Михаил Емельянников, КА «Емельянников, Попова и партнеры». На линии киберобороны

В эксклюзивном интервью ведущему JSON.TV Сергею Корзуну управляющий партнёр консалтинговой компании «Емельянников, Попова и партнёры» Михаил Емельянников рассказал о ситуации с персональными данными, о кибервойнах и реальных угрозах цифрового мира.

В полном видеоварианте интервью Михаил Емельянов отвечает на вопросы о главных угрозах информационной безопасности, о путях решения некоторых сложных вопросов применения 152-ФЗ, о возможности блокирования на территории России Интернет-ресурсов, которые не смогут соответствовать российскому законодательству.

Продолжительность – 47 мин.

Несколько цитат из интервью:

«Я, например, уже перестал интересоваться выступлениями зарубежных спикеров на российских мероприятиях, потому что они говорят о среде функционирования безопасности, очень далекой от нашей. У нас очень сильно государственное регулирование. И, в отличие от многих стран, это регулирование технологическое, а не правовое, что создает массу нюансов».

«Есть страны, где нет криптографии вообще. Есть страны, которые криптографией занимаются и ограничивают максимально возможность использования зарубежной криптографии. Да, Россия имеет великолепную школу, и у нее криптография – одна из лучших в мире».

«Сейчас все ведущие государства мира фактически создают кибервойска, которые решают примерно те же задачи, что решает служба информационной безопасности в коммерческих организациях. Это защита информации, противодействие несанкционированному доступу, ведение наступательных операций».

Мастер-класс про аутсорсинг в дата-центрах и облаках

16-17 апреля в «Метрополе» пройдет VIII межотраслевой Форум директоров по информационной безопасности. Наше агентство традиционно принимает в нем участие, а среди самых интересных мероприятий, в которых приходилось на форуме участвовать – модерирование панельной дискуссии с криптографами с участием хорошо знакомых специалистам россиян В. Смирнова (СигналКом) и С. Рябко (Эс-Терра), а также создателя легендарной программы шифрования PGP американца Ф. Циммермана.

В этом году мероприятие тоже обещает быть интересным. Основной упор сделан на выступления специалистов «с той стороны» - практиков, работающих у заказчиков. Русал, Северсталь, Иркут, SPSR express, Эльдорадо – далеко не полный перечень предприятий, чьи руководители подразделений информационной безопасности разного уровня поделятся своим взглядом на ситуацию с обеспечением безопасности в наше непростое время. Много будет о защищенности банковских систем и тоже устами банковских специалистов, а не вендоров и интеграторов.

Большая часть программы отведена на вопросы аутсорсинга обработки данных и защиты информации, использования облачных сервисов, в которые обязательно вклиниваются проблемы размещения технических средств обработки. И дело не только в персональных данных. С 1 июля 2015 года технические средства информационных систем, используемых государственными органами, органами местного самоуправления, государственными и муниципальными унитарными предприятиями, государственными и муниципальными учреждениями должны размещаться на территории Российской Федерации. К тому же все государственные и информационные системы должны быть аттестованы по требованиям безопасности. Так что проблем действительно много.

Именно этим вопросам будет посвящен и мой мастер-класс с длинным названием «Нормативное регулирование переноса обработки информации ограниченного доступа и персональных данных в облачную инфраструктуру и коммерческие дата-центры, в том числе находящиеся за рубежом». Он пройдет в первый день форума, 16 апреля, с 16:30 до 17:00. На эту тему я уже не раз писал, в том числе и в блоге, например, про «буферные зоны» обработки персональных данных, современный бизнес и привлечение для его ведения контрагентов, которые становятся обработчиками персональных данных, требования к территориальному размещению систем обработки данных и в других постах. Но вопросов меньше не становится, и проектов по реализации требований тоже.

Поэтому для 16 апреля выбран именно формат мастер-класса с ответами на вопросы: можно или нет, если да, то как и почему. Для начала попытаемся выяснить, кто вообще не может пользоваться зарубежным хостингом и сервисами иностранных провайдеров. Для остальных проанализируем, как надо распределить обязанности оператора персональных данных и оператора информационной системы, провайдера вычислительных и облачных услуг, хостера программного обеспечения, используемого по модели SaaS.

Это представляется крайне важным, поскольку закон и принятые в его исполнение акты возлагает именно на оператора персональных данных обязанность определения актуальных угроз, выбора средств защиты, получения согласия субъектов, а при аутсорсинге реализация этих требований «в лоб» представляется весьма проблематичной. Поэтому мы ищем пути выполнения требований закона, не ломающие бизнес. В последнее время я вынужден часто повторять, что компания, отказывающаяся от современных технологий из-за непроработанности нормативного регулирования их использования, окажется на обочине конкурентной борьбы. Значит, надо не отказываться от передового, а искать способы выполнения требований регуляторов. Вопросы сложные, поэтому я готов и к спорам, и к обоснованию своей точки зрения.

Для заинтересовавшихся - видео выступления на похожую тему на Cyber Security Forum в конце февраля, снятое J’Son TV. Для затравки, потому что у меня было всего 10 минут, а теперь – в три раза больше J.

О рекламе, адресных рассылках и немалых штрафах

Дошли наконец руки до темы прямого обращения к потребителю с использованием средств связи с целью продвижения продуктов и услуг на рынке. Она несколько раз всплывала на разных мероприятиях, и реакция слушателей показала, что особо этим вопросом никто не заморачивался, а зря, как мне кажется. Деньги там серьезные лежат.

Итак, вопросы продвижения путем непосредственных контактов, т.е. телефонных звонков, смс-сообщений, сообщений электронной и обычной почты регламентируются двумя федеральными законами – «О рекламе» и «О персональных данных», а организация смс-рассылок – еще и законом «О связи».

Исходя из того, что написано в этих законах, есть существенная разница между рекламой и адресной рассылкой.

Реклама, в соответствии с законом «О рекламе», – информация, распространенная любым способом, в любой форме и с использованием любых средств, адресованная неопределенному кругу лиц и направленная на привлечение внимания к объекту рекламирования, формирование или поддержание интереса к нему и его продвижение на рынке. Таким образом, исходя из указанной формулировки закона, адресное сообщение, направленное конкретному физическому лицу и содержащее идентифицирующие его признаки (фамилию, имя, отчество, или только фамилию, или только имя (имя и отчество), совпадающие с соответствующими данными адресата – т.е. его персональные данные), не относится к рекламе – круг лиц, которым оно направлено, конкретно определен.

В «Постатейном комментарии к Федеральному закону от 13.03.2006 № 38-ФЗ "О рекламе"», размещенном на сайте Федеральной антимонопольной службы (http://www.fas.gov.ru/clarifications/clarifications_30337.html#18), указывается, что под неопределенным кругом лиц понимаются те лица, которые не могут быть заранее определены в качестве получателя рекламной информации и конкретной стороны правоотношения, возникающего по поводу реализации объекта рекламирования. Такой признак рекламной информации, как предназначенность ее для неопределенного круга лиц, означает отсутствие в рекламе указания о некоем лице или лицах, для которых реклама создана и на восприятие которых реклама направлена.

