Уже с 20 июля 2016 года вступает в силу большая часть поправок, входящих в так называемый антитеррористический пакет Яровой и Озерова. Официально: Федеральный закон от 06.07.2016 № 374-ФЗ «О внесении изменений в Федеральный закон «О противодействии терроризму» и отдельные законодательные акты Российской Федерации в части установления дополнительных мер противодействия терроризму и обеспечения общественной безопасности».
Поправки предусматривают возложение дополнительных обязанностей на организаторов распространения информации в интернете. В настоящей статье речь пойдет о влиянии законодательных изменений на деятельность таких организаторов: что именно изменится, что будет запрещено и что потребуется делать, какие наказания предусмотрены за нарушение и другие юридические аспекты, связанные с применением закона Яровой и Озерова на практике.
Кто такие «организаторы распространения информации»?
Для признания кого-либо организатором распространения информации, нужно чтобы:
- такое лицо обеспечивало функционирование информационных систем / компьютерных программ;
- указанные информационные системы (программы) использовались для приема / передачи / доставки / обработки электронных сообщений интернет-пользователей.
Кстати говоря, понятие «организатор распространения информации» не новое, оно появилось с изменениями в закон об информации, внесенными в 2014 году.
Понятно, что нормы об организаторах распространения информации были написаны, в первую очередь, под почтовые сервисы, социальные сети, мессенджеры и другие сервисы для обмена сообщениями. Но буквальное толкование этих критериев может довести до абсурда, позволяя отнести к организаторам распространения информации даже системного администратора, обеспечивающего функционирование Microsoft Outlook или иного почтового клиента.
Неудивительно, что юридическая техника закона об информации была предметом критики в юридической среде уже тогда, когда понятие «организатор» только вводилось. Негативным последствием подобного законотворчества является, в первую очередь, то, что формулировки закона фактически допустили возможность различного толкования понятия «организатор распространения информации» – в зависимости от того, как его истолкует госорган или суд. Получается, что на практике закон может применяться избирательно к разным участникам отношений. Поэтому игрокам сетевого рынка нужно быть готовым к своего рода сюрпризам правоприменения в этой сфере.
Стоит обратить внимание на то, что организаторы распространения информации обязаны по требованию Роскомнадзора направлять ему уведомление о включении информации о себе в специальный реестр – такая обязанность была предусмотрена еще первыми изменениями, закрепляющими обязанности организаторов. Из известных организаторов распространения информации, которые уже попали в этот реестр, можно назвать такие компании как «Яндекс» (речь идет о таких продуктах как «Яндекс.Диск» и «Яндекс.Почта), «Вконтакте», Mail.ru (сервисы «Мой Мир» и сеть «Одноклассники»), Rutube и другие.
Таким образом, система контроля за сообщениями пользователей через организаторов распространения информации возникла еще в 2014 году. Именно с этой целью законодательство содержит полномочия Роскомнадзора по поиску и регистрации организаторов в реестре – с одной стороны. С другой – обязанности организаторов по хранению на территории России информации о пользователях и логов, содержащих факты приема, передачи, обработки сообщений (под «сообщением» закон понимает не только текст, но и изображения, видео и звуки). Изначальный срок хранения информации о передаче / обработке сообщений с тем, чтобы в дальнейшем передать ее правоохранительным органам, составлял шесть месяцев.
Что изменится в связи с законом Яровой?
Для «организаторов» изменится следующее:
- Информацию о пользователях и логи передачи / обработки сообщений нужно будет хранить один год (вместо полугода, как было установлено ранее).
- Появляется обязанность хранить и само содержание передаваемых сообщений в течение полугода (чтобы подготовиться к этому, дали отсрочку до 1 июля 2018 года).
- Предусмотрено, что организатор распространения информации обязан предоставлять в ФСБ России информацию, необходимую для декодирования сообщений.
Затраты, связанные с хранением персональных данных, возложили на самих организаторов распространения информации. Пока нет никаких сигналов к тому, что будут предоставляться какие-либо льготы или субсидии.
