Бизнес против принудительного включения сайтов в реестр «по слежке»

Ассоциация больших данных (АБД, в состав входят «Яндекс», VK, Сбербанк, Газпромбанк, Тинькофф Банк, «Мегафон», «Ростелеком», билайн, МТС, фонд «Сколково», ВТБ, «Авито» и др.) и комиссия по связи РСПП раскритиковали проект постановления правительства, разрешающий Роскомнадзору самостоятельно вносить интернет-ресурсы в реестр ОРИ.

Проект постановления правительства, автором которого выступает Минцифры, был опубликован на портале regulation.gov.ru 24 января, он определяет правила ведения реестра ОРИ. Согласно документу, РКН должен получить полномочия принудительно вносить тот или иной ресурс в реестр ОРИ, если у него есть функция обмена сообщениями между пользователями, а владелец дважды не выполнил требование войти в перечень добровольно.

Ранее там был выложен проект постановления, которое предполагает введение механизма принудительного включения ресурса в этот реестр.

ОРИ может стать любой ресурс, соцсеть, СМИ или форум, на котором пользователи могут общаться друг с другом или оставлять комментарии — к примеру, в октябре 2023 года РКН включил в реестр даже видеоигру PUBG Mobile и ее издателя, сингапурскую Proxima Beta.

ОРИ должны сохранять информацию о фактах передачи сообщений своими пользователями в течение года, а само содержание этих сообщений, в том числе тексты, фотографии и аудиозаписи, — на протяжении полугода. Эти данные ОРИ обязаны предоставлять по первому запросу силовым органам, прежде всего — Федеральной службе безопасности (ФСБ).  Для доступа силовиков к информации о своих пользователях ОРИ обязаны установить соответствующее оборудование для хранения и передачи данных, прежде всего системы технических средств для обеспечения функций оперативно-розыскных мероприятий (СОРМ).

Ресурсы сами должны подать в РКН уведомление о включении в реестр с того момента, как начинают обеспечивать коммуникацию между пользователями. Если сайт этого не делает, то РКН может прийти с соответствующим требованием, выполнить которое нужно в течение 10 дней. В противном случае служба может наложить штраф до 300 000 рублей. Если ресурс продолжает упорствовать, РКН может оштрафовать его повторно (причем уже до 1 млн рублей) и подать судебный иск о блокировке сайта до момента его включения в реестр.

Предложенное Минцифры постановление правительства противоречит закону «Об информации», согласно которому включение в реестр ОРИ происходит на основе уведомления интернет-сервиса, указывают в АБД и комиссии по связи РСПП. Альтернативного порядка включения в реестр закон не предусматривает, подчеркивают в АБД.

Есть ресурсы, попадание которых в реестр ОРИ является спорным, пояснили Forbes в АБД. «Сейчас РКН должен в суде доказать отнесение сервиса к ОРИ, и это справедливо, так как терминологический аппарат и функционал различных типов сервисов в интернете (ОРИ, ОС, автономные системы, технологические сети) недостаточно синхронизирован, и насчет отнесения компании к тому или иному типу возможны споры», — добавили в ассоциации. Если проект постановления правительства будет принят в текущем виде, то ресурс потеряет возможность оспорить решение о включении в реестр, считают там. Тем более что попадание в реестр ОРИ накладывает на ресурс дополнительные финансовые расходы по обеспечению требований о хранении и передаче данных, обращают внимание в АБД.

Однако в Минцифры возражают авторам критических отзывов на проект постановления, утверждая, что документ соответствует закону «Об информации» и его подзаконным актам. РКН сможет включить ресурс в реестр после повторного вынесения постановления об административном правонарушении, то есть в случае неоднократного уклонения владельца от выполнения предписания РКН, обращают внимание в ведомстве: «Эта мера направлена на снижение противоправных и мошеннических действий в интернете».