Необходимо обратить внимание, что термин «реклама» в статье 15 закона «О персональных данных», требующей получения согласия на осуществление прямых контактов с потенциальным потребителем с помощью средств связи, не используется. По смыслу понятий, определенных в законах о рекламе и о персональных данных, следует различать рекламу, т.е. информацию, адресованную неопределенному кругу лиц, и адресную рассылку или адресное обращение, осуществляемые непосредственно определенным лицам с использованием средств связи в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем.

Т.е. смска «Здравствуйте! Получайте информацию, оплачивайте телефон…» - это реклама. А аналогичное сообщение «Михаил Юрьевич, вклад в …банке – отличный способ сохранить сбережения…» - уже нет.

Все это крайне важно, поскольку дальше начинается самое интересное. Нарушение законодательства о рекламе – сфера деятельности Федеральной антимонопольной службы (ФАС), а нарушение законодательства о персональных данных – вотчина Роскомнадзора. Статья 14.3 КоАП «Нарушение законодательства о рекламе» предполагает минимальный штраф для юрлиц в 100 тысяч рублей, а максимальный – в 500 тысяч. Причем ФАС выписывает штрафы самостоятельно, минуя прокуратуру и суд.

Приснопамятная статья 13.11 КоАП «Нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных)» в действующей редакции обходится гораздо более скромными наказаниями – на юрлицо, если кто забыл, штраф накладывается в размере от 5 до 10 тысяч рублей. Да еще получивший жалобу субъекта, павшего жертвой спама, Роскомнадзор должен убедиться в ее обоснованности, направить материалы в прокуратуру, которая материалы возбужденного административного дела (если возбудит) переправит (если посчитает нужным) в мировой суд, который, если посчитает вину доказанной, выпишет «пятерочку» (обычная практика). В новом законопроекте о внесении изменений в КоАП максимальный штраф за обработку персональных данных без согласия субъекта предполагается установить в 50 тысяч рублей. Как говорится, почувствуйте разницу!

И в подходах к определению суммы штрафа позиции двух ведомств сильно разнятся. Чтобы долго не объяснять, иллюстрация.

Мировой суд г. Перми в сентябре 2014 года признал ООО «Билдинг» виновным в нарушении законодательства о рекламе и назначил штрафы на общую сумму в 3,2 млн рублей. Ранее Управление ФАС по Кемеровской области признало пермское ООО «Билдинг» нарушившим закон «О рекламе» в части незаконной рассылки рекламных сообщений гражданам. По итогам рассмотрения каждого из 12-ти дел Кемеровское УФАС России привлекло общество к административной ответственности в виде штрафа в 100 тысяч рублей. Однако компания штрафов не оплатила. За неоплату административного штрафа предусмотрена ответственность, размер которой составляет двукратный размер неоплаченного штрафа. По каждому факту неоплаты штрафа Кемеровское УФАС России составило 12 протоколов, и направило их в Мировой суд. Рассмотрев 10 из них, мировой судья г. Перми признал ООО «Билдинг» виновным и постановил помимо штрафов, назначенных антимонопольным органом, дополнительно выплатить двойную сумму по каждому из них. Таким образом, общая сумма штрафа составила 3 миллиона 200 тысяч рублей. Т.е. одно нарушение в отношении одного субъекта – один штраф.

А вот совсем свежий пример. Московское областное управление ФАС оштрафовало ОАО «МегаФон» на 300 тыс. руб. за распространение спама в форме смс-сообщений. Овчинка выделки стоит. По этой же ссылке сообщается, что, по оценкам J’son & Partners Consulting, объем рынка смс-рассылок в России в 2013 году составил $101 млн, прогноз на​ 2016 год — $137 млн.

У Роскомнадзора подход другой. И штрафы пониже, и перспективы пожиже. В марте 2014 года начальник отдела по защите прав субъектов персональных данных, надзора в сфере массовых коммуникаций и информационных технологий управления Роскомнадзора по Псковской области Эдуард Кожокарь, отвечая на вопрос руководителя управления территориального управления федеральной службы по надзору в сфере защиты прав потребителей насколько легитимна СМС-реклама, поступающая к абонентам без их согласия и могут ли сотовые операторы передавать номера абонентов для массовых рассылок, сообщил, что номер телефона не является собственностью абонента, поэтому говорить о нарушениях распространения персональных данных не приходится, а речь может идти только о нарушениях законодательства о рекламе и переправил вопрос правомерности в УФАС.

И еще нюанс. В соответствии с Федеральным законом от 21.07.2014 № 272-ФЗ, в закон «О связи» внесены нормы, жестко регламентирующие спамерские смс-рассылки, деликатно названные в законе «рассылками по сети подвижной радиотелефонной связи».

Теперь спамить могут только операторы связи (рекламораспространители) по договору с рекламодателем, а вот к ответственности за рассылки без согласия получателей могут привлечь и тех, и других. По рекламодателей я уже писал выше. А дальше – про рекламораспространителей. Удмуртское управление ФАС признало компанию «Мегафон» нарушившей антимонопольное законодательство из-за СМС-рассылки рекламы других фирм своим абонентам, подписавшим согласие на получение информации об услугах оператора. В ходе рассмотрения дела УФАС выяснило, что на мобильный номер заявителя поступило рекламное сообщение «Деньги на дом от ООО "Домашние деньги" … Звонок бесплатный». Рассылала рекламу компания ОАО "Мегафон", ссылаясь на то, что согласно договору на оказание услуг связи, абонент согласился получать рекламу. Однако УФАС установило, что заявитель соглашался на СМС-оповещение только об услугах оператора связи.

И последний рецепт. Привлекая коммерческий колл-центр для рекламы своей продукции, не забудьте убедиться, что у вас есть не только согласие конкретного получателя на использование средств связи для продвижения ему вашей продукции, но и его согласие на передачу персональных данных иным лицам, колл-центру – в частности. И не забудьте все грамотно прописать в документах.

Персональные данные в облаках: уйти нельзя остаться

Прошедшая неделя была заполнена бесконечным количеством публикаций о грядущей катастрофе системы бронирования авиабилетов в России после 1 сентября и вступления в силу норм закона 242-ФЗ о территориальности баз персональных данных россиян. Отличались эти публикации одной характерной чертой – подхватив первое сообщение на эту тему, СМИ и интернет-ресурсы даже не пытались разобраться в сути проблемы, перепечатывая чужие публикации в собственной интерпретации и все дальше уходя от реальной оценки ситуации.

Детальный ее анализ сделал А. Лукацкий, опираясь на Варшавскую и Чикагскую конвенции. Я с его выводами не согласен, поскольку не вижу в этих документах никакого прямого разрешения сразу передавать персональные данные пассажиров в глобальные системы бронирования без организации их хранения на территории конкретного государства, но, в данном случае, речь пойдет совсем о другом.

