23 ноября 2016 г.

Новый закон о коллекторах. Часть 2. Про проблемы

Продолжаем разбираться с коллекторским или антиколлекторским законом от 03.07.2016 № 230-ФЗ «О защите прав и законных интересов физических лиц при осуществлении деятельности по возврату просроченной задолженности…» (начало см. здесь и здесь).
Бо́льшая часть положений нового закона должна заработать 1 января 2017 года. Но что-то мне подсказывает, что этого скорее всего не произойдет, и перед новым годом Думе придется срочно вносить в закон поправки по срокам.
Что подсказывает? Самая главная подсказка – это отсутствие сегодня, 23 ноября, чуть более чем за месяц до вступления закона в силу, федерального органа исполнительной власти, уполномоченного Правительством Российской Федерации осуществлять ведение государственного реестра коллекторов, контроль (надзор) за деятельностью коллекторов, включенных в государственный реестр.
Проект постановления Правительства был разработан еще в июле и предполагал, что соответствующие функции будут возложены на Федеральную службу служебных приставов в связи с тем, что «цели осуществления деятельности по возврату просроченной задолженности корреспондируют с целями исполнительного производства», как сказано в пояснительной записке. Однако документ до сих пор не принят, судя по всему – из-за расхождения мнений Правительства и Службы относительно размера финансирования, необходимого для исполнения новой функции. В пояснительной записке к законопроекту, как обычно в последнее время, было указано, что его исполнение не требует дополнительного финансирования, а ФССП считает, что для реализации новых полномочий ей необходимо примерно 650 млн рублей, из них более 150 – на развитие ИТ-инфраструктуры, необходимой для ведения реестра коллекторов.
На реестр коллекторов завязаны многие нормы закона, но есть и другие проблемы, пути решения которых не очевидны. Вместе с нашими заказчиками – банками и профессиональными взыскателями, мы в агентстве ищем и находим пути их решения. Вот некоторые из возможных проблем.
1.       Что делать банкам, которые до конца годы планировали заключить новые договоры агентирования и цессии, если реестра коллекторов еще нет? И что им делать, если после принятия решения о порядке ведения реестра коллекторы, с которыми заключены договоры, в реестр не попадут?
2.       Аналогичный вопрос возникнет и в ситуации, когда по каким-то причинам коллекторское агентство будет исключено из реестра.
3.       Статья 17 нового закона возлагает на профессионального взыскателя обязанность фиксировать в доказываемой форме все контакты с должником:
  • вести аудиозапись всех случаев непосредственного взаимодействия, предупреждать должника и иных лиц о такой записи в начале взаимодействия, а также обеспечивать хранение на электронных носителях аудиозаписей до истечения 3 лет с момента осуществления записи;
  • обеспечивать запись всех текстовых, голосовых и иных сообщений, передаваемых при осуществлении взаимодействия, направленного на возврат просроченной задолженности, по сетям электросвязи, в том числе подвижной радиотелефонной связи, и их хранение до истечения 3 лет со дня их осуществления;
  • обеспечивать хранение всех бумажных документов, составленных и полученных им в ходе осуществления деятельности по возврату просроченной задолженности, в бумажном и электронном виде до истечения 3 лет со дня их отправления или получения.

При этом статьи 4 и 7 весьма жестко ограничивают как способы взаимодействия, так и их количество. Например, допускается не более одной личной встречи с должником в неделю, а телефонных звонков – не более двух, да еще в строго определенное время (в рабочие дни с 8 до 22 часов, в нерабочие с 9 до 20).
В связи с этим возникает вопрос: а что это за средства фиксации контактов и отправлений, выдвигаются ли к ним какие-либо требования, если да – какие и кем? Как доказать, что зафиксированы все контакты и что делать, если должник настаивает, что их было значительно больше, но часть их них коллекторы не зафиксировали?
И, наконец, что делать, если должник решит разыграть следующий сценарий с целью привлечь коллектора к ответственности: купит пяток симок у вокзала, оформленных неизвестно на кого, попросит знакомых звонить по телефону и писать смс от имени коллекторов, и с этим пойдет в надзор жаловаться? 
Вопрос не праздный. С 1 января существенно изменяется статья 14.57 КоАП, предусматривающая наказание для коллекторов за нарушение требований закона № 230-ФЗ в виде штрафа до 500 тысяч рублей или административной приостановке деятельности на срок до 90 суток. 
4.       Еще одна проблема. Что делать банкам, если привлеченное по агентской схеме коллекторское агентство прекращает свое существование? Действует оно от имени, по поручению и за счет банка, т.е. в терминах части 3 статьи 6 закона «О персональных данных» является лицом, осуществляющим обработку персональных данных по поручению оператора-банка. Ответственность перед субъектом персональных данных за действия коллекторов в этом случае несет банк, как определено частью 5 той же статьи. И вот субъект обращается с жалобой или иском к банку по поводу действий коллекторов. Коллекторов уже нет, нет и записей контактов и отправлений должнику. Как банку доказывать свою добросовестность?
Есть другие вопросы и проблемы, которые надо решить заранее, до вступления в силу закона, такие, как действия банка и коллектора при отказе должника от взаимодействия, ограничения на количество привлекаемых взыскателей, оповещение должника о привлечении коллекторов к взысканию и цессии и др. Закон при детальном рассмотрении оказался еще более сложным и непроработанным, чем казалось при его первом прочтении и изучении.
Но мы с нашими клиентами работаем и следим за практикой и изменениями.

11 ноября 2016 г.

