Учебный год 22-23 / Е. Папченкова - Действия под чужим аккаунтом_ применение норм о представительстве в сети Интернет (1)

ЖУРНАЛ «ЗАКОН»

№10 ОКТЯБРЬ 2020

3)какие действия по обеспечению безопасности и сохранности чувствительных данных пользователей принимаются оператором онлайн-платформы? Если взлом возможен в результате простых технических манипуляций, такая система не заслуживает доверия. Особенно вызывают вопросы онлайн-системы, позволяющие пользователям восстанавливать забытые пароли. Примечательно, что низкое доверие к таким системам наблюдается и в российской практике40.

Причем М. Шнайдер указывает, что список критериев должен быть открытым и каждый раз определяться исходя из потребностей оборота.

М. Мюллер-Брокгаузен в принципе отказывает в надежности авторизации, основанной на простом знании идентификатора, т.е. логина и пароля (wissensbasierte Authentifizierung). С его точки зрения, пароль доступа не может быть безопасным способом идентификации, так как слишком простой пароль может быть подобран и взломан третьими лицами, а слишком сложный приходится записывать и сохранять, что также увеличивает риски его похищения41. Однако и идентификация, основанная только на принципах владения определенным устройством (телефон, карта и т.п.), также не дает гарантии, поскольку последние могут быть утеряны или похищены.

По-настоящему надежным М. Мюллер-Брокга- узен предлагает считать критерий двухфакторной идентификации, основанный на сочетании знания и владения (Wissen und Besitz) как принципиально разных способов идентификации личности.

40В Определении от 24.04.2018 № 5-КГ18-41 Судебная коллегия по гражданским делам ВС РФ указала, что банк может нести ответственность в том случае, когда вследствие выдачи оператором мобильной связи дубликата SIM-карты неуправомоченному лицу последнее получило возможность и незаконно списало с банковского счета клиента денежные средства. Суд обратил внимание на то, что в установленной банком системе электронных платежей логином являлся абонентский номер телефона, известный держателю дубликата SIM-карты, а пароль мог быть изменен любым лицом, имеющим доступ к услугам связи по данному номеру, без его идентификации и аутентификации путем выполнения команды «Напомнить пароль?» и подтверждения направленного системой на этот же абонентский номер телефона одноразового пароля.

41Müller-Brockhausen M. Op. cit. S. 276. Rn. 562.

Такая идентификация сейчас часто используется в онлайн-банкинге, где для успешной авторизации необходимо одновременно знать пароль доступа в аккаунт и владеть телефоном, на который приходит разовый пароль подтверждения доступа и совершаемой операции.

Также на сочетании знания и владения базируется авторизация с помощью кредитной карты в банкомате: злоумышленнику недостаточно только завладеть картой или только узнать PIN, необходимо совпадение данных обстоятельств.

В целом такой подход может быть поддержан и использован при толковании п. 2 ст. 160 ГК РФ и определении критериев достоверного определения лица, выразившего волю.

3.2. Ответственность владельца аккаунта за доступ к нему третьих лиц

В немецкой литературе вменение владельцу аккаунта доступа к нему третьих лиц описывается термином Zurechnung, что можно перевести как «приписывание» или «вменение». Однако в доктрине отсутствует единство по поводу оснований для вменения владельцу аккаунта действий третьих лиц.

Одни авторы признают возникновение видимых полномочий только в случае сознательной передачи паролей доступа третьему лицу. Другие допускают вменение и тогда, когда прямой воли владельца аккаунта на передачу паролей не было, однако его действия или бездействие способствовали этому. Ответственность владельца аккаунта в последнем случае основывается на двух теориях — теории риска (Risikoprinzips) или теории вины (Verschuldensprinzip).

