Анализ законопроекта об идентификации в ЕСИА

Аналитическая справка по проекту Постановления Правительства РФ «О проведении эксперимента по осуществлению идентификации и аутентификации с использованием федеральной государственной информационной системы «Единая система идентификации и аутентификации в инфраструктуре, обеспечивающей информационно-технологическое взаимодействие информационных систем, используемых для предоставления государственных и муниципальных услуг в электронной форме» пользователей социальных сетей в сети «Интернет», а также пользователей агрегаторов информации о товарах (услугах) , информационных ресурсов подбора персонала и поиска работы, при совершении сделок и иных юридически значимых действий посредством указанных агрегаторов информации о товарах (услугах), информационных ресурсов подбора персонала и поиска работы»

08 июля 2020 года на сайте https://regulation.gov.ru был опубликован проект Постановления Правительства РФ «О проведении эксперимента по осуществлению идентификации и аутентификации с использованием федеральной государственной информационной системы «Единая система идентификации и аутентификации в инфраструктуре, обеспечивающей информационно-технологическое взаимодействие информационных систем, используемых для предоставления государственных и муниципальных услуг в электронной форме» пользователей социальных сетей в сети «Интернет», а также пользователей агрегаторов информации о товарах (услугах), информационных ресурсов подбора персонала и поиска работы, при совершении сделок и иных юридически значимых действий посредством указанных агрегаторов информации о товарах (услугах), информационных ресурсов подбора персонала и поиска работы» (https://regulation.gov.ru/projects#npa=105741). Согласно ему с 1 июля 2020 г. по 1 июля 2021 г. планируется проведение эксперимента по идентификации и аутентификации с использованием федеральной государственной информационной системы «Единая система идентификации и аутентификации в инфраструктуре, обеспечивающей информационно-технологическое взаимодействие информационных систем, используемых для предоставления государственных и муниципальных услуг в электронной форме» (ЕСИА) пользователей социальных сетей в сети «Интернет», а также потребителей (заказчиков) и продавцов (исполнителей), иных сторон договоров при использовании ими агрегаторов информации о товарах (услугах), информационных ресурсов поиска сотрудников и работы, в целях совершения сделок купли-продажи товаров (выполнения работ, оказания услуг), аренды имущества, совершения юридически значимых действий в целях трудоустройства и иных юридически значимых действий, посредством агрегаторов информации о товарах (услугах), информационных ресурсов поиска сотрудников и работы. П. 3 проекта Постановления рекомендует владельцам программ для электронных вычислительных машин и (или) сайтов в сети «Интернет», используемых для функционирования социальных сетей, владельцам агрегаторов информации о товарах (услугах), информационных ресурсов поиска сотрудников и работы, присоединившимся к проведению эксперимента, обеспечить готовность своих информационных систем, к взаимодействию с федеральной государственной информационной системой «Единая система идентификации и аутентификации в инфраструктуре, обеспечивающей информационно-технологическое взаимодействие информационных систем, используемых для предоставления государственных и муниципальных услуг в электронной форме» посредством подключения таких информационных систем к инфраструктуре, обеспечивающей информационно-технологическое взаимодействие информационных систем, используемых для предоставления государственных и муниципальных услуг и исполнения государственных и муниципальных функций в электронной форме.

Согласно Положению о проведении эксперимента, утверждаемого данным Постановлением Правительства РФ, целью эксперимента является обеспечение достоверной идентификации и аутентификации пользователей социальных сетей, повышение эффективности дистанционного взаимодействия пользователей агрегаторов между собой с целью совершения сделок купли-продажи товаров (выполнения работ, оказания услуг), аренды имущества, совершения юридически значимых действий в целях трудоустройства и иных юридически значимых действий посредством агрегаторов за счет повышения достоверности осуществляемых на агрегаторах действий, посредством использования федеральной государственной системы «Единая система идентификации и аутентификации в инфраструктуре, обеспечивающей информационно-технологическое взаимодействие информационных систем, используемых для предоставления государственных и муниципальных услуг в электронной форме» (п. 3). Что же касается задач эксперимента, то в качестве таковых провозглашаются:

4.1.         Обеспечение возможности присоединения агрегаторов и информационных систем владельцев агрегаторов к единой системе идентификации и аутентификации, а также использования ими функционала указанной информационной системы, в том числе в целях осуществления достоверной идентификации и аутентификации пользователей, зарегистрированных в единой системе идентификации и аутентификации и получивших ключ простой электронной подписи при личной явке, в соответствии с правилами использования простой электронной подписи при оказании государственных и муниципальных услуг, устанавливаемых Правительством Российской Федерации, получения агрегаторами необходимых сведений о пользователях, в том числе в целях обеспечения заключения договоров купли-продажи товаров (выполнения работ, оказания услуг)), договоров аренды и совершения юридически значимых действий в целях трудоустройства и иных юридически значимых действий посредством агрегаторов.

4.2.         Обеспечение возможности присоединения информационных систем владельцев социальных сетей к единой системе идентификации и аутентификации, а также использования ими функционала указанной информационной системы, в том числе в целях осуществления достоверной идентификации и аутентификации пользователей, зарегистрированных в единой системе идентификации и аутентификации и получивших ключ простой электронной подписи при личной явке, в соответствии с правилами использования простой электронной подписи при оказании государственных и муниципальных услуг, устанавливаемых Правительством Российской Федерации, получения социальными сетями, необходимых сведений о пользователях, в том числе в целях регистрации пользователей в социальных сетях и их дальнейшего использования пользователями.

4.3. Обеспечение возможности для пользователей, имеющих регистрацию в единой системе идентификации и аутентификации, в рамках которой подтверждена их личность, предоставлять необходимые сведения о себе для регистрации в социальных сетях и их использования, заключения договоров купли-продажи товаров (выполнения работ, оказания услуг), договоров аренды, дистанционного подписания таких договоров, совершения юридически значимых действий в целях трудоустройства и иных юридически значимых действий посредством агрегаторов.

4.4. Апробация возможности использования функционала единой системы идентификации и аутентификации путем идентификации и аутентификации пользователей в целях:

а) регистрации в социальных сетях и их последующего использования;

б) заключения договоров в отношении недвижимого имущества;

в) заключения договоров купли-продажи товаров (выполнения работ, оказания услуг);

г) заключения договоров аренды имущества;

д) заключения договоров купли-продажи транспортных средств;

е) совершения юридически значимых действий в целях трудоустройства и иных юридически значимых действий (п. 4 Положения).

Участниками эксперимента являются пять министерство и две федеральные службы РФ, а также владельцы программ для электронных вычислительных машин и (или) сайтов в сети «Интернет», используемых для функционирования социальных сетей (далее – владельцы социальных сетей) и владельцы агрегаторов информации о товарах (услугах), информационных ресурсов поиска сотрудников и работы (далее – владельцы агрегаторов, агрегаторы), обеспечивающие реализацию задач, предусмотренных пунктом 4 Положения. Провозглашается, что владельцы социальных сетей и владельцы агрегаторов участвуют в этом эксперименте на добровольной основе, однако государство, теоретически, вполне может сделать частным фирмам такое предложение, от которого будет трудно отказаться.