О Больших пользовательских данных и блокировке LinkedIn – без эмоций

На прошедшей неделе произошли два очень важных события: 8 ноября прошла 7-я международная конференция «Защита персональных данных», которая традиционно патронируется Роскомнадзором, а 10 ноября Мосгорсуд отказал в удовлетворении апелляционной жалобы LinkedIn на решение Таганского районного суда о блокировке ресурса на территории Российской Федерации, принятое по иску Роскомнадзора в защиту неопределенного круга лиц-субъектов персональных данных.
Прежде, чем говорить о значении этих событий и последствиях того, что на них было озвучено, хотел бы отметить, что и в этом году пленарное заседание конференции «Защита персональных данных», на котором выступали представители госорганов, оказалось гораздо интереснее остальных двух его панелей, больше походивших на уютную домашнюю дискуссию очень хороших людей, согласных со всеми предыдущими выступающими, и рассказывающих об очень милых ситуациях, разрешенных или решаемых в их странах силами уполномоченных органов по защите прав субъектов персональных данных. На мой взгляд, это очень нетипичная ситуация для российских конференций, когда зачитывание формальных приветствий высоких должностных лиц и выражение спонсорами благодарности поучаствовать в мероприятии за их же деньги съедает полтора-два часа рабочего времени конференций.    
А теперь по делу. Не хочу и не буду рассуждать на тему, хорошо или плохо, правильно или неправильно, законно или нет то, что мы услышали в эти два дня. В этом никакого смысла нет. Просто обозначу ту систему координат для сферы обработки персональных данных, в которой нам всем, как работающим в России, так и в России не присутствующим, но желающим работать с россиянами, предстоит жить в ближайшее время (как долго? до изменения системы координат – читай законодательство и следи за правоприменением) и тот набор констант, который определяет эту систему координат.
1.       Государство в лице своих уполномоченных органов и специально созданных под эту проблему институтов заявило, что под контроль надо поставить не только персональные данные всех живущих в России (данные, с помощью которых можно непосредственно идентифицировать, то есть установить личность), но и данные, которые сами по себе, без дополнительной информации, не могут быть соотнесены с конкретным субъектом (то есть обезличены – сведения об активности анонимного пользователя в сети, IP- и МАС- адреса, файлы-куки, особенности поведения в интернете, сведения о геолокации и т.п.), но путем сопоставления полученных из различных источников сведений позволяют их обладателю личность установить (Игорь Ашманов утверждал, что достаточно четырех разнородных источников).
2.       Эти сведения, названные коллективным разумом участников Большими пользовательскими данными, должны быть поставлены под контроль государства или уполномоченного им лица (оператора больших данных), для чего нужно принятие новых или корректировка уже принятых законов, поскольку существующих для реализации этих планов мало.
3.       Гражданин России не имеет права на распоряжение своими персональными данными. Он безответственен и неразумен, не читает грабительских и рабских пользовательских соглашений, не понимает своей выгоды и нарушения своих прав, поэтому его персональные данные – достояние государства, нефть новой экономики (Игорь Ашманов оценил их в 20 американских долларов за единицу реализуемого товара), и государство или уполномоченное им лицо будет этими данными распоряжаться – собирать, систематизировать, использовать и т.д. – см. пункт 2. Маленькая ремарка. Можно предположить, что, если бы россияне узнали, где за их сведения об активности в интернете можно получить 20 USD, очередь к покупателю выстроилась бы побольше очереди за бесплатными бумажными пакетами мировых брендов. И московская непогода, снегопады и ледяные дожди их бы не остановили. Но этот адрес нам пока не известен, так как в выступлении не был раскрыт.
4.       Исходя из изложенного в пункт 3, две ветви российской власти – исполнительная, в лице Роскомнадзора, и судебная, в лице районных и вышестоящих судов общей юрисдикции, будут и впредь блокировать доступ к ресурсам, где есть персональные данные россиян, и которые не перенесены на территорию Россию в соответствии с горячо и активно обсуждавшимися поправками, внесенными 242-ФЗ в статью 18 закона «О персональных данных». Исследовать вопрос, чьи конкретно права нарушены, в чем заключается нарушение, как использование сведений о посещении интернет-ресурса нарушает право на неприкосновенность частной жизни, и в чем оно заключалось, в ходе судебных разбирательств вовсе не обязательно. Достаточно того, что на такой позиции стоит уполномоченный законом орган по защите прав субъектов персональных данных. То, что субъект посещал ресурс свободно, по собственной воле и в собственном интересе (часть 1 статьи 9 закона «О персональных данных»), значения не имеет – субъект неразумен по определению – см. пункт 3.
5.       Такие походы государства и уполномоченных им лиц имеют определенную поддержку бизнеса, надеющегося получить свою долю пирога. Это, примерно, как с ЦОДами для размещения баз персональных данных россиян, импортозамещением и т.п. Кому война, а кому мать родна, что русскому здорово, то немцу смерть, ну и т.д.
6.       По всем этим поводам массовых протестов и одиночных пикетов не будет. Все ограничится соплями, слезами и виртуальными прощальными обнимашками в закрываемых соцсетях. В отличие от торрентов, искать способы обхода блокировок массово тоже не будут. Вся прелесть их использования для тотального общения после блокировки будет сведена на нет. Мне, например, ресурс, где сейчас хостится мой блог, Facebook или Twitter, после блокировки доступа с территории России будут абсолютно неинтересны. Как и я владельцам этих ресурсов.
7.        Жить по-старому иностранным компаниям в России точно не получится. Как и тем, кто хочет работать с россиянами (продавать что-то, распространять рекламу и т.п.). Тем более, что выступавшая на конференции Наталья Касперская сказала, что закон о территориальности исполняется плохо (ей, наверное, видней. Роскомнадзор недавно говорил совсем другое). Надо все-таки будет привести обработку персональных данных в соответствие российскому законодательству, разработать предусмотренные законом документы и принять предусмотренные им же меры обеспечения безопасности персональных данных, перенести первичные базы персональных данных (да-да, я знаю про отсутствие этого понятия в законах, но оно тем не менее есть), в которые собираются и в которых актуализируются персональные данные россиян, на территорию России. В заблокированной соцсети LinkedIn, похоже, после решения Мосгорсуда это быстро поняли: «Мы по-прежнему заинтересованы во встрече с Роскомнадзором, чтобы обсудить их запрос локализации данных».
8.       К защите прав субъектов все описанное выше никакого отношения не имеет. От слова «совсем». После выполнения описанного в пункте 7 все персональные данные можно вполне законно сливать передавать в информационные системы за рубежом, в том числе, и для продажи их по 20 долларов за штуку. Особенно подробно про это написано на сайте уполномоченного органа по выработке государственной политики в сфере персональных данных здесь  http://www.minsvyaz.ru/ru/personaldata/ и на сайте-общественной инициативы здесь http://pd-info.ru/, где особо подчеркивается «роль Роскомнадзора в данном проекте – как представителя государства и контролирующего органа, готового к диалогу в отраслью, экспертизе закона и возникающих в связи с его исполнением нюансов, а также к постоянному взаимодействию с игроками Рунета и IT-компаниями».
Вот так, примерно, все это видится.
Жаль, что за решением таких глобальных проблем на международной конференции «Защита персональных данных» не нашли отражения такие животрепещущие вопросы, волнующие, по нашим наблюдениям, очень многих операторов персональных данных, как использование веб-форм для сбора персональных данных и обеспечение при таком использовании соответствия закону, размещение информационных систем в облаках и коммерческих ЦОДах, необходимость на это согласия субъектов, способы его законного получения, обеспечение защиты данных, обрабатываемых в ЦОДах и облаках и распределение полномочий провайдера и оператора, использование международными и иностранными компаниями баз персональных данных материнских компаний за рубежом, в том числе тех, куда российские пользователи сами вносят свои данные, и многие другие.
Но, видимо, сейчас время для других вопросов – глобальных и стратегических.