Особый интерес представляет обязанность организаторов распространения информации передавать правоохранительным органам данные для декодирования сообщений пользователей. Такая обязанность ставит под сомнение законность существования в России технологии end-to-end-шифрования (E2EE), которое используется, например, в режиме «секретного чата» (secret chat) известного мессенджера Telegram, а также многих других сервисов. Здесь стоит отметить два важных момента:
- Буквальное прочтение закона позволяет прийти к выводу, что сведения для декодирования должны предоставляться организаторами в ФСБ России в режиме реального времени (возможно, это будет изменено подзаконным актом о порядке предоставления информации организатором).
- Сама технология E2EE подразумевает, что у организатора отсутствует возможность декодирования сообщения – собственно, в этом и состоит преимущество рассматриваемой технологии шифрования.
Формулировка правила о предоставлении данных для декодирования может быть истолкована таким образом, что указанные данные должны предоставляться независимо от того, подразумевает ли технология передачи сообщений их хранение у организатора распространения информации.
Возможно, именно поэтому об уходе с российского рынка уже объявил VPN-провайдер Private Internet Access, который предоставлял возможность пользователям анонимно посещать интернет-страницы и обходить блокировки сайтов. В условиях подобного регулирования предоставляемые им услуги либо потеряли бы смысл, либо стали бы незаконными.
Наказания, предусмотренные для организаторов распространения информации
Ответственность за нарушение организаторами распространения информации обязанностей по хранению и предоставлению информации о фактах передачи / обработки сообщений или информации о пользователях существовала и раньше. В частности, еще до принятия антитеррористических поправок для организаций был предусмотрен административный штраф в размере 300-500 тыс. руб.
Теперь аналогичные нарушения будут наказываться штрафом в размере 800 тыс.-1 млн руб. Такой же штраф предусмотрен и при нарушении обязанности по передаче данных для декодирования сообщений пользователей.
Надо заметить, что предусмотренное поправками административное наказание пока что касается только непредоставления государственному органу информации о самих фактах передачи / обработки данных, а не о содержании сообщений. В случае непредоставления контента единственная возможность возложить на коммерческую организацию ответственность – это взыскать с нее стандартный штраф за игнорирование запроса госоргана. Размер такого штрафа не может превышать 5000 рублей.
Кроме того, если в отношении организатора распространения информации будет вынесено постановление по делу об административном правонарушении, а он не устранит нарушения закона, то это может стать поводом для блокировки интернет-сайта организатора по решению суда или Роскомнадзора. Здесь тоже без изменений.
Зарубежный опыт
В Европейском союзе в 2006 году была принята директива «О хранении данных», в силу которой на государства-участники Союза возложена обязанность по обеспечению хранения данных о трафике и местоположении пользователей, а также иных сведений, позволяющих идентифицировать подписчика или зарегистрированного пользователя. При этом специально отмечалось, что требования директивы не распространяются на содержание электронных сообщений.
В итоге, директива ЕС была признана недействительной Судом справедливости Европейского Союза по следующим причинам:
- Директива распространяется на все лица и все средства электронной коммуникации, равно на весь трафик без какой-либо дифференциации, ограничений и исключений, которые могли бы быть сделаны в соответствии с целью борьбы с серьезными преступлениями.
- Директива не устанавливает какого-либо объективного критерия, ограничивающего круг лиц, которым предоставляется доступ к сведениям и которые впоследствии могут их использовать. Более того, она не содержит гарантии предварительного административного или судебного решения о предоставлении такого доступа, равно не предписывает государствам установить такие гарантии.
- Директивой были предусмотрены предельные сроки хранения сведений – от 6 до 24 месяцев, но при этом не было критериев, по которым должны были бы разграничиваться сроки хранения разных видов данных.
Таким образом, Суд справедливости ЕС по сути встал на защиту частных интересов. Влияние решения суда на государства-участники Союза нельзя назвать однородным. Так, например, в Швеции и Норвегии положения директивы, тем не менее, были имплементированы без особых проблем. Наоборот, в Германии, Дании, Чехии соответствующие законодательные акты признавались неконституционными ввиду противоречия стандартам права на тайну частной жизни (статья 8 Европейской конвенции о защите прав и основных свобод).
В Соединенных Штатах Америки акта подобного директиве ЕС нет. Более того, несколько попыток принятия единого акта (в конце 1990-х и в 2009 году) так и не увенчались успехом. Тем не менее, отсутствие единого акта не мешает США собирать информацию о пользователях. Информация о пользователях в различных объемах собирается и государственными ведомствами, и частными компаниями. Например, Amazon сохраняет информацию о проводимых пользователями трансакциях, а Google в дополнение к этому еще и историю поисковых запросов.
