Уже с 20 июля 2016 года вступает в силу большая часть поправок, входящих в так называемый антитеррористический пакет Яровой и Озерова. Официально: Федеральный закон от 06.07.2016 № 374-ФЗ «О внесении изменений в Федеральный закон «О противодействии терроризму» и отдельные законодательные акты Российской Федерации в части установления дополнительных мер противодействия терроризму и обеспечения общественной безопасности».
Поправки предусматривают возложение дополнительных обязанностей на организаторов распространения информации в интернете. В настоящей статье речь пойдет о влиянии законодательных изменений на деятельность таких организаторов: что именно изменится, что будет запрещено и что потребуется делать, какие наказания предусмотрены за нарушение и другие юридические аспекты, связанные с применением закона Яровой и Озерова на практике.
Кто такие «организаторы распространения информации»?
Для признания кого-либо организатором распространения информации, нужно чтобы:
- такое лицо обеспечивало функционирование информационных систем / компьютерных программ;
- указанные информационные системы (программы) использовались для приема / передачи / доставки / обработки электронных сообщений интернет-пользователей.
Кстати говоря, понятие «организатор распространения информации» не новое, оно появилось с изменениями в закон об информации, внесенными в 2014 году.
Понятно, что нормы об организаторах распространения информации были написаны, в первую очередь, под почтовые сервисы, социальные сети, мессенджеры и другие сервисы для обмена сообщениями. Но буквальное толкование этих критериев может довести до абсурда, позволяя отнести к организаторам распространения информации даже системного администратора, обеспечивающего функционирование Microsoft Outlook или иного почтового клиента.
Неудивительно, что юридическая техника закона об информации была предметом критики в юридической среде уже тогда, когда понятие «организатор» только вводилось. Негативным последствием подобного законотворчества является, в первую очередь, то, что формулировки закона фактически допустили возможность различного толкования понятия «организатор распространения информации» – в зависимости от того, как его истолкует госорган или суд. Получается, что на практике закон может применяться избирательно к разным участникам отношений. Поэтому игрокам сетевого рынка нужно быть готовым к своего рода сюрпризам правоприменения в этой сфере.
Стоит обратить внимание на то, что организаторы распространения информации обязаны по требованию Роскомнадзора направлять ему уведомление о включении информации о себе в специальный реестр – такая обязанность была предусмотрена еще первыми изменениями, закрепляющими обязанности организаторов. Из известных организаторов распространения информации, которые уже попали в этот реестр, можно назвать такие компании как «Яндекс» (речь идет о таких продуктах как «Яндекс.Диск» и «Яндекс.Почта), «Вконтакте», Mail.ru (сервисы «Мой Мир» и сеть «Одноклассники»), Rutube и другие.
Таким образом, система контроля за сообщениями пользователей через организаторов распространения информации возникла еще в 2014 году. Именно с этой целью законодательство содержит полномочия Роскомнадзора по поиску и регистрации организаторов в реестре – с одной стороны. С другой – обязанности организаторов по хранению на территории России информации о пользователях и логов, содержащих факты приема, передачи, обработки сообщений (под «сообщением» закон понимает не только текст, но и изображения, видео и звуки). Изначальный срок хранения информации о передаче / обработке сообщений с тем, чтобы в дальнейшем передать ее правоохранительным органам, составлял шесть месяцев.
Что изменится в связи с законом Яровой?
Для «организаторов» изменится следующее:
- Информацию о пользователях и логи передачи / обработки сообщений нужно будет хранить один год (вместо полугода, как было установлено ранее).
- Появляется обязанность хранить и само содержание передаваемых сообщений в течение полугода (чтобы подготовиться к этому, дали отсрочку до 1 июля 2018 года).
- Предусмотрено, что организатор распространения информации обязан предоставлять в ФСБ России информацию, необходимую для декодирования сообщений.
Затраты, связанные с хранением персональных данных, возложили на самих организаторов распространения информации. Пока нет никаких сигналов к тому, что будут предоставляться какие-либо льготы или субсидии.