17 октября 2016 г.

Новый закон о коллекторах. Часть 1, введение в проблемы

Провел два семинара по новому закону, регламентирующему коллекторскую деятельность – от 03.07.2016 № 230-ФЗ «О защите прав и законных интересов физических лиц при осуществлении деятельности по возврату просроченной задолженности…», о котором уже писал (о законе - здесь).
Готовясь ко второму мероприятию долго смеялся. Как раз накануне, 13 октября, на CyberCrimeCon/2016 был представлен отчет Group-IB, в котором была обнародована страшная цифра: общий объем хищений в российских банках в 2015 году от целевых кибератак составил 5,37 млрд рублей и вырос по отношению к прошлому периоду на 44%. Ужас-ужас.   В то же время в параллельном мире без кибератак 5 миллионов россиян бросили исполнять свои обязанности по кредитам и займам всех видов (потребительские, ипотека, авто и прочие), и заемщики, которые не платят уже более 90 дней по своим обязательствам, просрочили 780 млрд рублей из 1,3 трлн рублей общей задолженности россиян по кредитам. Что такое «не платят 90 дней и более»? Эти деньги перешли в категорию «неработающая ссуда» (NPL, Non-performing loan), то есть это те задолженности, по которым банк вряд ли увидит свои деньги. Сравните: 5,37 и 780. Это два порядка и еще полтора раза. И почувствуйте разницу.
Ситуация только усугубляется. На картинке – данные одного из крупнейших коллекторских агентств «Секвойя кредит консолидейшн» о структуре продаваемых банками долгов, опубликованные в прошлом году в «Ведомостях», перспектива возврата большинства которых безнадежна. Общий объем продаваемого портфеля такой «безнадеги» на начало 2016 года – примерно 440 млрд рублей. Дисконт при продаже – 99-99,5% номинала. Выводы делайте сами.
Есть и еще один неприятный сюрприз для всех нас. В тот же день, когда был подписан закон № 230-ФЗ, был принят и еще один закон, № 360-ФЗ, внесший изменения, в том числе, в «Основы законодательства Российской Федерации о нотариате». Теперь вместо бланкетной нормы статьи 90 «Перечень документов, по которым взыскание задолженности производится в бесспорном порядке на основании исполнительных надписей, устанавливается Правительством Российской Федерации, если иное не предусмотрено настоящими Основами для совершения исполнительных надписей по отдельным видам обязательств», появился конкретный перечень, в который попали нотариально удостоверенные сделки, устанавливающие денежные обязательства или обязательства по передаче имущества и (внимание!) кредитные договоры при наличии в них или дополнительных соглашениях к ним условия о возможности взыскания задолженности по исполнительной надписи нотариуса.
Перевожу. Если в кредитном договоре такое условие есть (а нормальные банки срочно начнут их теперь включать и склонять к заключениям доп. соглашений), а обязательства должником не исполняются, банку достаточно пойти к нотариусу, получить исполнительную надпись и с ней двигать к судебным приставам. Никакого судебного решения не нужно. Приставы обязаны начать исполнительное производство, то есть найти где-то в другом банке и списать в пользу кредитора долги заемщика или арестовать его имущество для обеспечения возврата долга.
Почему это плохо для всех нас? Я уже не раз писал и выступал на тему плохих кредитов, полученных по копии паспорта в результате сговора банковских агентов со злоумышленниками (например, здесь). Теперь ситуация становится более безнадежной.
Не надо судов. Человек, отдавший паспорт на ксерокопирование или сканирование при посещении бизнес-центра или заселении в гостиницу, узнает, что с него списали неизвестный ему долг с процентами и штрафами. По-видимому, первым делом он обращается в свой банк, в котором произошло списание, и узнает, что это сделано судебными приставами по исполнительному листу. Далее он обращается к судебным приставам, которые ему сообщают о задолженности по кредиту в неизвестном ему банке, подтвержденной исполнительной надписью нотариуса, в соответствии с которой списание денег происходит в бесспорном порядке. А затем – квест, в результате которого надо добиться признания договора кредитования поддельным и каким-то способом вернуть деньги, уже переведенные их получателем – банком-псевдокредитором на какой-то другой счет.
Еще раз вынужден написать: без принятия закона, содержащего закрытый перечень случаев допустимого копирования основного документа, удостоверяющего личность, и введения очень жестких санкций не только за его нарушение, но и за попытку нарушения (например, истребование паспорта для копирования без достаточных оснований, попытку получить в залог, как у нас часто любят делать на конференциях при выдаче прибора для приема синхроперевода и т.п.) проблему не решить. Она только разрастается.
Про сам новый закон и порождаемые им проблемы – в следующем посте. Большие тексты сегодня не в почете.

