Хтось використовує викрадену кредитну картку у вашому магазині. Власник картки це виявляє, подає заяву в поліцію й надсилає вам письмовий запит: будь ласка, надішліть мені копії записів про транзакції за шахрайською покупкою. У вас є 30 днів, щоб їх надати, безкоштовно. Не 30 робочих днів. Не 30 днів після того, як ваш адвокат зволить цим зайнятися. Тридцять днів з моменту отримання, за федеральним законом — і «міркування приватності» не є виправданням, бо статут прямо це передбачає.
Саме це правило Amazon порушила настільки ґрунтовно, що Федеральна торговельна комісія домоглася проти компанії цивільного штрафу в $2,25 млн у червні 2026 року — найбільшого штрафу в історії за цією нормою. І ця норма стосується вашого бізнесу точно так само, як вона стосувалася Amazon. Якщо ви продаєте товари чи послуги за винагороду — тобто якщо ви ведете бізнес — стаття 609(e) Закону про справедливу кредитну звітність (Fair Credit Reporting Act) вже називає вас.
Що насправді зробила Amazon неправильно
Спершу одне уточнення, яке варто зробити, бо кілька оглядів цієї справи помилилися: штраф не мав нічого спільного з перевіркою біографії працівників чи кредитним скринінгом. Amazon було оштрафовано за статтею 609(e) FCRA — тією частиною закону, яка дає жертвам крадіжки особи даних право отримати заявки та записи про ділові транзакції, що стоять за шахрайством, вчиненим від їхнього імені.
Згідно зі скаргою, яку Міністерство юстиції подало від імені FTC до федерального суду у Вашингтоні, округ Колумбія, Amazon «свідомо» порушила закон. Споживачам, які зверталися до компанії щодо шахрайства на їхніх рахунках або платіжних картках, агенти служби підтримки казали, що записи не можна надати з міркувань «безпеки» чи «приватності». У тому, що директор Бюро з питань захисту споживачів FTC назвав «кафкіанським випробуванням», Amazon вимагала, щоб жертви назвали злодія, який викрав їхні дані, перш ніж надати записи — в одному випадку сказавши споживачу, що не може поділитися записами щодо шахрайського рахунку, якщо споживач не вгадає ім'я, зазначене на рахунку, тобто ім'я, використане викрадачем особи. Споживач спробував 30 разів і не зміг. Amazon також відмовила у наданні записів правоохоронним органам, які розслідували шахрайство.
Дві деталі з цієї справи мають насторожити власника будь-якого малого бізнесу. По-перше, співробітники FTC ще в червні 2023 року попередили юристів Amazon перевірити дотримання саме цієї норми після отримання скарги від споживача. Порушення тривали. По-друге, Amazon взагалі не мала письмової процедури обробки таких запитів до початку 2025 року — після того, як дізналася, що FTC відкрила розслідування. Відсутність процесу не була захистом; вона була частиною історії. У рамках мирової угоди Amazon зобов'язана розмістити на своєму сайті публічне повідомлення, яке пояснює, як жертви крадіжки особи даних можуть запитати записи.
З огляду на понад 1,1 млн заяв про крадіжку особи даних, поданих до FTC у 2024 році, і темпи 2025 року, що обіцяють вищі показники, запит жертви, що потрапить до вашої поштової скриньки, — це питання часу, а не ймовірності. Ось що вимагає від вас закон, коли це станеться.
Правило 30 днів, яке має знати кожен бізнес
Стаття 609(e) коротка й напрочуд проста для федерального статуту:
Кого охоплює. Будь-який суб'єкт господарювання, який надав кредит, продав товари чи послуги, прийняв платіж або іншим чином уклав комерційну транзакцію за винагороду з особою, яка нібито використала особу іншої людини без дозволу. Зверніть увагу на «нібито»: ви не маєте права вирішувати, чи справді сталася крадіжка особи даних, перш ніж виконати вимогу. Заява жертви, підкріплена документами, описаними нижче, породжує ваш обов'язок.
