Новый закон о коллекторах. Часть 1, введение в проблемы

Провел два семинара по новому закону, регламентирующему коллекторскую деятельность – от 03.07.2016 № 230-ФЗ «О защите прав и законных интересов физических лиц при осуществлении деятельности по возврату просроченной задолженности…», о котором уже писал (о законе - здесь).

Готовясь ко второму мероприятию долго смеялся. Как раз накануне, 13 октября, на CyberCrimeCon/2016 был представлен отчет Group-IB, в котором была обнародована страшная цифра: общий объем хищений в российских банках в 2015 году от целевых кибератак составил 5,37 млрд рублей и вырос по отношению к прошлому периоду на 44%. Ужас-ужас.   В то же время в параллельном мире без кибератак 5 миллионов россиян бросили исполнять свои обязанности по кредитам и займам всех видов (потребительские, ипотека, авто и прочие), и заемщики, которые не платят уже более 90 дней по своим обязательствам, просрочили 780 млрд рублей из 1,3 трлн рублей общей задолженности россиян по кредитам. Что такое «не платят 90 дней и более»? Эти деньги перешли в категорию «неработающая ссуда» (NPL, Non-performing loan), то есть это те задолженности, по которым банк вряд ли увидит свои деньги. Сравните: 5,37 и 780. Это два порядка и еще полтора раза. И почувствуйте разницу.

Ситуация только усугубляется. На картинке – данные одного из крупнейших коллекторских агентств «Секвойя кредит консолидейшн» о структуре продаваемых банками долгов, опубликованные в прошлом году в «Ведомостях», перспектива возврата большинства которых безнадежна. Общий объем продаваемого портфеля такой «безнадеги» на начало 2016 года – примерно 440 млрд рублей. Дисконт при продаже – 99-99,5% номинала. Выводы делайте сами.

Есть и еще один неприятный сюрприз для всех нас. В тот же день, когда был подписан закон № 230-ФЗ, был принят и еще один закон, № 360-ФЗ, внесший изменения, в том числе, в «Основы законодательства Российской Федерации о нотариате». Теперь вместо бланкетной нормы статьи 90 «Перечень документов, по которым взыскание задолженности производится в бесспорном порядке на основании исполнительных надписей, устанавливается Правительством Российской Федерации, если иное не предусмотрено настоящими Основами для совершения исполнительных надписей по отдельным видам обязательств», появился конкретный перечень, в который попали нотариально удостоверенные сделки, устанавливающие денежные обязательства или обязательства по передаче имущества и (внимание!) кредитные договоры при наличии в них или дополнительных соглашениях к ним условия о возможности взыскания задолженности по исполнительной надписи нотариуса.

Перевожу. Если в кредитном договоре такое условие есть (а нормальные банки срочно начнут их теперь включать и склонять к заключениям доп. соглашений), а обязательства должником не исполняются, банку достаточно пойти к нотариусу, получить исполнительную надпись и с ней двигать к судебным приставам. Никакого судебного решения не нужно. Приставы обязаны начать исполнительное производство, то есть найти где-то в другом банке и списать в пользу кредитора долги заемщика или арестовать его имущество для обеспечения возврата долга.

Почему это плохо для всех нас? Я уже не раз писал и выступал на тему плохих кредитов, полученных по копии паспорта в результате сговора банковских агентов со злоумышленниками (например, здесь). Теперь ситуация становится более безнадежной.

Не надо судов. Человек, отдавший паспорт на ксерокопирование или сканирование при посещении бизнес-центра или заселении в гостиницу, узнает, что с него списали неизвестный ему долг с процентами и штрафами. По-видимому, первым делом он обращается в свой банк, в котором произошло списание, и узнает, что это сделано судебными приставами по исполнительному листу. Далее он обращается к судебным приставам, которые ему сообщают о задолженности по кредиту в неизвестном ему банке, подтвержденной исполнительной надписью нотариуса, в соответствии с которой списание денег происходит в бесспорном порядке. А затем – квест, в результате которого надо добиться признания договора кредитования поддельным и каким-то способом вернуть деньги, уже переведенные их получателем – банком-псевдокредитором на какой-то другой счет.

Еще раз вынужден написать: без принятия закона, содержащего закрытый перечень случаев допустимого копирования основного документа, удостоверяющего личность, и введения очень жестких санкций не только за его нарушение, но и за попытку нарушения (например, истребование паспорта для копирования без достаточных оснований, попытку получить в залог, как у нас часто любят делать на конференциях при выдаче прибора для приема синхроперевода и т.п.) проблему не решить. Она только разрастается.

Про сам новый закон и порождаемые им проблемы – в следующем посте. Большие тексты сегодня не в почете.

14 октября: Как общаться с должником и не нарушить закон

А знаете ли вы, что:

·         Общая задолженность россиян банкам на конец 2015 года - 11 трлн рублей.

·         Количество должников – 40 млн человек.

·         В состоянии обслуживать свои долги — только 8 млн человек.

·         Просроченная задолженность по кредитам – 1,3 трлн рублей.

·         Не выполняют свои долговые обязательства – более 5 млн человек.

·         25% закредитованных заемщиков обслуживают сразу два займа, 18% — три и более.

·         Заёмщики, которые не платят банкам более 90 дней, просрочили 780 млрд из 1,3 трлн рублей.

·         В срок не обслуживается каждый пятый кредит, а каждый десятый - безнадёжен.

Статистика пугающая и выглядит еще более мрачной на фоне «расстрельных троек» банков, лишенных лицензий, которые появляются практически каждую неделю.

С долгами надо что-то делать. Но не бросать коктейли Молотова в детские кроватки и не писать о кредиторах на стенах подъездов.

Наконец-то принят Федеральный закон от 03.07.2016 № 230-ФЗ, регламентирующий коллекторскую деятельность, о котором я уже писал.

Закон – не самый простой для понимания и восприятия. Поэтому мы вместе с Учебным центром «Информзащита» 14 октября и поможем разобраться в его хитросплетениях, причем совершенно безвозмездно, то есть бесплатно J. Но при условии обязательной предварительной регистрации на сайте Учебного центра.

О чем будем рассказывать? Вот о чем:

·         Общая ситуация с просроченной дебиторской задолженностью в России.