Проект данного нормативного акта представляет непосредственную угрозу правам и свободам граждан РФ. Согласно п. 4.1 ст. 14 Федерального закона от 27.07.2006 N 149-ФЗ (ред. от 03.04.2020) "Об информации, информационных технологиях и о защите информации" Правительство Российской Федерации определяет случаи, при которых доступ с использованием сети "Интернет" к информации, содержащейся в государственных информационных системах, предоставляется исключительно пользователям информации, прошедшим авторизацию в единой системе идентификации и аутентификации, а также порядок использования единой системы идентификации и аутентификации. С помощью проекта рассматриваемого Постановления Правительство РФ создает основу для возможности распространения подобного же порядка, фактически насильно принуждающего граждан к регистрации в ЕСИА, и в целом ряде случаев, когда физические лица взаимодействуют уже не с государственными органами, а частными фирмами. Для этого Правительство РФ выбрало такие важные, если не сказать жизненно важные для граждан сферы, как общение в социальных сетях, заключения договоров в отношении как движимого, так и недвижимого имущества и поиск работы. Как отмечают исследователи, ЕСИА — одна из наиболее важных систем в инфраструктуре «Электронного правительства». «В «идеальной модели» с точки зрения Минкомсвязи, при любом электронном взаимодействии государства с гражданами авторизация должна проходить через ЕСИА». Зарегистрированные в ней граждане со временем смогут пользоваться большинством государственных услуг, не отходя от компьютера, а государство с ее помощью сформирует электронный реестр активного населения, который будет содержать не только паспортные данные или идентификационные номера (СНИЛС, ИНН), но и актуальные мобильные телефоны и адреса электронной почты. При этом с самого начала предполагалось, что ЕСИА может быть использована для идентификации и аутентификации на других интернет-порталах. Несмотря на заявленную цель создания больших удобств для населения при взаимодействии с госорганами, глобальной целью ЕСИА с точки зрения государства может являться тотальный контроль над своими гражданами. Экс-гендиректор Google Эрик Шмидт и глава Google Ideas Джаред Коэн в своей книге «Новый цифровой мир. Как технологии меняют жизнь людей, модели бизнеса и понятие государств» предсказывали эту возможность: «Некоторые правительства, решив, что иметь тысячи анонимных, бесконтрольных и непроверенных граждан — «подполье» — слишком рискованно, захотят узнать, кто скрывается за каждым онлайн-аккаунтом, и потребуют верификации на государственном уровне для усиления контроля над виртуальным пространством». Виртуальная личность человека, по мнению Шмидта и Коэна, «станет целым созвездием профилей, созданных в интернете, которое будет верифицироваться и даже регулироваться властями». (Левашов А. Идентификация всея Руси. Как это будет? // https://www.cnews.ru/articles/identifikaciya_vseya_rusi_kak_eto_budet). В этом отношении стремление Правительства РФ с помощью рассматриваемого документа в первую очередь с помощью ЕСИА установить регистрацию граждан в социальных сетях и их последующего использования становится вполне объяснимой. Аналогичным образом становится понятным и его стремление привлечь к этому владельцев социальных сетей и владельцев агрегаторов. При этом следует иметь в виду еще одно немаловажное обстоятельство. Если, согласно пп. «в» п. 3 Стратегии развития информационного общества в Российской Федерации на 2017 - 2030 годы (утв. Указом Президента РФ от 9 мая 2017 г. № 203), государство, по крайней мере теоретически, обязано обеспечить «сохранение традиционных и привычных для граждан (отличных от цифровых) форм получения товаров и услуг», то частные фирмы подобного обязательства не несут. Соответственно, владельцы социальных сетей и владельцы агрегаторов могут, не нарушая закон, потребовать обязательной идентификации и аутентификации пользователей с использованием ЕСИА. Вопрос заключается в том, как принудить к этому частные фирмы, но, как говорилось выше, государство для этого обладает достаточно широкими возможностями. Если владельцы социальных сетей и владельцы агрегаторов станут участвуют в этом эксперименте «добровольно», то многие десятки и сотни тысяч, а то и миллионы пользующихся этими сетями людей будут вынуждены регистрироваться на ЕСИА вне зависимости от своего желания либо отказаться от использования данных сетей. Т.о., реальное или вынужденное согласие юридических лиц участвовать в данном эксперименте повлечет для использующих их продукцию граждан принуждение к регистрации. В данном случае нет принципиальной разницы от того исходит ли это принуждение от государства или от владельцев социальных сетей и агрегаторов – принуждение в любом случае остается принуждением. Хотя проект Постановления Правительства РФ говорит о добровольном участии владельцев социальных сетей и владельцев агрегаторов в этом эксперименте, однако едва ли приходится сомневаться в том, что, в случае положительного исхода эксперимента, принцип добровольности по отношению к ним легко может быть заменен на принцип обязательности.

Если речь идет о тотальном контроле в цифровой сфере, то о принципе добровольности не может быть и речи. О том, что и рассматриваемый проект Постановления Правительства РФ направлен на установление тотального контроля над гражданами, свидетельствует то, что участниками эксперимента со стороны государства помимо Министерства цифрового развития и Министерства экономического развития являются также Министерство внутренних дел и Федеральная служба безопасности Российской Федерации (п. 2 Положения о проведении эксперимента). Все эти планы грубо нарушают Конституцию РФ. Часть 1 ст. 23 Конституции закрепляет право каждого на неприкосновенность частной жизни, личную и семейную тайну. Часть 1 ст. 24 Конституции РФ устанавливает прямой запрет на сбор, хранение, использование и распространение информации о частной жизни лица без его согласия. С учетом того, что в социальных сетях люди также обмениваются информацией, то планы Правительства РФ нарушают и статью 29 Конституции, гарантирующей свобода мысли и слова, а также положение, согласно которому «каждый имеет право свободно искать, получать, передавать, производить и распространять информацию любым законным способом». Если право доступа в социальную сеть будет обусловлено фактом регистрации в ЕСИА, то ни о каких правах свободного поиска, получения, передачи, производства и распространения информации не может быть и речи.

В случае реализации изложенных в проекте Постановления планов Правительства РФ о том, что заключение договоров в отношении недвижимого имущества, заключение договоров аренды имущества, заключения договоров купли-продажи товаров (выполнения работ, оказания услуг) и заключения договоров купли-продажи транспортных средств будет связано с описанной выше идентификацией и аутентификацией пользователей, будет нарушена статья 34 Конституции РФ, согласно которой каждый имеет право на свободное использование своих способностей и имущества для предпринимательской и иной не запрещенной законом экономической деятельности. Одновременно с этим будет нарушен и п. 1 статьи 434 Гражданского Кодекса РФ, который устанавливает: «Договор может быть заключен в любой форме, предусмотренной для совершения сделок, если законом для договоров данного вида не установлена определенная форма». Поскольку, согласно ему, определенную форму для договоров может устанавливать только закон, то попытка установить для целого ряда договоров электронную форму с помощью подзаконного акта, каким является Постановление Правительства РФ, является грубым нарушением этого правила. Кроме того, электронная форма заключения договоров, особенно в отношении недвижимого имущества и транспортных средств, создает серьезнейшую угрозу безопасности имущества граждан, которые могут стать жертвами различного рода мошенничеств. Специалисты уже давно указывали на уязвимые места этой затеи: «Критики ЕСИА, помимо прочего, обращают внимание на низкую защищенность системы. «Выполнять разграничение доступа на основе пар «логин-пароль» — это прошлый век и совершенно небезопасно», — считает Сергей Муругов, генеральный директор компании «Топ Кросс», занимающейся разработкой систем по технологии инфраструктуры открытых ключей. Идентификация по ЭЦП, как это реализовано в ЕПГУ, по мнению эксперта, является «наидырявейшим решением», уязвимым, в частности, перед атаками класса MITM (Man-in-the-middle, «Человек посередине»). При таких атаках злоумышленник может подменить контрольное число с сервера на свертку от произвольного (возможно, даже и злонамеренного по содержанию) документа, и автоматическая выработка электронной подписи пользователем приведет к факту визирования авторства такого документа, к которому пользователь не имеет никакого отношения»» (Левашов А. Идентификация всея Руси. Как это будет? // https://www.cnews.ru/articles/identifikaciya_vseya_rusi_kak_eto_budet). В «Интернете» также обращалось внимание на проблемы с безопасностью (Как я нашел дыру в системе безопасности сайта госуслуги.рф // https://habr.com/ru/post/97266/), так и то, что в результате простой технической ошибки с сайта госуслуг в Сеть попали личные данные почти 30 тыс. человек, в частности паспортные данные, ИНН, СНИЛС (Филипенок А. СМИ узнали об утечке данных пользователей сайта госуслуг // https://www.rbc.ru/society/29/12/2019/5e08a43d9a7947345490f23e). Понятно, что подобное состояние сайта госуслуг, с помощью которого Правительство РФ в добровольно-принудительном порядке хочет понудить граждан заключать целый ряд важных договоров, способно привести к всплеску преступности. Точно также не выдерживает критики его стремление привязать регистрацию граждан в ЕСИА к совершению ими юридически значимых действий в целях трудоустройства. Тем самым нарушается ч. 1 статьи 37 Конституции РФ, согласно которой труд свободен и «каждый имеет право свободно распоряжаться своими способностями к труду, выбирать род деятельности и профессию». Опять-таки добровольно-принудительная идентификация и аутентификация никак не соотносится с правом человека свободно распоряжаться своими способностями к труду.

