Негативные закономерности формирования понятийного аппарата в сфере регулирования Интернета и идентификации

Автор: Наумов В.Б.

В строящемся "цифровом мире" российское право, его структура и содержание отраслей и институтов, как и правовые системы других стран мира, сейчас находится на перепутье — как развиваться в новых технологических условиях, когда "мегатренды" (по К. Швабу [10, с. 12 — 23]) или «сквозные цифровые технологии» (в терминах Программы «Цифровая экономика Российской Федерации» [7]) диктуют не только потребность в новых правовых нормах регулирования, но и требуют формирования новелл, в том числе межотраслевых институтов, в рамках которых будет возможно регулировать цифровую среду доверия и идентификацию субъектов в ней, искусственный интеллект, робототехнику, большие данные, Интернет вещей и многие другие новые технологии и явления.

Чтобы оценить, каковы реалии современного регулирования новых технологий, какие вызовы и проблемы перед правом будут стоять в этой связи, представляется показательным оценить состояние развития терминологического аппарата права применительно к популярному в мире Интернету и важной сфере идентификации субъектов в информационном пространстве. Для оценки процессов развития юридической терминологии выбор Интернета не случаен — именно данная сфера среди других видов информационных правоотношений является сейчас наиболее популярной применительно к регулированию в России и в мире.

Чтобы понять масштаб явления и оценить, насколько часто Интернет прямо является предметом регулирования в России, возможно провести контекстный анализ появления упоминания термина "Интернет" в современных российских законах[1] (графики N 1, 2).

График 1. Количественный анализ частоты упоминания термина "Интернет" в Федеральном законе "Об информации, информационных технологиях и о защите информации"

График 2. Количественный анализ частоты упоминания термина "Интернет" в законодательстве Российской Федерации

Изначально в 2006 г. в базовом российском информационном Законе "Об информации, информационных технологиях и о защите информации" (далее — Закон "Об информации") содержалось 11 определений, связанных с основными понятиями системы информационных правоотношений. На настоящий момент, если анализировать только ст. 2 Закона "Об информации", их количество удвоилось, а если учитывать появление определений в тексте его "особенной части", увеличилось еще больше.

Не рассматривая количественный рост в качестве негативного обстоятельства, нужно обратить внимание на начавшийся в 2012 г. и усугубляющийся с 2014 г. процесс разрушения единой системы понятий в Законе "Об информации". Он стал происходить как в отношении субъектного состава, так и в отношении дефиниций объектов.

Изначально при разработке и принятии Федерального закона за основу иерархии субъектов было взято понятие "обладателя информации", определяемое как "лицо, самостоятельно создавшее информацию либо получившее на основании закона или договора право разрешать или ограничивать доступ к информации, определяемой по каким-либо признакам" (ст. 2 Закона "Об информации").

Этому предшествовала обширная и сложная научная дискуссия, результатом которой был отказ от понятий "собственник информации" и "владелец информации", существовавших в старой редакции Федерального закона "Об информации, информатизации и защите информации" 1995 г. Представляется, что произошедшее тогда — это большое достижение науки информационного права.

Однако уже в поправках 2012 г. был предложен термин "владелец сайта в сети Интернет — "лицо, самостоятельно и по своему усмотрению определяющее порядок использования сайта в сети Интернет, в том числе порядок размещения информации на таком сайте" (ст. 2), где определение не содержало упоминания обладателя информации. С 2014 г. произошел полный отказ от его использования.

Аналогичная закономерность имеет место применительно к объектам, и это создает представление о том, что предметное нормотворчество осуществляется в "режиме заплаток", дополняющих регулирование исходя из локальных задач, но нарушающих логику общих подходов и методологию формирования терминологической базы, когда задуманная система иерархии понятий и ее построение "от общего к частному" начала деформироваться.

Анализируя существующую систему терминов, можно заключить, что наиболее часто встречающимся явлением при формировании современного понятийного аппарата для Интернета и информационных технологий (далее — ИТ) является некорректное обращение с терминами, имеющими значение, установленное законом, как в рамках информационного законодательства, так и другими отраслями, и порождающее несогласованность определений в отраслях права и неопределенность в правоприменении, и вынуждающее заниматься (зачастую противоречивым и инвариантным) толкованием.

