Запит платіжної системи: правомірність та конфіденційність інформації про покупців

Частково так, запит може бути правомірним, але платіжна система має діяти в межах закону про платіжні послуги та власних правил, а від вас не можуть вимагати більший обсяг даних про покупця, ніж це випливає із закону та укладеного договору.

Обґрунтування

1. Які повноваження мають платіжні системи та їх учасники
Платіжні системи та надавачі платіжних послуг діють лише в межах законодавства та правил платіжної системи, а відносини між суб’єктами платіжних систем регулюються договорами з урахуванням цих правил і вимог закону, у тому числі щодо захисту інформації та прав споживачів, як це прямо випливає зі ст. 71–75 Закону № 1591-20 "Про платіжні послуги". Якщо у публічній оферті/договорі з Liqpay немає погодженого вами права вимагати певний обсяг інформації, вони можуть посилатися лише на норми закону та підзаконні акти НБУ.

2. Обмеження щодо розкриття інформації про користувачів (покупців)
Надавачі платіжних послуг зобов’язані забезпечувати конфіденційність даних користувачів, зберігати таємницю надавача платіжних послуг, банківську та іншу інформацію з обмеженим доступом, а працівники несуть відповідальність за її розголошення, згідно зі ст. 67 Закону № 1591-20. Також НБУ окремо встановлює правила зберігання, захисту, використання та розкриття таємниці надавача платіжних послуг, де чітко визначено, кому і в якому обсязі може розкриватись інформація щодо рахунків та операцій, і це переважно державні органи або сам користувач/особи, ним уповноважені, відповідно до постанови НБУ № 147 від 29.12.2022 (Правила, затверджені постановою № 147). Це означає, що детальні персональні дані покупця можуть надаватись третій особі лише за наявності належної підстави (закон, договір, згода суб’єкта даних).

3. Внутрішні правила безпеки платіжних систем не скасовують вимоги щодо таємниці
Закон про платіжні послуги вимагає від платіжних систем та надавачів платіжних послуг мати внутрішні правила управління ризиками та за потреби обмінюватися інформацією про помилкові, неналежні чи шахрайські операції, у тому числі з іншими надавачами та державними органами, але з дотриманням законодавства та правил платіжних систем (ст. 66, 71, 76–78 Закону № 1591-20). Це дає підставу Liqpay перевіряти діяльність мерчантів і окремі транзакції, але не дає безумовного права вимагати від вас розширений масив персональних даних покупця, якщо це прямо не передбачено договором або вимогою НБУ/закону.

4. Критерії оцінки правомірності запиту на практиці
Щоб оцінити запит від Liqpay, доцільно перевірити:

• чи є Liqpay у вашому випадку саме надавачем платіжних послуг або технологічним/платіжним оператором, який за законом та правилами системи має право здійснювати оверсайт і комплаєнс‑перевірки;
• чи передбачає ваш договір/оферта з Liqpay право оператора системи запитувати у мерчанта інформацію про конкретні операції та покупців (обсяг, формат, цілі використання даних);
• чи обмежений запит мінімально необхідними відомостями (наприклад, сума, дата, номер замовлення, узагальнена інформація про товар/послугу, країну/місто покупця) чи вимагаються надмірні персональні дані, що не є необхідними для контролю операції;
• чи зазначена у запиті правова підстава (посилання на Закон № 1591-20, внутрішні правила платіжної системи тощо) і мета обробки/передачі даних.

Якщо запит вимагає явно ширший обсяг персональних даних покупця, ніж це потрібно для ідентифікації транзакції та оцінки її законності, і при цьому це не випливає з договору або обов’язкових вимог НБУ, ви маєте право звернутися до Liqpay з уточненням правової підстави, мети та можливим обмеженням обсягу наданих даних.

Рекомендація:
Попросіть у Liqpay посилання на конкретні положення договору/правил системи або норми Закону № 1591-20, які обґрунтовують запитуваний саме такий обсяг інформації про покупця, і за можливості надавайте лише мінімально достатні для ідентифікації операції дані, не розкриваючи зайві персональні відомості без очевидної законної підстави.

Якщо нададуть чітке нормативне або договірне обґрунтування, виконання запиту буде безпечнішим і з правової, і з комплаєнс‑позиції.