Контрольный пункт: зачем спецслужбам еще больше данных пользователей

Информация по запросу

С 1 сентября 2023 года бизнес в течение трех лет будет обязан хранить передаваемую по внутренним технологическим сетям связи информацию и предоставлять ее правоохранительным органам. Как следует из проекта правил хранения и передачи данных для владельцев таких сетей, разработанных и опубликованных Минцифры на портале правовой информации, перечень передаваемой «государственным органам, осуществляющим оперативно-розыскную деятельность или обеспечение безопасности» информации включает в себя сведения о фактах приема, передачи, доставки и (или) обработки голосовой информации, текстовых сообщений, изображений, звуков, видео- «или иных электронных сообщений».

Кроме того, в этот список также входят данные о платных услугах пользователю с указанием точного времени их оказания и информации о платежах (валюта, сумма, номер транзакции, использованная платежная система). Сохранять также необходимо будет информацию и о самих пользователях, в том числе идентификатор, номер телефона, адрес электронной почты, его местоположение.

Примечательно, что перечень носит открытый характер, владельцы автономных технологических сетей связи должны будут передавать и любую «иную информацию, необходимую уполномоченным органам».

Закон и порядок

«Доступ планируется обеспечить через технические средства оперативно-разыскных мероприятий (ТС ОРМ) при проведении таких мероприятий в случаях, которые установлены федеральными законами», — пояснили Forbes в Минцифры, добавив, что организация «круглосуточного удаленного доступа» не потребует никаких дополнительных средств для бизнеса. «ТС ОРМ уже устанавливаются владельцами технологических сетей связи, имеющими номер автономной системы» в соответствии с принятыми в 2019 году поправками в законы «О связи» и «Об информации» (ФЗ №90)», —  сообщили в министерстве.

Согласно принятому закону, с 1 сентября владельцы технологических сетей связи с номером автономной системы (то есть со своим выходом в интернет) должны хранить данные о трафике и предоставлять к ним доступ при проведении оперативно-разыскных мероприятий. «Свои технологические сети связи есть у крупных корпораций. Такие сети используются не для предоставления услуг связи, но, например, для управления процессами на производстве, — поясняют в Минцифры. — Контроль за исполнением этих требований возьмет на себя Роскомнадзор».

В Роскомнадзоре Forbes ответили, что не могут предоставить дополнительную информацию. В «Евразе», ММК, «Газпроме», «Аэрофлоте», Ozon на запросы Forbes не ответили.

Требование к технологическим автономным сетям само по себе ограничивает действие этого регулирования крупным бизнесом, рассуждает источник Forbes, знакомый с ходом разработки правил: «Небольшие компании, как правило, не имеют собственных сетей связи. Инициатива выделяет в отдельную категорию крупные компании, которые могут обладать нужной для правоохранительных органов информацией, но включать всех их в реестр ОРИ трудоемко». Несмотря на заверения Минцифры регулирование, по словам собеседника Forbes, потребует затрат, «но вполне посильных для бизнеса».

«Плюсом от введения этого регулирования» будет освобождение больших компаний от запросов региональных правоохранительных органов, считает источник Forbes: «Для компаний такие запросы создают множество проблем — часто они составлены безграмотно, могут содержать угрозы и требования на предоставление избыточной информации. Теперь все запросы будут в рамках налаженного сотрудничества через федеральный офис компании».

Взгляд назад

Попытки регулирования работы технологических сетей связи начались в России с 2019 года, когда был принят так называемый закон «О суверенном интернете». Владельцев таких сетей обязали установить систему «Ревизор», которая позволяет Роскомнадзору и ЦМУ ССОП (Центр мониторинга и управления сетью связи общего пользования) мониторить блокировку контента, а также системы, обеспечивающие выполнения требований СОРМ (cистема оперативно-разыскных мероприятий; обеспечивает взаимодействие правоохранительных органов с операторами связи).