Федеральное бюро расследований, в свою очередь, может потребовать от организатора распространения информации (частной компании) предоставить собранную информацию, направив так называемое «Письмо национальной безопасности» (National Security Letter). Примечательно, что направление такого письма не требует предварительного или последующего судебного одобрения и, более того, практически не может быть оспорено.
Поводя итог экскурсу в зарубежный опыт сбора информации, нужно отметить, что стандарты регулирования в Старом и Новом свете сильно разнятся: одни отдают приоритет правам человека, другие – вопросам национальной безопасности.
Что делать?
Отмена закона Яровой и Озерова выглядит маловероятной, особенно с учетом последних событий в мире. Остается надеяться на то, что подзаконные акты будут доработаны и уточнены, особенно в плане более четких критериев для отнесения тех или иных лиц к организаторам распространения информации, а также их обязанностей и ответственности за нарушения.
В целом, легализация сбора информации о пользователях Сети является не специфично российским, а глобальным международным трендом. Поэтому все, что остается участникам интернет-рынка – приспосабливаться к новым условиям, и находить баланс между строгим соблюдением меняющихся норм законодательства, собственными интересами и интересами пользователей.
Материал подготовлен в соавторстве с Дмитрием Симбирцевым
Кирилл, спасибо за проявленный интерес и предложенный кейс, но согласиться с Вами, впрочем, как и с решением суда, не могу.
Как Вы верно указали, суд, отказав в удовлетворении иска в полном объеме, пришел к выводу о том, что Ответчик не является оператором персональных данных (далее – ПД) в связи с тем, что обработка персональных данных не является уставным видом деятельности.
Поскольку у нас нет доступа к материалам дела, достаточно сложно судить о том, было ли это решение правильным по существу. Но я не могу согласиться с теми мотивами, которыми суд руководствовался при его вынесении.
Уставная деятельность сама по себе не является квалифицирующим признаком для определения оператора. Уставная деятельность – основная экономическая деятельность лица, а обработка ПД – сопутствующая ей, необходимая именно для полноценного осуществления основной. По сути, любое юридическое лицо (с физическими, конечно, чуть сложнее) является оператором ПД. Обосновываю я это тем, что ПД оно получает, заключая договоры с работниками и контрагентами-физическими лицами. То есть, если бы деятельность по обработке ПД нужно было бы вносить в устав, организация, этого не сделавшая, не смогла бы нанимать работников и заключать подобные договоры – ситуация, по меньшей мере, абсурдная. Более того, если мы допускаем, что обработка ПД – обязательно уставная деятельность, то куда мы денем из определения оператора ПД физических лиц (которые, как мы знаем, устава не имеют)?
К слову о компании «DHL International» («ДХЛ Интернешнл»), в более свежем решении она как раз была признана оператором персональных данных именно в связи с оказанием услуг экспресс-почты (см. Апелляционное определение Московского городского суда от 20.08.2014 по делу N 33-33140). Полагаю, что и в предложенном Вами кейсе это было бы более обоснованным
Почему суд вынес такое решение в 2007 году? Наверное, по причине того, что ФЗ «О персональных данных» был принят годом ранее, суд просто не успел сформировать его системное понимание.
На самом деле, норма об обработке персональных данных для целей исполнения договора (пп. 2 п. 2 ст. 6 в его первоначальной редакции, пп. 5 п.1 ст.6 – в актуальной) была в Законе о персональных данных с самого его принятия, но только впоследствии она стала толковаться судами таким образом, что согласие на обработку ПД для целей исполнения договора не требуется (см. например, апелляционные определения Московского городского суда от 10.03.2016 по делу N 33-8174/2016, Липецкого областного суда от 09.09.2015 по делу N 33-2540/2015, Верховного суда Республики Татарстан от 30.11.2015 по делу N 33-18193/2015 и т.д.).
Сформировавшуюся в практике позицию можно объяснить тем, что Истец, заключая договор с Ответчиком, сам предоставил ему свои персональные данные для целей его заключения и исполнения.
Вернемся к дискуссии об определении организатора распространения информации по смыслу статьи 10.1 Закона об информации.
