Агрегаторы займов и открытые API кто видит ваши данные

Что такое агрегатор займов и как он на самом деле устроен?

Как выглядит маршрут заявки от момента заполнения анкеты до получения оферты?

Упрощённая схема выглядит так:

Пользователь заполняет единую анкету на витрине агрегатора.

Ключевая деталь: агрегатор не выдаёт деньги. Он сводит спрос и предложение. Заём оформляет лицензированная МФО из реестра Банка России.

Чем агрегатор отличается от МФО, банка и финансового маркетплейса?

151-ФЗ, 353-ФЗ, 230-ФЗ

Банковское законодательство

211-ФЗ

Маркетплейс типа microzaim.shop работает именно как агрегатор — собирает в одном окне предложения от лицензированных МФО, не подменяя собой кредитора.

Какую задачу агрегатор решает для заёмщика — и какую для кредитора?

Заёмщику не нужно заполнять восемь анкет на восьми сайтах. Одна форма — и сразу понятно, где есть шанс на одобрение. Для МФО агрегатор — это поток прогретых заявок, отфильтрованных по базовым критериям. Каждая сторона экономит время на отсев.

Что такое Open API в финансовой сфере и зачем он нужен?

Как данные передаются через API: форматы, протоколы, уровни доступа?

API (Application Programming Interface) — это, по сути, телефонная линия между двумя программами. Они не «видят» друг друга целиком, а обмениваются строго определёнными сообщениями по заранее согласованному словарю. В финансовом Open API используются стандартные технологии: REST-архитектура, формат JSON, шифрование по TLS 1.2/1.3, авторизация по OAuth 2.0 с подписанными токенами.

Аналогия: представьте окно в банке с пуленепробиваемым стеклом и узкой щелью для документов. Кассир видит только то, что вы просунули. Open API устроен похоже: внешний участник получает не «всю базу», а конкретный фрагмент данных, на который у него есть мандат.

Чем открытый API отличается от закрытого корпоративного интерфейса?

Закрытый API — это частная договорённость двух компаний. Документация не публикуется, условия меняются произвольно, внешнего аудита нет. Открытый API — это стандарт. Спецификация публична, требования к безопасности фиксированы регулятором, любая компания, прошедшая аккредитацию, может подключиться на равных условиях.

Инженерный компромисс: открытый стандарт жёстче по требованиям и медленнее в эволюции, но даёт предсказуемость и понижает порог входа для новых игроков. Закрытый API гибче, но создаёт монополии и непрозрачность.

Какую практическую задачу Open API решает для участников финансового рынка?

Главная — устранить «зоопарк» интеграций. До стандартизации каждое подключение нового агрегатора к новому банку — это месяцы разработки. С Open API подключение становится типовым: один раз реализовал стандарт — работаешь со всеми. Для пользователя это означает шире выбор сервисов и быстрее их появление на рынке.

Кто конкретно получает доступ к вашим данным при подаче заявки?

Какие данные агрегатор собирает в анкете и что происходит с ними дальше?

Стандартный набор полей выглядит примерно так:

Эти данные хранятся у агрегатора как у оператора ПД, а затем передаются партнёрам в объёме, необходимом для скоринга. Не вся анкета уходит каждому кредитору — здесь действует принцип минимизации: МФО получает столько, сколько нужно для решения.

Все ли партнёры-кредиторы видят вашу анкету или только отобранные?

Только отобранные. Маршрутизация работает на основе предварительных фильтров: возраст, регион, наличие активных просрочек, источник дохода. Если ваш профиль не соответствует базовым критериям конкретной МФО, её даже не уведомляют о существовании заявки. Это снижает и нагрузку на партнёров, и распространение данных.

Какую роль в цепочке обмена играют бюро кредитных историй?

БКИ — центральный узел. По 218-ФЗ кредитор не может оценить заёмщика без запроса в бюро (минимум в одно из квалифицированных — НБКИ, ОКБ, Скоринг Бюро). Агрегатор может запросить «лёгкий» скоринг до маршрутизации, а сами МФО запрашивают полную кредитную историю уже на этапе финального решения. Каждый запрос фиксируется в истории — это публично доступная информация для самого заёмщика.

Получают ли доступ к вашим данным антифрод-провайдеры и скоринговые системы?

Да, и это нормальная часть процесса. Антифрод-системы проверяют:

не используется ли паспорт по чужой воле,

не похожа ли заявка на массовое мошенничество,

не находится ли телефон/устройство в чёрных списках,

соответствует ли поведение типичному паттерну живого пользователя.

Эти проверки происходят автоматически, в фоновом режиме, и в большинстве случаев защищают самого заёмщика от оформления займа на его имя третьим лицом.

Итог по разделу: ваши данные видят агрегатор (как оператор), фильтрованный пул МФО, минимум одно БКИ и антифрод-провайдер. Это закрытая, регулируемая цепочка — не «весь рынок».