10 октября 2016 г.

14 октября: Как общаться с должником и не нарушить закон

А знаете ли вы, что:
·         Общая задолженность россиян банкам на конец 2015 года - 11 трлн рублей.
·         Количество должников – 40 млн человек.
·         В состоянии обслуживать свои долги — только 8 млн человек.
·         Просроченная задолженность по кредитам – 1,3 трлн рублей.
·         Не выполняют свои долговые обязательства – более 5 млн человек.
·         25% закредитованных заемщиков обслуживают сразу два займа, 18% — три и более.
·         Заёмщики, которые не платят банкам более 90 дней, просрочили 780 млрд из 1,3 трлн рублей.
·         В срок не обслуживается каждый пятый кредит, а каждый десятый - безнадёжен.
Статистика пугающая и выглядит еще более мрачной на фоне «расстрельных троек» банков, лишенных лицензий, которые появляются практически каждую неделю.
С долгами надо что-то делать. Но не бросать коктейли Молотова в детские кроватки и не писать о кредиторах на стенах подъездов.
Наконец-то принят Федеральный закон от 03.07.2016 № 230-ФЗ, регламентирующий коллекторскую деятельность, о котором я уже писал.
Закон – не самый простой для понимания и восприятия. Поэтому мы вместе с Учебным центром «Информзащита» 14 октября и поможем разобраться в его хитросплетениях, причем совершенно безвозмездно, то есть бесплатно J. Но при условии обязательной предварительной регистрации на сайте Учебного центра.
О чем будем рассказывать? Вот о чем:
·         Общая ситуация с просроченной дебиторской задолженностью в России.
·         Взаимодействие кредитора и взыскателя долгов с должником.
·         Передача третьим лицам сведений о должнике и согласие должника.
·         Обязанности лиц, взыскивающих долги.
·         Отказ должника от взаимодействия с кредитором и взыскателем.
·         Обращение кредитора и взыскателя к третьим лицам для взыскания задолженности и условия такого обращения.
·         Требования к коллекторам и их обязанности.
·         Ответственность за несоблюдение требований закона при взыскании задолженности.
Кому это может быть интересно? Безусловно, банкам и коллекторским агентствам (теперь они называются лицами, осуществляющими деятельность по возврату просроченной задолженности в качестве основного вида деятельности и должны быть включены в специальный реестр). Но не только им. Поскольку закон принят в целях защиты прав и законных интересов физических лиц и устанавливает правовые основы деятельности по возврату просроченной задолженности физических лиц, возникшей из денежных обязательств, то им должны руководствоваться операторы связи, предприятия ЖКХ и иные организации, взыскивающие дебиторскую задолженность с населения.
Так что милости просим на регистрацию и вебинар. Он уже совсем скоро.

5 октября 2016 г.

Информационная безопасность в трудовом договоре

1 января 2017 года вступают в силу изменения Трудового кодекса, касающиеся регулирования трудовых отношений в микропредприятиях. Суть их в том, что на микропредприятии трудовой договор может полностью или частично заменить локальные нормативные акты, содержащие нормы трудового права, такие, как правила внутреннего трудового распорядка, положение об оплате труда, положение о премировании, график сменности и прочие.
Для реализации этой новой нормы закона Правительство приняло Постановление от 27.08.2016 № 858, устанавливающее типовую форму трудового договора, заключаемого между работником и работодателем-микропредприятием.
Поскольку это первая известная мне типовая форма трудового договора, установленная нормативно, показалось интересным разобраться, а что же правительство думает о необходимости отражения в нем вопросов регулирования отношений, связанных с информационной безопасностью, в частности, с персональными данными, коммерческой тайной и секретами производства.
В ходе проектов нашего агентства периодически возникают дискуссии с юристами и кадровиками заказчиков относительно необходимости включения в трудовой договор положений об обработке персональных данных, иногда – исключительных прав на создаваемые работником результаты интеллектуальной деятельности. С коммерческой тайной все ясно, вопросов нет. Императивная норма пункта 4 части 1 статьи 10 Федерального закона «О коммерческой тайне» однозначно требует, чтобы отношения с работниками по использованию информации, составляющей коммерческую тайну, регулировались трудовыми договорами, и спорить тут не о чем.
Хотя законом «О персональных данных» и ТК РФ это и не требуется, целесообразно про персональные данные в трудовом договоре писать, поскольку статья 9 ТК РФ предусматривает, что регулирование трудовых отношений может осуществляться путем заключения, изменения, дополнения работниками и работодателями коллективных договоров, соглашений, трудовых договоров, а глава 14 ТК РФ прописывает требования к этим отношениям в части обработки персональных данных.
На мой взгляд, принятая форма типового договора подтверждает мою правоту. В ней персональные данные упоминаются трижды:
·       работнику предоставлено право на защиту своих персональных данных в соответствии с требованиями законодательства РФ;
·       работодателю вменено в обязанность осуществлять обработку и обеспечивать защиту персональных данных работника в соответствии с законодательством РФ;
·       работник в трудовом договоре дает свое согласие на обработку работодателем его персональных данных, необходимых для трудовых отношений.
А вот к содержанию этих норм трудового договора у меня большие вопросы. Начну с конца. Работодателю вовсе не нужно согласие работника на обработку персональных данных, необходимых для трудовых отношений, поскольку такая обработка необходима: (а) для достижения целей, предусмотренных законом (Трудовым кодексом, в частности) и для осуществления и выполнения возложенных законодательством РФ на работодателя как оператора функций, полномочий и обязанностей (пункт 2 части 1 ст.6 152-ФЗ); (б) для исполнения трудового договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных.
Кроме того, статья 88 Трудового кодекса вводит обязанность получить согласие работника в письменной форме на передачу его персональных данных третьим лицам, в том числе в коммерческих целях. С такой необходимостью сталкивается каждая организация при направлении работников в командировки, на обучение, при приобретении для них проездных документов и бронировании гостиниц и т.п. Согласие в типовом договоре не заменяет согласия в письменной форме, поскольку не содержит обязательных сведений, предусмотренных частью 4 статьи 10 закона «О персональных данных».
Непонятно, зачем указывать в трудовом договоре обязанность работодателя обеспечивать обработку и обеспечивать защиту персональных данных работника в соответствии с законодательством РФ, так как она уже вменена ему в обязанность законодательством.
А вот про создание работнику условий, обеспечивающих конфиденциальность обрабатываемых персональных данных, что может сделать только работодатель, в типовом договоре ничего нет. Как и про периодичность ознакомления работника с обрабатываемыми данными о нем, право работника требовать их уточнения, если они неактуальны, или уничтожения, если они не соответствуют целям, установленным статьей 86 Трудового кодекса и про иные очень важные вопросы взаимных обязательств.
Ни слова нет и про коммерческую тайну и секреты производства, права работодателя и работника на результаты интеллектуальной деятельности, полученные в ходе трудовой деятельности.
Зато типовой договор предусматривает осуществление работы путем обмена электронными документами с использованием усиленной квалифицированной электронной цифровой подписи или без нее. Разработчики документа, видимо, не знали, что термин «электронная цифровая подпись» не используется с момента вступления в силу Федерального закона 63-ФЗ. Не очень понятно, почему допускается дистанционная работа без использования электронной подписи, в то время как статья 312.1 Трудового кодекса предписывает взаимодействие дистанционного работника и работодателя путем обмена электронными документами с использованием усиленной квалифицированной электронной подписи.
Это положение еще раз возвращает нас к коллизии Трудового кодекса, пункт 6 статьи 86 которого запрещает работодателю при принятии решений, затрагивающих интересы работника, основываться на персональных данных работника, полученных исключительно в результате их автоматизированной обработки или электронного получения, а статья 312.2 предусматривает заключение трудового договора о дистанционной работе путем обмена электронными документами, для чего документы, предусмотренные статьей 65 Трудового кодекса, могут быть предъявлены работодателю лицом, поступающим на дистанционную работу, в форме электронного документа.
Типовой договор предусматривает отсутствие у работника трудовой книжки и допускает, что сведения о дистанционной работе в трудовую книжку могут не вноситься.
В целом документ показался, безусловно, полезным, однако вопросов он оставляет много. Начало типовым договорам положено, что уже хорошо…

