Верификация номера телефона

Верификация номера телефона — это проверка, пользуется ли номером из анкеты сам заявитель, человек с указанными в ней ФИО. В России обработку ФИО и номера при такой проверке регулирует Федеральный закон № 152-ФЗ «О персональных данных». Банки, МФО и маркетплейсы запрашивают её при регистрации клиента и смене контактных данных.

Кратко:

• Код из SMS подтверждает только доступ к номеру в момент ввода, но не то, что номером постоянно пользуется заявитель.
• Подтверждение связки ФИО-телефон даёт ответ «подтверждена» или «не подтверждена», а проверка использования номера физлицом — балл от 0 до 5.
• Балл 0 значит, что в источниках нет сведений о номере, а не что номер чужой. Отрицательный результат мошенничества не доказывает.
• Проверка номера не заменяет идентификацию клиента, если её требует закон.
• Цель, законное основание и объём данных организация-оператор определяет по ст. 5 и 6 Федерального закона № 152-ФЗ.

Что такое верификация номера телефона

Верификация показывает, кто фактически пользуется номером. Абонентом по договору бывает один человек, а номером пользуется другой, как это бывает с корпоративными SIM-картами сотрудников или семейными номерами. Банк или маркетплейс заключает договор с фактическим пользователем и ему же отправляет уведомления и коды.

В абонентском договоре записан только абонент: человек или компания, на которых оформлен номер. Чтобы установить фактического пользователя, IDX сверяет номер со сведениями банков, удостоверяющих центров и государственных реестров. В этих источниках человек проходил личную идентификацию и сам указал номер телефона в качестве своего контакта.

Оператор связи по п. 6 ст. 44 Федерального закона № 126-ФЗ «О связи» до начала оказания услуг обязан проверять достоверность сведений об абоненте, а если абонент является юридическим лицом или ИП, то и о пользователях его услугами связи. На банк и маркетплейс эта обязанность не распространяется. Связь номера с ФИО заявителя они проверяют при регистрации клиента или смене контакта для установления фактического пользователя номера.

Какие бывают проверки номера телефона

Организация может проверить, есть ли у человека доступ к номеру, связан ли номер с ФИО заявителя и как давно номер у текущего абонента. Для этого организация использует SMS-код, сверку с источниками и проверку срока жизни номера.

Чем верификация отличается от SMS-кода и MFA

SMS-код подтверждает только, что в момент проверки у человека был доступ к коду, отправленному на номер. Владелец телефона может продиктовать код постороннему, поэтому ввод кода не доказывает, что заявитель постоянно пользуется номером. Во время SMS-бомбинга мошеннику ещё проще убедить человека продиктовать код звонящему. По источникам IDX устанавливает, кто пользуется номером, но проверить по ним, у кого в руках находится телефон прямо сейчас, нельзя.

Многофакторная аутентификация защищает вход в аккаунт: пользователь подтверждает вход факторами разных типов, например паролем и кодом из приложения. Анкетные данные при входе остаются непроверенными, поэтому связь номера с ФИО организация проверяет отдельно: при регистрации и при смене контакта. Какие проверки при регистрации не снижают фрод и по каким показателям это видно, мы разобрали в статье о метриках фрода.

Как выбрать проверку номера телефона под задачу

Для однозначного решения подходит ответ «да / нет», для сортировки заявок по риску нужен балл.

• Однозначный ответ нужен, например, перед заменой номера, на который клиент получает уведомления. В этом случае организация подключает подтверждение связки ФИО-телефон: IDX отвечает, что связка «подтверждена» или «не подтверждена».
• Градация риска нужна при регистрации, когда часть заявок организация одобряет сразу, а часть отправляет на дополнительную проверку. Под эту задачу подходит проверка использования телефонного номера физлицом с баллом от 0 до 5.
• Давность владения телефонным номером IDX определяет отдельной проверкой срока жизни номера.

Организации проверяют номер, когда клиент впервые указывает или меняет контакт: банк или МФО при дистанционном оформлении продукта, маркетплейс при регистрации продавца, служба безопасности при смене контактных данных.

Для сверки IDX нужны фамилия, имя и номер телефона; отчество и дата рождения необязательны. В подтверждении связки ФИО-телефон организация может передать ещё дату рождения и номер паспорта. С ними IDX подключает к проверке дополнительные источники, и результативность запроса может вырасти. Паспорт организация запрашивает, только если без него цели проверки не достичь. По ч. 5 ст. 5 Закона № 152-ФЗ содержание и объём обрабатываемых данных должны соответствовать заявленным целям обработки.

Как читать результат проверки номера

• Подтверждение связки ФИО-телефон возвращает ответ «подтверждена» или «не подтверждена». Ответ «не подтверждена» значит, что проверка прошла, но IDX не нашёл в источниках подтверждения связки.
• Проверка использования номера физлицом возвращает балл от 0 до 5. Балл 0 значит, что в источниках нет сведений о номере, и считать номер чужим по такому результату нет оснований. Баллы 2 и 1 указывают на средний и высокий риск несоответствия.
• Ошибка запроса возможна в обоих форматах: проверка не состоялась, и организация отправляет запрос повторно. Ошибку организация не приравнивает ни к ответу «не подтверждена», ни к баллу 0.
• При ответе «не подтверждена» или балле ниже порога, который организация установила для своего процесса, она просит заявителя уточнить ФИО и номер, назначает дополнительную проверку или передаёт заявку сотруднику.

Как обрабатывать персональные данные при проверке телефона

ФИО вместе с номером телефона относятся к персональным данным. По ст. 5 и 6 Федерального закона № 152-ФЗ организация определяет цель проверки, законное основание обработки и запрашивает только нужные для этой цели данные.

Согласие субъекта входит в число законных оснований обработки. Если организация опирается на согласие, по ст. 9 того же закона она оформляет его отдельно от другой информации и (или) документов, которые человек подтверждает и (или) подписывает.

Если проверку по поручению организации выполняет исполнитель, применяется ч. 3 ст. 6 Закона № 152-ФЗ. Организация поручает обработку на основании договора и с согласия субъекта, если иное не предусмотрено федеральным законом. Действует ли исполнитель по поручению, зависит от договора и фактических условий работы. Обязанности оператора персональных данных при работе с внешним сервисом остаются у организации-заказчика.

Статья 16 Закона № 152-ФЗ запрещает принимать решения исключительно на основании автоматизированной обработки, если такие решения порождают юридические последствия для человека или иным образом затрагивают его права и законные интересы. Исключений два: письменное согласие субъекта и случаи, предусмотренные федеральными законами, которые также устанавливают меры защиты его прав и законных интересов. Если организация принимает решение в одном из этих случаев, она как оператор обязана:

• разъяснить порядок принятия решения и его возможные юридические последствия;
• предоставить возможность заявить возражение;
• разъяснить, как человек может защитить свои права и законные интересы;
• рассмотреть возражение в течение 30 дней со дня получения и уведомить человека о результатах.

Допустим, организация автоматически отклоняет заявку только из-за отрицательного результата проверки номера, без участия сотрудника. Если такой отказ затрагивает права и законные интересы заявителя, на него распространяется ст. 16 с её запретом, исключениями и обязанностями оператора.