Российским авиакомпаниям решить проблему соответствия закону можно довольно просто, и это вовсе не требует миллионных затрат и создания российской посконной и домотканой системы бронирования. Надо просто создать базу данных своих пассажиров на российских серверах (а она в любом случае создается в соответствии с законом «О транспортной безопасности» и без 242-ФЗ), а из нее «пробрасывать» заявку на бронирование билетов в глобальные системы.

Однако существует огромное количество иных ситуаций, когда простые и дешевые решения для выполнения новых требований законодательства вовсе не являются очевидными. И это создает реальную угрозу бизнесу, в первую очередь, транснациональному и зарубежному, который ведется на территории нашей страны. На угрозы, порожденные рисками, разный бизнес реагирует по-разному. Отбросив промежуточные варианты, остановимся на двух полярных – избежание государственного или регуляторного риска, т.е. полный отказ от бизнеса не территории страны с неясными правилами, и снижение риска до приемлемой величины, установленной правилами менеджмента. Именно этими двумя путями и идет большинство зарубежных компаний, чья деятельность на территории России или с российскими резидентами связана с обработкой персональных данных.

Наглядный пример такого подхода – прямо противоположные решения относительно хостинга и облачных вычислений в России, принятые компаниями T-Systems CIS, «дочкой» Deutsche Telekom, и Orange Business Services, тоже «дочкой» телекома, но французского. Полностью закрыть бизнес, убоявшись несоответствия закону, или активно его развивать, глядя на замешкавшихся конкурентов и найдя решения, позволяющие это соответствие обеспечить – решения, принимаемые отнюдь не технарями и не с их подачи, а топ-менеджментом, в первую очередь – финансовым, на основании выводов, сделанных юристами. Не нашли юристы способов разруливания ситуации, устраивавших, в первую очередь, пугливых клиентов, – и нет бизнеса. Но свято место пусто не бывает, и на освободившиеся «площади» приходит конкурент, правовая служба которого эти самые пути решения проблемы определившая.

На самом деле никакого запрета на обработку персональных данных россиян за пределами Российской Федерации закон не содержит. Вводимые с 1 сентября ограничения касаются только периода сбора персональных данных, как первичного, так и приводящего к их изменению, уточнению или обновлению. Именно поэтому я написал выше, что авиакомпаниям надо создать российский буфер перед системами глобального бронирования, где будут храниться фамилии, имена и отчества их пассажиров, паспортные данные, сведения о дате рождения и совершенных полетах рейсами конкретной компании. После создания такой учетной записи никаких препятствий для обращения в систему бронирования закон не создает. Нет в нем запрета на передачу, предоставление, доступ и даже удаление и уничтожение данных за рубежом. То же самое касается и абсолютного большинства других случаев использования персональных данных в информационных системах за пределами России – будь то кадровый учет транснациональной корпорации, ведущей бизнес и в России, ERP или CRM система зарубежного владельца российской компании или банковская система международного банка с российской «дочкой».

Мы об этом долго и подробно разговаривали на встрече, организованной интернет-омбудсменом Дмитрием Мариничевым. Довольно детально моя позиция изложена на форуме, созданном по результатам дискуссии здесь.

Так что оснований для паники я не вижу. А вот детальная правовая проработка проблемы, подготовка соответствующих договоров и рекомендаций для клиентов, обеспечивающих соответствие закону со стороны иностранных компаний, которые решат продолжить работу в России, просто необходимы. Те компании, которые всерьез решили работать на российском рынке, этим занимаются, в том числе, - наши клиенты, которым мы в этом активно помогаем. И потратить дополнительные деньги на создание «буферной зоны» придется. Но не так много, как обычно об этом говорят. 

Банковская безопасность на круглых столах в Магнитогорске

В этом году на банковском форуме в Магнитогорске я с презентацией не выступал, но поучаствовал в двух круглых столах. В одном, с регуляторами, - в качестве ведущего, в другом, по приглашению Натальи Касперской, – в качестве эксперта.

Регуляторов собралась серьезная команда – сенатор, зампредседателя комитета Совфеда по конституционному законодательству Л.Н. Бокова, замначальника ГУБЗИ Банка России А.М. Сычев, и замдиректора департамента НПС Т.К. Батырев, начальник управления защиты прав субъектов персональных данных Роскомнадзора Ю.Е. Контемиров, начальник 2 Управления ФСТЭК России В.С. Лютиков и два представителя ФСБ России – В.М. Простов и С.Н. Юдин. Хотел бы еще раз, публично, выразить благодарность участникам обсуждения за активное участие в этом мероприятии. Магнитогорск – одно из немногих мест в нашей среде, где представители органов власти и Банка России оказываются вместе, обсуждают общие проблемы и где любому из них можно задать любой вопрос. Последним, кстати, на мой взгляд, банковское сообщество воспользовалось весьма слабо. И предварительных вопросов именно от банков было очень мало, и на сессии вопросов зажигали в основном не банкиры.

И тот, и другой круглые столы оказались непростыми. Разговорить регуляторов – всегда задачка с несколькими неизвестными, и чем более сложный вопрос, тем больше вероятность получить самый общий ответ. Не ставлю задачей этого поста глубокий анализ сказанного, но кое-какие выводы сделал сразу. Некоторые посчитали все ответы Л.Н. Боковой не слишком конкретными, однако в них была заложена одна совершенно четкая мысль – свои проблемы банки, в первую очередь, должны решать сами, инициируя нужные им законодательные инициативы, формируя их текст и лоббируя принятие. И особо рассчитывать на чью-то помощь при этом не надо. Снова всплывает тема саморегулирующейся организации, что, при наличии двух крупных банковских ассоциаций, вызывает у участников рынка довольно неоднозначную реакцию.

Похоже, непросто будет строиться FinCERT и завязываться с ГосСОПКА (система обнаружения и предупреждения компьютерных атак, создаваемая ФСБ России). Не видно перспектив облегчения работы с банковской отчетностью, пока, во всяком случае. Заработает на полную мощность FinCERT, закончатся уточнения распределений полномочий между реформированными подразделениями Банка России, вот, может быть, тогда…

Очень понравились ответы Ю.Е. Контемирова – по делу, без попыток увести в сторону. Если ответить по какой-то причине нельзя – так и говорится. Мне показалось, что потихоньку к некоему знаменателю приходит тема 242-ФЗ, для банков, во всяком случае. Из ответов (на слух, запись не анализировал) показалось, что особых проблем новый закон российским банкам не создаст, как тем, которые являются «дочками» иностранных и ведут информационный обмен по персоналу и клиентам с материнским банком, так и для осуществляющих трансграничные денежные переводы. На март обещано очное разъяснение позиции регулятора кредитно-финансовым учреждениям, что тоже крайне полезно.

В.С. Лютиков порадовал неизменностью позиции ФСТЭК в отношении лицензирования деятельности по ТЗКИ и призвал решать вопросы путем направления конкретных запросов во ФСТЭК. Службу в последнее время отличает готовность к диалогу, приверженность выбранной линии развития системы нормативного регулирования и активное привлечение к работе специалистов отрасли, желающих поучаствовать в процессе.