Що ви маєте надати. Копію заявки та записів про ділові транзакції, що перебувають під вашим контролем, які підтверджують нібито шахрайську транзакцію — незалежно від того, чи ви зберігаєте ці записи самостійно, чи хтось інший зберігає їх від вашого імені. Майте на увазі записи замовлень, заявки на рахунки, рахунки-фактури, квитанції, платіжні авторизації, адреси доставки, пов'язані з транзакцією. Закон прямо охоплює записи, що зберігаються іншою особою від вашого імені, що в сучасній практиці означає, що записи в обробнику платежів, на платформі електронної комерції чи в системі point-of-sale вважаються вашими для цієї мети.
Хто може їх отримати. Жертва, будь-який федеральний, державний чи місцевий правоохоронний орган або службовець, названий жертвою в запиті, або правоохоронний орган, який розслідує крадіжку, якому жертва дозволила отримати записи. Відмова Amazon поділитися з правоохоронними органами була окремим порушенням.
Граничний термін. Не пізніше ніж через 30 днів після отримання вашого запиту.
Ціна. Нічого. Статут зазначає, що записи «надаються безкоштовно».
Форма запиту. Він має бути письмовим, надісланим на адресу, яку ви вкажете, якщо ви її вказали — ще одна причина призначити контактну точку зараз, а не після надходження запиту. Якщо ви попросите, жертва повинна надати відповідну інформацію про транзакцію, щоб допомогти вам її знайти: дату, номер рахунку чи транзакції або інші ідентифікаційні дані, але лише якщо вони відомі жертві або легко отримувані. Уважно прочитайте це обмеження: «якщо відомо» робить справжню роботу. Ви можете попросити допомогти знайти записи. Ви не можете зробити здатність жертви надати деталі передумовою, і тим паче не можете вимагати, щоб вони назвали злодія, як це робила Amazon.
Що жертва має вам показати
Закон не залишає ваші двері навстіж відчиненими. Перш ніж ви щось передасте, жертва має надати два документи у вибраній вами формі:
-
Підтвердження особи. На ваш вибір: видане державою посвідчення особи, особиста ідентифікаційна інформація того ж типу, що її надала вам несанкціонована особа, або той тип ідентифікаційної інформації, який ви зазвичай запитуєте в нових заявників чи для нових транзакцій.
-
Підтвердження заяви про крадіжку особи даних. На ваш вибір: копія заяви в поліцію, що підтверджує заяву, разом із належно заповненою стандартизованою афідевітою про крадіжку особи даних — тією, що генерується через процес IdentityTheft.gov FTC — або інша афідевіта про факти, яку ви вважаєте прийнятною.
Єдиний виняток: якщо ви вже маєте високий ступінь упевненості, що знаєте, ким є жертва, ви можете пропустити перевірку. На практиці запитуйте стандартний пакет щоразу й зберігайте копію отриманого разом із самим запитом. Послідовний контрольний список захищає в обох напрямках: він не дає вам розкрити інформацію самозванцю й документує, що кожен заявник отримав однакове ставлення.
Виправдання, які не працюють
Справа Amazon корисна саме тим, що демонструє — ціною $2,25 млн — які відмови не спрацьовують:
«Приватність і безпека не дозволяють нам ділитися». Статут передбачає ц заперечення й заздалегідь його відхиляє: положення про фінансову приватність, які зазвичай обмежують розкриття інформації про клієнтів третім особам, не можна використовувати для відмови в розкритті жертві. Конгрес вирішив ще 2003 року, що право жертви бачити записи про шахрайство, вчинене від її імені, переважує інстинкти бізнесу щодо приватності. Навчіть кожного, хто відповідає на електронні листи чи телефонні дзвінки клієнтів, саме цього моменту, бо інакше «я не можу поділитися деталями рахунку з міркувань приватності» — це саме той рефлекс, який спрацьовує за замовчуванням.
«Спершу скажіть нам, хто викрав вашу особу». Жертва — майже за визначенням — це людина, яка не знає, хто викрав її особу. Обумовлення розкриття назвою злодія перетворює 30-денний обов'язок на неможливий, і саме тому регулятори описали це так, як описали.
«Нам потрібно більше часу». Тридцять днів з моменту отримання — це граничний термін. Чарджбеки, спори з обробником і внутрішні перевірки шахрайства йдуть за власним графіком; жоден із них не зупиняє цей.
«Є плата за записи». Копії безкоштовні. Жодної плати за пошук, за копіювання, за адміністрування.