22 августа 2016 г.

Про резервное копирование, обязательность требований и сертификацию

Информация для тех, кто ценит надежность
При обеспечении информационной безопасности проблемы целостности и доступности информации возникают гораздо чаще, чем проблемы обеспечения ее конфиденциальности. Связано это с тем, что конфиденциальность не требуется в отношении большого количества информационных ресурсов, в том числе созданных для неограниченного доступа, раскрытия и опубликования информации, в рекламных целях и т.д. Для таких информационных систем критичными являются именно целостность и доступность информации, реализуемые в рамках процессов обеспечения непрерывности и катастрофоустойчивости бизнеса. Наиболее важным компонентом этих процессов являются системы резервного копирования и восстановления информации.
Написал большую статью про проблемы резервного копирования, требования законодательства, касающиеся этого процесса, необходимость сертификации таких средств https://go.veeam.com/wp-necessity-fstec-certified-data-backup-ru.html.
В статье анализируется, какие угрозы нейтрализует системная организация резервного копирования, каким образом осуществляется государственное регулирование резервного копирования и восстановления информации, для каких видов деятельности требования к резервному копированию выдвинуты в законах и иных нормативных правовых актах, когда и почему средствам резервного копирования нужен сертификат ФСТЭК России, решает ли проблемы выполнения нормативных требований использование программ резервного копирования, включенных в единый реестр отечественного программного обеспечения.

10 августа 2016 г.

Как Минздрав своим приказом Семейный кодекс подправил

Если помните, 21 апреля этого года Президент России, по итогам специальной программы «Прямая линия с Владимиром Путиным», дал ряд поручений, среди которых было и поручение Минздраву России обеспечить методическое сопровождение субъектов РФ при «организации при возможности посещений родственниками пациентов, находящихся на лечении в отделениях анестезиологии-реанимации медицинских организаций».
Граждане, которые не могли пробиться через врачебно-медсестринские кордоны к своему тяжело больному родственнику, другу или учителю, попавшим в реанимацию, просили как-то пересмотреть запретительный подход и дать возможность поддержать близкого человека, а иногда и находиться с ним в последние часы его жизни.
И вот 30 мая Минздрав разослал письмо № 15-1/10/1-2853, в котором предложил неукоснительно руководствоваться приложенными к письму «Правилами посещения родственниками пациентов в отделениях реанимации и интенсивной терапии (реанимации)» и рекомендуемую форму памятки для посетителей, с которой они должны ознакомиться перед посещением своего родственника в отделении реанимации и интенсивной терапии (ОРИТ).
Поскольку речь идет о вопросе очень деликатном и, к сожалению, рано или поздно касающемся практически каждого, не могу не прокомментировать.
В этой самой памятке есть п.7, в соответствии с которым посетители, не являющиеся прямыми родственниками пациента, допускаются в ОРИТ только в сопровождении близкого родственника (отца, матери, жены, мужа, взрослых детей). Кроме того, пункт 6 Правил вообще запрещает посещать пациентов ОРИТ детям в возрасте до 14 лет.
Читая это, я в который раз подумал: «Почему я, простой блогер с небольшим количеством читателей, готовя пост, держу открытыми несколько страниц сети с текстом документов, о которых я рассказываю, и перепроверю каждую фразу, а чиновники, читающие и выпускающие в свет нормативные и методические указания, в том числе «разработанные внештатными специалистами Минздрава и специалистами федеральных государственных медицинских учреждений», не считают нужным читать законы?». И это при наличии в министерствах и ведомствах штатных юристов.
Уважаемые министерские! Российское законодательство ничего не знает про прямых, а также кривых родственников. Муж и жена – не родственники совсем. Понятие близких родственников совершенно конкретно определено статьей 14 Семейного кодекса РФ. Это родственники по прямой восходящей и нисходящей линии (родители, дети, дедушка, бабушка и внуки, полнородные и неполнородные (имеющие общих отца или мать) братья и сестры.
Второй вопрос. Кто дал вам право решать, кого пускать, а кого не пускать к больному? Может быть, у человека нет в живых перечисленных вами в Письме и памятке родственников и супругов, и они не могут сопровождать к больному братьев, сестер, дедушек или внуков, с которыми больной очень близок, и общения или прощания с которыми вы его лишаете даже не нормативным правовым актом, а каким-то письмом? Я уже не говорю про гражданских супругов, с которыми прожиты многие годы, близких друзей, которые могут быть последними родными душами одиноких, да и не только одиноких людей.
И, наконец, почему в ваших не замечательных документах ничего не говорится про волю и желание или нежелание больного видеть кого-то рядом со своей кроватью в реанимации в эти тяжелейшие минуты своей жизни? Может, разрешенный к посещению вашими правилами муж давно не живет с супругой и пришел выбить из нее завещание, воспользовавшись ее болезнью?  И убьет ее своим разговором в вашей больничке? Или, наоборот, пациент, находящийся в сознании, хочет видеть кого-то очень близкого, не попавшего в ваш разрешительный список, и совсем не в сопровождении близкого родственника?
Будьте людьми. Поставьте себя на место больных, их родственников, и не только близких, друзей, сослуживцев, адвокатов, душеприказчиков, может быть, вы по-новому взглянете на бюрократические правила и их оправданность, а также пользу для больного.
Не навреди! 

