Передали банківську картку родичу, надали працівнику доступ до корпоративного рахунку або дозволили іншій особі провести платіж? Самі по собі такі дії не є злочином. Але законопроєкт №16013 суттєво розширює кримінальну відповідальність у сфері використання платіжних інструментів і рахунків. І питання полягає в тому, наскільки чітко нові норми дозволять відрізнити учасника злочинної схеми від звичайного громадянина або легального бізнесу.
15 вересня Верховна Рада прийняла за основу президентський законопроєкт №16013 щодо захисту громадян та їхніх коштів від незаконних дій із платіжними інструментами й банківськими рахунками. Документ позиціонується насамперед як інструмент боротьби з так званими «дропами» — особами, які передають свої картки, рахунки або доступ до них для використання у шахрайських та інших злочинних схемах.
Проблема безумовно існує. За даними Головного науково-експертного управління Верховної Ради (ГНЕУ), близько 70% кібершахрайств пов'язані з використанням платіжних засобів «дропів», а через такі картки, за оцінкою НБУ, може проходити близько 200 млрд грн на рік. Однак запропонований законодавцем механізм стосується значно ширшого кола відносин, ніж діяльність шахрайських кол-центрів.
Що пропонує законопроєкт №16013
Кримінальний кодекс України пропонується доповнити новою статтею 200¹. Відповідальність передбачається, зокрема, за передачу платіжного інструменту, індивідуальної облікової інформації, надання доступу до них, банківського чи платіжного рахунку або електронного гаманця, якщо це зроблено з метою вчинення іншими особами шахрайства або іншого кримінального правопорушення.
Окремо криміналізуються одержання, придбання, зберігання та інше набуття платіжного інструменту чи облікової інформації іншої особи, отримання доступу до чужого рахунку або електронного гаманця, а також передача, збут чи перевезення чужого платіжного інструменту з відповідною злочинною метою.
При цьому законопроєкт передбачає суттєво суворішу відповідальність за повторність таких дій або їх вчинення організованою групою.
Тому популярне формулювання «за передачу своєї картки можуть посадити» є надмірним спрощенням. Сам факт передачі картки або доступу ще не утворює складу кримінального правопорушення — необхідно встановити передбачену законом злочинну мету. Але саме з її встановленням на практиці й можуть виникати основні ризики.
Ризик №1. Картка або рахунок опинилися у злочинній схемі, але власник про це не знав
Уявімо звичайну ситуацію: людина передає іншій особі картку або доступ до рахунку для здійснення певної операції. Пізніше через цей рахунок проходять кошти, пов'язані з шахрайством.
За текстом законопроєкту цього недостатньо для кримінальної відповідальності власника: слідству необхідно встановити, що доступ був переданий саме з метою вчинення злочину. Але на практиці правоохоронний орган спочатку може бачити іншу картину: рахунок → підозріла транзакція → доступ до рахунку мала інша особа. І вже в межах кримінального провадження може з'ясовуватися, чому був переданий доступ, що знав власник рахунку, які домовленості існували між сторонами та чи усвідомлював він подальше використання рахунку.
Показово, що під час розгляду законопроєкту у Верховній Раді окремо порушувалося питання про людей похилого віку, які передають банківські картки дітям чи сусідам для отримання пенсії або здійснення необхідних операцій.
Тому ризик полягає не в тому, що будь-яка передача картки автоматично стане злочином, а в тому, що добросовісній особі вже в межах кримінального провадження може доводитися пояснювати обставини та мету передачі доступу до власного рахунку. Саме тому нова норма має містити достатні запобіжники для чіткого відмежування таких ситуацій від свідомої участі у злочинній схемі.
Ризик №2. Звичайна корпоративна практика може стати предметом кримінального провадження
Для бізнесу питання ще складніше. У багатьох компаніях доступ до платежів фактически розподілений між кількома людьми: директором, бухгалтером, фінансовим директором, менеджерами.
Корпоративна картка може бути оформлена на одну особу, але фактично використовуватися іншою. Працівнику можуть передаватися засоби авторизації або доступ до клієнт-банку. Один співробітник формує платіж, інший його підтверджує. У звичайній господарській діяльності це лише питання внутрішньої організації роботи. Але якщо рахунок або платіжний інструмент згодом буде використаний в операції, якій правоохоронці нададуть кримінально-правову оцінку, предметом перевірки може стати весь ланцюг доступу до рахунку та повноваження кожної особи.
І для компанії це вже не лише ризик конкретного працівника. Законопроєкт пропонує включити статті 200 та 200¹ КК до переліку кримінальних правопорушень, які за встановлених законом умов можуть бути підставою для застосування заходів кримінально-правового характеру до юридичної особи.
Це не означає, що будь-яке порушення працівника автоматично створюватиме відповідальність компанії. Однак сам факт включення нових складів до цього механізму означає, що компаніям варто дивитися на №16013 не як на законопроєкт виключно «про кол-центри», а як на зміни, що безпосередньо стосуються корпоративного контролю за рахунками, картками та платіжними доступами.
