有人在你店里使用了被盗的信用卡。持卡人发现后报了警，并向你发送了一份书面请求：请把那次欺诈性购买的交易记录副本寄给我。你有30天时间免费交出这些记录。不是30个工作日。不是你的律师觉得合适的30天之后。根据联邦法律，从收到请求之日起三十天——而且"隐私原因"不是借口，因为法规明确这样规定。
这就是亚马逊严重违反的规则，以至于联邦贸易委员会在2026年6月对公司处以225万美元的民事罚款，这是该条款下有史以来最大的罚款。而该条款适用于你的企业的方式，与它适用于亚马逊的方式完全相同。如果你为对价销售商品或服务——也就是说，如果你经营企业——《公平信用报告法》第609(e)条已经把你列为适用对象。
亚马逊到底做错了什么
首先，值得做一个纠正，因为本案的几份摘要都搞错了：这笔罚款与雇佣背景调查或信用筛查毫无关系。亚马逊是根据FCRA第609(e)条被处罚的，这是法律中赋予身份盗用受害者获取以他们名义实施的欺诈背后的申请和商业交易记录权利的部分。
根据司法部代表FTC在华盛顿特区联邦法院提起的诉状，亚马逊"明知"违反法律。就账户或支付卡上的欺诈联系该公司的消费者被客服人员告知，出于"安全"或"隐私"原因无法提供记录。FTC消费者保护局局长称之为"卡夫卡式的折磨"——亚马逊要求受害者在释放记录之前先指认偷走其信息的小偷——有一次告诉一位消费者，除非消费者猜出账户上的名字（即身份盗用者使用的名字），否则无法分享有关欺诈账户的记录。该消费者尝试了30次都未能成功。亚马逊还拒绝了正在调查欺诈行为的执法机构获取记录的要求。
本案的两个细节应该让任何小企业主警醒。第一，FTC工作人员早在2023年6月就曾警告亚马逊的律师，在收到消费者投诉后要审查对该条款的合规情况。违法行为仍在继续。第二，亚马逊在2025年初之前根本没有处理这些请求的书面程序——那是在它得知FTC已展开调查之后。缺乏流程不是辩护理由；它本身就是问题的一部分。作为和解的一部分，亚马逊必须在其网站上发布公开通知，解释身份盗用受害者如何请求记录。
2024年向FTC提交的身份盗用报告超过110万份，2025年的数字预计更高，受害者的请求落到你的收件箱只是时间问题，而非是否会发生的问题。以下是法律在你收到请求时对你的要求。
每个企业都应该知道的30天规则
第609(e)条简短且对联邦法规而言异常直白：
适用对象。 任何商业实体，如果向被指控未经授权使用他人身份的人提供了信贷、向其销售了商品或服务、接受了其付款，或与其进行了以对价为基础的其他商业交易。注意"被指控"这个词：你不能在合规之前自行裁定身份盗用是否真的发生了。受害者的主张，辅以下文所述的证明文件，就触发了你的义务。
你必须提供的内容。 你控制下的、能证明被指控欺诈交易的申请和商业交易记录副本——无论这些记录由你自己保存还是由他人代表你保存。想想订单记录、账户申请、发票、收据、支付授权、与交易关联的收货地址。法律明确包括由他人代表你持有的记录，在现代实践中这意味着存放在你的支付处理商、电商平台或销售点系统中的记录在目的上算作你的记录。
谁可以接收。 受害者、受害者在请求中指定的任何联邦、州或地方执法机构或官员，或受害者授权接收记录的、正在调查该盗窃案的执法机构。亚马逊拒绝与执法机构分享是其单独的违法行为。
截止期限。 不迟于你收到请求后30天。
价格。 免费。法规规定记录"应免费提供"。
请求的形式。 必须是书面的，寄送到你指定的地址（如果你已指定）——这是现在就指定联系点而非等请求到达后再指定的又一个理由。如果你要求，受害者必须包含有关交易的相关信息以帮助你找到它：日期、账户或交易编号或其他识别细节，但仅限于受害者已知或容易获取的信息。仔细阅读这一限制："如果已知"是有实际作用的。你可以请求帮助定位记录。你不能将受害者提供细节的能力作为先决条件，当然更不能像亚马逊那样要求他们指认小偷。
受害者必须向你出示什么
法律并没有让你的大门完全敞开。在你交出任何东西之前，受害者必须提供两样东西，形式由你选择：
-
