Кто-то использует украденную кредитную карту в вашем магазине. Держатель карты выясняет это, подаёт заявление в полицию и направляет вам письменный запрос: пожалуйста, пришлите мне копии записей о транзакциях по мошеннической покупке. У вас есть 30 дней, чтобы передать их бесплатно. Не 30 рабочих дней. Не 30 дней после того, как ваш юрист соизволит. Тридцать дней с момента получения — по федеральному закону, и «соображения конфиденциальности» не являются оправданием, поскольку закон прямо это оговаривает.
Именно это правило Amazon нарушил столь основательно, что Федеральная торговая комиссия добилась гражданского штрафа в размере $2,25 млн против компании в июне 2026 года — крупнейшего штрафа, когда-либо наложенного по этому положению. И это положение применяется к вашему бизнесу точно так же, как применялось к Amazon. Если вы продаёте товары или услуги за вознаграждение — то есть если вы ведёте бизнес — раздел 609(e) Закона о добросовестной отчётности о кредитовании (FCRA) уже называет вас.
Что на самом деле Amazon сделал неправильно
Для начала стоит внести поправку, потому что несколько кратких изложений этого дела ошиблись: штраф не имел никакого отношения к проверке биографических данных при трудоустройстве или кредитному скринингу. Amazon был оштрафован по разделу 609(e) FCRA — части закона, дающей жертвам кражи личности право получить заявку и записи о деловых транзакциях, лежащие в основе мошенничества, совершённого на их имя.
Согласно жалобе, которую Министерство юстиции подало от имени FTC в федеральный суд в Вашингтоне, округ Колумбия, Amazon «заведомо» нарушил закон. Потребителям, которые обращались в компанию по поводу мошенничества с их счетами или платёжными картами, сотрудники службы поддержки сообщали, что записи не могут быть предоставлены по причинам «безопасности» или «конфиденциальности». В том, что директор Бюро по защите прав потребителей FTC назвал «кафкианским испытанием», Amazon требовал, чтобы жертвы назвали вора, укравшего их данные, прежде чем предоставить записи — в одном случае сообщив потребителю, что не может поделиться записями о мошенническом счёте, если потребитель не угадает имя на счёте, имя, использованное вором. Потребитель попробовал 30 раз и потерпел неудачу. Amazon также отказал в предоставлении записей правоохранительным органам, расследующим мошенничество.
Две детали из дела должны заставить любого владельца малого бизнеса насторожиться. Во-первых, сотрудники FTC предупредили юристов Amazon ещё в июне 2023 года о необходимости проверить соблюдение именно этого положения после получения жалобы потребителя. Нарушения продолжились. Во-вторых, у Amazon до начала 2025 года вообще не было письменной процедуры обработки таких запросов — пока компания не узнала, что FTC начала расследование. Отсутствие процесса не было защитой; это было частью картины. В рамках урегулирования Amazon обязан разместить публичное уведомление на своём сайте, объясняющее, как жертвы кражи личности могут запросить записи.
С учётом более 1,1 миллиона сообщений о краже личности, поданных в FTC в 2024 году, и того, что 2025 год идёт с опережением, запрос жертвы, оказавшийся в вашем почтовом ящике, — это вопрос времени, а не вероятности. Вот что закон требует от вас, когда это произойдёт.
Правило 30 дней, которое должен знать каждый бизнес
Раздел 609(e) краток и поразительно прост для федерального закона:
Кто подпадает под действие. Любое коммерческое образование, которое предоставило кредит, продало товары или услуги, приняло оплату или иным образом вступило в коммерческую сделку за вознаграждение с лицом, которое предположительно использовало личность другого лица без разрешения. Обратите внимание на слово «предположительно»: вы не вправе выносить решение о том, действительно ли произошла кража личности, прежде чем исполнить обязательство. Заявление жертвы, подкреплённое документами, описанными ниже, запускает вашу обязанность.