«Ці записи зберігає наш обробник, а не ми». Записи, що зберігаються іншою особою від вашого імені, прямо охоплені. Якщо дані про ваші транзакції живуть у Stripe, Square, Shopify чи в мерчант-порталі вашого банку, їхнє отримання — ваша робота.
Коли ви можете сказати «ні»
Закон не є абсолютним, і знати межі так само важливо, як знати обов'язок. Бізнес може добросовісно відмовити там, де норма насправді не вимагає розкриття, де особа заявника після розгляду матеріалів перевірки все ще не дає бізнесу високого ступеня впевненості, де запит ґрунтується на викривленні фактів, або де запитаний матеріал — це дані про навігацію в інтернеті — історія перегляду чийогось відвідування веб-сайту чи онлайн-сервісу — а не записи про транзакції.
У статуті також записано афірмативний захист: якщо справа дійде до примусового стягнення, ви можете відхилити вимогу, довівши, що ви зробили розумно старанний пошук у ваших доступних ділових записах, а запитані записи не існують або не є розумно доступними. Зверніть увагу, що заохочує цей захист: справжній пошук, задокументований. «Ми ніколи не шукали» і «у нас немає процесу для пошуку» — це його протилежність.
Два щити захищають бізнеси, які дотримуються вимог добросовісно. По-перше, жоден бізнес не може нести цивільну відповідальність за жодним законом за добросовісне розкриття за цією нормою — тож занепокоєння щодо приватності працює в точно протилежному напрямку. Дотримання захищене; відмова карається. По-друге, норма не створює жодного нового обов'язку щодо зберігання записів: вона не вимагає від вас отримувати, зберігати чи підтримувати записи, які ви не зберігали б інакше в звичайному ході бізнесу або за іншим законом. Вона регулює лише ті записи, які у вас уже є.
Побудуйте свій процес до того, як надійде запит
Найбільш переносний урок Amazon — найдешевший: запишіть процедуру зараз. Односторінковий процес кращий за імпровізацію вартістю $2,25 млн. Ваш має охоплювати як мінімум:
- Призначену адресу та відповідальну особу. Оприлюдніть, куди надсилати письмові запити — поштову адресу або контрольовану скриньку — і назвіть особу, відповідальну за їх обробку. Статут дозволяє вам вказати адресу, на яку мають надсилатися запити, але лише якщо ви справді її вказали.
- Пакет перевірки. Видане державою фото-посвідчення особи, заява в поліцію та заповнена афідевіта про крадіжку особи даних, запитані однаково щоразу.
- 30-денний відлік. Фіксуйте дату надходження кожного запиту й відмічайте граничний термін. Календарні дні, не робочі.
- Карту пошуку записів. Запишіть, система за системою, де зберігаються ваші записи про транзакції: панель обробника, бекенд електронної комерції, експорт POS, бухгалтерський файл. Карта пошуку — це те, що перетворює панічну метушню на десятихвилинне завдання.
- Журнал відповідей. Що було запитано, що перевірено, що надіслано, коли й кому. Якщо регулятор колись запитає, цей журнал — ваш доказ розумної старанності.
- Правило без умов. Жодних плат, жодних вимог, щоб жертва назвала злодія, жодних відмов «з приватності» перевіреній жертві чи призначеним нею правоохоронним органам.
Переглядайте цю сторінку раз на рік, так само як переглядаєте процедуру резервного копіювання. Обсяги крадіжок особи даних продовжують зростати, і FTC тепер показала, що доведе справу за 609(e) аж до рекордного штрафу.
Ваші книги — це ваш файл дотримання вимог
Ось частина, яка безпосередньо стосується вашого бухгалтерського обліку: карта пошуку записів вище настільки хороша, наскільки хороші ваші базові записи. Запит за 609(e) вимагає від вас надати кожен запис, що підтверджує конкретну транзакцію, — а це означає, що дані про ваші транзакції мають бути доступними для пошуку за замовленням, рахунком, клієнтом і датою через місяці після події. Бізнеси, чиї книги — це коробка з виплатами від обробника без жодного зв'язку з окремими замовленнями, не можуть відповісти за 30 днів, хоч би як вони цього хотіли.