身份证明。 由你选择：政府签发的身份证件、与未经授权者提供给你的同类型的个人身份信息，或你通常要求新申请者或新交易提供的身份信息类型。
-
身份盗用主张的证明。 由你选择：证明该主张的警方报告副本加上正确填写的标准化身份盗用宣誓书——通过FTC的IdentityTheft.gov流程生成的那种——或你认为可接受的其他事实宣誓书。
唯一的例外：如果你已经高度确信你知道受害者是谁，你可以跳过验证。在实践中，每次都要求标准材料包，并在请求本身旁边保留所收到材料的副本。一致的检查清单在两个方向上都有保护作用：它防止你向冒充者披露信息，并记录每个请求者都得到了相同的对待。
行不通的借口
亚马逊的案例之所以有用，恰恰是因为它以225万美元的代价证明了哪些拒绝是行不通的：
"隐私和安全使我们无法分享。" 法规预见到了这一反对意见并事先推翻了它：通常限制向第三方披露客户信息的金融隐私条款不能被用来拒绝向受害者披露。国会在2003年就决定，受害者查看以他们名义实施的欺诈记录的权利，优先于企业的隐私本能。专门就此培训任何回复客户邮件或电话的人员，因为"出于隐私原因我不能分享账户详情"在其他情况下恰恰是正确的本能反应。
"先告诉我们是谁盗用了你的身份。" 受害者几乎按定义就是不知道谁盗用了其身份的人。将披露条件设为指认小偷，就把30天的义务变成了不可能完成的义务，这就是为什么监管机构如此描述它。
"我们需要更多时间。" 从收到之日起三十天就是截止期限。拒付、处理商争议和内部欺诈审查有它们自己的时间表；它们都不能暂停这个期限。
"有记录费。" 副本是免费的。没有检索费、复印费或管理费。
"那些记录在我们的处理商那里，不在我们这里。" 由他人代表你保存的记录明确在覆盖范围内。如果你的交易数据存放在Stripe、Square、Shopify或你银行商户门户中，检索它是你的工作。
什么时候你可以说不
法律不是绝对的，了解边界与了解义务同样重要。企业可以善意地拒绝，如果该条款实际上不要求披露、如果请求者的身份在审查验证材料后仍使企业无法高度确信、如果请求基于事实的虚假陈述，或如果所请求的材料是互联网导航数据——关于某人访问网站或在线服务的浏览历史——而非交易记录。
法规中还写有一项肯定性抗辩：如果进入执法程序，你可以通过证明你对你可用的商业记录进行了合理勤勉的搜索，且所请求的记录不存在或无法合理获取，来击败该主张。注意这项抗辩奖励的是什么：一次真实的、有记录的搜索。"我们从没找过"和"我们没有找的流程"是它的反面。
两项保护措施保护善意合规的企业。第一，任何企业都不能因根据本条款的善意披露而根据任何法律承担民事责任——所以隐私担忧的方向恰恰相反。合规受保护；拒绝受处罚。第二，该条款不产生新的记录保存义务：它不要求你获取、保留或维护你在正常业务过程中或其他法律下不会保留的记录。它只管辖你已经拥有的记录。
在请求到达之前建立你的流程
亚马逊最可借鉴的教训也是最便宜的：现在就把程序写下来。一页纸的流程胜过225万美元的即兴应对。你的流程至少应涵盖：
- 指定地址和负责人。 公布书面请求的寄送地址——邮寄地址或受监控的收件箱——并指定负责处理的人员。法规允许你指定请求必须寄送的地址，但前提是你确实指定了。
- 验证材料包。 政府签发的带照片身份证件、警方报告和填写完整的身份盗用宣誓书，每次都按相同方式要求。
- 30天计时。 记录每个请求到达的日期并标记截止日。日历日，不是工作日。
- 检索地图。 逐系统记下你的交易记录存放位置：处理商仪表板、电商后台、POS导出、会计文件。检索地图就是把惊慌失措的翻找变成十分钟任务的东西。
- 响应日志。 请求了什么、验证了什么、发送了什么、何时发送、发给谁。如果监管机构问起，这份日志就是你合理勤勉的证据。
- 无条件规则。 不收费、不要求受害者指认小偷、不对已验证的受害者或其指定的执法机构以"隐私"为由拒绝。
每年审查一次这一页，就像审查你的备份例行程序一样。身份盗用数量持续攀升，而FTC现在已经表明它会把609(e)案件一路推进到创纪录的罚款。