Что вы должны предоставить. Копию заявки и записи о деловых транзакциях, находящиеся под вашим контролем, которые подтверждают предположительно мошенническую транзакцию — независимо от того, ведёте ли вы эти записи сами или кто-то другой ведёт их от вашего имени. Речь о записях заказов, заявках на счета, счетах-фактурах, квитанциях, платёжных авторизациях, адресах доставки, связанных с транзакцией. Закон прямо включает записи, которые ведёт другое лицо от вашего имени, — а в современной практике это означает, что записи в вашем платёжном процессоре, платформе электронной коммерции или POS-системе для этих целей считаются вашими.
Кто может их получить. Жертва; любой федеральный, штатный или местный правоохранительный орган или должностное лицо, названное жертвой в запросе; или правоохранительный орган, расследующий кражу, которому жертва разрешила получить записи. Отказ Amazon поделиться записями с правоохранительными органами был отдельным нарушением.
Срок. Не позднее 30 дней после получения вами запроса.
Цена. Ничего. Закон гласит, что записи «предоставляются безвозмездно».
Форма запроса. Запрос должен быть в письменной форме и направлен на адрес, который вы указали, если вы его указали — ещё одна причина назначить контактную точку сейчас, а не после получения запроса. По вашему требованию жертва должна включить соответствующую информацию о транзакции, чтобы помочь вам её найти: дату, номер счёта или транзакции либо иные идентифицирующие детали, но только если они известны жертве или легко доступны. Прочтите это ограничение внимательно: слова «если известны» несут реальную нагрузку. Вы можете просить помощи в поиске записей. Вы не можете делать способность жертвы предоставить детали предварительным условием и уж точно не можете требовать, чтобы она назвала вора, как это делал Amazon.
Что жертва должна вам предъявить
Закон не оставляет вашу дверь настежь открытой. Прежде чем вы что-либо передадите, жертва должна предоставить две вещи в выбранной вами форме:
-
Подтверждение личности. По вашему выбору: выданное государством удостоверение личности, личная идентифицирующая информация того же типа, которую предоставило вам неавторизованное лицо, или тот вид идентифицирующей информации, который вы обычно запрашиваете у новых заявителей или при новых транзакциях.
-
Подтверждение заявления о краже личности. По вашему выбору: копию полицейского протокола, подтверждающего заявление, вместе с надлежащим образом заполненной стандартизированной аффидевитом о краже личности — тем, который формируется через процесс IdentityTheft.gov FTC, — либо другим аффидевитом о фактах, который вы сочтёте приемлемым.
Единственное исключение: если у вас уже есть высокая степень уверенности в том, что вы знаете, кто такая жертва, вы можете пропустить проверку. На практике запрашивайте стандартный пакет каждый раз и храните копию полученного вместе с самим запросом. Последовательный контрольный список защищает с обеих сторон: он не даёт вам раскрыть информацию мошеннику и документирует, что все запрашивающие получили одинаковое отношение.
Отговорки, которые не работают
Дело Amazon полезно именно тем, что демонстрирует ценой в $2,25 млн, какие отказы не проходят:
**«Конфиденциальность и безопасность не позволяют нам делиться». ** Закон предвидит это возражение и заранее его отвергает: положения о финансовой конфиденциальности, которые обычно ограничивают раскрытие информации о клиентах третьим лицам, не могут использоваться для отказа в раскрытии жертве. Конгресс ещё в 2003 году решил, что право жертвы видеть записи о мошенничестве, совершённом на её имя, перевешивает инстинкты бизнеса в области конфиденциальности. Обучите всех, кто отвечает на письма или звонки клиентов, именно этому моменту, потому что «я не могу поделиться данными о счёте по соображениям конфиденциальности» иначе — это в точности правильный рефлекс.
**«Сначала скажите нам, кто украл вашу личность». ** Жертва — почти по определению — это человек, который не знает, кто украл его личность. Обусловливание раскрытия установлением личности вора превращает 30-дневную обязанность в невыполнимую, и именно поэтому регуляторы описали это так, как описали.
**«Нам нужно больше времени». ** Тридцать дней с момента получения — это крайний срок. Чарджбэки, споры с процессором и внутренние проверки на мошенничество идут по своим часам; ни один из них не останавливает этот.