Например, расхождение в использовании терминологии часто встречается в отношении оборота программ для ЭВМ. Причины этого явления понятны: в сфере ИТ есть устоявшаяся в практике терминология, которая используется в бизнесе, и она же "по инерции" ложится в основу определений в разрабатываемом законодательстве, что тем не менее представляется недопустимым.

Так, в ст. 10.4 Закона "Об информации" дается следующее определение этого понятия. Владелец новостного агрегатора — "владелец программы для электронных вычислительных машин, владелец сайта и (или) страницы сайта в сети Интернет, которые используются для обработки и распространения новостной информации в сети Интернет на государственном языке Российской Федерации, государственных языках республик в составе Российской Федерации или иных языках народов Российской Федерации, на которых может распространяться реклама, направленная на привлечение внимания потребителей, находящихся на территории Российской Федерации, и доступ к которым в течение суток составляет более одного миллиона пользователей сети Интернет[2]. Аналогичное раскрытие определения "владелец аудиовизуального сервиса" через термин "владелец программы для ЭВМ" приводится в другой новелле (ст. 10.5 Закона "Об информации")[3].

При этом законодательство об интеллектуальной собственности, в котором исторически содержится определение программы для ЭВМ [9], не оперирует понятием "владелец программы для ЭВМ", что порождает на практике различные предположения о том, на каком основании (исключительное право или лицензионный договор) субъект должен использовать программу для ЭВМ, что, в свою очередь, означает неопределенность в установлении соответствующего статуса лица и может приводить к негативным ситуациям для крупного интернет-бизнеса.

Интересно, что тремя статьями "ниже" в Законе "Об информации" — в ст. 12.1 о так называемом "российском программном обеспечении" и о реестре российских программ и баз данных[4], в нормах дается указание на правообладателей и лицензионные договоры, что соответствует классической системе терминов права интеллектуальной собственности.

Следующую закономерность определяют все чаще возникающие ситуации, когда в зависимости от сферы нормативно-правового акта в разных документах используются самостоятельные и не связанные друг с другом подходы к формированию предметной терминологии, когда в отношении одного и того же явления или действия, но в разных сферах терминам придается различное содержание. В итоге возникает "специализация понятий", когда для повсеместно используемых в обществе, бизнесе и государственной деятельности информационных технологий нет единого непротиворечивого тезауруса понятий, т.е. ИТ и подходы в их применении одинаковые, а термины при этом разные.

Классический пример, порождающий существенную путаницу в практике ИТ-бизнеса, можно найти в сфере разработки программного обеспечения при формулировании и толковании условий взаимодействия разработчиков программ для ЭВМ и баз данных, а также их заказчиков и лицензиатов. Возникшее еще в 90-х годах отечественное законодательство об интеллектуальной собственности оперирует всего двумя понятиями при изменении кода программ для ЭВМ — адаптацией и модификацией[5]. Однако в ИТ-контрактах и практике ИТ-бизнеса и, самое главное, в иных отраслях законодательства повсеместно дополнительно используются другие термины[6], связанные, в частности, с системой российских стандартов отрасли информационных технологий [2]. Последние оперируют терминами "реализация", "функционирование", "инсталляция", "сопровождение" и многими другими, зачастую не используя при этом термины "модификация" и "адаптация".

Это является недопустимым и требует изменения методологических подходов при формировании понятий как в узкоспециальной сфере оборота программного обеспечения, так и во всей сфере ИТ.

Анализируя систему терминов и методологию ее формирования, нельзя обойти стороной возникшую негативную практику "корректировки" понятий закона понятиями и разъяснениями, приводимыми в подзаконных актах. Эти разъяснения и уточнения приобретают характер массового нормотворчества, видоизменяющего волю законодателя.