3 августа 2016 г.

Базы и банки данных в новых законах. Часть 3. Реестры коллекторов и персональные данные знакомых должника

Среди законов, принятых завершившей свою работу Государственной Думой (о некоторых из них я писал в части 1 и части 2), был и долгожданный закон о коллекторской деятельности – Федеральный закон от 03.07.2016 № 230-ФЗ «О защите прав и законных интересов физических лиц при осуществлении деятельности по возврату просроченной задолженности и о внесении изменений в Федеральный закон "О микрофинансовой деятельности и микрофинансовых организациях"». Одновременно с ним Федеральным законом от 03.07.2016 № 231-ФЗ в КоАП РФ внесены изменения в федеральные законы «О персональных данных», «О кредитных историях», «О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля», «О потребительском кредите (займе)». В полную силу нововведения заработают с 1 января 2017 года, но некоторые нормы начали действовать уже сегодня.
В коротком посте все аспекты принятых законов рассмотреть невозможно, поэтому по многочисленным просьбам трудящихся на ниве возврата долгов, мы разработали 4-часовый вебинар «Обработка персональных данных при взыскании задолженности: изменения в законодательстве», премьера которого в онлайн-формате пройдет 25 августа в Центре консалтинговых услуг «Финансовый приоритет», а 14 сентября трансляцию вебинара организует Учебный центр «Информзащита». На вебинарах будет проведен детальный анализ новых законов, рассмотрена судебная практика и позиция надзорных органов (пока это Роспотребнадзор и Роскомнадзор, но неизбежно появится и третий орган, надзирающий непосредственно за коллекторами). А пока – несколько коротких комментариев о том, что показалось наиболее интересным.
Как известно, долги с привлечением третьих лиц можно попытаться вернуть тремя основными способами: в рамках исполнительного производства по решению суда, уступив право требования долга третьему лицу и привлекая агентов, которые займутся этой нелегкой работой за счет и по поручению кредитора. Новый закон не затрагивает исполнительное производство (для этого есть отдельный федеральный закон) и регулирует два основных вопроса: требования к коллекторским агентствам, которые в законе называются юридическими лицами, осуществляющими деятельность по возврату просроченной задолженности в качестве основного вида деятельности, и порядок взаимодействия кредитора и коллектора с должником.
В соответствии с законом, сведения обо всех коллекторских агентствах вносятся в специально создаваемый реестр, который будет вести пока не назначенный федеральный орган исполнительной власти (уполномоченный орган), который будет еще и контролировать деятельность профессиональных взыскателей. Уже намечается первая неожиданность: проектом постановления Правительства эти функции предполагается возложить на … Федеральную службу судебных приставов.  
Прежде, чем подать заявку на включение в реестр, взыскатель должен уведомить Роскомнадзор о намерении обрабатывать персональные данные и попасть в реестр операторов персональных данных. Без этого – никак.
Из других важных новшеств. Переформатирована статья 14.57 КоАП «Нарушение требований законодательства о защите прав и законных интересов физических лиц при осуществлении деятельности по возврату просроченной задолженности», теперь в ней четыре состава правонарушений вместо одного. Самое серьезное наказание вводится для взыскателей, не включенных в реестр коллекторских агентств, но пытающихся собирать долги – штраф до 2 миллионов рублей, деятельность коллекторов может быть административно приостановлена на срок до 90 суток, а их руководство – дисквалифицировано на срок от 6 месяцев до 1 года.
Закон очень жестко регламентирует способы взаимодействия с должником при взыскании долга. Это непосредственное взаимодействие (лично или по телефону), отправка сообщений с использованием средств связи, почтовые отправления. Это все. При этом вводятся обязательные для сообщения должнику категории сведений, которые должны указываться в почтовом отправлении или сообщении, направляемым с использованием средств связи. Для иных способов взаимодействия необходимо письменное соглашение между должником и кредитором или лицом, действующим от его имени и (или) в его интересах, при этом должнику предоставлено право в одностороннем порядке расторгнуть такое соглашение и отказаться от предусмотренных им способов общения с взыскателем долга. Более того, должник через 4 месяца после возникновения просрочки может отказаться от любых способов общения, кроме почты, или запретить обращение к нему взыскателя, потребовав взаимодействия только через своего адвоката, для чего передать взыскателю контактные данные адвоката.  
Большое удивление вызвала предусмотренная законом возможность вовлекать в процесс общения взыскателя и должника третьих лиц по усмотрению должника и без их согласия – членов семьи должника, родственников, проживающих с должником лиц, соседей и вообще кого угодно. При обращении к ним взыскателя долга они могут выразить несогласие, и про них придется забыть. Но сам факт возможности оформления должником согласия в виде отдельного документа, в котором эти третьи лица указываются, на мой взгляд, противоречит и духу, и букве закона о персональных данных. Запретить обращение к этим лицам может и сам должник.
Понять логику законодателей мне так и не удалось – зачем эту норму надо было предусматривать? Тем более, что передать персональные данные таких лиц, не являющихся стороной договора кредитования, кредитор без их согласия и без согласия должника может цессионарию при уступке права требования долга или при привлечении коллекторов в качестве агентов. Предвижу большое количество конфликтов, связанных с реализацией этих норм. По смыслу закона такими агентами могут выступать только кредитные организации и профессиональные взыскатели, и привлекать более одного агента законом запрещается.
Кредитор или его агент при возврате просроченной задолженности не вправе без согласия должника передавать (сообщать) третьим лицам или делать доступными для них сведения о должнике, просроченной задолженности и ее взыскании, передавать любые другие персональные данные должника, если это прямо не предусмотрено законом. Так что популярные у некоторых коллекторов звонки работодателям и родственникам должника, не указанным в его согласии, о котором я писал выше, становятся вне закона. Согласие должника на такую передачу опять-таки оформляется в виде отдельного документа. Из текста закона неясно, надо ли давать одно согласие или два - одно на обращение, другое – на сообщение. Такое согласие не требуется для передачи персональных данных лицам, имеющим право взыскивать долги и указанным в законе, но на них возлагается обязанность обеспечить конфиденциальность полученных от кредитора сведений.
Очень неудачная часть 9.2 появилась в статье 6 Федерального закона «О кредитных историях», из которой не ясно, нужно ли согласие субъекта кредитной истории на раскрытие содержащейся в ней информации или достаточно перехода права требования, и тогда согласие не нужно?
В целом впечатления от нововведений сложные и работать с ними будет не просто. Риски невозврата долга при таких нормах существенно возрастают, многие положения допускают различные трактовки, которые будут активно использоваться должниками и их представителями (есть уже и антиколлекторские агентства), сократится кредитование, обеспечивающее функционирование банков, вырастут проценты по кредитам, появится еще один надзорный орган.