**«Есть плата за записи». ** Копии бесплатны. Ни платы за поиск, ни платы за копирование, ни административного сбора.
**«Эти записи хранит наш процессор, а не мы». ** Записи, которые ведёт другое лицо от вашего имени, прямо охватываются. Если ваши данные о транзакциях живут в Stripe, Square, Shopify или в торговом портале вашего банка, извлекать их — ваша работа.
Когда вы вправе сказать «нет»
Закон не абсолютен, и знание границ так же важно, как знание обязанности. Бизнес может добросовестно отказать, если положение фактически не требует раскрытия, если личность запрашивающего после изучения материалов проверки всё ещё не даёт бизнесу высокой степени уверенности, если запрос основан на искажении фактов или если запрошенный материал представляет собой интернет-навигационные данные — историю просмотров посещения кем-то веб-сайта или онлайн-сервиса — а не записи о транзакциях.
В законе также прописана утвердительная защита: если дело дойдёт до правоприменительных мер, вы можете отразить претензию, показав, что провели разумно тщательный поиск среди доступных вам деловых записей, а запрошенные записи не существуют или разумно недоступны. Обратите внимание, что эта защита поощряет: настоящий поиск, задокументированный. «Мы никогда не искали» и «у нас нет процесса для поиска» — её противоположность.
Два щита защищают бизнес, который добросовестно соблюдает требования. Во-первых, ни один бизнес не может быть привлечён к гражданской ответственности по какому-либо закону за добросовестное раскрытие в соответствии с этим положением — так что беспокойство о конфиденциальности направлено ровно в неверную сторону. Соблюдение защищено; отказ наказывается. Во-вторых, положение не создаёт новой обязанности по ведению записей: оно не требует получать, хранить или вести записи, которые вы иначе не вели бы в обычном ходе бизнеса или в соответствии с другим законом. Оно регулирует только записи, которые у вас уже есть.
Выстройте процесс до того, как придёт запрос
Самый переносимый на ваш бизнес урок Amazon — самый дешёвый: запишите процедуру сейчас. Одностраничный процесс лучше импровизации за $2,25 млн. Ваш должен охватывать как минимум:
- Назначенный адрес и ответственное лицо. Опубликуйте, куда направляются письменные запросы — почтовый адрес или отслеживаемый ящик входящей почты — и назначьте лицо, отвечающее за их обработку. Закон позволяет вам указать адрес, на который должны направляться запросы, но только если вы действительно его указали.
- Пакет для проверки. Выданное государством фотоудостоверение личности, полицейский протокол и заполненный аффидевит о краже личности, запрашиваемые одинаково каждый раз.
- 30-дневный отсчёт. Записывайте дату получения каждого запроса и отмечайте крайний срок в календаре. Календарные дни, не рабочие.
- Карту поиска. Запишите, система за системой, где хранятся ваши записи о транзакциях: панель процессора, бэкенд электронной коммерции, экспорт POS, бухгалтерский файл. Именно карта поиска превращает паническую спешку в десятиминутную задачу.
- Журнал ответов. Что было запрошено, что было проверено, что было отправлено, когда и кому. Если регулятор когда-нибудь спросит, этот журнал — ваше доказательство разумной тщательности.
- Правило без условий. Никаких сборов, никаких требований назвать вора, никаких отказов «по соображениям конфиденциальности» проверенной жертве или назначенному ею правоохранительному органу.
Пересматривайте страницу раз в год, как вы пересматриваете процедуру резервного копирования. Объём краж личности продолжает расти, и FTC теперь показала, что доведёт дело по 609(e) до рекордного штрафа.
Ваши книги — это ваш файл соответствия
Вот часть, которая напрямую касается вашего бухгалтерского учёта: карта поиска выше хороша настолько, насколько хороши ваши базовые записи. Запрос по 609(e) требует предоставить каждую запись, подтверждающую конкретную транзакцию — а значит, ваши данные о транзакциях должны быть доступны для поиска по заказу, счёту, клиенту и дате спустя месяцы. Бизнесы, чьи книги представляют собой коробку из-под обуви с выплатами процессора без связи с отдельными заказами, не смогут ответить за 30 дней, как бы они ни хотели.