За несколько лет правоприменения стало понятно, что практика идет по пути признания ОРИ почти любой площадки, полагает преподаватель образовательной платформы Moscow Digital School Александра Орехович. По ее словам, обязанности ОРИ «обременительны как финансово, так и административно»: так, платформы должны хранить не только информацию о факте обмена сообщениями, но и сами сообщения в течение полугода, иметь возможность в любой момент по запросу уполномоченных органов, причем безвозмездно, передать эти сведения в любом объеме, в том числе все ключи шифрования, и иметь только сертифицированное органами безопасности оборудование.

По словам медиаюриста Светланы Кузевановой, автора Telegram-канала «Кузеванова рассказывает», есть два порядка попадания сайта в реестр ОРИ:

«Сам ресурс обязан подать заявление на включение в реестр, если видит, что обладает признаками ОРИ. В другом случае ФСБ находит признаки ОРИ у того или иного ресурса и сообщает об этом РКН. В таком случае вариантов у сервиса немного — ему дают срок на вступление в реестр. Если он этого не делает, то на него накладывают штраф, который не исключает обязанности вступить в реестр. Дальше ресурс может бесконечно судиться с РКН».

На практике, говорит юрист, отбиться от статуса ОРИ в некоторых ситуациях не удавалось, даже если ресурс убирал возможность оставлять комментарии и обратную связь на сайте. «Однако калининградский портал Rugrad после того, как удалил все комментарии и формы обратной связи, смог отбиться. РКН отозвал иск о включении в реестр», — приводит юрист пример из собственной практики.

Нововведение же дает возможность РКН после двух штрафов включить ресурс в реестр принудительно, добавляет эксперт.

Оценить издержки выполнения всех требований сложно, говорит Кирилл Ляхманов: после включения в реестр ресурс должен приобрести и интегрировать оборудование СОРМ, которое будет копировать всю информацию о действиях пользователей и предоставлять прямой доступ к этой информации уполномоченным органам. «Уверенно можно сказать, что стоимость интеграции значительна: сам РКН как оператор реестра ОРИ запросил дополнительное финансирование в 2023 году», — говорит он.

Реестр ОРИ появился в 2014 году и его ведёт Роскомнадзор. С того момента в него было внесено более 400 ресурсов, некоторые уже вынесены и сейчас реестр насчитывает 348 участников.

С первых же дней появления реестра в него попали такие крупные российские сервисы как:

• «Яндекс»,
• MailRu Group,
• Liveinternet,
• «ВКонтакте»
• и так далее.

Первым зарубежным сервисом, оказавшимся в этом списке, стал защищённый швейцарский мессенджер Threema, который позже опроверг сотрудничество с Роскомнадзором и ФСБ (и не он единственный из иностранных).

Свой интерес силовики проявляли в том числе к сайтам знакомств, одним из которых оказался Badoo, с того момента никак не прокомментировавший этот факт. Он до сих пор находится в реестре слежки. Ещё один сервис знакомств, Tinder, также был включён в данный перечень.

Позже в реестр внесли мессенджер в приложении Сбербанк Онлайн, справочник и геонавигатор 2GIS.

Из относительно недавних крупных участников реестра можно назвать:

- «Аэрофлот»,
- «Островок»,
- «Кассы.Ру»,
- файлообменный хостинг Mega,
- уже упомянутый выше PUBG Mobile.

А с начала текущего года всё новые проекты «Яндекса» продолжили пополнять список ОРИ:

• «Яндекс.Заправки» и «Яндекс.Драйв»,
• «Кинопоиск» и «Яндекс.Доставка»,
• «Яндекс.Афиша», «Яндекс.Здоровье» и «Яндекс.ОФД».

На данный момент в реестре организаторов распространения информации продолжают находиться 24 сервиса «Яндекса».

О том, как устроен реестр ОРИ, какие данные он собирает и какие риски для приватности пользователей несёт, можно ознакомиться в наших карточках.