На каком правовом основании ваши данные передаются третьим лицам?

Что на самом деле содержит согласие, которое вы подписываете при регистрации?

Корректно оформленное согласие включает:

Если хотя бы один пункт сформулирован размыто («партнёрам компании», «в маркетинговых целях» без конкретики) — это формальное нарушение требований Роскомнадзора. На добросовестных платформах согласия декомпозированы: отдельно — на обработку, отдельно — на передачу третьим лицам, отдельно — на запрос в БКИ.

Чем согласие на обработку персональных данных отличается от согласия на передачу третьим лицам?

Первое позволяет агрегатору хранить ваши данные у себя. Второе — отправлять их кредиторам. Закон требует разграничения: пользователь должен иметь возможность согласиться на одно и отказаться от другого. На практике без согласия на передачу заявка не может быть отправлена в МФО — но это должно быть честно и недвусмысленно показано.

Что требует Банк России от агрегаторов в рамках концепции Open API?

Концепция (опубликована в 2022 году, поэтапно внедряется до 2026-го) задаёт обязательные стандарты:

Как 152-ФЗ, 218-ФЗ и 353-ФЗ разграничивают обязательства участников цепочки?

Агрегатор отвечает по 152-ФЗ. Кредитор — дополнительно по 218-ФЗ, 353-ФЗ и 115-ФЗ. Это разные уровни ответственности, и за каждый этап отвечает «свой» участник.

Как агрегаторы технически защищают данные при передаче по API?

Какие стандарты шифрования и аутентификации применяются в API-шлюзах?

Базовый набор включает:

TLS 1.2 и выше для транспортного шифрования,

mTLS (взаимная аутентификация по сертификатам) между серверами,

OAuth 2.0 + подписанные JWT-токены с коротким сроком жизни,

ограничение по IP-адресам партнёров,

логирование каждой передачи с возможностью аудита.

В дополнение действует ГОСТ Р 57580 — требования к защите информации финансовых организаций. Для платформ, работающих с картами, применим PCI DSS.

Что такое токенизация данных и снижает ли она реальный риск утечки?

Токенизация — это замена реального значения (например, номера карты или паспорта) на технический идентификатор, бесполезный за пределами конкретной системы. Если злоумышленник перехватит токен, он не сможет восстановить исходные данные без доступа к хранилищу-сейфу.

Бытовая аналогия: жетон в гардеробе. Сам по себе ничего не стоит. Ценность — только в паре с гардеробщиком, у которого хранится соответствие «жетон → пальто».

Реальный риск утечки токенизация снижает, но не устраняет. Если компрометируется хранилище соответствий — теряется всё. Поэтому токенизация — необходимое, но не достаточное условие безопасности.

По каким признакам отличить защищённую платформу от ненадёжной?

На что обращать внимание:

наличие в реестре операторов персональных данных Роскомнадзора,

Как устроен Open Banking в других странах и в чём специфика российской модели?

Что даёт пользователям европейская директива PSD2?

PSD2 закрепила два класса посредников: AISP (доступ к информации о счетах) и PISP (инициирование платежей). Банк ЕС обязан по запросу клиента предоставить лицензированному третьему лицу безопасный доступ к данным или к функции платежа. Принцип: данные принадлежат клиенту, а не банку.

Закрыл просрочку, подал заявку в две МФО из реестра ЦБ — одна одобрила лимит без отказа по КИ.— Сергей, 39 лет, кейс из практики

Чем британская модель Open Banking отличается от австралийской CDR?

Британская модель сфокусирована на банковских данных и платежах, координируется Open Banking Implementation Entity (OBIE). Австралийская CDR (Consumer Data Right) шире по охвату — распространяется не только на банки, но и на энергетику, телеком. Это уже не «открытый банкинг», а «открытые данные потребителя» как таковые.

В чём принципиальное отличие концепции Банка России от западных стандартов?

Российская модель строится по принципу поэтапного и преимущественно добровольного внедрения для большинства участников, с обязательностью для системно значимых банков. Параллельно развивается инфраструктура цифрового профиля (ЕСИА, ЕБС), что делает архитектуру более государство-центричной по сравнению с европейской. Акцент — на стандартизации и подконтрольности, а не только на конкуренции.

Не опаснее ли передавать данные агрегатору, чем напрямую в банк?

Какие аргументы сторонники агрегаторов приводят в пользу их безопасности?

Аргументы такие:

Одно подключение к одной защищённой витрине вместо десяти заявок на сомнительных сайтах.

Предварительный отсев МФО, не входящих в реестр ЦБ.

Унификация согласий и возможность отозвать всё из одного личного кабинета.

Журналирование всех передач — пользователь видит, кому ушла заявка.

Где в действительности концентрируется наибольший риск — в агрегаторе или у конечного кредитора?

