Эксперты при Правительстве РФ подвергли критике законопроект «О Big Data»

Кроме путаницы в понятиях и наслоения с регулированием персональных данных, законопроект противоречит природе «больших данных», а также может затормозить развитие информационных технологий.

Рабочая группа «Связь и информационные технологии» Экспертного совета при Правительстве России подготовило заключение (имеется в распоряжении РосКомСвободы) по результатам рассмотрения законопроекта №571124-7 «О внесении изменений в Федеральный закон «Об информации, информационных технологиях и о защите информации»», который направлен на формирование регулирования больших пользовательских данных в РФ. Данная инициатива уже получила массу отрицательных отзывов от представителей отрасли, и мнение правительственных экспертов здесь практически полностью совпало с ранее высказанной критикой.

Эксперты отметили, что ранее не принимали участия в обсуждении указанного законопроекта, однако они согласны с тем, что «в условиях активного развития различных сервисов обслуживания граждан (телекоммуникационных, банковских, страховых и др.) создаются предпосылки формирования больших массивов данных, которые могут в дальнейшем использоваться для предоставления иных сервисов».

Механизм регулирования, предложенный депутатами в законопроекте по регулированию больших пользовательских данных (БПД) эксперты назвали неэффективным, содержащим концептуальные недостатки.

«В пояснительной записке к законопроекту указано, что его принятие обусловлено поручением Президента Российской Федерации В.В. Путина, утверждённым Указом от 7 мая 2018 года №204 «О национальных целях и стратегических задачах развития Российской Федерации, — отмечается в заключении. — В то же время, следует отметить, что поручение Президента состоит в обеспечении создания глобальной конкурентоспособной инфраструктуры передачи, обработки и хранения данных».

Рассматриваемый законопроект, считают эксперты, объективно создаёт дополнительные барьеры для передачи и хранения данных, особенно для онлайн-обработчиков. В то же время, документ и не содержит механизмом по повышению контроля со стороны субъектов данных за оборотом своих данных. «В этой связи цели законопроекта, на наш взгляд, являются неопределёнными», — говорится в заключении.

Проведя обсуждение законопроекта на очном заседании Рабочей группы, эксперты пришли к следующим выводам:

Понятийно-терминологический аппарат законопроекта не только недостаточно проработан, но нередко входит в противоречие с содержанием понятий и терминов действующих законодательных актов:

«Предлагаемое определение термина БПД, с одной стороны, относит к БПД информацию, собираемую из различных источников, описывая обезличенные персональные данные, а, с другой стороны, содержит уточнение про 1 000 сетевых адресов при сборе данных в сети Интернет, что не позволяет считать данные обезличенными».

Во-первых, такой подход приводит к необходимости разграничения БПД с персональными данными, так как фактически природа больших данных носит неперсонифицированный характер и не позволяющий идентифицировать человека. Это порождает риск двойного регулирования БПД и персональных данных. Во-вторых, понятие «большие пользовательские данные», в том числе контекст его терминологического использования, из категорий «пользователей» неправомерно «исключает» предприятия, организации и т.д. (государственные и частные, как являющиеся юридическими лицами, так и не являющиеся таковыми).

«Вместе с тем, если при обработке информации затрагиваются интересы неопределённого или определяемого физического лица, то их защищают положения Федерального закона «О персональных данных», — отмечают эксперты. — Если обрабатывается информация, не содержащая персональных данных, интересы физического лица не могут быть затронуты. Если такая информация не содержит персональных данных и не позволяет определить конкретно физическое лицо, то непонятно, как сбор и обработка такой информации может затронуть интересы или нарушать права конкретного физического лица».

Кроме этого, Законопроектом к обработке БПД предлагается относить любое действие (операцию) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с БПД, включая сбор, запись и иные действия. «Однако, обороты «средства автоматизации», «любые действия (операции) с БПД» носят оценочный характер и могут приводить к различному толкованию в правоприменительной практике», — считают они.

Создаются дополнительные барьеры посредством необходимости получения оператором БПД информированного согласия пользователя (в случае передачи данных 3-му лицу) при обработке БПД. «Это приведет к тому, что владелец сайта, установивший систему сбора статистики (Google Analytics, Яндекс.Метрика), должен получить согласие пользователя на обработку БПД, поскольку в таких системах предполагается передача данных третьим лицам», — уверены эксперты.

«В ряде случаев, — отмечает рабочая группа «Связь и ИТ», — положения законопроекта о необходимости получения согласия не смогут быть исполнены по причине отсутствия на абонентском терминале механизмов ввода/вывода информации, необходимого для получения такого согласия. Например, передача операторами фискальных данных в Федеральную налоговую службу сведений о совершенных покупках товаров с помощью контрольно-кассовой техники. Механизмы уведомления и сбора согласий пользователей, уведомления уполномоченного органа создают дополнительные барьеры для развития больших данных».

Законопроект определяет БПД как информацию, собираемую из различных источников, количество которых превышает 1 тысячу сетевых адресов. Обработка сетевого адреса, напоминают эксперты, имеет ряд технических особенностей:

— информация, полученная при обработке данных от сетевого адреса, может не относиться к физическому лицу. Сетевые адреса присваиваются всем устройствам, подключенным к сети, в том числе устройствам Интернета вещей (IoT). Таким образом, на стороне оператора БПД могут накапливаться данные, которые относятся к IoT-датчикам или к программным продуктам, но не к сетевым адресам физических лиц;

— за одним внешним сетевым адресом может находиться множество устройств в рамках одной подсети, например, компьютерные сети предприятий, организаций и т.д. (государственных и частных, как являющиеся юридическими лицами, так и не являющиеся таковыми);

— за несколькими сетевыми адресами может находиться 1 устройство (пользователь), если адрес назначается автоматически при подключении устройства к сети (динамический IP);

— за разными устройствами (сетевыми адресами) может находиться 1 пользователь, который использует несколько устройств для доступа в сеть Интернет (смартфон, ноутбук, планшет).

«Таким образом, — приходят к выводу эксперты, — взаимодействие в цифровой среде нельзя упростить до формулы: сетевой адрес=устройство=пользователь и количественные критерии в отношении такой идентификации будут оценочными. При текущем тренде увеличения количества подключаемых устройств Интернета вещей (IoT-устройств), доля генерируемых и обрабатываемых данных является динамично изменяющейся величиной, что неизбежно ставит под сомнение концептуальные подходы регулирования, предлагаемые Законопроектом».

Предусматривается создание Реестра операторов БПД, в который должны войти только операторы, осуществляющие сбор данных посредством идентификации не менее 100 тысяч сетевых адресов. «По экспертным оценкам, — отмечается в заключении группы «Связь и ИТ», — эта норма затронет узкоспецилизированные отраслевые веб-сайты/блоги в 5-7 тысяч подписчиков. Фактически новый реестр будет дублировать реестр операторов персональных данных. Финансово-экономическое обоснование к законопроекту не раскрывает требование о создании единого реестра операторов БПД, источники разовых финансовых затрат на его создание, внедрение, а также периодических затрат на обслуживание».
Законопроектом не решается проблема трансграничного взаимодействия в сети Интернет и обработки БПД иностранными компаниями. Принятие законопроекта приведет к тому, что российские компании будут поставлены в неравные условия с иностранными компаниями, которые смогут осуществлять сбор и обработку БПД о физических лицах на территории Российской Федерации без получения согласий и без включения в реестр Роскомнадзора.

Также эксперты рабочей группы «Связь и ИТ» обратили внимание на следующие правовые противоречия Законопроекта и действующего законодательства:

В соответствии с ч. 4 ст. 29 Конституции Российской Федерации каждый имеет право свободно искать, получать, передавать, производить и распространять информацию любым законным способом. Введение дополнительных ограничений на поиск, получение, передачу, производство и распространение информации, которая не нарушает чьи-либо законные права и интересы, является ограничением прав и свобод, гарантированных Конституцией Российской Федерации.
Законопроект не содержит ответа на вопрос о возможности формирования БПД, например, из массива персональных данных путем их обезличивания. Соответственно, оператор БПД может получить персональные данные физического лица в рамках своей хозяйственной деятельности. Фактически произойдет идентификация такого лица, что не допускается законопроектом и формально приводит к невозможности использования таких данных для формирования БПД.
В понятийно-терминологический аппарат российского законодательства Законопроектом предлагается ввести новое понятие — «БПД» — содержательно совпадающего с понятием «обезличенные персональные данные»: оба понятия обозначают данные о физическом лице, на основании которых невозможно без использования дополнительной информации определить их принадлежность конкретному физлицу. Федеральный закон «О персональных данных» содержит определение понятия «обезличивание персональных данных», под которым понимаются действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.

Понятие «обезличенные персональные данные» встречается как в нормативных правовых актах, так и в актах органов власти рекомендательного характера (см., например, «Требования и методы по обезличиванию персональных данных», утверждённые Приказом Роскомнадзора от 05.09.2013 №996, Методические рекомендации по применению приказа РКН «Об утверждении требований и методов по обезличиванию персональных данных»).

Согласно законопроекту, обязательному учёту в Реестре операторов БПД подлежат только операторы, осуществляющие сбор данных посредством идентификации не менее 100 тысяч сетевых адресов. То есть речь идёт о сайтах, интернет-агрегаторах, собирающих, как презюмируется разработчиками, большое количество обезличенной информации онлайн. При этом большинство офлайн-операторов (в чьём распоряжении находятся данные подчас в большем количестве: банки, страховые компании) остаются за рамками регулирования в этой части, в Реестр обработчиков они включаться не должны. Причина такого выборочного контроля остаётся не совсем понятной.

Кроме того, данное ограничение в 100000 сетевых адресов крайне проблематично просчитываемо, поскольку не определён период времени обработки.

Кроме того, законопроект выводит федеральные органы исполнительной власти, органы исполнительной власти субъекта Российской Федерации, органы местного самоуправления из-под действия норм об обязанности уведомлять Роскомнадзор о намерении обработки данных для третьих лиц и запрете такой обработки до направления уведомления пользователям. При этом именно органы исполнительной власти обладают огромными массивами информации, которая может содержать БПД, и неправомерное обращение с которой может нарушить законные права и интересы человека и гражданина.

Согласно выводам экспертов, предложенная в законопроекте концепция противоречит природе больших данных. Принятие законопроекта существенно затормозит развитие информационных технологий в области больших данных, поставит в неравное положение российские и иностранные компании и станет препятствием при реализации задач, предусмотренных программой «Цифровая экономика», утверждённой в РФ.

«Механизм извещения до начала обработки БПД и получения согласия пользователя создают дополнительные барьеры и экономические затраты для бизнеса, создает препятствия для широкого применения технологий обработки больших данных. В сопроводительных материалах к законопроекту не описаны риски обработки БПД, которые необходимо нивелировать посредством принятия законопроекта – указание на «правовой пробел» не является достаточным основанием для предлагаемого регулирования», — говорится в заключении экспертов, которые по итогам рассмотрения инициативы депутата Романова единогласно выразили позицию «о нецелесообразности принятия законопроекта № 571124-7 «О внесении изменений в Федеральный закон «Об информации, информационных технологиях и о защите информации»».

Данный документ, который выражает позицию многих крупных интернет-игроков, будет представлен на рассмотрение в Правительство РФ и Государственную Думу.

Напомним, на прошлой неделе рабочая группа «Нормативное регулирование» при АНО «Цифровая экономика», состоящая из представителей крупного бизнеса и банков, жёстко раскритиковала законопроект о больших пользовательских данных депутата Госдумы Михаила Романова. Также председатель инфокомитета ГД Леонид Левин заявил, что авторы документа не представили заключения Правительства РФ, и законопроект на данный момент предлагается «вернуть для устранения нарушения».

«Пакет Яровой», Big Data и отмена сетевого нейтралитета: последний рубеж

Власти Москвы обещают найти «серых» арендодателей квартир с помощью Big Data

Сбор, обработку и продажу Big Data оформляют в закон