Це один із тихих аргументів на користь ведення власного реєстру замість того, щоб вважати панель обробника своїми книгами. Коли кожен продаж записується з ідентифікатором замовлення та каналом як метаданими, отримання повного запису спірної транзакції — це один запит, а не розкопки. У Beancount метадані транзакції виконують саме цю роботу:
2026-01-02 open Assets:Checking:Operating USD
2026-01-02 open Income:Sales:Online USD
2026-01-02 open Expenses:Chargebacks:Fraud USD
2026-03-14 * "Online order #48210" "Card payment - J. Rivera"
order-id: "48210"
channel: "online-store"
Assets:Checking:Operating 189.99 USD
Income:Sales:Online -189.99 USD
2026-03-20 * "Chargeback - order #48210" "Issuer fraud dispute"
order-id: "48210"
Assets:Checking:Operating -189.99 USD
Expenses:Chargebacks:Fraud 189.99 USDЗ ідентифікатором замовлення і на продажу, і на пізнішому чарджбеку один запит виявляє повний паперовий слід — продаж, сторно, дати, суми — за секунди. Саме такий вигляд має запис, готовий до 609(e): кожна транзакція простежується до свого первинного документа, кожне сторно пов'язане з оригіналом. Якщо ваші поточні книги на це не здатні, виправлення — це бухгалтерський проєкт із перевагою в дотриманні вимог, а не навпаки. Читачі, які хочуть зрозуміти механіку, можуть знайти документацію щодо запитів у /docs/.
Інший обов'язок за FCRA: перевірка біографії працівників
Оскільки цю справу так часто описують неправильно, коротке уточнення для роботодавців, які перевіряють біографію чи кредитну історію кандидатів на посаду: це справжній обов'язок за FCRA, але він живе в іншій частині закону й працює зовсім не як стаття 609(e). Згідно зі спільним керівництвом FTC та EEOC для роботодавців, перш ніж отримати звіт від компанії, що займається складанням довідкової інформації, ви повинні надати кандидату чітке письмове розкриття — в окремому документі — про те, що звіт може бути отриманий, і отримати письмовий дозвіл. Якщо потім ви вживаєте несприятливих дій на підставі звіту, як-от відмова в наймі кандидату, ви спершу повинні надати повідомлення про несприятливу дію до її вчинення з копією звіту та резюме прав за FCRA, зачекати розумний період, а потім надіслати остаточне повідомлення про несприятливу дію з контактними даними звітної компанії та заявою про права кандидата на оскарження.
Два обов'язки, один статут, протилежні напрямки: стаття 609(e) — про записи, які ви видаєте жертвам шахрайства; положення про працевлаштування — про звіти, які ви отримуєте про кандидатів. Не виконуйте одне, посилаючись на інше.
Помилки, яких слід уникати
- Ставитися до запиту жертви як до скарги клієнта. Це запит за федеральним законом із 30-денним відліком, а не звернення до служби підтримки. Передайте його призначеному відповідальному в день надходження.
- Дозволяти фронт-офісу імпровізувати з відповіддю. «Ми не можемо цим поділитися з міркувань приватності» — природна відповідь і протиправна. Дайте співробітникам скрипт: підтвердити, запитати пакет перевірки, зафіксувати дату.
- Шукати лише у власних системах. Записи обробника, платформи та POS, що зберігаються від вашого імені, охоплені. Ваша карта пошуку має їх включати.
- Зволікати з запитами правоохоронних органів. Орган, призначений жертвою або нею уповноважений, діє від імені жертви. Відмовити йому — це відмовити жертві.
- Вважати, що малий бізнес звільнений. Ніщо в статті 609(e) не залежить від розміру компанії. Крамниця на розі, яка приймає картки, має той самий обов'язок, що й рітейлер вартістю в трильйон доларів — який, цього разу, і є стороною, що заплатила, аби це продемонструвати.
Ваш останній корисний крок — маленький: відкрийте чисту сторінку, запишіть шість пунктів з розділу про процес із фактичними назвами й адресами вашого бізнесу й збережіть її там, де знайдете, коли надійде конверт. Тридцять днів починаються з моменту отримання, і бізнеси, які зазнають труднощів, — ніколи не ті, що підготувалися.