Риск распределяется. Агрегатор хранит анкету, но не выдаёт денег и не имеет прямого доступа к счетам. Кредитор получает только нужный фрагмент данных, но именно у него остаётся полная карточка клиента после заключения договора. С точки зрения утечки наибольший потенциальный ущерб — на стороне организации, у которой собраны и анкета, и история платежей, и контактные данные. Чаще всего это сам кредитор.

Что известно об инцидентах с утечками данных в финтех-сегменте?

Публичная статистика Роскомнадзора и ФинЦЕРТ показывает: значительная доля инцидентов связана не с API-обменом, а с инсайдерскими сливами в крупных организациях и с фишинговыми сайтами, имитирующими известные бренды. Стандартизированный обмен через Open API статистически безопаснее, чем стихийная отправка сканов паспорта в мессенджеры — что, к сожалению, остаётся массовой практикой.

Как взять под контроль свои данные и воспользоваться своими правами?

Как узнать, кому именно уже переданы ваши данные?

Доступные инструменты:

запрос в БКИ — покажет все организации, запрашивавшие вашу кредитную историю (раз в год бесплатно через Госуслуги);

личный кабинет агрегатора — должен отображать перечень партнёров, которым уходили заявки;

запрос оператору ПД по 152-ФЗ — оператор обязан в течение 30 дней предоставить сведения об обработке.

Как правильно отозвать согласие и добиться удаления профиля?

Отзыв оформляется письменно — через личный кабинет, email или почтовое отправление. Оператор обязан прекратить обработку в течение 30 дней или обосновать, почему обработка продолжается на ином законном основании (например, исполнение действующего договора займа). Полное удаление возможно только если у оператора нет иных законных оснований для хранения.

Что делать, если вы подозреваете несанкционированное использование ваших данных?

Алгоритм короткий:

Запросить кредитную историю во всех квалифицированных БКИ.

При обнаружении незнакомых запросов или договоров — направить претензию в соответствующую организацию.

Подать заявление в полицию по факту мошенничества.

Уведомить Банк России через интернет-приёмную.

При утечке у конкретного оператора — обратиться в Роскомнадзор.

Как безопасно работать с агрегатором займов: пошаговый чек-лист?

Проверьте оператора в реестре Роскомнадзора.

На microzaim.shop подбор предложения происходит по этой же схеме: единая анкета, маршрутизация только в лицензированные МФО из реестра ЦБ, прозрачный перечень партнёров в пользовательском соглашении. Заёмщику не приходится оставлять одни и те же данные на десятках сайтов разной степени надёжности — обмен происходит в контролируемом периметре, а договор заключается напрямую с выбранной микрофинансовой организацией.

Вопросы, которые возникают после прочтения

Влияет ли подача заявки через агрегатор на кредитный рейтинг?

Сам факт заполнения анкеты на агрегаторе на рейтинг не влияет. Влияют запросы кредитной истории, которые делают МФО при оценке заявки. Большое количество запросов за короткий период может незначительно понизить скоринговый балл — алгоритмы трактуют это как признак финансовой нестабильности.

Обязан ли агрегатор хранить данные только на серверах в России?

Да. Требование локализации персональных данных российских граждан закреплено в 242-ФЗ (поправки к 152-ФЗ). Первичный сбор и хранение должны происходить в базах данных, физически расположенных на территории РФ.

Что происходит с данными, если агрегатор закрывается или меняет владельца?

При ликвидации оператор обязан уничтожить персональные данные. При смене владельца — уведомить субъектов и получить новое согласие, если меняются цели обработки. На практике контроль за исполнением осуществляет Роскомнадзор, и обнаружить нарушения постфактум сложно — поэтому при выборе платформы стоит обращать внимание на её устойчивость и историю работы.

Можно ли получить машиночитаемую копию своих данных у агрегатора?

В российском законодательстве прямого аналога европейского права на портируемость данных (GDPR, ст. 20) пока нет. Однако концепция Банка России по Open API движется в сторону обеспечения такой возможности — в перспективе пользователь сможет выгружать свои данные и переносить их между сервисами в стандартизированном формате.

Чем согласие через ЕСИА отличается от обычного пользовательского соглашения?

Согласие через ЕСИА подписывается усиленной квалифицированной или простой электронной подписью, привязано к подтверждённой учётной записи на Госуслугах и имеет более высокий статус доказательства. Обычное согласие на сайте — это акцепт через проставление галочки, и в спорных случаях оператору сложнее доказать факт его получения именно от вас. Для финансовых операций ЕСИА-аутентификация — золотой стандарт.

Нормативная база

• ФЗ № 151 «О микрофинансовой деятельности»

• ФЗ № 353 «О потребительском кредите (займе)»

• ФЗ № 218 «О кредитных историях»

• ФЗ № 230 «О защите прав заёмщиков» (коллекторы)

• Реестр МФО Банка России