·         Взаимодействие кредитора и взыскателя долгов с должником.

·         Передача третьим лицам сведений о должнике и согласие должника.

·         Обязанности лиц, взыскивающих долги.

·         Отказ должника от взаимодействия с кредитором и взыскателем.

·         Обращение кредитора и взыскателя к третьим лицам для взыскания задолженности и условия такого обращения.

·         Требования к коллекторам и их обязанности.

·         Ответственность за несоблюдение требований закона при взыскании задолженности.

Кому это может быть интересно? Безусловно, банкам и коллекторским агентствам (теперь они называются лицами, осуществляющими деятельность по возврату просроченной задолженности в качестве основного вида деятельности и должны быть включены в специальный реестр). Но не только им. Поскольку закон принят в целях защиты прав и законных интересов физических лиц и устанавливает правовые основы деятельности по возврату просроченной задолженности физических лиц, возникшей из денежных обязательств, то им должны руководствоваться операторы связи, предприятия ЖКХ и иные организации, взыскивающие дебиторскую задолженность с населения.

Так что милости просим на регистрацию и вебинар. Он уже совсем скоро.

Информационная безопасность в трудовом договоре

1 января 2017 года вступают в силу изменения Трудового кодекса, касающиеся регулирования трудовых отношений в микропредприятиях. Суть их в том, что на микропредприятии трудовой договор может полностью или частично заменить локальные нормативные акты, содержащие нормы трудового права, такие, как правила внутреннего трудового распорядка, положение об оплате труда, положение о премировании, график сменности и прочие.

Для реализации этой новой нормы закона Правительство приняло Постановление от 27.08.2016 № 858, устанавливающее типовую форму трудового договора, заключаемого между работником и работодателем-микропредприятием.

Поскольку это первая известная мне типовая форма трудового договора, установленная нормативно, показалось интересным разобраться, а что же правительство думает о необходимости отражения в нем вопросов регулирования отношений, связанных с информационной безопасностью, в частности, с персональными данными, коммерческой тайной и секретами производства.

В ходе проектов нашего агентства периодически возникают дискуссии с юристами и кадровиками заказчиков относительно необходимости включения в трудовой договор положений об обработке персональных данных, иногда – исключительных прав на создаваемые работником результаты интеллектуальной деятельности. С коммерческой тайной все ясно, вопросов нет. Императивная норма пункта 4 части 1 статьи 10 Федерального закона «О коммерческой тайне» однозначно требует, чтобы отношения с работниками по использованию информации, составляющей коммерческую тайну, регулировались трудовыми договорами, и спорить тут не о чем.

Хотя законом «О персональных данных» и ТК РФ это и не требуется, целесообразно про персональные данные в трудовом договоре писать, поскольку статья 9 ТК РФ предусматривает, что регулирование трудовых отношений может осуществляться путем заключения, изменения, дополнения работниками и работодателями коллективных договоров, соглашений, трудовых договоров, а глава 14 ТК РФ прописывает требования к этим отношениям в части обработки персональных данных.

На мой взгляд, принятая форма типового договора подтверждает мою правоту. В ней персональные данные упоминаются трижды:

·       работнику предоставлено право на защиту своих персональных данных в соответствии с требованиями законодательства РФ;

·       работодателю вменено в обязанность осуществлять обработку и обеспечивать защиту персональных данных работника в соответствии с законодательством РФ;

·       работник в трудовом договоре дает свое согласие на обработку работодателем его персональных данных, необходимых для трудовых отношений.

А вот к содержанию этих норм трудового договора у меня большие вопросы. Начну с конца. Работодателю вовсе не нужно согласие работника на обработку персональных данных, необходимых для трудовых отношений, поскольку такая обработка необходима: (а) для достижения целей, предусмотренных законом (Трудовым кодексом, в частности) и для осуществления и выполнения возложенных законодательством РФ на работодателя как оператора функций, полномочий и обязанностей (пункт 2 части 1 ст.6 152-ФЗ); (б) для исполнения трудового договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных.

Кроме того, статья 88 Трудового кодекса вводит обязанность получить согласие работника в письменной форме на передачу его персональных данных третьим лицам, в том числе в коммерческих целях. С такой необходимостью сталкивается каждая организация при направлении работников в командировки, на обучение, при приобретении для них проездных документов и бронировании гостиниц и т.п. Согласие в типовом договоре не заменяет согласия в письменной форме, поскольку не содержит обязательных сведений, предусмотренных частью 4 статьи 10 закона «О персональных данных».

Непонятно, зачем указывать в трудовом договоре обязанность работодателя обеспечивать обработку и обеспечивать защиту персональных данных работника в соответствии с законодательством РФ, так как она уже вменена ему в обязанность законодательством.

А вот про создание работнику условий, обеспечивающих конфиденциальность обрабатываемых персональных данных, что может сделать только работодатель, в типовом договоре ничего нет. Как и про периодичность ознакомления работника с обрабатываемыми данными о нем, право работника требовать их уточнения, если они неактуальны, или уничтожения, если они не соответствуют целям, установленным статьей 86 Трудового кодекса и про иные очень важные вопросы взаимных обязательств.

Ни слова нет и про коммерческую тайну и секреты производства, права работодателя и работника на результаты интеллектуальной деятельности, полученные в ходе трудовой деятельности.

Зато типовой договор предусматривает осуществление работы путем обмена электронными документами с использованием усиленной квалифицированной электронной цифровой подписи или без нее. Разработчики документа, видимо, не знали, что термин «электронная цифровая подпись» не используется с момента вступления в силу Федерального закона 63-ФЗ. Не очень понятно, почему допускается дистанционная работа без использования электронной подписи, в то время как статья 312.1 Трудового кодекса предписывает взаимодействие дистанционного работника и работодателя путем обмена электронными документами с использованием усиленной квалифицированной электронной подписи.

Это положение еще раз возвращает нас к коллизии Трудового кодекса, пункт 6 статьи 86 которого запрещает работодателю при принятии решений, затрагивающих интересы работника, основываться на персональных данных работника, полученных исключительно в результате их автоматизированной обработки или электронного получения, а статья 312.2 предусматривает заключение трудового договора о дистанционной работе путем обмена электронными документами, для чего документы, предусмотренные статьей 65 Трудового кодекса, могут быть предъявлены работодателю лицом, поступающим на дистанционную работу, в форме электронного документа.