18 июля 2016 г.

Базы и банки данных в новых законах. Часть 2. Реестры фискальных операторов, фискальных носителей и ККТ

Продолжаем обзор изменений законодательства, произошедших по результатам работы весенней сессии Государственной Думы.
15 июля вступила в силу новая редакция Федерального закона от 22.05.2003 № 54-ФЗ «О применении контрольно-кассовой техники при осуществлении наличных денежных расчетов и (или) расчетов с использованием электронных средств платежа», в который Федеральным законом от 03.07.2016 № 290-ФЗ внесены радикальные изменения. Фактически, начинает действовать совсем другой закон о совсем других кассовых аппаратах и совсем с другими правоотношениями.
В законе – много интересного с точки зрения информационной безопасности и обработки персональных данных, но почему-то об этом именно в среде ИБ-специалистов практически ничего не пишут. А зря. Фактически создается новый сегмент рынка средств защиты информации, возможно, гораздо больший по объему, чем тот, которой связывают с пакетом Яровой-Озерова. К антитеррористическому пакету правительство должно принять ряд НПА, только после которых станет ясно, кто, что и как будет хранить, а вот кассовые аппараты есть в каждом магазине, а с принятием закона их должно стать существенно больше.
Попробую кратко восполнить этот пробел.
Если коротко, теперь все (все, подчеркиваю!) кассовые чеки должны сразу же после их создания направляться прямиком в ФНС по защищенному каналу связи в интернете и там, в ФНС, храниться.
Для этого каждому продавцу товаров и услуг контрольно-кассовую технику (ККТ) надо заменить на другую, правильную, завести интернет в каждый магазин, ларек и машину такси, принять меры по целостности фискальных данных и т.д.
Создаются новые институты и реестры: кабинет ККТ на сайте ФНС; реестр ККТ, в котором регистрируются сведения о каждом изготовленном экземпляре (!) ККТ, и реестр фискальных накопителей также с регистрацией сведений о каждом таком накопителе; журналы учета ККТ, ведущиеся налоговыми органами (карточка регистрации ККТ с указанием ее регистрационного номера в таком журнале должна быть подписана усиленной квалифицированной электронной подписью); реестр экспертных организаций, соответствующих требованиям законодательства о применении ККТ; базы фискальных данных.
Вводится очень интересное определение ККТ – «электронные вычислительные машины, иные компьютерные устройства и их комплексы, обеспечивающие запись и хранение фискальных данных в фискальных накопителях, формирующие фискальные документы, обеспечивающие передачу фискальных документов в налоговые органы через оператора фискальных данных и печать фискальных документов на бумажных носителях в соответствии с правилами, установленными законодательством Российской Федерации о применении ККТ».
Фискальные данные – это сведения о расчетах, об организации или индивидуальном предпринимателе, осуществляющих расчеты, о ККТ, применяемой при осуществлении расчетов, и, как обычно, «иные сведения», сформированные ККТ или оператором фискальных данных.
Появилось понятие «средство формирования фискального признака» - это программно-аппаратное шифровальное (криптографическое) средство защиты фискальных данных, обеспечивающее возможность формирования фискального признака.
Такая ККТ должна быть у всех организаций России, осуществляющих расчеты, кроме случаев, прямо установленных статьей 2 закона. Например, новую ККТ не будут использовать банки, но только при использовании банкоматов и систем ДБО, или киоски, торгующие мороженым и газировкой в розлив (хотите продавать бутылки – ставьте ККТ). Не нужна она в церквях при продаже свечей и заказе отпевания или венчания и т.д.
Записывать фискальные данные ККТ будет не на какой-то тривиальный жесткий диск, а на фискальный накопитель – программно-аппаратное шифровальное (криптографическое) средство защиты в опломбированном корпусе, содержащее ключи фискального признака, обеспечивающее возможность формирования фискальных признаков, запись фискальных данных в некорректируемом виде (с фискальными признаками), их энергонезависимое долговременное хранение, проверку фискальных признаков, расшифровывание и аутентификацию фискальных документов, подтверждающих факт получения оператором фискальных данных фискальных документов, переданных ККТ, направляемых в ККТ оператором фискальных данных, а также обеспечивающее возможность шифрования фискальных документов в целях обеспечения конфиденциальности информации, передаваемой оператору фискальных данных.
Кассовые чеки, после полного вступления закона в силу, мы будем получать не в виде клочка бумаги, а как смс-сообщение или письмо на электронную почту, а также размещать их на неких ресурсах сети интернет, откуда покупатель сможет скачать их самостоятельно. Сами понимаете, для этого продавцу надо дать контактные данные, а он их будет где-то и как-то хранить. Каждая точка розничной торговли станет оператором в отношении персональных данных покупателей, которые пока для них анонимы в большинстве случаев (пока, например, не придут с паспортом сдавать товар обратно). Про шифрование трафика, содержащего кассовые чеки, в законе ничего нет.
Фискальные данные немедленно после расчета направляются в электронном виде в налоговые органы через операторов фискальных данных, которые будут хранить эти данные в специально создаваемых базах фискальных данных.