В 2014 г. Федеральный закон "Об информации" существенно расширил субъектный состав в правоотношениях, связанных с Интернетом. В рамках этих инициатив появилось определение "организатора распространения информации", которое приведено в ст. 10.1 Закона "Об информации". В Законе оно является весьма широким — "под организатором распространения информации в сети Интернет понимается лицо, осуществляющее деятельность по обеспечению функционирования информационных систем и (или) программ для ЭВМ, которые предназначены и (или) используются для приема, передачи, доставки и (или) обработки электронных сообщений пользователей сети Интернет".

Однако при анализе норм принятых подзаконных актов можно выявить ряд аргументов, свидетельствующих о том, что организатором распространения информации является лицо, которое управляет именно контентным сервисом, т.е. сервисом, позволяющим пользователям обмениваться сообщениями либо публиковать информацию для сведения неопределенного круга лиц.

В соответствии с п. 3 ст. 10.1 Закона "Об информации" организатор распространения информации обязан хранить на территории Российской Федерации информацию о фактах приема, передачи, доставки и (или) обработки электронных сообщений пользователей сети Интернет, сами электронные сообщения, а также информацию о пользователях, направивших, разместивших либо получивших данные сообщения, в течение установленного Законом "Об информации" срока. Состав информации, подлежащей хранению организатором распространения информации, место и правила ее хранения, порядок ее предоставления уполномоченным государственным органам определяются Постановлением Правительства РФ от 31 июля 2014 г. N 759 (далее — Правила).

В п. 3 Правил указано, что организатор распространения информации хранит информацию, полученную (переданную, доставленную и (или) обработанную) при обеспечении функционирования коммуникационного интернет-сервиса. При этом Правила определяют коммуникационный интернет-сервис как информационную систему и (или) программу для ЭВМ, которая "предназначена и (или) используется для приема, передачи и (или) обработки электронных сообщений пользователей сети Интернет в целях а) обмена электронными сообщениями между пользователями сети Интернет, в том числе б) для передачи электронных сообщений неопределенному кругу лиц".

Таким образом, можно предположить, что согласно Правилам интернет-ресурсы и сервисы, подпадающие под действие ст. 10.1 Закона "Об информации", должны иметь именно функцию обеспечения коммуникаций.

Анализируя проблему терминологии в сфере Интернета и ИТ, нельзя кратко не упомянуть другую важную проблему, влияющую на восприятие и толкование законодательства и стабильность правоприменения.

Речь идет об общем юридико-техническом качестве текстов норм, включая их соответствие правилам логики и русского языка. Это имеет прямое значение для правильного определения состава прав и обязанностей субъектов правоотношений в восприятии как последних, так и контролирующих государственных органов.

Емким примером создания неоднозначных правовых конструкций в сфере Интернета и в целом информационных правоотношений могут служить требования о локализации персональных данных [4, с. 124 — 129].

Эта ситуация сложилась в связи с вступившим в силу 1 сентября 2015 г. Федеральным законом от 21 июля 2014 г. N 242-ФЗ "О внесении изменений в отдельные законодательные акты Российской Федерации в части уточнения порядка обработки персональных данных в информационно-телекоммуникационных сетях". Известная (в силу социальной важности норм и не до конца понятной юридической техники) теперь, наверное, большинству юристов страны, норма ч. 5 ст. 18 этого Закона определяет следующее:

"При сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети Интернет, оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, указанных в пунктах 2, 3, 4, 8 части 1 статьи 6 настоящего Федерального закона".

Такой вид действия с персональными данными, как сбор (равноценный терминологически другим видам действий в соответствии с текстом нормы ст. 3 указанного Закона), стал условием при определении объективной стороны других действий. Получилось, что один из элементов ("сбор") множества ("обработка персональных данных") определил новое подмножество ("обработка персональных данных при их сборе"), которое изначально законодателем не подразумевалось.