Не так просто шло общение с представителями ФСБ. Находящихся на сцене можно понять – они находятся в жестких рамках ведомственной позиции. Но от этого не легче – использование протокола https в системах ДБО, электронная подпись из облака, аттестация рабочих мест, на которых установлены СКЗИ, по-прежнему остаются в некой пограничной зоне, а поэтому и в зоне риска банков.

Из круглого стола Н. Касперской про жизнь отрасли во время кризиса сделал для себя вывод, что главной проблемой ближайших лет будут не отсутствие денег, не технологии, не таргетированные атаки (кто-то из участников, по-моему, Р. Хайретдинов справедливо отметил, что других теперь и нет), а кадры. Тема персонала постоянно всплывала в ходе обсуждения, и ничего утешительного я не услышал и не сказал сам. Я приводил пример – при сокращении штатов, большом количестве ищущих работу, в том числе банковских специалистов, на мое сообщение в Фейсбуке о вакансии в банке, где надо было конкретно заняться нормативкой, а не «руководить процессом», пришло ровно одно резюме. Одно. Могу лишь повторить свой неутешительный прогноз: там, где служб ИБ не было, они в ближайшее время не появятся, там, где служба не смогла доказать, что приносит (не дает красть, экономит) конкретные, поддающиеся подсчету, деньги, службу сократят до возможного, по мнению руководства банка, минимума. Возможно – совсем. Не случайно В. Окулесский много рассказывал о том, что они делают в «Банке Москвы» именно с точки зрения сокращения реальных затрат и потерь.

В целом мне эти мероприятия понравились. Все-таки живое общение лучше монотонных презентаций, особенно, если выступающий сидит за трибункой на стуле или перемежает слайды на русском и английском языке.

В заключение. Все высказанные в посте мнения являются субъективными и оценочными. Вполне допускаю, даже уверен, что у кого-то прямо противоположная точка зрения или совсем другие впечатления.

И спасибо организаторам. Все-таки подготовка пятидневных мероприятий – колоссальный труд, по себе знаю. Ни одной сколь-нибудь серьезной проблемы с точки зрения организации я не увидел.

Есть одна очень важная задача для того, чтобы форум сохранился и развивался дальше. Надо делать все, чтобы на него приезжало больше банкиров. Знаю, что трудно. Но очень надо.

Разместить персональные данные в облаке, привлечь десяток их обработчиков и выполнить закон

Вчерашняя презентация на Cyber Security Forum 2015 по проблемам организации обработки персональных данных в условиях их передачи большому количеству контрагентов и привлечения большого количества обработчиков, хостинга или колокации информационных систем персональных данных в коммерческом ЦОДе вызвала огромный интерес. Обсуждение 15-минутной презентации продолжалось очень долго. Как и обещал – презентацию выкладываю.

Пятая графа персональных данных

Сенатор Совета Федерации Жанна Яновна Иванова 2 февраля внесла в Государственную Думу законопроект, возвращающий в паспорта россиян «пятую графу» – сведения о национальности. Не предложение «об изменениях отдельных федеральных законов», как это стало модным в последнее время, а вполне себе самостоятельный закон. Это явно становится трендом российского законотворчества – аналогичный законопроект уже вносили почти год назад. Тогда инициаторы-коммунисты шли еще дальше, предлагая россиянам указать заодно и свое вероисповедание. Но проект завернули, убоявшись новых расходов. Сейчас с бюджетом все хорошо, свободных денег много, и можно наконец-то заняться сакральным. Кроме того, совсем недавно нездоровый интерес к национальности рождающихся, брачующихся и умирающих проявили в Минюсте, обосновав его вопросами статистики, но предусмотрев сугубую добровольность указания этой специальной категории персональных данных, требующей письменного согласия граждан на обработку при обращении этих самых граждан в органы записи актов гражданского состояния, что меня также немало удивило.

Когда я читаю о таких новациях, у меня всегда первым появляется вопрос – зачем? Чего в супе так не хватает, что туда срочно надо добавить экзотические специи, которые существенно поменяют его вкус? За ответами надо обращаться не только к тексту законопроекта, но и к пояснительной записке к нему, благо они в АСОЗД есть.

Начинается текст внесенного проекта с почти прямой цитаты части 1 ст.26 Конституции, закрепляющей право каждого определять и указывать свою национальную принадлежность. Но вот про вторую часть, устанавливающую, что никто не может быть принужден к определению и указанию своей национальной принадлежности, почему-то в законе умалчивается.

Законопроект в преамбуле утверждает, что национальная принадлежность гражданина Российской Федерации является одним из главных признаков самоидентификации любого человека, воспринимается в качестве одной из важнейших ценностных категорий для отдельной личности, выступает гарантом сохранения самобытности каждой национальной (этнической) общности многонационального народа Российской Федерации, способствует гармонизации межнациональных (межэтнических) отношений в стране и укреплению единства российской нации в целом. Утверждения более, чем спорные, а учитывая периодические проявления самых разных форм ксенофобии (одно из самых сильных обострений со времен чеченских войн мы наблюдаем сейчас) – не только спорные, но и в корне не соответствующие действительности.

Статья 1 закона совершенно неожиданно заявляет, что «в соответствии с Конституцией Российской Федерации настоящий Федеральный закон устанавливает порядок реализации права совершеннолетних дееспособных граждан Российской Федерации на определение и указание своей национальной принадлежности, а также права родителей либо единственного родителя (иного законного представителя) на определение и указание национальной принадлежности их ребенка (несовершеннолетнего подопечного) – гражданина Российской Федерации». Право родителей определять и указывать национальность детей – это что-то фундаментально новое для российского законодательства.

Такого не было даже во времена СССР. В свидетельстве о рождении ребенка и в советский период истории (во всяком случае тот, который я помню), и сейчас национальность ребенка не указывалась. Там были и есть только сведения о национальности родителей, которые сейчас указываются сугубо по их желанию. Получая свой первый паспорт, гражданин СССР делал выбор своей национальности, и, насколько я помню, она не обязательно должна была совпадать с национальностью родителей или одного из них. Автор законопроекта об этом, наверное, помнит, и с вольностями предлагает покончить, требуя «обоснованного сочетания при определении национальной принадлежности лица соответствующего субъективного желания с объективными критериями такого определения». Т.е., видимо, если представителю ФМС, которому закон предоставляет права реализовывать этот принцип, лицо кандидата получить определенную национальность при выписке внутреннего паспорта покажется не соответствующим сложившимся у него критериям национальной принадлежности, он вправе отказать в самоидентификации обратившемуся гражданину, отправив его в суд для защиты своего права выбрать национальность (пункт 9 статьи 2 законопроекта).

Критерии национальной принадлежности в законопроекте предлагаются следующие: родной язык, традиции и обычаи, культура, религия, родство и родственные связи, проживание в соответствующей этнокультурной среде, а также иные объективные критерии определения национальной принадлежности, предусмотренные федеральным законом.