Особый интерес представляет обязанность организаторов распространения информации передавать правоохранительным органам данные для декодирования сообщений пользователей. Такая обязанность ставит под сомнение законность существования в России технологии end-to-end-шифрования (E2EE), которое используется, например, в режиме «секретного чата» (secret chat) известного мессенджера Telegram, а также многих других сервисов. Здесь стоит отметить два важных момента:
- Буквальное прочтение закона позволяет прийти к выводу, что сведения для декодирования должны предоставляться организаторами в ФСБ России в режиме реального времени (возможно, это будет изменено подзаконным актом о порядке предоставления информации организатором).
- Сама технология E2EE подразумевает, что у организатора отсутствует возможность декодирования сообщения – собственно, в этом и состоит преимущество рассматриваемой технологии шифрования.
Формулировка правила о предоставлении данных для декодирования может быть истолкована таким образом, что указанные данные должны предоставляться независимо от того, подразумевает ли технология передачи сообщений их хранение у организатора распространения информации.
Возможно, именно поэтому об уходе с российского рынка уже объявил VPN-провайдер Private Internet Access, который предоставлял возможность пользователям анонимно посещать интернет-страницы и обходить блокировки сайтов. В условиях подобного регулирования предоставляемые им услуги либо потеряли бы смысл, либо стали бы незаконными.
Наказания, предусмотренные для организаторов распространения информации
Ответственность за нарушение организаторами распространения информации обязанностей по хранению и предоставлению информации о фактах передачи / обработки сообщений или информации о пользователях существовала и раньше. В частности, еще до принятия антитеррористических поправок для организаций был предусмотрен административный штраф в размере 300-500 тыс. руб.
Теперь аналогичные нарушения будут наказываться штрафом в размере 800 тыс.-1 млн руб. Такой же штраф предусмотрен и при нарушении обязанности по передаче данных для декодирования сообщений пользователей.
Надо заметить, что предусмотренное поправками административное наказание пока что касается только непредоставления государственному органу информации о самих фактах передачи / обработки данных, а не о содержании сообщений. В случае непредоставления контента единственная возможность возложить на коммерческую организацию ответственность – это взыскать с нее стандартный штраф за игнорирование запроса госоргана. Размер такого штрафа не может превышать 5000 рублей.
Кроме того, если в отношении организатора распространения информации будет вынесено постановление по делу об административном правонарушении, а он не устранит нарушения закона, то это может стать поводом для блокировки интернет-сайта организатора по решению суда или Роскомнадзора. Здесь тоже без изменений.
Зарубежный опыт
В Европейском союзе в 2006 году была принята директива «О хранении данных», в силу которой на государства-участники Союза возложена обязанность по обеспечению хранения данных о трафике и местоположении пользователей, а также иных сведений, позволяющих идентифицировать подписчика или зарегистрированного пользователя. При этом специально отмечалось, что требования директивы не распространяются на содержание электронных сообщений.
В итоге, директива ЕС была признана недействительной Судом справедливости Европейского Союза по следующим причинам:
- Директива распространяется на все лица и все средства электронной коммуникации, равно на весь трафик без какой-либо дифференциации, ограничений и исключений, которые могли бы быть сделаны в соответствии с целью борьбы с серьезными преступлениями.
- Директива не устанавливает какого-либо объективного критерия, ограничивающего круг лиц, которым предоставляется доступ к сведениям и которые впоследствии могут их использовать. Более того, она не содержит гарантии предварительного административного или судебного решения о предоставлении такого доступа, равно не предписывает государствам установить такие гарантии.
- Директивой были предусмотрены предельные сроки хранения сведений – от 6 до 24 месяцев, но при этом не было критериев, по которым должны были бы разграничиваться сроки хранения разных видов данных.
Таким образом, Суд справедливости ЕС по сути встал на защиту частных интересов. Влияние решения суда на государства-участники Союза нельзя назвать однородным. Так, например, в Швеции и Норвегии положения директивы, тем не менее, были имплементированы без особых проблем. Наоборот, в Германии, Дании, Чехии соответствующие законодательные акты признавались неконституционными ввиду противоречия стандартам права на тайну частной жизни (статья 8 Европейской конвенции о защите прав и основных свобод).
В Соединенных Штатах Америки акта подобного директиве ЕС нет. Более того, несколько попыток принятия единого акта (в конце 1990-х и в 2009 году) так и не увенчались успехом. Тем не менее, отсутствие единого акта не мешает США собирать информацию о пользователях. Информация о пользователях в различных объемах собирается и государственными ведомствами, и частными компаниями. Например, Amazon сохраняет информацию о проводимых пользователями трансакциях, а Google в дополнение к этому еще и историю поисковых запросов.