Эта неясность породила волну общественных обсуждений, публичных заявлений представителей органов власти и науки, множество запросов в органы исполнительной власти, как же указанная норма будет применяться на практике. Бизнесу, который повсеместно в стране и в мире использует базы данных с информацией о физических лицах, пришлось самостоятельно принимать решения по важному практическому вопросу, возможно ли и на каких условиях (при разрешенной трансграничной передаче персональных данных) создание и использование иных (вторичных) баз данных, которые бы использовали информацию из первичных баз данных, созданных на территории Российской Федерации. Кроме этого, неясно, должна ли вторичная база быть точной копией первичной или может отличаться, и почему.

Описанную череду примеров деформации терминологии в сфере ИТ можно продолжать и далее.

В качестве последнего характерного примера можно привести появление в Законе "Об информации" в 2014 г. нового субъекта — блогера и последующее, через три года, его исчезновение из закона. Такой подход краткосрочных поправок в законодательство также является неприемлемым, поскольку любые качественные законодательные изменения должны иметь значительный горизонт действия. Иной подход снижает уровень уважения к закону и создает нестабильное правоприменение, создавая для общества, бизнеса и государства меняющиеся "правила игры".

При формировании понятийного аппарата для информационных правоотношений не всегда своевременно в Закон "Об информации" вносятся дефиниции новых понятий. Это "отставание" Закона "Об информации" от других нормативно-правовых актов представляется методологически неправильным и может привести к "размыванию" терминологической базы.

Наглядным образом это можно пояснить на развитии терминологии института идентификации субъектов [4, с. 104 — 115] (таблица N 1).

	Документ	Нормы
1.	Федеральный закон от 7 августа 2001 г. N 115-ФЗ "О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма" (ред. от 28 декабря 2016 г.)	"Идентификация — совокупность мероприятий по установлению определенных настоящим Федеральным законом сведений о клиентах, их представителях, выгодоприобретателях, бенефициарных владельцах, по подтверждению достоверности этих сведений с использованием оригиналов документов и (или) надлежащим образом заверенных копий" (ст. 3) <*>
2.	Постановление Правительства РФ от 10 июля 2013 г. N 584 "Об использовании федеральной государственной информационной системы ЕСИА в инфраструктуре, обеспечивающей информационно-технологическое взаимодействие информационных систем, используемых для предоставления государственных и муниципальных услуг в электронной форме" (ред. от 14 ноября 2015 г.)	"Идентификация сведений об участниках информационного взаимодействия, в том числе с использованием квалифицированных сертификатов ключей проверки электронных подписей, посредством сравнения идентификатора участника информационного взаимодействия или идентификатора его информационной системы, вводимых в единой системе, со сведениями о данном участнике или о его информационной системе, содержащимися в соответствующем базовом информационном ресурсе"
3.	Методический документ. Меры защиты информации в государственных информационных системах (утв. ФСТЭК России 11 февраля 2014 г.)	"Идентификатор: представление (строка символов), однозначно идентифицирующее субъект и (или) объект доступа в информационной системе. Идентификация: присвоение субъектам доступа, объектам доступа идентификаторов (уникальных имен) и (или) сравнение предъявленного идентификатора с перечнем присвоенных идентификаторов" (приложение 1)
4.	Приказ ФСТЭК России от 14 марта 2014 г. N 31 "Об утверждении Требований к обеспечению защиты информации в автоматизированных системах управления производственными и технологическими процессами на критически важных объектах, потенциально опасных объектах, а также объектах, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды" (зарегистрировано в Минюсте России 30 июня 2014 г. N 32919)	"Меры по идентификации и аутентификации субъектов доступа и объектов доступа должны обеспечивать присвоение субъектам и объектам доступа уникального признака (идентификатора), сравнение предъявляемого субъектом (объектом) доступа идентификатора с перечнем присвоенных идентификаторов, а также проверку принадлежности субъекту (объекту) доступа предъявленного им идентификатора (подтверждение подлинности)" (п. 18.1)
5.	"Финансовые услуги. Рекомендации по информационной безопасности. ГОСТ Р ИСО/ТО 13569-2007" (утв. Приказом Ростехрегулирования от 27 декабря 2007 г. N 514-ст)	"Идентификация (identification): процесс установления единственным образом однозначной идентичности объекта"
6.	Приказ Росрыболовства от 6 марта 2013 г. N 154 "Об утверждении Концепции информационной безопасности Росрыболовства" (ред. от 26 июля 2016 г.)	"В целях предотвращения работы с ИИВС Росрыболовства посторонних лиц необходимо обеспечить возможность распознавания системой каждого законного пользователя (или ограниченных групп пользователей). Для этого в системе (в защищенном месте) должен храниться ряд признаков каждого пользователя, по которым этого пользователя можно опознать. В дальнейшем при входе в систему, а при необходимости — и при выполнении определенных действий в системе, пользователь обязан себя идентифицировать, т.е. указать идентификатор, присвоенный ему в системе. Кроме того, для идентификации могут применяться различного рода устройства: магнитные карточки, ключевые вставки, дискеты и т.п."