Это один из тихих аргументов в пользу ведения собственного журнала, а не восприятия панели процессора как ваших книг. Когда каждая продажа записана с идентификатором заказа и каналом в качестве метаданных, извлечение полной записи о спорной транзакции — это один запрос, а не раскопки. В Beancount метаданные транзакций выполняют именно эту работу:
2026-01-02 open Assets:Checking:Operating USD
2026-01-02 open Income:Sales:Online USD
2026-01-02 open Expenses:Chargebacks:Fraud USD
2026-03-14 * "Online order #48210" "Card payment - J. Rivera"
order-id: "48210"
channel: "online-store"
Assets:Checking:Operating 189.99 USD
Income:Sales:Online -189.99 USD
2026-03-20 * "Chargeback - order #48210" "Issuer fraud dispute"
order-id: "48210"
Assets:Checking:Operating -189.99 USD
Expenses:Chargebacks:Fraud 189.99 USDС идентификатором заказа как у продажи, так и у последующего чарджбэка, один запрос выявляет полную цепочку документов — продажу, сторнирование, даты, суммы — за считанные секунды. Именно так выглядит запись, готовая к 609(e): каждая транзакция прослеживается до исходного документа, каждое сторнирование связано с оригиналом. Если ваши текущие книги не могут этого, исправление — это бухгалтерский проект с выгодой для соответствия, а не наоборот. Читатели, которым нужны механизмы, могут найти документацию по запросам в /docs/.
Другая обязанность по FCRA: проверка биографических данных при трудоустройстве
Поскольку это дело так часто описывают неверно, краткое разъяснение для работодателей, которые проводят проверки биографических данных или кредитные проверки кандидатов: это реальная обязанность по FCRA, но она живёт в другой части закона и работает совсем не так, как раздел 609(e). Согласно совместному руководству FTC и EEOC для работодателей, прежде чем получать отчёт от компании, занимающейся составлением биографической информации, вы должны предоставить кандидату чёткое письменное раскрытие — в отдельном документе — о том, что отчёт может быть получен, и получить письменное разрешение. Если затем вы предпринимаете неблагоприятное действие на основании отчёта, например не нанимаете кандидата, вы должны сначала предоставить уведомление до неблагоприятного действия с копией отчёта и кратким изложением прав по FCRA, подождать разумный период, а затем направить окончательное уведомление о неблагоприятном действии с контактными данными отчётной компании и заявлением о правах кандидата на оспаривание.
Две обязанности, один закон, противоположные направления: раздел 609(e) касается записей, которые вы выдаёте жертвам мошенничества; положения о трудоустройстве касаются отчётов, которые вы получаете о кандидатах. Не выполняйте одну, ссылаясь на другую.
Ошибки, которых следует избегать
- Относиться к запросу жертвы как к жалобе клиента. Это запрос по федеральному закону с 30-дневным отсчётом, а не тикет службы поддержки. Передайте его назначенному ответственному лицу в день поступления.
- Позволять сотрудникам первой линии импровизировать с ответом. «Мы не можем поделиться этим по соображениям конфиденциальности» — естественная и при этом противоправная реакция. Дайте сотрудникам сценарий: подтвердить получение, запросить пакет для проверки, зафиксировать дату.
- Искать только в своих системах. Записи процессора, платформы и POS, хранимые от вашего имени, охватываются. Ваша карта поиска должна их включать.
- Откладывать запросы правоохранительных органов. Орган, назначенный или уполномоченный жертвой, действует от имени жертвы. Отказать ему — значит отказать жертве.
- Полагать, что малый бизнес освобождён. Ничто в разделе 609(e) не зависит от размера компании. Магазин на углу, принимающий карты, несёт ту же обязанность, что и ритейлер стоимостью в триллион долларов — который на этот раз и оказался стороной, заплатившей, чтобы это продемонстрировать.
Ваш последний полезный шаг невелик: откройте чистую страницу, перепишите шесть пунктов из раздела о процессе, вписав реальные названия и адреса вашего бизнеса, и сохраните её там, где найдёте, когда придёт конверт. Тридцать дней начинаются с момента получения, и бизнесы, которые испытывают трудности, — никогда не те, что подготовились.