Думаю, что аналогия оператором ПД неудачна хотя бы потому, что характер и цели их деятельности отличаются. Думается, что понятие организатора в статье 10.1 Закона об информации неслучайно сформулировано максимально широко: подобные лица не должны иметь возможности уклониться от соблюдения законодательных требований, используя строгие формальные критерии закона.
Несомненно, со временем, правоприменительная практика разрешит вопрос о том, кто является организатором и какие обстоятельства важны для присвоения такого статуса.
Если у вас появятся еще какие-либо вопросы, всегда готов на них ответить в личной переписке.
ПРАВИТЕЛЬСТВО РОССИЙСКОЙ ФЕДЕРАЦИИ
ПОСТАНОВЛЕНИЕ
от 31 июля 2014 г. N 747
ПЕРЕЧЕНЬ
ЛИЧНЫХ, СЕМЕЙНЫХ И ДОМАШНИХ НУЖД, УДОВЛЕТВОРЕНИЕ
КОТОРЫХ НЕ ВЛЕЧЕТ ИСПОЛНЕНИЯ ОБЯЗАННОСТЕЙ, ПРЕДУСМОТРЕННЫХ
ЧАСТЯМИ 2 - 4 СТАТЬИ 10.1 ФЕДЕРАЛЬНОГО ЗАКОНА
"ОБ ИНФОРМАЦИИ, ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЯХ
И О ЗАЩИТЕ ИНФОРМАЦИИ"
К личным, семейным и домашним нуждам, удовлетворение которых при осуществлении деятельности по обеспечению функционирования информационных систем и (или) программ для электронных вычислительных машин, которые предназначены и (или) используются для приема, передачи, доставки и (или) обработки электронных сообщений пользователей информационно-телекоммуникационной сети "Интернет" (далее - сеть "Интернет") (за исключением случаев удовлетворения указанных нужд, сопряженных с осуществлением общественной или общественно-политической деятельности либо распространением информации и материалов общественно-политического характера, предоставлением возможности приема, передачи, доставки и (или) обработки электронных сообщений пользователей сети "Интернет", составляющих неопределенный круг лиц, и (или) осуществлением в интересах обеспечения любой деятельности юридического лица или участия пользователя сети "Интернет" в деятельности юридического лица (юридических лиц), либо если число фактических пользователей указанной системы или программы превышает 10000 пользователей), не влечет исполнения обязанностей, предусмотренных - Федерального закона "Об информации, информационных технологиях и о защите информации", относятся:
1. Потребности граждан, связанные с приобретением знаний, умений, навыков, ценностных установок, опыта деятельности и компетенции в целях интеллектуального, духовно-нравственного, культурного, творческого, физического и (или) профессионального развития человека, удовлетворения его образовательных потребностей и интересов (образовательные потребности).
2. Потребности граждан, связанные с осуществлением деятельности, направленной на получение и применение новых знаний (научные потребности).
3. Потребности граждан, связанные с созданием результатов творческой деятельности, в том числе программ для электронных вычислительных машин, включая внесение изменений в указанные программы.
4. Потребности граждан, связанные с приобретением товаров, работ, услуг, поиском работников, размещением информации о вакансиях.
5. Потребности граждан, связанные с ведением домашнего хозяйства, садоводства, разведением животных и уходом за ними.
6. Потребности граждан, связанные с получением информации о технических характеристиках и потребительских свойствах товаров, качестве услуг, результатах работ.
7. Потребности граждан, связанные с организацией досуга и (или) воспитанием детей.
Давайте вернемся. В связи с введением в действие Закона, не было внесено поправок в ТК РФ, касающихся возложения дополнительных обязанностей на отдельные категории работников. Сисадмин является работником, выполняющим свои трудовые обязанности. Единственная деятельность, которую он осуществляет - это исполнение трудовых обязанностей. Да, в ТК внесено ряд положений обязывающих работника обеспечивать режим конфиденциальности и противодействовать коррупции. Но где в ТК хоть слово про категории работников являющихся Организаторами распространения информации в сети "Интернет" или про то, что Организаторы распространения информации в сети "Интернет" назначаются локальным нормативным актом? В отсутствие законных оснований на работника нельзя возложить какие-либо обязанности, помимо тех, которые оговорены в должностной инструкции.