<*> В новой редакции Закона от 29 декабря 2017 г. N 470-ФЗ, вступающей в силу 30 июня 2018 г., после слова "копий" будет указано "и (или) государственных и иных информационных систем".

Помимо явного размывания термина "идентификация", раскрываемого по-разному в различных документах, из приведенной таблицы можно сделать вывод, что Закон "Об информации" перестал быть ключевым для определения соответствующих понятий института идентификации, что порождает существенные риски для стабильного правоприменения в современных условиях.

Это происходит в условиях, когда на первое по порядку место в утвержденной летом 2017 г. Программе "Цифровая экономика Российской Федерации" поставлена угроза, связанная с "обеспечением прав человека в цифровом мире, в том числе при идентификации субъекта" [10].

Для того чтобы исправить складывающуюся негативную ситуацию, требуется сформулировать, какие особенности правоотношений в сфере идентификации субъектов информационного пространства являются ключевыми на настоящем этапе развития новых технологий.

Во-первых, это высокая технологическая зависимость любых правовых решений от особенностей функционирования и в целом природы информационных технологий. Когда в начале развития Интернета имел место догмат открытости, повсеместно делалась ставка на открытые стандарты и протоколы, отсутствовала даже постановка вопроса о необходимости развития регулирования идентификации, которая появилась в качестве самостоятельного набора правовых норм только шесть лет назад [6, с. 148 — 152]. Наглядно это возможно продемонстрировать на примере Закона "Об информации" (график N 3).

    

График 3. Упоминание термина "идентификация" в Федеральном законе "Об информации, информационных технологиях и о защите информации"

В начале этого десятилетия государственный курс в отношении анонимности в информационной сфере в России и в мире поменялся. Возник тренд, когда государства и общество серьезным образом задумались о том, что механизмами, которые служат обеспечению неприкосновенности частной жизни, можно злоупотреблять, а также усилился общий государственный контроль и стало появляться законодательство, которое вводит требование обязательной идентификации и, в ряде случаев, запрещает анонимное взаимодействие[7].

Вторая существенная особенность — это наличие информационных провайдеров (посредников), которые вовлечены в процессы идентификации в информационном пространстве. Помимо "классических" посредников, обеспечивающих функционирование ИТ-систем, за последние годы появился целый посреднический бизнес, оказывающий услуги по идентификации[8].

Третья особенность в рассматриваемой сфере — усиление роли государства. Для России это можно продемонстрировать на примере так называемого Закона об удаленной идентификации (Федеральный закон от 31 декабря 2017 г. N 482-ФЗ), который существенно расширил предметные полномочия органов исполнительной власти, а также дополнил Закон "Об информации" новой ст. 14.1 "Применение информационных технологий в целях идентификации граждан Российской Федерации"[9].

Поправки реализуют новую политику государства в сфере идентификации — создание единой биометрической системы. Поскольку на момент написания настоящей статьи соответствующие подзаконные акты, определяющие правила ее функционирования, не были приняты, пока сложно оценить, насколько одновременное существование двух систем — появившейся пять лет назад Единой системы идентификации и аутентификации и новой будет эффективным. Что уже сейчас очевидно, это выделение специального субъекта — оператора единой биометрической системы, который согласно п. 17 новой статьи должен назначаться Правительством РФ с учетом требования, что он занимает "существенное положение в сети связи общего пользования на территориях не менее чем двух третей субъектов Российской Федерации".