你的账簿就是你的合规档案
以下是直接涉及你记账的部分：上面的检索地图只有在你底层记录可靠的前提下才有用。609(e)请求要求你提供证明特定交易的每一条记录——这意味着你的交易数据必须能在数月之后按订单、账户、客户和日期进行搜索。账簿只是一堆处理商付款记录、无法链接回单个订单的企业，无论多么愿意，都无法在30天内答复。
这是保留自己的分类账而非将处理商仪表板当作账簿的无声论据之一。当每笔销售都以订单标识符和渠道作为元数据记录时，提取争议交易的完整记录只需一次查询而非一次挖掘。在Beancount中，交易元数据正是做这件事的：
2026-01-02 open Assets:Checking:Operating USD
2026-01-02 open Income:Sales:Online USD
2026-01-02 open Expenses:Chargebacks:Fraud USD
2026-03-14 * "Online order #48210" "Card payment - J. Rivera"
order-id: "48210"
channel: "online-store"
Assets:Checking:Operating 189.99 USD
Income:Sales:Online -189.99 USD
2026-03-20 * "Chargeback - order #48210" "Issuer fraud dispute"
order-id: "48210"
Assets:Checking:Operating -189.99 USD
Expenses:Chargebacks:Fraud 189.99 USD在销售和后来的拒付上都标注订单标识符，一次查询就能在几秒钟内呈现完整的书面记录——销售、逆转、日期、金额。这就是609(e)就绪记录的样子：每笔交易都可追溯到其源文件，每笔逆转都链接到其原始交易。如果你当前的账簿做不到这一点，解决方案是一个有合规回报的记账项目，而非相反。想了解具体机制的读者可以在/docs/下找到查询文档。
另一项FCRA义务：雇佣背景调查
因为这个案例经常被错误描述，这里为对求职者进行背景或信用调查的雇主做一个简短澄清：那是一项真实的FCRA义务，但它存在于法律的不同部分，运作方式与第609(e)条完全不同。根据FTC和EEOC的联合雇主指南，在你从一家从事背景信息汇编业务的公司获取报告之前，你必须给申请人一份清晰的书面披露——放在独立文件中——说明可能会获取报告，并获得书面授权。如果你随后基于该报告采取不利行动，例如不录用该申请人，你必须首先提供不利行动前通知，附上报告副本和FCRA权利摘要，等待一段合理时间，然后发送最终不利行动通知，附上报告公司的联系方式和申请人争议权利的声明。
两项义务，同一部法规，方向相反：第609(e)条是关于你向欺诈受害者提供的记录；雇佣条款是关于你获取的申请人报告。不要用一项来满足另一项。
要避免的错误
- 将受害者的请求当作客户投诉。 这是一项有30天计时的联邦法律请求，不是支持工单。在到达当天就转交给指定负责人。
- 让一线员工随意答复。 "出于隐私原因我们不能分享"是自然的反应，也是违法的反应。给员工一个话术：确认收到、要求验证材料包、记录日期。
- 只搜索自己的系统。 由他人代表你持有的处理商、平台和POS记录在覆盖范围内。你的检索地图必须包括它们。
- 拖延执法机构的请求。 受害者指定或授权的机构代表受害者。拒绝他们就是拒绝受害者。
- 以为小企业可以豁免。 第609(e)条中没有任何内容取决于公司规模。接受信用卡的街角小店承担着与万亿美元零售商相同的义务——而这一次，后者是付出了代价来证明这一点的一方。
你最后一个有用的步骤很小：打开一个空白页面，把流程部分中的六个要点写下来，填入你企业的实际名称和地址，保存在信封到达时你能找到的地方。三十天从收到之日起算，而挣扎的从来不是那些做好准备的企业。