Типовой договор предусматривает отсутствие у работника трудовой книжки и допускает, что сведения о дистанционной работе в трудовую книжку могут не вноситься.

В целом документ показался, безусловно, полезным, однако вопросов он оставляет много. Начало типовым договорам положено, что уже хорошо…

Про резервное копирование, обязательность требований и сертификацию

Информация для тех, кто ценит надежность

При обеспечении информационной безопасности проблемы целостности и доступности информации возникают гораздо чаще, чем проблемы обеспечения ее конфиденциальности. Связано это с тем, что конфиденциальность не требуется в отношении большого количества информационных ресурсов, в том числе созданных для неограниченного доступа, раскрытия и опубликования информации, в рекламных целях и т.д. Для таких информационных систем критичными являются именно целостность и доступность информации, реализуемые в рамках процессов обеспечения непрерывности и катастрофоустойчивости бизнеса. Наиболее важным компонентом этих процессов являются системы резервного копирования и восстановления информации.

Написал большую статью про проблемы резервного копирования, требования законодательства, касающиеся этого процесса, необходимость сертификации таких средств https://go.veeam.com/wp-necessity-fstec-certified-data-backup-ru.html.

В статье анализируется, какие угрозы нейтрализует системная организация резервного копирования, каким образом осуществляется государственное регулирование резервного копирования и восстановления информации, для каких видов деятельности требования к резервному копированию выдвинуты в законах и иных нормативных правовых актах, когда и почему средствам резервного копирования нужен сертификат ФСТЭК России, решает ли проблемы выполнения нормативных требований использование программ резервного копирования, включенных в единый реестр отечественного программного обеспечения.

Как Минздрав своим приказом Семейный кодекс подправил

Если помните, 21 апреля этого года Президент России, по итогам специальной программы «Прямая линия с Владимиром Путиным», дал ряд поручений, среди которых было и поручение Минздраву России обеспечить методическое сопровождение субъектов РФ при «организации при возможности посещений родственниками пациентов, находящихся на лечении в отделениях анестезиологии-реанимации медицинских организаций».

Граждане, которые не могли пробиться через врачебно-медсестринские кордоны к своему тяжело больному родственнику, другу или учителю, попавшим в реанимацию, просили как-то пересмотреть запретительный подход и дать возможность поддержать близкого человека, а иногда и находиться с ним в последние часы его жизни.

И вот 30 мая Минздрав разослал письмо № 15-1/10/1-2853, в котором предложил неукоснительно руководствоваться приложенными к письму «Правилами посещения родственниками пациентов в отделениях реанимации и интенсивной терапии (реанимации)» и рекомендуемую форму памятки для посетителей, с которой они должны ознакомиться перед посещением своего родственника в отделении реанимации и интенсивной терапии (ОРИТ).

Поскольку речь идет о вопросе очень деликатном и, к сожалению, рано или поздно касающемся практически каждого, не могу не прокомментировать.

В этой самой памятке есть п.7, в соответствии с которым посетители, не являющиеся прямыми родственниками пациента, допускаются в ОРИТ только в сопровождении близкого родственника (отца, матери, жены, мужа, взрослых детей). Кроме того, пункт 6 Правил вообще запрещает посещать пациентов ОРИТ детям в возрасте до 14 лет.

Читая это, я в который раз подумал: «Почему я, простой блогер с небольшим количеством читателей, готовя пост, держу открытыми несколько страниц сети с текстом документов, о которых я рассказываю, и перепроверю каждую фразу, а чиновники, читающие и выпускающие в свет нормативные и методические указания, в том числе «разработанные внештатными специалистами Минздрава и специалистами федеральных государственных медицинских учреждений», не считают нужным читать законы?». И это при наличии в министерствах и ведомствах штатных юристов.

Уважаемые министерские! Российское законодательство ничего не знает про прямых, а также кривых родственников. Муж и жена – не родственники совсем. Понятие близких родственников совершенно конкретно определено статьей 14 Семейного кодекса РФ. Это родственники по прямой восходящей и нисходящей линии (родители, дети, дедушка, бабушка и внуки, полнородные и неполнородные (имеющие общих отца или мать) братья и сестры.

Второй вопрос. Кто дал вам право решать, кого пускать, а кого не пускать к больному? Может быть, у человека нет в живых перечисленных вами в Письме и памятке родственников и супругов, и они не могут сопровождать к больному братьев, сестер, дедушек или внуков, с которыми больной очень близок, и общения или прощания с которыми вы его лишаете даже не нормативным правовым актом, а каким-то письмом? Я уже не говорю про гражданских супругов, с которыми прожиты многие годы, близких друзей, которые могут быть последними родными душами одиноких, да и не только одиноких людей.

И, наконец, почему в ваших не замечательных документах ничего не говорится про волю и желание или нежелание больного видеть кого-то рядом со своей кроватью в реанимации в эти тяжелейшие минуты своей жизни? Может, разрешенный к посещению вашими правилами муж давно не живет с супругой и пришел выбить из нее завещание, воспользовавшись ее болезнью?  И убьет ее своим разговором в вашей больничке? Или, наоборот, пациент, находящийся в сознании, хочет видеть кого-то очень близкого, не попавшего в ваш разрешительный список, и совсем не в сопровождении близкого родственника?

Будьте людьми. Поставьте себя на место больных, их родственников, и не только близких, друзей, сослуживцев, адвокатов, душеприказчиков, может быть, вы по-новому взглянете на бюрократические правила и их оправданность, а также пользу для больного.

Не навреди! 

Базы и банки данных в новых законах. Часть 3. Реестры коллекторов и персональные данные знакомых должника

Среди законов, принятых завершившей свою работу Государственной Думой (о некоторых из них я писал в части 1 и части 2), был и долгожданный закон о коллекторской деятельности – Федеральный закон от 03.07.2016 № 230-ФЗ «О защите прав и законных интересов физических лиц при осуществлении деятельности по возврату просроченной задолженности и о внесении изменений в Федеральный закон "О микрофинансовой деятельности и микрофинансовых организациях"». Одновременно с ним Федеральным законом от 03.07.2016 № 231-ФЗ в КоАП РФ внесены изменения в федеральные законы «О персональных данных», «О кредитных историях», «О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля», «О потребительском кредите (займе)». В полную силу нововведения заработают с 1 января 2017 года, но некоторые нормы начали действовать уже сегодня.