Вся вновь создаваемая система должна будет служить удаленной идентификации гражданина Российской Федерации без его личного присутствия по каналам связи. Отдельный интерес для будущего анализа (после появления подзаконных актов) представляет заложенная организационная модель обеспечения безопасности в том, какие устройства можно или нельзя использовать для идентификации при наличии или отсутствии шифровальных средств (п. п. 19 — 21 ст. 14.1)[10].

Указанные изменения, происходящие в регулировании идентификации, до сих пор не привели к созданию единой непротиворечивой системы правовых норм, которые определяют единую терминологию, принципы регулирования, устанавливают единую систему методов и видов идентификации.

Это происходит в том числе из-за того, что скорость появления новых технологий и в целом четвертая промышленная революция и новые реалии современного информационного общества существенно опережают правотворчество. Можно с сожалением предположить, что разрыв между юридическими понятиями и подходами к регулированию и скоростью их возникновения, с одной стороны, и появлением новых видов субъектов [1, с. 157 — 170] и объектов и потребностями в регулировании информационных правоотношений будет увеличиваться.

Ситуация усугубляется невысокой юридической техникой происходящих изменений и, если продолжать двигаться в рамках существующих подходов, использующих методологию "точечных поправок" (или "заплаток"), это может привести к полному разрушению терминологической базы и созданию линейной системы не связанных друг с другом понятий, а также деформации институтов информационного права, включая формирующийся сейчас правовой институт идентификации.

Потребность в его защите нашла свой отклик в указании в Плане мероприятий по направлению "Нормативное регулирование" разработки проекта федерального закона, направленного на унификацию требований по идентификации, расширение возможностей и способов идентификации[11]. Остается надеяться, что при разработке данного законопроекта будут учтены все те накопившиеся проблемы в построении системы предметных правовых дефиниций, которые сейчас негативно влияют на информационное законодательство и его применение.

Литература

1. Архипов В.В., Наумов В.Б. О некоторых вопросах теоретических оснований развития законодательства о робототехнике: аспекты воли и правосубъектности // Закон. 2017. N 5. С. 157 — 170.

2. ГОСТ Р ИСО/МЭК 12207-2010. Информационная технология. Системная и программная инженерия. Процессы жизненного цикла программных средств, ГОСТ Р ИСО/МЭК 15288-2005. Информационная технология. Системная инженерия. Процессы жизненного цикла систем, ГОСТ Р ИСО/МЭК 14764-2002. Информационная технология. Сопровождение программных средств.

3. Дроздов А.И. Стоит задуматься, что можно упростить в существующем законодательстве, если люди решают свои экономические задачи альтернативными способами // Закон. 2018. N 2. С. 6 — 17.

4. Наумов В.Б. Вопросы развития терминологии в сфере персональных данных // Понятийный аппарат информационного права: Сб. науч. работ / Отв. ред. И.Л. Бачило, Э.В. Талапина. М.: ИГП РАН, 2015. С. 124 — 129.

5. Наумов В.Б. Научные подходы к классификации видов правовой идентификации в информационных правоотношениях // Труды Института государства и права Российской академии наук. 2016. N 3 (55). С. 104 — 115.

6. Наумов В.Б. Правовая идентификация субъектов в Интернете // Право и государство: теория и практика. 2016. N 5 (137). С. 148 — 152.

7. Программа "Цифровая экономика Российской Федерации: утв. распоряжением Правительства РФ от 28 июля 2017 г. N 1632-р // СПС "КонсультантПлюс".

8. Гражданский кодекс Российской Федерации // СПС "КонсультантПлюс".

9. Статья 1260 части Гражданского кодекса Российской Федерации.

10. Шваб К. Четвертая промышленная революция. М.: Эксмо, 2016 (Top Business Awards). 208 с.

Рекомендуется Вам: