Приватна платіжна система в сервісі ДМС: що відомо про «ГЕРЦ»

У роботі електронної черги Державної міграційної служби використовується інфраструктура приватної фінансової компанії «ГЕРЦ». Автори Telegram-каналу Absolution Leaks звернули увагу на те, як саме організована ця інтеграція, хто визначає комісію за платежі та куди потрапляють персональні дані громадян.

Йдеться про систему, через яку користувачі записуються на отримання адміністративних послуг ДП ДМС «Документ» та здійснюють оплату.

Публічна оферта замість окремого договору для користувача

Перед здійсненням оплати громадянину пропонують погодитися з «Публічним договором про надання платіжних послуг з переказу коштів без відкриття рахунків».

Документ розміщений безпосередньо на піддомені ДМС — cherga.dmsu.gov.ua.

Перед кнопкою оплати користувач повинен поставити позначку про те, що він ознайомився з договором-офертою щодо організації запису та сплати адміністративних послуг через інтернет.

Стороною договору виступає ТОВ «ФК «ГЕРЦ».

Фактично громадянин, який користується електронною чергою та переходить до оплати, автоматично взаємодіє вже не лише з державним сервісом, а й із приватною фінансовою компанією.

Сервіс ГЕРЦ працює всередині державного сайту

На офіційній сторінці ДМС сервіс електронної черги підключений через iframe з адреси cherga.dmsu.gov.ua.

За технічним аналізом, наведеним авторами публікації, на піддомені працює застосунок на Next.js. В інтерфейсі система називається «Система керування чергою QMotion Suite».

Платіжний шлюз при цьому не вбудований безпосередньо в клієнтський код. Посилання на оплату формується сервером після створення відповідного запиту.

Тобто для звичайного користувача весь процес виглядає як єдиний державний сервіс: він заходить на сайт ДМС, обирає послугу, реєструється в черзі й переходить до оплати. Однак частину цього ланцюжка фактично забезпечує приватна компанія.

Хто встановлює комісію

Окреме питання стосується вартості обслуговування.

У публічній оферті зазначено, що інформація про розмір комісії розміщується на ресурсі самої ФК «ГЕРЦ».

Таким чином, за твердженням авторів розслідування, конкретний розмір комісії фактично визначається приватною компанією та публікується на її сайті.

При цьому користувач потрапляє до цього платіжного механізму безпосередньо з державного сервісу.

Автори публікації також звертають увагу на відсутність помітної альтернативи цьому способу оплати всередині самої електронної черги.

Це створює логічне питання: чи має громадянин реальний вибір платіжного оператора, якщо приватний сервіс уже інтегрований у стандартний сценарій отримання державної послуги.

Персональні дані громадян

Найбільш чутливою частиною історії є обробка персональних даних.

У договорі зазначається, що користувач погоджується на обробку, використання та зберігання своїх персональних даних.

У документі про обробку персональних даних, на який посилаються автори публікації, серед володільців даних названі одночасно ДП «Документ» та «ГЕРЦ».

Також вказується, що персональні дані можуть зберігатися до п’яти років.

Тобто приватна компанія отримує доступ до інформації громадян у межах роботи сервісу, який візуально та технічно пов’язаний із державним ресурсом.

Цей момент потребує окремого пояснення з боку ДМС і ДП «Документ»: які саме дані передаються приватному оператору, на яких правових підставах, де вони фізично зберігаються і хто має до них доступ.

Навіть технічна підтримка веде на ГЕРЦ

На сторінці ДМС для вирішення проблем зі вже сплаченою квитанцією користувачам пропонують звертатися на електронну адресу [email protected].

При зверненні потрібно вказати прізвище, ім’я, по батькові та номер талона.

Тобто навіть у випадку проблеми з оплатою громадянин передає додаткові персональні дані безпосередньо на поштовий домен приватної компанії.

Окремого державного каналу для такого звернення, як зазначають автори публікації, не передбачено.

Чому виникають питання

Сама участь приватної фінансової компанії в оплаті державних послуг не є чимось надзвичайним. Такі моделі використовуються в багатьох електронних сервісах.

Питання виникають через конкретну конфігурацію системи.

Приватний сервіс інтегрований безпосередньо в державний сайт, компанія бере участь у роботі електронної черги, отримує персональні дані користувачів, самостійно публікує інформацію про комісію та виступає каналом технічної підтримки для громадян.

При цьому для користувача межа між державним сервісом і приватною інфраструктурою практично непомітна.

Автори Absolution Leaks також пов’язують ФК «ГЕРЦ» із бізнесменом Костянтином Ткачем та згадують кримінальні провадження за ст. 212 КК України навколо пов’язаних із ним структур. Водночас зі самої публікації неможливо встановити процесуальний статус Ткача у таких провадженнях чи їхні результати, тому ці твердження потребують окремої перевірки.

Так само автори посилаються на виявлені раніше фінансові порушення в діяльності ДП «Документ» на суму близько 71 млн грн. Цей епізод також варто розглядати окремо від питання роботи ГЕРЦ.

Головне ж питання полягає в іншому: чому приватний платіжний оператор настільки глибоко інтегрований у державний сервіс, хто контролює розмір його комісії та чи достатньо захищені персональні дані громадян, які користуються електронною чергою ДМС.