В коротком посте все аспекты принятых законов рассмотреть невозможно, поэтому по многочисленным просьбам трудящихся на ниве возврата долгов, мы разработали 4-часовый вебинар «Обработка персональных данных при взыскании задолженности: изменения в законодательстве», премьера которого в онлайн-формате пройдет 25 августа в Центре консалтинговых услуг «Финансовый приоритет», а 14 сентября трансляцию вебинара организует Учебный центр «Информзащита». На вебинарах будет проведен детальный анализ новых законов, рассмотрена судебная практика и позиция надзорных органов (пока это Роспотребнадзор и Роскомнадзор, но неизбежно появится и третий орган, надзирающий непосредственно за коллекторами). А пока – несколько коротких комментариев о том, что показалось наиболее интересным.

Как известно, долги с привлечением третьих лиц можно попытаться вернуть тремя основными способами: в рамках исполнительного производства по решению суда, уступив право требования долга третьему лицу и привлекая агентов, которые займутся этой нелегкой работой за счет и по поручению кредитора. Новый закон не затрагивает исполнительное производство (для этого есть отдельный федеральный закон) и регулирует два основных вопроса: требования к коллекторским агентствам, которые в законе называются юридическими лицами, осуществляющими деятельность по возврату просроченной задолженности в качестве основного вида деятельности, и порядок взаимодействия кредитора и коллектора с должником.

В соответствии с законом, сведения обо всех коллекторских агентствах вносятся в специально создаваемый реестр, который будет вести пока не назначенный федеральный орган исполнительной власти (уполномоченный орган), который будет еще и контролировать деятельность профессиональных взыскателей. Уже намечается первая неожиданность: проектом постановления Правительства эти функции предполагается возложить на … Федеральную службу судебных приставов.  

Прежде, чем подать заявку на включение в реестр, взыскатель должен уведомить Роскомнадзор о намерении обрабатывать персональные данные и попасть в реестр операторов персональных данных. Без этого – никак.

Из других важных новшеств. Переформатирована статья 14.57 КоАП «Нарушение требований законодательства о защите прав и законных интересов физических лиц при осуществлении деятельности по возврату просроченной задолженности», теперь в ней четыре состава правонарушений вместо одного. Самое серьезное наказание вводится для взыскателей, не включенных в реестр коллекторских агентств, но пытающихся собирать долги – штраф до 2 миллионов рублей, деятельность коллекторов может быть административно приостановлена на срок до 90 суток, а их руководство – дисквалифицировано на срок от 6 месяцев до 1 года.

Закон очень жестко регламентирует способы взаимодействия с должником при взыскании долга. Это непосредственное взаимодействие (лично или по телефону), отправка сообщений с использованием средств связи, почтовые отправления. Это все. При этом вводятся обязательные для сообщения должнику категории сведений, которые должны указываться в почтовом отправлении или сообщении, направляемым с использованием средств связи. Для иных способов взаимодействия необходимо письменное соглашение между должником и кредитором или лицом, действующим от его имени и (или) в его интересах, при этом должнику предоставлено право в одностороннем порядке расторгнуть такое соглашение и отказаться от предусмотренных им способов общения с взыскателем долга. Более того, должник через 4 месяца после возникновения просрочки может отказаться от любых способов общения, кроме почты, или запретить обращение к нему взыскателя, потребовав взаимодействия только через своего адвоката, для чего передать взыскателю контактные данные адвоката.  

Большое удивление вызвала предусмотренная законом возможность вовлекать в процесс общения взыскателя и должника третьих лиц по усмотрению должника и без их согласия – членов семьи должника, родственников, проживающих с должником лиц, соседей и вообще кого угодно. При обращении к ним взыскателя долга они могут выразить несогласие, и про них придется забыть. Но сам факт возможности оформления должником согласия в виде отдельного документа, в котором эти третьи лица указываются, на мой взгляд, противоречит и духу, и букве закона о персональных данных. Запретить обращение к этим лицам может и сам должник.

Понять логику законодателей мне так и не удалось – зачем эту норму надо было предусматривать? Тем более, что передать персональные данные таких лиц, не являющихся стороной договора кредитования, кредитор без их согласия и без согласия должника может цессионарию при уступке права требования долга или при привлечении коллекторов в качестве агентов. Предвижу большое количество конфликтов, связанных с реализацией этих норм. По смыслу закона такими агентами могут выступать только кредитные организации и профессиональные взыскатели, и привлекать более одного агента законом запрещается.

Кредитор или его агент при возврате просроченной задолженности не вправе без согласия должника передавать (сообщать) третьим лицам или делать доступными для них сведения о должнике, просроченной задолженности и ее взыскании, передавать любые другие персональные данные должника, если это прямо не предусмотрено законом. Так что популярные у некоторых коллекторов звонки работодателям и родственникам должника, не указанным в его согласии, о котором я писал выше, становятся вне закона. Согласие должника на такую передачу опять-таки оформляется в виде отдельного документа. Из текста закона неясно, надо ли давать одно согласие или два - одно на обращение, другое – на сообщение. Такое согласие не требуется для передачи персональных данных лицам, имеющим право взыскивать долги и указанным в законе, но на них возлагается обязанность обеспечить конфиденциальность полученных от кредитора сведений.

Очень неудачная часть 9.2 появилась в статье 6 Федерального закона «О кредитных историях», из которой не ясно, нужно ли согласие субъекта кредитной истории на раскрытие содержащейся в ней информации или достаточно перехода права требования, и тогда согласие не нужно?

В целом впечатления от нововведений сложные и работать с ними будет не просто. Риски невозврата долга при таких нормах существенно возрастают, многие положения допускают различные трактовки, которые будут активно использоваться должниками и их представителями (есть уже и антиколлекторские агентства), сократится кредитование, обеспечивающее функционирование банков, вырастут проценты по кредитам, появится еще один надзорный орган.