Следует также обратить внимание на вектор движения, который задает анализируемый проект Постановления Правительства РФ, если рассматривать вопрос обязательной идентификации пользователей Интернета в мировом масштабе. Хотя в каждом государстве могут быть свои особенности, однако в целом отчетливо просматриваются два противоположных подхода к решению этого вопроса. На одном полюсе сосредоточились преимущественно авторитарные режимы. Так, например, принятый еще в октябре 2016 года Закон о кибербезопасности КНР фактически исключает анонимность пользователей «глобальной паутины»: «При регистрации доступа в интернет, регистрации в социальной сети, подключении стационарного телефона или мобильной связи, предоставлении клиенту услуг публикации информации или ее передачи, при подписании соглашения (об оказании услуг) клиент должен предоставить подлинное удостоверение личности. Если оно не будет предоставлено, то оператор услуг не имеет права на обслуживание клиента». При этом «государство принимает стратегию по разработке технологий и созданию надежных средств удостоверения личности, а также их взаимного признания». (Кириллов А., Селищев А. Кибербезопасность по-китайски: в КНР вступает в силу новый закон об интернете // https://tass.ru/mezhdunarodnaya-panorama/4290068). Впоследствии он был дополнен обязательной идентификации личности для написания комментариев в интернете (Китай вводит обязательную идентификацию личности для написания комментариев в интернете // https://tass.ru/obschestvo/4506826). По этому же пути с 2018 г. пошла и Белоруссия (Белоруссия с 1 декабря введет обязательную идентификацию интернет-пользователей // https://www.interfax.ru/world/640222). Очевидно, что в обеих странах обязательная идентификация интернет-пользователей обусловлена стремлением государства к тотальному контролю за своими гражданами и их высказываниями в первую очередь по политическим темам. Прямо противоположный подход наблюдается в ЕС, где Комитет Министров 28 мая 2003 года в Страсбурге принял особую «Декларация о свободе общения в Интернете», седьмой принцип которой прямо провозглашает право интернет-пользователей на анонимность: «В целях обеспечения защиты Интернета от контроля и расширения свободного выражения идей и информации, государства-члены должны уважать желание пользователей Интернета не раскрывать свою личность. Это не мешает государствам-членам принимать меры и осуществлять сотрудничество в целях установления лиц, виновных в преступных деяниях, в соответствии с национальным законодательством, Конвенцией о защите прав человека и основных свобод и другими международными соглашениями между правоохранительными органами и органами юстиции» (Декларация о свободе общения в Интернете // http://medialaw.asia/document/-2358). «Регламент Европейского Парламента и Совета Европейского Союза 2016/679 от 27 апреля 2016 г. о защите физических лиц при обработке персональных данных и о свободном обращении таких данных, а также об отмене Директивы 95/46/ЕС» (Общий Регламент о защите персональных данных / General Data Protection Regulation /GDPR) особо подчеркивает: «(28) Применение псевдонимизации в отношении персональных данных может снизить риски для субъектов данных и помочь контролерам и лицам, обрабатывающим данные, при выполнении ими своих обязанностей по защите данных». Подобные положения зафиксированы и на уровне законодательств отдельных стран. Так, например, в соответствии с §13 ст. 6 Закона ФРГ о телемедиа (Telemediengesetz), поставщики услуг массовых электронных коммуникаций (включая веб-сайты) должны предоставлять пользователям возможность оставаться неизвестными или использовать псевдоним насколько это технически возможно и разумно (Михайлов C.В. Анонимность в Интернете // http://ipcmagazine.ru/legal-issues/anonymity-on-the-internet). Этими же принципами в целом руководствуется и европейская судебная практика. Европейский суд по правам человека, рассмотрев дело «Компания «Делфи АС» против Эстонии» (жалоба № 64569/09, постановление от 16 июня 2015 г.), указал, что поставщик услуг может «предусмотреть более высокую степень анонимности для своих пользователей. В этом случае от пользователей не требуется сообщать о себе вообще никаких сведений и их можно установить в ограниченной степени только по данным, сохранившимся у интернет-провайдера. Обычно такие данные сообщаются только по запросу следственных или судебных органов и на ограничительных условиях. Тем не менее, в некоторых случаях это может быть необходимо для установления правонарушителей и привлечения их к ответственности» (Наумов В.Б. Научные подходы к классификации видов правовой идентификации в информационных правоотношениях // https://cyberleninka.ru/article/n/nauchnye-podhody-k-klassifikatsii-vidov-pravovoy-identifikatsii-v-informatsionnyh-pravootnosheniyah). Отметив, что Интернет является общественно важным ресурсом, Совет Европы в своей «Рекомендации CM/Rec(2014)6», особо подчеркнул, что «никто не должен подвергаться незаконному, произвольному или необоснованному вмешательству в свои права и основные свободы при использовании сети Интернет» (ст. 3). В связи с рассматриваемой темой важным являются и положения ст. 2 данной «Рекомендации», которая гласит: «Обязательство государств уважать, защищать и поддерживать права человека включает в себя надзор за частными компаниями. Права человека, являющиеся универсальными и неделимыми, а также связанные с ними стандарты, превалируют над общими требованиями и условиями, которые налагаются на интернет-пользователей любыми субъектами частного сектора». (Руководство по правам человека для интернет-пользователей. Совет Европы, 2014. С. 5). Несмотря на наличие в законодательствах отдельных государств двух прямо противоположных тенденций, позиция Организации Объединенных Наций в целом явно ближе к европейскому, чем китайскому варианту. Совет по правам человека ООН провел заседание, на котором было отмечено, что анонимное использование интернета и использование шифрования личных данных и средств коммуникации являются неотъемлемым правом человека. Об этом говорится в опубликованном документе, принятом по итогам заседания. Члены совета пришли к выводу, что анонимность в интернете — один из важных инструментов, позволяющий в цифровую эпоху свободно высказывать свое мнение (ООН признала анонимность в интернете правом человека //). К сожалению, эти положения Совета по правам человека ООН носят рекомендательный, а не обязательный характер.