Вся процедура простановки в паспорте сведений о национальности основана на том, что таковая будет указана в свидетельстве о рождении, и решение родителей о национальности ребенка при желании указать иную национальность надо будет оспаривать в суде.

Предполагается, что отметке о национальной принадлежности в паспорте будет присвоен индивидуальный регистрационный номер, а для каждого гражданина будет изготовлено загадочный индивидуальный штамп (клише) отметок о национальной принадлежности, который будет храниться в органе ФМС, которую параллельно хотят ликвидировать. Кстати, зачем этот индивидуальный штамп нужен, кроме разовой простановки в паспорте, из текста законопроекта не ясно. Изготовляться он будет, естественно за счет заявителя – лица, решившего увековечить свою национальность. Процедура установления национальности – многоуровневая, с заявлениями, рассмотрением, оплатой и прочее, и предусматривает принятие постановления правительства, может быть – и не одного.  

Инициатор закона почему-то считает, что «известно, что в рамках существующего гражданского оборота национальная принадлежность ребенка по желанию его родителей (или единственного родителя) в соответствии с законодательством Российской Федерации об актах гражданского состояния (Федеральным законом от 15 ноября 1997 г. № 143-ФЗ «Об актах гражданского состояния» и другими нормативными правовыми актами) уже указывается, - поэтому представленный законопроект логически встраивает данное положение в более комплексное законодательное регулирование соответствующих правоотношений». Интересное утверждение. В главе II этого закона, определяющей содержание записи о рождении ребенка и сведения, вносимые в свидетельство о рождении, упоминается только национальность родителей или одного из них, а о национальности ребенка нет ни слова.

Внимательно изучив закон, пояснительную записку и прочие приложенные к нему документы, ответ на вопрос «зачем это нужно?» я так и не нашел. В очередной раз удивившись тому, что с законодателями мы, наверное, читаем разные законы. Где они берут свои, я не знаю.

И последнее. Национальность – специальная категория персональных данных. Каждое снятие копии с паспорта, где указана национальность, потребует получения согласия субъекта в письменной форме, предусмотренной частью 4 статьи 9 закона «О персональных данных».

Ох, повеселимся.

Сервера и базы данных одесную и ошую

Пока все ели оливье и селедку под шубой, пили водку с шампанским, пускали фейерверки, катались на лыжах все каникулы напролет, подкрался первый рабочий день. С трудовым началом нового года всех!

У нас, правда, трудовые будни практически не прерывались, поскольку нашим заказчикам стало очень интересно, а как жить после 1 сентября 2015 года, когда в соответствии с 242-ФЗ сбор персональных данных россиян будет производиться только с использованием баз данных на территории России. Желание заказчиков – для нас святое, и после ежедневной лыжной пробежки все силы бросались на разрешение этого вопроса. Попутно выяснялась масса интересных фактов.

Если кто не следил за работой принтера, сообщаем, что 31 декабря, за несколько часов до наступления нового года, президентом были подписаны два федеральных закона № 531-ФЗ «О внесении изменений в статьи 13 и 14 Федерального закона "Об информации, информационных технологиях и о защите информации" и Кодекс Российской Федерации об административных правонарушениях» и № 526-ФЗ «О внесении изменения в статью 4 Федерального закона "О внесении изменений в отдельные законодательные акты Российской Федерации в части уточнения порядка обработки персональных данных в информационно-телекоммуникационных сетях"». Ну вы поняли – о внесении изменений в ранее внесенные изменения.

Из прочтения этих законов родилось четкое ощущение, что весь состав законодателей был разбит на две группы, например, по признаку размещения одесную и ошую председателя, и каждая группа творчески работала над своим законом, причем заглядывать в конспекты соседей было строго запрещено.

Группа депутатов, что сидела одесную, пришла к выводу, что с 1 июля 2015 года (в соответствии с 531-ФЗ), технические средства информационных систем, используемых государственными органами, органами местного самоуправления, государственными и муниципальными унитарными предприятиями, государственными и муниципальными учреждениями должны размещаться на территории Российской Федерации. То есть всякие там сервера баз данных, почтовые и файловые серверы, а равно и веб-, надо перенести в российские дата-центы и вопрос закрыть. И это правильно. Официальный почтовый ящик российского министерства на сервисе google.com у любого нормального человека вызывает легкую оторопь, а у маньяков-ибешников – так вообще истерику.

В это время вторая группа - та, что ошую, решала сложный вопрос – а когда все-таки сбор персональных данных россиян, в том числе посредством сети интернет, будет производиться так, что запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации будет обеспечено с использованием баз данных, находящихся на территории Российской Федерации. Подумав примерно полгода, депутаты решили, что все-таки не 1 сентября 2016 года, но и не 1 января 2015. Компромисс был найден – 1 сентября 2015 года.

Отлично! Вот только в 242-ФЗ, установившем это требование, есть исключения. Можно не заморачиваться размещением серверов на территории России, если обработка персональных данных необходима для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей (а государственные органы, органы местного самоуправления, государственные и муниципальные унитарные предприятия, государственные и муниципальные учреждения, упомянутые в 531-ФЗ, с утра до вечера только этим и занимаются), если она необходима для исполнения судебного акта (привет базам судебных приставов!) и для исполнения полномочий органов власти и местного самоуправления в предоставлении государственных и муниципальных услуг. Я об этом уже как-то писал, но эти замечательные исключения на фоне глобальных проблем тотального переноса всего в Россию особого интереса не вызвали.

Таким образом, к 1июля все эти базы должны быть возвращены в Россию, если они там не размещались, а с 1 сентября их при желании можно снова отправить за границу. Или нельзя? Вопрос к читателям-юристам и правоведам: если два закона, устанавливающих противоречивые нормы, подписаны в один день, какой из них действует? Тот, что вступил в силу ранее? Или позднее? Оба? Ни один? Так переносить или пока подождать? А если еще заглянуть в закулисье законотворческой деятельности, закрытый перелом головного мозга неизбежен. Недавно все желающие обсуждали и даже готовили предложения по проекту Федерального закона «О внесении изменений в Федеральный закон «Об информации, информационных технологиях и о защите информации»», посвященному нормативному правовому регулированию использования услуг облачных вычислений в деятельности органов государственной власти, органов местного самоуправления, органов управления государственными внебюджетными фондами. Законопроект предусматривает внесение в трехглавый закон новой статьи 15.6, в соответствии  с которой при организации предоставления услуг облачных вычислений органам государственной власти, органам местного самоуправления, органам управления государственными внебюджетными фондами должны соблюдаться определенные условия, среди которых предоставление услуг облачных вычислений указанным органам поставщиками услуг облачных вычислений, являющимися российскими юридическими лицами или индивидуальными предпринимателями, облачная инфраструктура которых находится на территории Российской Федерации при условии прохождения ими государственной аккредитации. Обратите внимание – государственных и муниципальных унитарных предприятий, государственных и муниципальных учреждений в законопроекте нет, зато есть органы управления государственными внебюджетными фондами, которых нет в 231-ФЗ и 242-ФЗ.