Подробности и ответы на вопросы – на анонсированных в начале поста вебинарах. 

Базы и банки данных в новых законах. Часть 1. Шагреневая кожа налоговой тайны

Базы и банки данных в новых законах. Часть 2. Реестры фискальных операторов, фискальных носителей и ККТ

Базы и банки данных в новых законах. Часть 2. Реестры фискальных операторов, фискальных носителей и ККТ

Продолжаем обзор изменений законодательства, произошедших по результатам работы весенней сессии Государственной Думы.

15 июля вступила в силу новая редакция Федерального закона от 22.05.2003 № 54-ФЗ «О применении контрольно-кассовой техники при осуществлении наличных денежных расчетов и (или) расчетов с использованием электронных средств платежа», в который Федеральным законом от 03.07.2016 № 290-ФЗ внесены радикальные изменения. Фактически, начинает действовать совсем другой закон о совсем других кассовых аппаратах и совсем с другими правоотношениями.

В законе – много интересного с точки зрения информационной безопасности и обработки персональных данных, но почему-то об этом именно в среде ИБ-специалистов практически ничего не пишут. А зря. Фактически создается новый сегмент рынка средств защиты информации, возможно, гораздо больший по объему, чем тот, которой связывают с пакетом Яровой-Озерова. К антитеррористическому пакету правительство должно принять ряд НПА, только после которых станет ясно, кто, что и как будет хранить, а вот кассовые аппараты есть в каждом магазине, а с принятием закона их должно стать существенно больше.

Попробую кратко восполнить этот пробел.

Если коротко, теперь все (все, подчеркиваю!) кассовые чеки должны сразу же после их создания направляться прямиком в ФНС по защищенному каналу связи в интернете и там, в ФНС, храниться.

Для этого каждому продавцу товаров и услуг контрольно-кассовую технику (ККТ) надо заменить на другую, правильную, завести интернет в каждый магазин, ларек и машину такси, принять меры по целостности фискальных данных и т.д.

Создаются новые институты и реестры: кабинет ККТ на сайте ФНС; реестр ККТ, в котором регистрируются сведения о каждом изготовленном экземпляре (!) ККТ, и реестр фискальных накопителей также с регистрацией сведений о каждом таком накопителе; журналы учета ККТ, ведущиеся налоговыми органами (карточка регистрации ККТ с указанием ее регистрационного номера в таком журнале должна быть подписана усиленной квалифицированной электронной подписью); реестр экспертных организаций, соответствующих требованиям законодательства о применении ККТ; базы фискальных данных.

Вводится очень интересное определение ККТ – «электронные вычислительные машины, иные компьютерные устройства и их комплексы, обеспечивающие запись и хранение фискальных данных в фискальных накопителях, формирующие фискальные документы, обеспечивающие передачу фискальных документов в налоговые органы через оператора фискальных данных и печать фискальных документов на бумажных носителях в соответствии с правилами, установленными законодательством Российской Федерации о применении ККТ».

Фискальные данные – это сведения о расчетах, об организации или индивидуальном предпринимателе, осуществляющих расчеты, о ККТ, применяемой при осуществлении расчетов, и, как обычно, «иные сведения», сформированные ККТ или оператором фискальных данных.

Появилось понятие «средство формирования фискального признака» - это программно-аппаратное шифровальное (криптографическое) средство защиты фискальных данных, обеспечивающее возможность формирования фискального признака.

Такая ККТ должна быть у всех организаций России, осуществляющих расчеты, кроме случаев, прямо установленных статьей 2 закона. Например, новую ККТ не будут использовать банки, но только при использовании банкоматов и систем ДБО, или киоски, торгующие мороженым и газировкой в розлив (хотите продавать бутылки – ставьте ККТ). Не нужна она в церквях при продаже свечей и заказе отпевания или венчания и т.д.

Записывать фискальные данные ККТ будет не на какой-то тривиальный жесткий диск, а на фискальный накопитель – программно-аппаратное шифровальное (криптографическое) средство защиты в опломбированном корпусе, содержащее ключи фискального признака, обеспечивающее возможность формирования фискальных признаков, запись фискальных данных в некорректируемом виде (с фискальными признаками), их энергонезависимое долговременное хранение, проверку фискальных признаков, расшифровывание и аутентификацию фискальных документов, подтверждающих факт получения оператором фискальных данных фискальных документов, переданных ККТ, направляемых в ККТ оператором фискальных данных, а также обеспечивающее возможность шифрования фискальных документов в целях обеспечения конфиденциальности информации, передаваемой оператору фискальных данных.

Кассовые чеки, после полного вступления закона в силу, мы будем получать не в виде клочка бумаги, а как смс-сообщение или письмо на электронную почту, а также размещать их на неких ресурсах сети интернет, откуда покупатель сможет скачать их самостоятельно. Сами понимаете, для этого продавцу надо дать контактные данные, а он их будет где-то и как-то хранить. Каждая точка розничной торговли станет оператором в отношении персональных данных покупателей, которые пока для них анонимы в большинстве случаев (пока, например, не придут с паспортом сдавать товар обратно). Про шифрование трафика, содержащего кассовые чеки, в законе ничего нет.

Фискальные данные немедленно после расчета направляются в электронном виде в налоговые органы через операторов фискальных данных, которые будут хранить эти данные в специально создаваемых базах фискальных данных.

Вопреки растиражированной информации о том, что в каждом кассовом чеке, направляемом в налоговые органы, будут персональные данные покупателя, такого требования в законе нет –размещаемый на кассовом чеке абонентский номер либо адрес электронной почты покупателя персональными данными не является. Но зато на чеке есть должность и фамилия лица, осуществившего расчет с покупателем, которая вместе с данными о пользователе ККТ вполне подходит под определение персональных данных со всеми вытекающими отсюда для пользователя ККТ последствиями.

Соответственно, появляются абсолютно новые направления бизнеса – деятельность операторов фискальных данных и экспертных организаций.

Операторами являются организации, получившие разрешение на обработку фискальных данных. Каждый пользователь ККТ (владелец магазина, например) должен заключить возмездный договор как минимум с одним оператором фискальных данных. Сведения о заключении, расторжении и изменении условий каждого такого договора оператор направляет в налоговые органы через кабинет ККТ в форме электронного документа, подписанного, естественно, усиленной квалифицированной электронной подписью.

