З 1 серпня на паперових квитанціях Укрпошти почали зазначати персональні дані платників. Йдеться про повне ім’я клієнта, реєстраційний номер облікової картки платника податків, а в разі безготівкового розрахунку або поповнення — також повний номер банківської картки. У компанії пояснили, що нововведення пов’язане з вимогами Національного банку України до всіх установ, які надають фінансові послуги.
Нові правила стосуються операцій, під час яких Укрпошта фактично виконує функції платіжного посередника. Це може бути оплата комунальних послуг, переказ коштів, поповнення рахунків, погашення платежів та інші фінансові операції, доступні у поштових відділеннях. Після завершення такої операції клієнт отримуватиме паперовий документ із розширеним переліком ідентифікаційних даних.
Раніше на квитанціях частина інформації могла відображатися у скороченому або замаскованому вигляді. Наприклад, під час операцій із банківською карткою зазвичай вказують лише останні кілька цифр її номера. Такий підхід дозволяє підтвердити, яким платіжним засобом скористалася людина, але не розкриває реквізити повністю.
В Укрпошті заявили, що змушені виконувати нормативні вимоги регулятора, хоча категорично не погоджуються з їхнім змістом. На думку компанії, друкування повного податкового номера та номера банківської картки на паперових чеках створює зайві ризики для приватності клієнтів.
Квитанція може залишитися на поштовій стійці, випасти з кишені, потрапити до смітника або опинитися в руках сторонньої людини. Якщо на ній надруковано одразу кілька ідентифікаторів, документ може стати джерелом інформації для шахраїв, які використовують персональні дані під час телефонних дзвінків, фішингових атак або спроб видати себе за працівників банку.
Генеральний директор Укрпошти Ігор Смілянський публічно розкритикував нові вимоги. Він іронічно зауважив, що для повного набору інформації, корисної шахрайським кол-центрам, на чеках бракує лише терміну дії картки та захисного CVV-коду.
У компанії наголошують, що поєднання повного імені, податкового номера та реквізитів картки значно спрощує персоналізацію шахрайських звернень. Зловмисник може назвати справжні дані людини, щоб викликати довіру, а після цього спробувати отримати код із SMS, пароль до банківського застосунку або іншу конфіденційну інформацію.
Сам по собі номер картки зазвичай не дозволяє списати кошти без додаткових реквізитів і підтверджень. Водночас його розкриття разом з іншими персональними даними збільшує ризик соціальної інженерії. Шахраї можуть використати відомості з квитанції як основу для переконливої легенди про нібито заблокований платіж, повернення коштів або перевірку банківського рахунку.
Укрпошта посилається на міжнародний принцип мінімізації даних. Він передбачає, що компанії й державні установи повинні збирати, обробляти та відображати лише ту інформацію, яка справді необхідна для досягнення конкретної мети. Якщо підтвердити операцію можна за допомогою частково прихованого номера, друк повних реквізитів може вважатися надмірним.
У компанії зазначили, що в країнах Європейського Союзу та Сполучених Штатах до платіжних документів застосовують суворі вимоги безпеки. Повні номери банківських карток, податкові ідентифікатори та інші чутливі дані зазвичай маскують або не друкують узагалі, якщо цього не вимагає особлива процедура.
Укрпошта вже звернулася до Національного банку, Кабінету Міністрів, Верховної Ради та Уповноваженого Верховної Ради з прав людини. Компанія просить переглянути нові правила й скасувати вимогу щодо друку повних персональних та платіжних даних на квитанціях.
До моменту можливої зміни нормативних вимог поштовий оператор повинен їх виконувати. Тому працівники відділень можуть просити клієнтів надати податковий номер під час проведення фінансової операції. У компанії запевняють, що намагатимуться зробити цей процес якомога менш обтяжливим.
Податковий номер планують запитувати лише один раз. Після введення дані зберігатимуться в інформаційній системі, тому під час наступних відвідувань клієнтові не доведеться повторно диктувати або показувати документ із РНОКПП.
Це не стосуватиметься людей, інформація про яких уже міститься в системі Укрпошти. За даними компанії, понад чотири мільйони клієнтів раніше надавали персональні дані для отримання пенсій, державної «Зимової підтримки», енергозберігальних ламп або інших послуг.
Такі клієнти не повинні повторно повідомляти податковий номер, якщо запис у системі є актуальним і його можна коректно ідентифікувати. Водночас у разі відсутності інформації або невідповідності даних працівник відділення може попросити підтвердити особу.
Нововведення може особливо вплинути на людей старшого віку, які регулярно оплачують комунальні послуги у відділеннях пошти та переважно користуються паперовими квитанціями. Частина клієнтів звикла зберігати такі документи вдома протягом тривалого часу як підтвердження платежів.
Укрпошта закликала не залишати квитанції у доступних місцях і не викидати їх до загальних смітників без попереднього знищення. Непотрібний чек рекомендують утилізувати вдома, розірвавши його на дрібні частини або знищивши фрагменти, на яких зазначені ім’я, податковий номер і реквізити картки.
Особливо уважними варто бути клієнтам, які здійснюють операції у великих відділеннях із чергами. Квитанцію необхідно забирати одразу після обслуговування, не залишати біля термінала чи каси та не передавати стороннім особам.
Також не варто фотографувати чеки з відкритими даними та публікувати їх у соціальних мережах, месенджерах або групах для підтвердження оплати. Перед надсиланням зображення реквізити потрібно закрити або відредагувати, залишивши лише суму, дату та призначення платежу.
Банківські працівники, поштові оператори та представники державних установ не повинні просити телефоном називати CVV-код, одноразові паролі із SMS або дані для входу в мобільний банкінг. Навіть якщо співрозмовник знає ім’я, податковий номер чи частину реквізитів картки, це не підтверджує, що він справді представляє офіційну установу.
Ситуація викликала дискусію про баланс між фінансовим контролем і захистом персональної інформації. Вимоги до ідентифікації платників можуть бути необхідними для протидії шахрайству, відмиванню коштів і помилкам під час проведення операцій. Однак зберігання інформації в захищеній системі та її друк на паперовому носії створюють різні рівні ризику.
Електронні бази мають технічні засоби контролю доступу, журналювання дій і захисту інформації. Паперова квитанція не має таких механізмів. Після видачі клієнту оператор уже не може контролювати, де документ зберігатиметься та хто його побачить.
Саме тому Укрпошта пропонує переглянути не обов’язкову ідентифікацію як таку, а спосіб відображення даних у кінцевому документі. Компанія вважає, що інформацію можна зберігати в системі для перевірок, але на чеку показувати лише частково замасковані значення.
Наприклад, податковий номер можна відображати з прихованими центральними цифрами, а номер банківської картки — лише з останніми чотирма знаками. Такий формат дозволяє клієнту ідентифікувати операцію та водночас зменшує цінність квитанції для потенційних шахраїв.
Подальша доля вимог залежатиме від реакції Національного банку та інших державних органів. Регулятор може надати додаткове роз’яснення, змінити порядок оформлення документів або залишити чинні правила без змін.
До ухвалення нового рішення клієнтам доведеться враховувати, що паперова квитанція тепер може містити значно більше персональної інформації, ніж раніше. Її потрібно сприймати не просто як звичайний чек, а як документ із конфіденційними даними.
Запровадження правил із 1 серпня показало, наскільки важливо оцінювати не лише зручність фінансових процедур, а й можливі наслідки для безпеки громадян. Укрпошта виконує вимоги НБУ, але водночас наполягає на їх перегляді та закликає клієнтів обережно поводитися з отриманими квитанціями.