Вопреки растиражированной информации о том, что в каждом кассовом чеке, направляемом в налоговые органы, будут персональные данные покупателя, такого требования в законе нет –размещаемый на кассовом чеке абонентский номер либо адрес электронной почты покупателя персональными данными не является. Но зато на чеке есть должность и фамилия лица, осуществившего расчет с покупателем, которая вместе с данными о пользователе ККТ вполне подходит под определение персональных данных со всеми вытекающими отсюда для пользователя ККТ последствиями.
Соответственно, появляются абсолютно новые направления бизнеса – деятельность операторов фискальных данных и экспертных организаций.
Операторами являются организации, получившие разрешение на обработку фискальных данных. Каждый пользователь ККТ (владелец магазина, например) должен заключить возмездный договор как минимум с одним оператором фискальных данных. Сведения о заключении, расторжении и изменении условий каждого такого договора оператор направляет в налоговые органы через кабинет ККТ в форме электронного документа, подписанного, естественно, усиленной квалифицированной электронной подписью.
Экспертные организации – это те, кто организует и проводит экспертизы моделей ККТ и технических средств оператора фискальных данных или соискателя разрешения на такую деятельность. Все такие организации должны быть включены в специальный реестр.
Исходя из требований к ККТ, к фискальным накопителям и к фискальным данным, представляется, что такие операторы и экспертные организации без лицензий ФСБ и ФСТЭК обойтись никак не могут. Но в законе о лицензиях, как обычно, ни слова. Опять пойдут трактовки и позиции.
ККТ должна обеспечить передачу фискальных данных и прием квитанций об их получении оператором в зашифрованном виде.
К фискальным накопителям требований безопасности, и весьма жестких, предъявляется еще больше:
·         обеспечение противодействия угрозам безопасности информации фискальных данных (значит, должна быть для таких данных модель угроз; она, кстати, уже есть, и очень толковая, составленная на основании проведенного эксперимента по внедрению новой ККТ, но, на мой взгляд, требует доработки после внесения в законопроект изменений и принятия окончательного варианта закона);
·         шифрование фискальных документов, передаваемых оператору в электронной форме, и расшифровывание полученного от оператора подтверждения;
·         формирование фискального признака документов с использованием ключа фискального признака документов и фискального признака сообщений длиной не менее 256 бит, проверку фискального признака подтверждения с использованием ключа фискального признака сообщений;
·         обеспечение аутентификации и проверка достоверности подтверждений оператора, защищенных фискальным признаком подтверждения;
·         обеспечение невозможности коррекции записей и фискальных данных в своей памяти.
Фискальные накопители должны работать с любой моделью ККТ, для чего устанавливаются протоколы информационного обмена.
Встраивание криптографии в ККТ и фискальные накопители – тема крайне интересная, но в законе совершенно не раскрытая. Алгоритмы шифрования, сертификация ФСБ, лицензия разработчиков, параметры протокола информационного обмена, безопасность среды функционирования СКЗИ в составе ККТ и накопителя, порядок создания и утверждения модели угроз – это только небольшая часть проблем, которые видны при прочтении закона. Да и методику экспертизы ФНС должна утвердить ФНС, о согласовании ее с ФСБ и ФСТЭК тоже не упоминается, что не очень правильно, учитывая изложенное выше.
Правда, прямое указание на необходимость сертификации в ФСБ применяемой в фискальных накопителях СКЗИ есть в проекте «Требований к контрольно-кассовой технике, порядке и условиях регистрации, перерегистрации и снятия с регистрационного учета контрольно-кассовой техники в налоговых органах, а также порядок и условия применения контрольно-кассовой техники», который предполагается утвердить постановлением правительства, но, как и модель угроз, документ нуждается в переработке в связи с внесенными в законопроект при его принятии изменениями.
Времени на решение всех этих проблем совсем нет. Полное счастье наступит 1 июля 2017 года, когда можно будет использовать только ККТ, соответствующую новым требованиям, за исключением отдельных случаев. Осталось меньше года.
За невыполнение новых требований к ККТ и обработке фискальной информации тем же 290-ФЗ в КоАП РФ добавлено 12 новых составов административных правонарушений и установлена конкретная ответственность. Отсутствие ККТ влечет штраф в размере от трех четвертых до одного размера суммы расчета, осуществленного с использованием наличных денежных средств и (или) электронных средств платежа без применения ККТ, а рецидив приводит к дисквалификации руководителя и административной приостановки деятельности продавца на срок до 90 суток.
Ну, а мы, простые покупатели, готовимся к очередному повышению цен в рознице. Новую (наверное, сертифицированную) ККТ продавцам надо будет купить, обслуживать, оплачивать услуги операторов. Естественно, за наш с вами счет. А за чей же еще?
Если кому-то интересны детали встраивания в бизнес создание ККТ, фискальных накопителей, операторской и экспертной деятельности – обращайтесь, поможем разобраться.