Федеральное бюро расследований, в свою очередь, может потребовать от организатора распространения информации (частной компании) предоставить собранную информацию, направив так называемое «Письмо национальной безопасности» (National Security Letter). Примечательно, что направление такого письма не требует предварительного или последующего судебного одобрения и, более того, практически не может быть оспорено.
Поводя итог экскурсу в зарубежный опыт сбора информации, нужно отметить, что стандарты регулирования в Старом и Новом свете сильно разнятся: одни отдают приоритет правам человека, другие – вопросам национальной безопасности.
Что делать?
Отмена закона Яровой и Озерова выглядит маловероятной, особенно с учетом последних событий в мире. Остается надеяться на то, что подзаконные акты будут доработаны и уточнены, особенно в плане более четких критериев для отнесения тех или иных лиц к организаторам распространения информации, а также их обязанностей и ответственности за нарушения.
В целом, легализация сбора информации о пользователях Сети является не специфично российским, а глобальным международным трендом. Поэтому все, что остается участникам интернет-рынка – приспосабливаться к новым условиям, и находить баланс между строгим соблюдением меняющихся норм законодательства, собственными интересами и интересами пользователей.
Материал подготовлен в соавторстве с Дмитрием Симбирцевым
Боюсь, информация автора устарела =
// Обязательной сертификации средств кодирования (шифрования) при передаче сообщений в информационно-телекоммуникационной сети Интернет, массово применяемых для защиты сведений, не составляющих государственную тайну, в том числе в абонентских устройствах и базовых станциях мобильной связи, компьютерах, оборудовании информационно-телекоммуникационной сети Интернет, на соответствие требованиям по безопасности информации не требуется. //
сайт ФСБ//
18.07.2016
ИЗВЕЩЕНИЕ
об использовании несертифицированных средств кодирования
(шифрования) при передаче сообщений в информационно-
телекоммуникационной сети «Интернет» = http://www.fsb.ru/fsb/science/single.htm%21id%3D10...
Леонид, спасибо за Ваш интерес к проблеме.
К сожалению, не совсем понял, о какой устаревшей информации идет речь? Боюсь, в статье в принципе ничего не упоминалось об обязательной сертификации средств шифрования.
посмотрим, что будет 26.07 ..
есть закон... будет практика его применения тогда и говорить можно будет.. а придумывать, что да как изменится.. особенно в обеспечении закона операторами.. а не самим фактом предоставления доступа гос. структурам безопасности
Не очень актуальные размышления, прошу прощения. http://ria.ru/politics/20160719/1471353689.html
К сожалению Максим Вы не туда копаете....
Все намного проще, Где власть, там и деньги. К сожалению, они теперь отождествляют друг, друга. Этот закон , это обычное лоббирование определенного бизнеса,это огромные откаты. Для того что бы все упомянутые Вами операторы и распространители информации выполнили закон Яровой, он должны закупить оборудование и программное обеспечение на огромную сумму, здесь Вы правы, но добавте, что его необходимо еще обслуживать, а это намного дороже, это персонал, это помещения, это электричество, охлаждение и т.д. и т.п......
Но и это не самая главная проблема. Самая затратная часть и самое узкое горло - это ОБЯЗАТЕЛЬНАЯ сертификация данного оборудования и программного обеспечения. А на это у нас в стране имеют право и сертификаты всего несколько организаций, которых по пальцам сосчитать на одной руке и которые возглавляют самые, что не наесть близкие и свои люди. О чем только говорит один факт. Одного из руководителей судили за порнографию и распространение, но он почему-то не сел, но его яко бы сняли, а через несколько месяцев, была открыта такая же организация только уже в Москве и возглавил её отец парнографа....
Как Вы думаете какой ценник проскальзования будет через енто самое горло. Я по своей основной специальности инженер АСУ ВМФ и к сожалению постоянно с этим сталкивался.
Все банально просто. Нужно только правильно задавать вопросы, а кому это выгодно.....почитайте книгу фриканомика, там об этом очень интересно и доходчиво рассказывается.