Экспертные организации – это те, кто организует и проводит экспертизы моделей ККТ и технических средств оператора фискальных данных или соискателя разрешения на такую деятельность. Все такие организации должны быть включены в специальный реестр.

Исходя из требований к ККТ, к фискальным накопителям и к фискальным данным, представляется, что такие операторы и экспертные организации без лицензий ФСБ и ФСТЭК обойтись никак не могут. Но в законе о лицензиях, как обычно, ни слова. Опять пойдут трактовки и позиции.

ККТ должна обеспечить передачу фискальных данных и прием квитанций об их получении оператором в зашифрованном виде.

К фискальным накопителям требований безопасности, и весьма жестких, предъявляется еще больше:

·         обеспечение противодействия угрозам безопасности информации фискальных данных (значит, должна быть для таких данных модель угроз; она, кстати, уже есть, и очень толковая, составленная на основании проведенного эксперимента по внедрению новой ККТ, но, на мой взгляд, требует доработки после внесения в законопроект изменений и принятия окончательного варианта закона);

·         шифрование фискальных документов, передаваемых оператору в электронной форме, и расшифровывание полученного от оператора подтверждения;

·         формирование фискального признака документов с использованием ключа фискального признака документов и фискального признака сообщений длиной не менее 256 бит, проверку фискального признака подтверждения с использованием ключа фискального признака сообщений;

·         обеспечение аутентификации и проверка достоверности подтверждений оператора, защищенных фискальным признаком подтверждения;

·         обеспечение невозможности коррекции записей и фискальных данных в своей памяти.

Фискальные накопители должны работать с любой моделью ККТ, для чего устанавливаются протоколы информационного обмена.

Встраивание криптографии в ККТ и фискальные накопители – тема крайне интересная, но в законе совершенно не раскрытая. Алгоритмы шифрования, сертификация ФСБ, лицензия разработчиков, параметры протокола информационного обмена, безопасность среды функционирования СКЗИ в составе ККТ и накопителя, порядок создания и утверждения модели угроз – это только небольшая часть проблем, которые видны при прочтении закона. Да и методику экспертизы ФНС должна утвердить ФНС, о согласовании ее с ФСБ и ФСТЭК тоже не упоминается, что не очень правильно, учитывая изложенное выше.

Правда, прямое указание на необходимость сертификации в ФСБ применяемой в фискальных накопителях СКЗИ есть в проекте «Требований к контрольно-кассовой технике, порядке и условиях регистрации, перерегистрации и снятия с регистрационного учета контрольно-кассовой техники в налоговых органах, а также порядок и условия применения контрольно-кассовой техники», который предполагается утвердить постановлением правительства, но, как и модель угроз, документ нуждается в переработке в связи с внесенными в законопроект при его принятии изменениями.

Времени на решение всех этих проблем совсем нет. Полное счастье наступит 1 июля 2017 года, когда можно будет использовать только ККТ, соответствующую новым требованиям, за исключением отдельных случаев. Осталось меньше года.

За невыполнение новых требований к ККТ и обработке фискальной информации тем же 290-ФЗ в КоАП РФ добавлено 12 новых составов административных правонарушений и установлена конкретная ответственность. Отсутствие ККТ влечет штраф в размере от трех четвертых до одного размера суммы расчета, осуществленного с использованием наличных денежных средств и (или) электронных средств платежа без применения ККТ, а рецидив приводит к дисквалификации руководителя и административной приостановки деятельности продавца на срок до 90 суток.

Ну, а мы, простые покупатели, готовимся к очередному повышению цен в рознице. Новую (наверное, сертифицированную) ККТ продавцам надо будет купить, обслуживать, оплачивать услуги операторов. Естественно, за наш с вами счет. А за чей же еще?

Если кому-то интересны детали встраивания в бизнес создание ККТ, фискальных накопителей, операторской и экспертной деятельности – обращайтесь, поможем разобраться.

Базы и банки данных в новых законах. Часть 1. Шагреневая кожа налоговой тайны

Базы и банки данных в новых законах. Часть 3. Реестры коллекторов и персональные данные знакомых должника

Базы и банки данных в новых законах. Часть 1. Шагреневая кожа налоговой тайны

Нынешний состав Государственной Думы закончил свою работу ударным принятием новой порции законов, которые также ударно одобрил Совет Федерации. В нескольких постах прокомментирую изменения, прямо затрагивающие вопросы информационной безопасности.

В первую очередь проанализируем изменения, которые касаются регламентации создания, ведения и опубликования баз и банков данных граждан и юридических лиц, а также организации к ним доступа.

Начнем с изменений Налогового кодекса РФ, в котором существенно изменено содержание понятия налоговой тайны. Изменено, читай, в очередной раз сужено. Шагреневая кожа информации ограниченного доступа продолжает сжиматься.

Федеральным законом от 01.05.2016 № 134-ФЗ «О внесении изменений в статью 102 части первой Налогового кодекса Российской Федерации» откорректирована статья 102 «Налоговая тайна».

Самое важное, на мой взгляд, в новой редакции закона: теперь к налоговой тайне не могут относиться три дополнительных группы сведений:

·       о среднесписочной численности работников организации за календарный год, предшествующий году размещения указанных сведений в интернете;

·       об уплаченных организацией в календарном году, предшествующем году размещения указанных сведений в интернете, суммах налогов и сборов (по каждому налогу и сбору) без учета сумм налогов (сборов), уплаченных в связи с ввозом товаров на таможенную территорию Евразийского экономического союза, сумм налогов, уплаченных налоговым агентом;

·       о суммах доходов и расходов по данным бухгалтерской (финансовой) отчетности организации за год, предшествующий году размещения указанных сведений в интернете.