В 2020 году Российский союз промышленников и предпринимателей (РСПП) раскритиковал предложение по хранению владельцами технологических сетей связи данных о действиях своих пользователей. В РСПП тогда предупреждали, что реализация этого требования приведет к существенным расходам владельцев технологических сетей связи, что может стать причиной нарушения технологических процессов компаний и привести к снижению уровня безопасности этих процессов.

В любое время дня и ночи

Если документ вступит в силу, то владельцы технологических сетей должны будут обеспечить круглосуточный удаленный онлайн-доступ ко всей информации в автономной сети связи: к такой информации относится факт регистрации, логина в системе, покупки билетов и иных взаимодействий с информационной системой, перечисляет главный юрисконсульт практики интеллектуальной собственности юридической компании «ЭБР» Кирилл Ляхманов. «Также интересно, что, согласно статье 6 проекта постановления, владелец сети связи не вправе разглашать сведения о запросах к такой информации со стороны уполномоченных органов, что дает широкий простор для злоупотребления полномочиями на местах, — продолжает он.

Также, кроме очевидных экономических рисков для бизнеса, о которых в РСПП говорят еще с 2020 года и которые могут составлять до 10% от капитальных затрат на поддержание технологической сети связи, существуют и чисто технические проблемы, размышляет Ляхманов, «от интеграции систем онлайн-мониторинга до обеспечения надлежащего хранения персональных данных пользователей».

По мнению независимого IT-специалиста Филиппа Кулина, закон о «суверенном рунете» ввел «неразрешимую неоднозначность и путаницу». «Мы до конца не понимаем, что такое технологическая сеть. В законе «О связи» под ними подразумеваются внутренние технологические сети промышленных мероприятий, не подключенные к сетям общего пользования, — продолжает Кулин. — Однако закон «О связи» регулирует только оказание услуг связи. Под его действие не подпадают сети компаний, которые не оказывают таких услуг — например, хостинговые компании, IT-компании, e-commerce». Он предполагает, что авторы инициативы изобретением такого термина хотят подвести под регулирование все автономные сети, не относящиеся к операторам связи, но при этом и не входящие в реестр ОРИ.

Напомним, норма об ОРИ была принята в 2014 году в рамках «пакета Яровой», она позволяет обеспечить прямой постоянный доступ правоохранительных органов к данным интернет-пользователей и их сообщениям. В реестр ОРИ входят соцсети, форумы, СМИ, другие платформы с возможностью коммуникации между пользователями. Сейчас в этом реестре 336 записей.

Обязанность, установленная в указанной норме, распространяется на тех, чьи сети имеют номер автономной системы — это международный ASN-номер (Autonomous System Number, позволяет автономным системам обмениваться данными маршрутизации с другими подключенными системами), выделяемый международной организацией IANA (Internet Assigned Numbers Authority, Администрация адресного пространства интернета, управляет пространствами IP-адресов, доменов верхнего уровня), объясняет юрист, эксперт образовательной платформы Moscow Digital School Ефим Казанцев.

По сути, с 1 сентября 2023 года владельцы автономных сетей связи должны хранить и в любое время дня и ночи предоставлять по запросу уполномоченных органов максимально детальную информацию, которая у них есть, на интересующих уполномоченные органы пользователей, объясняет Казанцев. «Включая информацию, предоставленную самими пользователями при регистрации, подробную информацию о действиях пользователей в сети, а также любую другую информацию, которую потребуют уполномоченные органы, — указывает он. — Для владельцев автономных сетей связи это означает увеличение расходов на сбор, хранение и обеспечение исполнения запросов уполномоченных органов на предоставление информации». Вполне возможно, что для исполнения новых правил им придется закупать дополнительное оборудование и расширять штат, допускает юрист.

Руководитель практики интеллектуальной собственности юридической фирмы DRC Владимир Ожерельев также обращает внимание на то, что перечень сведений остается открытым: «Поэтому по запросу правоохранительных органов владелец сети должен предоставить любую информацию о пользователях».