Почему же не актуальные, очень актуальные
цитата (Сенатор отмечает, что это требование нельзя выполнить к 2018 году, поскольку необходимое оборудование сейчас не производится ни в одной стране мира и не может быть создано за такой короткий срок.) конец цитаты
это огромный потенциал лидирования для России, если Россия выпустит подобное оборудование и все страны мира встанут в очередь по закупке такого оборудования когда введут подобные законы, это можно сравнить с лидерством СССР в освоении космоса, такое лидерство возможно
второй очень важный аспект о понятии «организаторы распространения информации» так же очень важно - а почему они стали организаторами - значит имели умысел. А каков он этот умысел?
Выявление умысла это следственная работа в современном мире очень важная, ведь если взять например "Покемон гоу", кто именно является действительным а не афишируемым организатором распространения информации в этом случае, а каков умысел этого организатора? СМИ писали о том, что сенатор Франц Клинцевич предупредил о своем ощущении, что это могут быть козни дьявола направленные против молодого поколения и если потерять время то буквально за год два все будет потеряно, а такой закон позволяет не теряя времени начать следствие и вывести и дьявола и его приспешников на чистую воду.
Когда людей привлекают к ответственности за посты в социальных сетях, при этом отмодерировав переписку, то подобные меры не кажутся такими уж драконовскими.
А на фоне того, как свобода выражения мнения все больше уступает правовые позиции защите от оскорблений и экстремистских материалов , подобные инициативы выглядят вполне уместными.
Пока законодательный маховик раскручивается в эту сторону, другого ждать не приходится. В самом деле, когда любые высказывания берутся под контроль, как можно проводить расследования не имея возможности фиксировать информацию на указанную дату?
Понятно, что это дополнительные расходы для операторов связи. Но в нынешней правовой парадигме тотальный контроль - это фатальная неизбежность.
В 2007-м году слушалось дело А40-25798/07-136-107 ИП Васильев В.В против ЗАО «ДХЛ Интернешнл».
Истец, исходя из буквального толкования текста закона "О персональных данных", посчитал, что ДХЛ Интернешнл является оператором персональных данных. Суд отклонил иск. Истец подал апелляцию, но апелляционный суд оставил решение в силе.
Основной аргумент суда состоял в том, что обработка персональных данных - это деятельность. А поскольку это деятельность, то она должна быть прописана в Уставе ответчика. В уставе ответчика деятельность по обработке персональных данных указана не была. Следовательно, ответчик не является оператором прюрсональных данных.
Ст. 10.1 закона "Об информации, информационных технологиях и о защите информации" прямо указывает, что Организатором распространения информации в сети "Интернет" является лицо, осуществляющее деятельность. А деятельность должна следовать из Устава.
Таким образом, системный администратор может быть Организатором распространения информаци только в том случае, если представляет юрлицо в Уставе которого прописана деятельность по обеспечению функционирования информационных систем и (или) программ для электронных вычислительных машин, которые предназначены и (или) используются для приема, передачи, доставки и (или) обработки электронных сообщений пользователей сети "Интернет".
Здесь следует продолжить уточнение "... для террористов".
А второй вопрос напрашивается сам: "Насколько возрастут затраты террористов, чтобы уйти от последствий "закона Яровой"?"
Какой-то кладезьный ОпенСорс по борьбе с террором... :)
Ловите закуску на кризис.... :)
Бизнес в стране сокращается. Интересно, а "Яровых" в нашей стране больше потребуется в связи с этим? А их объём работы вырастет? Здесь очень интересный момент вырисовывается, - ведь любой, кто увеличивает объём работы государственных служащих, а не сокращает его, либо отрицательно влияет на экономику Государства(заставляя бизнес работать менее эффективно) - есть Государственный Преступник автоматом. В США(и не только) почти на каждой бумажке: "Если у Вас есть идея как снизить трудозатраты - получите гонорар" Где сиё в России? Прорва? Лаззейка к Государственной измене? Никто этого не видит или не туда смотрят? Почему так смело "рубит шашкой" безграмотное жульё?
"Любая(или почти) сертификация в России - это откат или преступление" Кому это неизвестно?
Многие люди замечают, что Амеры печатают(или могут печатать) бесконтрольно деньги Долларовые. :) А печать Сертификатов(бумажек на принтере) - это что? Мало того, "Печатники" предлагают расплачиваться с ними забугром. Это что? Никто не видит и не знает?
Это было "О Сертификации в России" :)