И еще одно крайне важное новшество. В статье 102 появилась новая часть 1.1, раскрывающая механизм размещения информации, которая не составляет налоговую тайну, в глобальной сети. В соответствии с ней сведения о суммах недоимки и задолженности по пеням и штрафам (по каждому налогу и сбору), налоговых правонарушениях и мерах ответственности за их совершение, о специальных налоговых режимах, применяемых налогоплательщиками, и участии налогоплательщика в консолидированной группе налогоплательщиков, среднесписочной численности работников, уплаченных суммах налогов и сборов (по каждому налогу и сбору) и суммах доходов и расходов, размещаются в форме открытых данных на официальном сайте ФНС в сети интернет, за исключением сведений, составляющих государственную тайну. Сроки и период размещения таких сведений, порядок их формирования и размещения утверждаются самой же ФНС.

То есть теперь скрывать размер полученных юридическим лицом доходов просто бессмысленно – вся информация о доходах становится открытой и общедоступной. Теперь мы не будем, как привыкли, читать в публикациях сакральную фразу «раскрыть размер полученных доходов имярек отказался, сославшись на коммерческую тайну». И, соответственно, относить все эти сведения к коммерческой тайне никак нельзя, так как они подпадают под определение пункта 11 статьи 5 закона «О коммерческой тайне», устанавливающего, что не могут относиться к этой категории сведений ограниченного доступа сведения, обязательность раскрытия которых или недопустимость ограничения доступа к которым установлена иными федеральными законами.

Так что организациям, в которых установлен режим коммерческой тайны, целесообразно проанализировать перечень сведений, к ней отнесенных, чтобы не оказаться нарушителями закона и не попасть под риск оспаривания правомерности установления режима из-за включения в перечень сведений, которые там присутствовать не могут.

ФНС с размещением информации определилась на редкость оперативно: эти данные появятся на сайте службы до 1 июля 2017 года.

Формирование так любимых многими рейтингов компаний разных сегментов экономики станет простым и доступным для всех желающих: заходишь на сайт ФНС, вводишь название компании и все, как на ладони.

Новым законом также существенно откорректированы определения ряда категорий сведений, ранее уже исключенных из понятия налоговой тайны.

Для общедоступных сведений, в том числе ставших таковыми с согласия их обладателя-налогоплательщика, появилось важное уточнение: «Такое согласие представляется по выбору налогоплательщика в отношении всех сведений или их части, полученных налоговым органом, по форме, формату и в порядке, утверждаемым федеральным органом исполнительной власти, уполномоченным по контролю и надзору в области налогов и сборов». Ждем, когда ФНС эти формы, формат и порядок определит. А без них – налогоплательщик пока никак не может раскрыть свои данные по собственной инициативе.

В отношении нарушений законодательства, также исключенных из понятия налоговой тайны, появилось уточнение – «в том числе суммах недоимки и задолженности по пеням и штрафам при их наличии». То есть обращено внимание на то, что сам факт выставления пени – уже свидетельство нарушения закона, и об этом узнают все желающие контрагенты должника, поскольку эта информация, как я написал выше, раскрывается на сайте фискальной службы.

«О, сколько нам открытий чудных готовит просвещенья дух» © А.С. Пушкин.

Базы и банки данных в новых законах. Часть 2. Реестры фискальных операторов, фискальных носителей и ККТ

Базы и банки данных в новых законах. Часть 3. Реестры коллекторов и персональные данные знакомых должника

Противопоказания для коммерческой тайны: что нельзя относить к этой категории сведений

Как известно, режима коммерческой тайны без создания перечня информации, составляющей коммерческую тайну, не бывает (статья 10 закона «О коммерческой тайне»). Поэтому неизбежно встает вопрос о том, какие сведения нельзя относить к коммерческой тайне. Вопрос очень важный, потому что ошибки при формировании такого перечня могут привести к отказу в защите прав обладателя информации при рассмотрении споров в суде и даже к опротестованию всего перечня, и, как следствие, к признанию режима коммерческой тайны не установленным.

Первый источник, к которому мы обращаемся, естественно, это сам Федеральный закон «О коммерческой тайне», где есть статья 5, которая так и называется: «Сведения, которые не могут составлять коммерческую тайну». Статья определяет группы сведений, в отношении которых лицами, осуществляющими предпринимательскую деятельность, не может быть установлен режим коммерческой тайны. Всего в законе 11 групп таких сведений:

1) содержащихся в учредительных документах юридического лица, документах, подтверждающих факт внесения записей о юридических лицах и об индивидуальных предпринимателях в соответствующие государственные реестры;

2) содержащихся в документах, дающих право на осуществление предпринимательской деятельности [т.е. в лицензиях, разрешениях и т.п.];

3) о составе имущества государственного или муниципального унитарного предприятия, государственного учреждения и об использовании ими средств соответствующих бюджетов;

4) о загрязнении окружающей среды, состоянии противопожарной безопасности, санитарно-эпидемиологической и радиационной обстановке, безопасности пищевых продуктов и других факторах, оказывающих негативное воздействие на обеспечение безопасного функционирования производственных объектов, безопасности каждого гражданина и безопасности населения в целом;

5) о численности, о составе работников, о системе оплаты труда, об условиях труда, в том числе об охране труда, о показателях производственного травматизма и профессиональной заболеваемости, и о наличии свободных рабочих мест [как видно из текста, речь идет о системе оплаты, а не о ее размере, как для отдельных работников, так и о фонде заработной платы в целом, но об этом читайте ниже];

6) о задолженности работодателей по выплате заработной платы и по иным социальным выплатам;

7) о нарушениях законодательства Российской Федерации и фактах привлечения к ответственности за совершение этих нарушений [по смыслу закона здесь подразумевается обладатель ИКТ-субъект хозяйствования, юрлицо или индивидуальный предприниматель];

8) об условиях конкурсов или аукционов по приватизации объектов государственной или муниципальной собственности [а не об условиях закупок вообще];

9) о размерах и структуре доходов некоммерческих организаций, о размерах и составе их имущества, об их расходах, о численности и об оплате труда их работников, об использовании безвозмездного труда граждан в деятельности некоммерческой организации [обратите внимание, этот пункт касается только некоммерческих организаций];

10) о перечне лиц, имеющих право действовать без доверенности от имени юридического лица;

11) обязательность раскрытия которых или недопустимость ограничения доступа к которым установлена иными федеральными законами.