            Стоит отметить, что отечественное законодательство уже содержит необходимые предпосылки для развития юридического регулирования данного вопроса в нашей стране по европейскому пути. Согласно п. 1 ст. 19 Гражданского кодекса РФ гражданин приобретает и осуществляет права и обязанности под своим именем, включающим фамилию и собственно имя, а также отчество, если иное не вытекает из закона или национального обычая. «В случаях и в порядке, предусмотренных законом, гражданин может использовать псевдоним (вымышленное имя)». Такие случаи предусматривает, например, ст. 1265 ГК РФ (право авторства), согласно которой автор произведения выступает в правоотношениях по своему выбору под своим именем, под псевдонимом или анонимно. Статья 53 Федерального закона от 07.07.2003 N 126-ФЗ (ред. от 07.04.2020) «О связи» также устанавливает: «К сведениям об абонентах относятся фамилия, имя, отчество или псевдоним абонента-гражданина…». Поскольку статья 6 ГК РФ прямо предусматривает возможность применения гражданского законодательства по аналогии, то, исходя из вышеперечисленных норм, можно было бы легко решить вопрос о наличии или отсутствии необходимости обязательной идентификации граждан при пользовании ими Интернетом. Однако невзирая как на отечественное, так и европейское законодательство, а также выводы Совета по правам человека ООН, Правительство РФ своим подзаконным актом решило направить развитие нашей страны в этом вопросе по китайскому пути.

В связи с вышеизложенным просим принять все возможные меры для отклонения проекта Постановления Правительства РФ «О проведении эксперимента по осуществлению идентификации и аутентификации с использованием федеральной государственной информационной системы «Единая система идентификации и аутентификации в инфраструктуре, обеспечивающей информационно-технологическое взаимодействие информационных систем, используемых для предоставления государственных и муниципальных услуг в электронной форме» пользователей социальных сетей в сети «Интернет», а также пользователей агрегаторов информации о товарах (услугах), информационных ресурсов подбора персонала и поиска работы, при совершении сделок и иных юридически значимых действий посредством указанных агрегаторов информации о товарах (услугах), информационных ресурсов подбора персонала и поиска работы», который грубо нарушает Конституцию безопасности Российской Федерации и угрожает правам и свободам ее граждан.