Так кому чего можно, чего нельзя и когда? Есть над чем подумать в новом году! С прошедшими праздниками! За работу, товарищи, коллеги и друзья!

С Новым 2015 годом!

Базам персональных данных - вернуться на главную базу

Всем готовиться к 1 сентября 2015 года! Незаметно и иносказательно сайт Думы сообщил о переносе сроков вступления в силу Федерального закона 242-ФЗ, получившего неофициальное название «о территориальности персональных данных россиян».

Утреннее пленарное заседание Госдумы сегодня, 17 декабря.

По предложению Романа Чуйченко, выступившего от Комитета по информационной политике, информационным технологиям и связи, депутаты вернули во второе чтение законопроект № 596277-6 «О внесении изменения в статью 4 Федерального закона «О внесении изменений в отдельные законодательные акты Российской Федерации в части уточнения порядка обработки персональных данных в информационно-телекоммуникационных сетях», уточняющий срок вступления закона в силу, а затем приняли законопроект сразу во 2-м и 3-м чтениях.

К документу принята одна поправка:

«Внести в статью 4 Федерального закона от 21 июля 2014 года № 242-ФЗ «О внесении изменений в отдельные законодательные акты Российской Федерации в части уточнения порядка обработки персональных данных в информационно-телекоммуникационных сетях» … изменение, изложив ее в следующей редакции:

«Статья 4

Настоящий Федеральный закон вступает в силу с 1 сентября 2015 года».

Дальше начинается казуистика и крючкотворство. Но об этом – как-нибудь позже, когда закон подпишет президент, а у меня появится время.

Про указание ЦБ, идентификацию, хакеров и паспорта

Как мы помним, Указанием Банка России от 21 января 2014 г. N 3179-У, для проверки действительности паспорта физического лица, являющегося гражданином Российской Федерации, кредитная организация должна использовать информационный сервис «Проверка действительности паспорта гражданина Российской Федерации, удостоверяющего личность гражданина Российской Федерации на территории Российской Федерации» на официальном сайте Федеральной миграционной службы (ФМС) в сети интернет. Правда, порядка проведения такой проверки и документирования ее результатов Положение 262-П и указание о внесении в него изменений не содержат, оставив решение этой непростой проблемы на откуп банков.

Законопослушные банки бросились указание исполнять, сервер ФМС, содержащий ресурс, не являющийся к тому же официальным, естественно, упал, и, полежав на боку некоторое время, восстал из пепла под новым имением «Проверка по списку недействительных (утраченных (похищенных), оформленных на утраченных (похищенных) бланках паспорта гражданина Российской Федерации, выданных в нарушение установленного порядка, а также признанных недействительными) паспортов граждан Российской Федерации, удостоверяющих личность гражданина Российской Федерации на территории Российской Федерации». Т.е. Положение ЦБ есть, а ресурса, который он требует использовать, нет, есть другой, в Положении не упомянутый. Чтобы не перегружать запросами сервер ФМС и не пытаться получить информацию под тяжелым взглядом ожидающего клиента, можно скачать «Список недействительных (утраченных (похищенных), оформленных на утраченных (похищенных) бланках паспорта гражданина Российской Федерации, выданных в нарушение установленного порядка, а также признанных недействительными) паспортах граждан Российской Федерации, удостоверяющих личность гражданина Российской Федерации на территории Российской Федерации», который обновляется по рабочим дням, и встроить его в свою информационную систему.

Насколько этот перечень является достоверным – вопрос непростой. По этому поводу Ассоциация российских банков уже направляла запрос в Банк России, обращая внимание на неполноту базы паспортов и нестабильную работу информационного ресурса, а также отсутствие порядка фиксации обращения банка на сайт ФМС.

Банк России в своем ответе относительно фиксации обращения предложил самостоятельно определять порядок в правилах внутреннего контроля. Проблемы недостоверности сведений и перегруженности сайта ФМС банкам предложено решать с использованием Единой системы межведомственного электронного взаимодействия, к которой банки подключаются как участники Государственной информационной системы о государственных и муниципальных платежах.

При этом ЦБ полагает, что в случае, если при проверке действительности паспорта на сайте ФМС получен ответ «Сведениями по заданным реквизитам не располагаем» либо «В электронных учетах ФМС России в настоящее время не значится», кредитная организация может отказать такому лицу в приеме на обслуживание либо в выполнении распоряжения о совершении операции до получения официального ответа территориального подразделения ФМС России о действительности паспорта данного лица. А если паспорт числится недействительным, банку следует отказать такому лицу в приеме на обслуживание либо в выполнении распоряжения о совершении операции до представления клиентом доказательств, подтверждающих действительность паспорта (например, официального ответа территориального подразделения ФМС о действительности паспорта данного лица).

Проблема заключается в том, что сайт выдает иные варианты ответа «По Вашему запросу о действительности паспорта РФ ____ № _____ получен ответ о том, что данный паспорт «Среди недействительных не значится» или что «данный паспорт недействителен (ЗАМЕНЕН НА НОВЫЙ)».

Но изменения работы, видимо, коснулись не всех. Сегодня городской портал города Перми Properm.ru сообщил, что хакеры взломали сайт областного управления ФМС, получили доступ к номерам паспортов жителей края и немного порезвились, внеся изменения в данные. Поэтому, по сообщению городского портала, многие обратившиеся в банк горожане после обращения работников банка на сайт узнают, что их паспорта недействительны или сведений о них нет, и получают отказ в оказании банковской услуги – см. рекомендации ЦБ выше. Правда, об этих проблемах знают не во всех районных подразделениях города.

Сообщение о недействительности паспорта или отсутствии сведений о нем влечет необходимость личного обращения в подразделение УФМС, получения соответствующей справки или даже замену паспорта. Проблему  со справкой чиновники обещают решить в срок от двух дней до недели.

Почему у Перми есть своя система проверки подлинности паспортов, связана ли она информационно с официальным сайтом ФМС, я не знаю. Тем не менее сведений о моем паспорте в ней нет:

А вот сайт ФМС о моем паспорте знает и подтверждает его подлинность.

Пока очевидно, что с сервисом есть проблемы. На страничке проверки паспортов честно сообщается: «Улучшаем сервис с помощью граждан. Скорректировано сведений в АС «Российский Паспорт»: 80738». Это значит, что граждане сообщили о более чем 80 тысячах записей, являющихся неверными. По сообщению информационного агентства «Гарант.РУ», такая ситуация обеспокоила Национальный совет финансового рынка (НСФР), который, отметив значительный рост отказов банков от обслуживания клиентов-физических лиц, обратился в Управление Роспотребнадзора по г. Москве с предложением об оказании содействия в предотвращении нарушений прав потребителей, вызванных установлением такой обязанности банков. НСФР отмечает, что ресурс ФМС носит исключительно информационной характер, а для получения юридически значимой информации следует обратиться в территориальное подразделение ФМС России. Отказ в оказании банковских услуг – дело серьезное, а тут для такого решения используется неофициальная и, возможно, недостоверная информация…

Я думаю, надо ждать дальнейшего развития событий. Точки ставить рано.

В заключение – благодарность аналитикам нашего агентства, готовящим ежемесячный отчет о правоприменении, за извлечение приведенных фактов из Больших данных интернета J.

И вечный аудит. Покой банкам и не снится

Есть в стандарте Банка России СТО БР ИББС 1.0-2014 требование о наличии в кредитно –финансовой организации, присоединившейся к стандарту, такого документа, как программа аудита. В соответствии с определением, там должны быть сведены планы проведения проверок выполнения требований не только стандарта, но и всех остальных проверок состояния информационной безопасности (ИБ): «Программа аудита ИБ включает всю деятельность, необходимую для планирования, проведения, контроля, анализа и совершенствования аудитов ИБ (и других проверок ИБ)».

За окошком – декабрь, и мы с нашими клиентами корректируем планы работ в новом году. Дошли руки и до программы аудита, как-никак документ во многом базовый, да и стандарт требует периодической корректировки программы.

Банк России рекомендует чередовать самооценку выполнения требований стандарта с аудитами с привлечением внешней проверяющей организации, есть ряд обязательных требований о проведении проверок безопасности и в других документах.

Обобщив и подытожив, получаем картину довольно суровую.

Допустим, банк с учетов выхода новой редакции стандарта провел аудит силами привлекаемой организации. Значит, в соответствии с требованиями стандарта, через два года, в 2016 году, ему целесообразно провести самооценку, а в 2018 – снова аудит.

Между самооценкой и аудитом скучать тоже будет некогда.

1 ноября 2012 года постановлением Правительства № 1119 были утверждены «Требования к защите персональных данных при их обработке в ИСПДн», среди которых – необходимость контроля за их выполнением оператором самостоятельно или с привлечением на договорной основе лицензиатов ФСТЭК не реже 1 раза в 3 года. Эти три года с момента установления нормы истекают как раз в ноябре 2015 года, значит, если банк этого не сделал раньше (а большинство КФУ, по нашим наблюдениям, этого не делало), в 2015 году надо провести проверку выполнения требований к защите персональных данных.

Как мы с вами помним, в соответствии с положением Банка России № 382-П, первая оценка выполнения его требований должна была завершиться не позднее 9 января 2014 года. Периодичность проведения оценок – раз в два года. Значит, до конца 2015 года надо провести и работу по 382-П, и не просто провести, а отчитаться за нее Банку России. Аналогичная работа должна быть проведена и в конце 2017 года, а в 2018 – снова аудит на соответствие СТО БР ИББС с привлечением внешней организации. И так по кругу.

Не будем забывать, что проверка – не самоцель, каждая из них должна заканчиваться анализом полученных результатов и выработкой предложений по результатам проверки, подготовкой и представлением руководству Банка предложений по совершенствованию системы защиты информации и программы аудита, а затем надо обеспечить еще и реализацию всех подготовленных предложений, получив для этого не только «добро» руководства банка, но и необходимые ресурсы.

А между всеми этими проверочными, планирующими и корректирующими мероприятиями должен, как это требует стандарт, вестись непрерывный мониторинг информационной безопасности и контроля защитных мер в банке в целях оперативного и постоянного наблюдения, сбора, анализа и обработки данных для контроля за реализацией положений внутренних документов по обеспечению информационной безопасности в банке, выявления нештатных, в том числе злоумышленных, действий в автоматизированной банковской системе и инцидентов информационной безопасности, а также анализ функционирования системы обеспечения информационной безопасности.

Вот такой вот вечный бой. В заключение – табличка, построенная исходя из того, что внешний аудит проводился банком в 2014 году и первое контрольное мероприятие выполнения требований в защите персональных данных будет в 2015 году.

2014	Аудит соответствия состояния информационной безопасности требованиям стандарта Банка России СТО БР ИББС 1.0-2014
2015 (до ноября)	Проверка выполнения требований к защите персональных данных при их обработке в ИСПДн и эффективности реализованных в рамках системы защиты персональных данных мер по обеспечению их безопасности
2015 (до 9 января 2016)	Оценка выполнения требований к обеспечению защиты информации при осуществлении переводов денежных средств, установленных Положением Банка России от 09.06.2012 № 382-П
2016	Проведение самооценки соответствия информационной безопасности требованиям стандарта Банка России СТО БР ИББС 1.0-2014
2017 (до 9 января 2018)	Оценка выполнения требований к обеспечению защиты информации при осуществлении переводов денежных средств, установленных Положением Банка России от 09.06.2012 № 382-П
2018	Аудит соответствия состояния информационной безопасности требованиям стандарта Банка России СТО БР ИББС 1.0-2014

И не забудем отправить в Банк России сведения о результатах оценки выполнения требований 382-П, «Подтверждения соответствия организации БС РФ стандарту Банка России СТО БР ИББС-1.0-2014» по результатам аудита и самооценки!

И опять про тайну связи – суды и мнения

Уже много раз повторялось, что российское законодательство, вводя ту или иную тайну и вводя ограничение доступа к ней, чаще всего не определяет, какие конкретно сведения относятся к той или иной охраняемой законом тайне. Не знаем мы, что конкретно скрывается за понятием «банковская тайна», тем более что Гражданский кодекс и закон «О банках и банковской деятельности» определяют ее несколько по-разному.

Такая же ситуация и с врачебной тайной, есть только косвенное определение в законе «Об основах охраны здоровья»: сведения о факте обращения гражданина за оказанием медицинской помощи, состоянии его здоровья и диагнозе, иные сведения, полученные при его медицинском обследовании и лечении, составляют врачебную тайну. «Иные сведения» допускают сколь угодно широкое толкование. Осложняется ситуация невозможностью разделить врачебную тайну и персональные данные, определить, что такое персональные данные, которые нельзя хранить за территорией Российской Федерации. Аналогичная ситуация с большинством видом профессиональных тайн.

Про тайну связи я писал уже не раз – например, здесь и здесь, в том числе – про позицию Конституционного Суда в отношении детализации переговоров.

В рамках завершившихся проектов для наших клиентов мы с тайной связи разбирались детально и провели подробный анализ судебной практики. Тем более, что появились новые решения, новые мнения и высказывания.

Напомню определение Конституционного Суда от 2 октября 2003 года № 345-О. В нем указано, что информацией, составляющей охраняемую Конституцией и действующими на территории Российской Федерации законами тайну телефонных переговоров, считаются любые сведения, передаваемые, сохраняемые и устанавливаемые с помощью телефонной аппаратуры, включая данные о входящих и исходящих сигналах соединения телефонных аппаратов конкретных пользователей связи (т.е. детализация переговоров), а для доступа к указанным сведениям органам, осуществляющим оперативно-разыскную деятельность, необходимо получение судебного решения. Та же позиция была подтверждена в определении Конституционного Суда от 21 октября 2008 г. № 528-О-О.