Последняя, так горячо любимая нашими законодателями бланкетная норма, как обычно, создает массу проблем тем, кто хочет соответствовать закону - придется читать неопределенное количество законов, да еще регламентирующих самые разные направления деятельности. Самый наглядный пример – Федеральный закон «О бухгалтерском учете», редакция которого, вступившая в силу с 1 января 2013 года, содержит норму: «В отношении бухгалтерской (финансовой) отчетности не может быть установлен режим коммерческой тайны» (часть 11 статьи 13). Особую пикантность ситуации придает тот факт, что ранее действовавший закон содержал прямо противоположное требование («Содержание регистров бухгалтерского учета и внутренней бухгалтерской отчетности является коммерческой тайной»). Об этом я писал  после выхода закона.

Общие запреты на ограничение доступа к определенным категориям информации устанавливает часть 4 статьи 8 «трехглавого закона» «Об информации, информационных технологиях и о защите информации». Из охраноспособной в режиме коммерческой тайны информации там можно выделить, пожалуй, только нормативные правовые акты, затрагивающие права, свободы и обязанности человека и гражданина, из чего следует, что не стоит закрывать грифом локальные акты работодателя, устанавливающие и ограничивающие права и свободы работников, как бы этого не хотелось (привет сторонникам скрытого использования DLP-систем) и об использовании бюджетных средств (за исключением сведений, составляющих государственную или служебную тайну).

Поэтому все ссылки на коммерческую тайну при попытках закрыть сведения о результатах торгов, аукционов, закупок организациями, получающими средства из бюджета, о ходе освоения этих средств прямо противоречат закону, но журналисты почему-то молча их глотают и не требуют раскрытия в ходе интервью с важными покупателями, подрядчиками и прочими освоителями бюджетных средств, как здесь, например http://www.business-class.su/news/2015/04/27/permskie-pozharnye-otkazalis-predostavit-dokumenty-ufas-soslavshis-na-kommercheskuyu-taynu. У пожарников, живущих на бюджете, вдруг появляется коммерческая тайна, да еще в отношении безвозмездного договора оказания услуг.

Есть и гораздо более сложные проблемы.

Статья 91 закона «Об акционерных обществах» обязывает общества предоставлять акционерам доступ к документам, предусмотренным пунктом 1 статьи 89 этого закона, а там, между прочим, документы, подтверждающие права общества на имущество, находящееся на балансе общества; протоколы заседаний совета директоров (наблюдательного совета) общества, ревизионной комиссии (ревизора) общества и коллегиального исполнительного органа общества (правления, дирекции); заключения ревизионной комиссии (ревизора) общества, аудитора общества, государственных и муниципальных органов финансового контроля и (бинго!) внутренние документы общества. Под последнюю категорию, при желании, можно подтянуть вообще все, что угодно.

Аналогичные нормы содержатся и в статье 50 закона «Об обществах с ограниченной ответственностью», обязывающей предоставлять участникам общества доступ к соответствующим документам.

Не буду сейчас рассматривать коллизию с доступом к документам бухгалтерского учета, она сложная и заслуживает отдельного рассмотрения.

Многочисленные суды различных инстанций, вплоть до Конституционного, подтверждали неограниченность этого права акционера, независимо от количества имеющихся у него акций. Общее резюме по этому поводу содержится в Информационном письме Президиума ВАС РФ ОТ 18.01.2011 № 144 «О некоторых вопросах практики рассмотрения арбитражными судами споров о предоставлении информации участникам хозяйственных обществ»: «Судам следует исходить из того, что ни Закон об акционерных обществах, ни Закон об обществах с ограниченной ответственностью не содержат положений, ограничивающих право участника требовать предоставления информации и документов за период деятельности хозяйственного общества, в течение которого данное лицо не являлось участником этого общества».

Так что прежде чем поставить гриф «Коммерческая тайна» на протоколе совета директоров, стоит оценить, а кто может получить к нему доступ на законном основании, особенно если это совет директоров публичного общества.

Много ограничений на отнесение к коммерческой тайне в законах и нормативных правовых актах для холдинговых компаний, естественных монополий, предприятий коммунального комплекса, предприятий, использующих недра и др. Не забываем о требованиях раскрытия и обязательного опубликования сведений – они также с момента опубликования или раскрытия не могут быть информацией, составляющей коммерческую тайну.

И еще немного дровишек в топку.

Статьи 3, 5 и 9 «трехглавого закона» вводят норму, согласно которой доступ к информации может быть ограничен только федеральными законами. Но наряду с рассмотренной статьей 5 закона «О коммерческой тайне» по-прежнему действует Постановление Правительства РСФСР от 05.12.1991 № 35 «О перечне сведений, которые не могут составлять коммерческую тайну», последние изменения в которое были внесены в 2002 году. Это не закон, но, тем не менее, оно устанавливает ограничения, выходящие за рамки указанных в законе «О коммерческой тайне», в частности, запрещая относить к информации, составляющей коммерческую тайну, документы о платежеспособности, сведения о заработной плате (о не о ее системе, как в законе), сведения об участии должностных лиц предприятия в кооперативах, малых предприятиях, товариществах, акционерных обществах, объединениях и других организациях, занимающихся предпринимательской деятельностью. Сегодняшний статус постановления в связи с ограничением, указанным в его преамбуле: «в процессе приватизации», однако этот процесс, похоже, может идти вечно, во всяком случае, до тех пор, пока есть что приватизировать.

И еще по поводу заработной платы. В отношении каждого конкретного работника она явно не может быть отнесена к коммерческой тайне, поскольку каждый вправе получить содержащую эти сведения справку по форме 2НДФЛ и распоряжаться далее ею по своему усмотрению, хоть на заборе повесить.

Федеральный закон от 01.05.2016 № 134-ФЗ внес изменения в статью 102 части первой Налогового кодекса Российской Федерации, в соответствии с которыми не являются налоговой тайной сведения о среднесписочной численности работников организации за календарный год, об уплаченных организацией суммах налогов и сборов (по каждому налогу и сбору), о суммах доходов и расходов по данным бухгалтерской (финансовой) отчетности организации за год. Более того, эти данные ФНС размещаются в интернете, поэтому закрывать их в организации не только нет смысла, но и противоречит закону.

Так что при составлении Перечня информации, составляющей коммерческую тайну, лучше перебдеть, чем недобдеть. И Консультант с Гарантом (или наше агентствоJ) вам в помощь!