Ризик №3. Законопроєкт виходить далеко за межі боротьби з шахрайством
Це одна з найбільш дискусійних норм законопроєкту. Стаття 200¹ говорить не лише про передачу рахунку, картки чи доступу до них для шахрайства, а й з метою вчинення «іншого кримінального правопорушення».
Тобто сфера застосування нової норми фактично не обмежується шахрайськими кол-центрами або класичними «дропами». Вона потенційно може застосовуватися і в кримінальних провадженнях, пов'язаних зі звичайною господарською діяльністю підприємств, якщо слідство вважатиме, що передача платіжного інструменту або доступу до рахунку була пов'язана з вчиненням іншого правопорушення.
Головне науково-експертне управління Верховної Ради у своєму висновку прямо зазначило, що запропонована криміналізація є істотно ширшою за мінімальні вимоги Директиви ЄС 2019/713. Проєкт поширює нову норму на будь-яке «інше кримінальне правопорушення», тоді як відповідна Директива спрямована виключно на боротьбу із шахрайством та підробкою безготівкових платіжних засобів.
Співвідношення зі ст. 255⁴ КК України
Окреме питання виникає і щодо співвідношення законопроєкту №16013 з уже прийнятою ст. 255⁴ КК України. Нова норма про відповідальність за діяльність електронно-комунікаційних шахрайських організованих груп уже охоплює свідоме надання засобів, послуг, інформації та інше сприяння діяльності такої групи (зокрема використання реквізитів платіжних інструментів).
Щодо «дропів», які свідомо сприяють діяльності таких шахрайських груп, сфери застосування ст. 255⁴ та запропонованої ст. 200¹ можуть перетинатися. Водночас №16013 іде значно далі й охоплює операції з платіжними інструментами з метою вчинення будь-якого іншого кримінального правопорушення.
Ризик №4. Нові норми перетинаються з уже існуючими статтями КК
Запропонована редакція ст. 200 КК частково охоплює поведінку, відповідальність за яку вже передбачена статтями 231, 361 та 362 Кримінального кодексу України. ГНЕУ вказує на необхідність узгодити ці норми, щоб уникнути труднощів при розмежуванні складів кримінальних правопорушень та їх кваліфікації.
Для бізнесу це має цілком практичне значення: одна й та сама операція з доступом до рахунку або інформації не повинна створювати невизначеність щодо того, за якою саме статтею її оцінюватимуть правоохоронні органи.
Ризик №5. Є питання навіть до того, хто розслідуватиме такі справи
Законопроєкт встановлює спеціальне правило підслідності за новою ст. 200¹ КК. Але запропонована конструкція фактично містить два критерії визначення органу розслідування, які можуть вказувати на різні правоохоронні органи, і законопроєкт не визначає, який із них має перевагу.
За висновком ГНЕУ, це може спричинити конкуренцію правил підслідності. На практиці така невизначеність може призвести до ситуацій, коли діяльністю підприємства в межах пов'язаних кримінальних проваджень можуть одночасно цікавитися різні правоохоронні органи.
Що варто зробити бізнесу вже зараз
Законопроєкт поки не набрав чинності, тому перебудовувати діяльність компанії під нову кримінальну норму передчасно. Але провести аудит існуючих практик цілком доцільно.
Насамперед бізнесу варто перевірити, хто фактично має доступ до корпоративних банківських рахунків, карток, електронних гаманців та засобів авторизації і чи відповідає фактичний доступ оформленим повноваженням. Особливу увагу варто звернути на ситуації, коли:
- корпоративною карткою фактично користується не та особа, на яку вона оформлена;
- логіни, паролі, токени або інші засоби доступу до клієнт-банку передаються між працівниками;
- платежі здійснюють особи, чиї повноваження документально не оформлені;
- працівники використовують особисті картки для приймання або переказу коштів компанії;
- відсутній внутрішній порядок надання, зміни та припинення доступу до банківських рахунків.
Для більшого бізнесу доцільно також розмежувати функції формування та підтвердження платежів, вести актуальний перелік осіб із банківськими доступами та фіксувати підстави їх надання. Це нормальна корпоративна гігієна незалежно від того, в якій редакції законопроєкт №16013 буде прийнято.
Боротьба з шахрайством не повинна створювати правову невизначеність
Мета законопроєкту №16013 зрозуміла: перекрити один із ключових інструментів роботи шахрайських схем — використання чужих банківських рахунків і платіжних інструментів. Але закон повинен проводити максимально чітку межу між свідомою участю у злочинній схемі та звичайною побутовою або господарською поведінкою.
Завдання законодавця — не лише дати правоохоронцям ефективний інструмент боротьби з «дропами», а й встановити достатньо чіткі межі його застосування, щоб він не створював невиправданих кримінально-правових ризиків для добросовісних громадян та легального бізнесу.
