یکی را با استناد به دیگری انجام‌شده تلقی نکنید.

اشتباهاتی که باید از آن‌ها پرهیز کرد​

• برخورد با درخواست قربانی به‌عنوان شکایت مشتری. این یک درخواست بر اساس قانون فدرال با ساعت ۳۰ روزه است، نه یک تیکت پشتیبانی. روزی که می‌رسد آن را به مسئول مشخص‌شده ارجاع دهید.
• رها کردن کارکنان صف مقدم برای پاسخ خودسرانه. «به دلایل حریم خصوصی نمی‌توانیم آن را به اشتراک بگذاریم» پاسخ طبیعی و غیرقانونی است. به کارکنان یک متن آماده بدهید: تأیید دریافت، درخواست بسته احراز هویت، ثبت تاریخ.
• جست‌وجو فقط در سیستم‌های خودتان. سوابق پردازشگر، پلتفرم و POS که به نمایندگی از شما نگهداری می‌شوند پوشش داده شده‌اند. نقشه بازیابی شما باید آن‌ها را دربر بگیرد.
• معطل کردن درخواست‌های مجریان قانون. نهادی که قربانی تعیین یا مجاز کرده، جانشین قربانی است. رد آنها رد قربانی است.
• فرض اینکه کسب‌وکارهای کوچک معاف‌اند. هیچ‌چیز در بخش ۶۰۹(e) به اندازه شرکت بستگی ندارد. فروشگاه گوشه خیابانی که کارت می‌پذیرد همان وظیفه‌ای را دارد که خرده‌فروش تریلیون‌دلاری — که این بار همان طرفی است که برای نشان دادن آن هزینه پرداخت کرد.

آخرین گام مفید شما کوچک است: صفحه‌ای خالی باز کنید، شش نکته بخش فرایند را با نام‌ها و نشانی‌های واقعی کسب‌وکارتان پر کنید و آن را جایی ذخیره کنید که وقتی پاکت رسید پیدایش کنید. سی روز از زمان دریافت آغاز می‌شود، و کسب‌وکارهایی که تقلا می‌کنند هرگز آن‌هایی نیستند که آماده شده‌اند.