Отменяя решение Арбитражного суда города Москвы (АСГМ), касающееся тайны связи, Девятый арбитражный апелляционный суд (9ААС), ссылаясь на закон «О Конституционном Суде Российской Федерации», подчеркнул, что решения Конституционного Суда обязательны на всей территории Российской Федерации для всех представительных, исполнительных и судебных органов государственной власти, органов местного самоуправления, предприятий, учреждений, организаций, должностных лиц, граждан и их объединений. Это требование, по смыслу названного Федерального конституционного закона, распространяется на все решения Конституционного Суда Российской Федерации, независимо от того, в какой форме они выносятся, то есть не только на постановления, но и на определения и заключения.

Заодно суд второй инстанции, исходя из логики определения Конституционного Суда, посчитал, что тайну связи составляют также и сведения об IMEI (идентификационных номерах абонентских устройств). Такой вывод основан на том, что абонентские устройства приобретаются абонентом самостоятельно в торговой сети, которая реализует их без предъявления документа, удостоверяющего личность, в связи с этим IMEI абонентского устройства не относится ни к оператору связи, ни к самому абоненту. Абонент вправе использовать любые абонентские устройства, и оператор связи не обязан вести базу данных, содержащую сведения об этих устройствах. Информация об идентификационных номерах абонентских устройств IMEI устанавливается аппаратурой связи лишь при телефонных соединениях, то есть содержится только в протоколах соединений (детализациях) конкретных абонентов, SIM-карты которых использовались в данном телефонном аппарате. Т.е. для получения IMEI надо проанализировать протокол соединения, а это тайна связи, значит, и IMEI тоже.

Позиция суда второй инстанции была подтверждена Федеральным арбитражным судом Московского округа (ФАС МО) при рассмотрении кассационной жалобы. К таким же выводам пришли АСГМ, 9ААС и ФАС МО при оспаривании «Мегафоном» привлечения его ФСФР к ответственности за отказ предоставить детализацию переговоров. В 2014 году судьба сыграла с «Мегафоном» злую шутку, когда по иску Роскомнадзора оператор был оштрафован судом за нарушение лицензионных условий, выразившихся в передаче без согласия абонента детализации счетов, составляющих тайну связи, своей «дочке» – ОАО «Мегафон Ритейл».

К сожалению, в постановлении 9ААС, отменявшего решение АСГМ, о котором указано выше, не нашла оценки еще одна интересная позиция АГСМ: информация относительно абонентских номеров (т.е. номер телефона) не относится к информации, составляющей тайну телефонных переговоров, поскольку эти номера принадлежат операторам сотовой связи и выделены по договору для использования абонентами, следовательно, установление фактов использования абонентских номеров относится исключительно к информации о деятельности оператора сотовой связи.

Аналогичную позицию в марте 2014 года высказал начальник отдела управления Роскомнадзора по Псковской области, отвечая на вопрос руководителя управления территориального управления Роспотребнадзора, насколько легитимна СМС-реклама, поступающая к абонентам без их согласия, и могут ли сотовые операторы передавать номера абонентов для массовых рассылок. Он сообщил, что номер телефона не является собственностью абонента, поэтому говорить о нарушениях распространения персональных данных не приходится, а речь может идти речь только о нарушениях законодательства о рекламе. Так что составляет ли номер телефона тайну связи и относится ли он к персональным данным, мы так и не узнали.

А вот по вопросу о том, являются ли тайной связи адреса электронной почты, одни и те же суды пришли к прямо противоположным выводам. Рассматривая иск «Рамблер Интернет Холдинга» о признании незаконным привлечение его к ответственности за отказ предоставить такие сведения той же ФСФР, АСГМ отменил постановление ФСФР, поскольку при вынесении оспариваемого постановления ФСФР не была дана оценка доводам интернет-компании о том, что предоставление указанной информации невозможно без доступа к содержанию электронных сообщений, что повлечет нарушение тайны переписки. 9ААС посчитал решение суда первой инстанции ошибочным, решение отменил, и с этим выводом согласился суд кассационной инстанции. Причиной такого решения стало отсутствие обязательного предоставления персональных данных при создании почтового ящика в публичном сервисе. Из этого последовал не менее интересный вывод о том, что сведения об адресах электронной почты, с которыми пользователем осуществлялась переписка, не относятся к информации, указанной в п.3 ст.63 Закона о связи, т.е. к тайне связи. Кроме того, истец не предоставил доказательств того, что получение адресов требует доступа к содержанию электронных писем и невозможности перепрограммирования средств, с использованием которых эти адреса извлекаются. Суд кассационной инстанции посчитал эти выводы 9ААС правильными.

Рассматривая совершенно аналогичный иск компании «Мэйл.Ру», тот же АСГМ в удовлетворении его отказал. Но вдруг поменял свою позицию на 180 градусов 9ААС, решение АСГМ отменивший и указавший (внимание!), что судом первой инстанции не учтено, что истец направил в адрес административного органа письмо с отказом в предоставлении сведений об адресах электронной почты и отметил, что информация об адресах электронной почты может быть представлена исключительно через доступ к электронным сообщениям пользователей, что недопустимо. В постановлении прямо так и сказано: «Таким образом, Общество не просто отказалось предоставлять сведения об адресах электронной почты, а обосновало невозможность такого представления». Исходя из этого апелляционный суд пришел к выводу, что предписание о предоставлении документов, вынесенное руководителем ФСФР, не основано на законе, а привлечение к ответственности за отказ предоставить эти сведения подлежит отмене. Отвергая аналогии с делом «Рамблер Интернет Холдингом», 9ААС посчитал, что в рамках данного спора в отличие от предыдущего аналогичного дела интернет-компания обосновала отказ в предоставлении информации, т.е. дела не идентичны по своему содержанию.

Очень занятно, потому что обоснование отказа полностью у обоих истцов абсолютно одинаково. Интересно, будет ли кассационная жалоба, и что решит суд третьей инстанции, если он будет.

И еще одно наблюдение. Привлекая по ст.138 УК к уголовной ответственности за передачу детализации переговоров кому бы то ни было без решения суда и согласия абонента, общеуголовные суды с обоснованием того, что детализация – тайна связи, не заморачиваются. В редких приговорах можно найти анализ определения Конституционного Суда, о котором речь шла в начале поста. А в основном у судей нет никаких сомнений в том, что сведения о соединениях – это тайна, а ее раскрытие – преступление.

Так что разбираться с содержанием тайны связи мы будем еще долго и сложно, ломая копья и ноги. Выход, и очень простой, как мне кажется, есть.  Минкомсвязи могло бы ведомственным актом определить перечень сведений, составляющих тайну связи по аналогии с государственной и коммерческой тайной. Такой же путь предложен законом и для служебной тайны. Похоже, придется откорректировать закон и принять нормативный правовой акт. Как показывают весенняя и осенняя сессии Госдумы, принятые постановления «по закону о блогерах», при желании, это сделать можно было бы очень быстро. При наличии воли.