Первая теория строится на том, что риски действий неуполномоченных третьих лиц (т.е. неуполномоченного доступа к аккаунту) должна нести та сторона, которая в большей степени была способна их проконтролировать и предотвратить (в чей сфере они находятся). В электронном обороте именно владелец аккаунта и идентификаторов к нему ближе всего стоит к потенциальному риску и лучше всего способен его предотвратить. Выдающимся сторонником этой теории был К.-В. Канарис, который еще примени-

тельно к банковским картам предлагал возлагать риск их использования неуправомоченным лицом на их собственника. При этом не имеет значения, как надежно хранился PIN-код, — любой, кто не держит пароль у себя в голове и пользуется банкоматами, должен нести этот риск и отвечать перед банком за совершенную операцию на основании видимости полномочий (Anscheinsvollmacht)42. В отношении электронной торговли современные представители теории риска исходят из того, что простого участия в электронном обороте недостаточно для возложения риска: важно, какие действия предпринимает владелец аккаунта для ограничения доступа к нему (охрана рабочего места с компьютером, обеспечение сохранности паролей, их периодическая смена). При этом должна (что также разделялось Канарисом) учитываться и личность владельца аккаунта — является ли он коммерсантом и использует ли аккаунт в коммерческих целях (в этом случае стандарт ответственности выше)43.

Теория вины возлагает ответственность на владельца аккаунта в связи с его виной (в форме умысла или неосторожности) за создание видимости права: была ли его вина в утрате пароля и насколько надежно им обеспечивалась сохранность паролей? На вину в форме небрежности указывает, в частности, то, что пароль был сохранен в истории браузера или в операционной системе либо хранился недалеко от компьютера. Промедление в предотвращении действий злоумышленников также иногда трактуется как небрежность владельца аккаунта, оправдывающая вменение. Если же вины владельца аккаунта в доступе к нему третьих лиц нет, например в случае шпионажа паролей, он не должен нести негативные последствия таких действий44. В целом можно сказать, что две теории приходят к примерно одинаковым выводам.

При этом в § 675v Германского гражданского уложения закреплено специальное правило распределения рисков для операций, совершенных с использованием электронных средств платежа (кредитной карты, он- лайн-банка и пр.), введенное в связи с принятием ст. 61 Директивы Европейского парламента № 2007/64/ЕС о

42Цит. по: Schneider M. Op. cit. S. 203.

43Ibid. S. 203–204.

44Ibid. S. 204–207.

платежных системах45. По общему правилу в случае неавторизированного клиентом платежа банк обязан восстановить сумму на счете клиента. Под неавторизированным платежом понимается в том числе платеж, совершенный по причине утраты, кражи инструмента платежа (банковской карты, пароля доступа от онлайн-банка). Однако если это произошло по вине клиента, клиент отвечает перед провайдером платежных услуг в пределах 150 евро. Тем самым обеспечивается ограниченное участие клиента в рисках неавторизованного платежа. Не покрытая данным лимитом сумма относится к невозмещаемым убыткам банка. Свыше этой суммы клиент отвечает, только когда установлен умысел или грубая небрежность с его стороны. Бремя доказывания злоупотреблений на стороне клиента несет оператор платежной системы.

Критерии грубой небрежности определяются практикой. Спорной является ситуация самостоятельной передачи пользователем идентификационных данных в результате фарминга и фишинга, и здесь немецкая практика находится в поиске требуемого стандарта осмотрительности. На грубую небрежность указывает то, что пользователь: использует очевидно подставной сайт, в частности перейдя по подозрительной ссылке; пренебрегает современной антивирусной защитой и безопасным браузером; бездействует при обнаружении фарминговой и фишинговой атаки46.

Похожие нормы закреплены в Законе о национальной платежной системе и предусматривают случаи, когда банк обязан возместить суммы, списанные в результате несанкционированных операций. При этом на банк возложено бремя доказывания доказательств нарушения порядка использования электронного средства платежа клиентом, повлекшего совершение данной операции. Указанные положения направлены на защиту прав граждан, нарушенных вследствие использования электронных средств платежа без их согласия47.

45Директива Европейского парламента и Совета ЕС от 13.11.2007 № 2007/64/ЕС «О платежных услугах на внутреннем рынке и о внесении изменений в Директивы 97/7/ ЕС, 2002/65/ЕС, 2005/60/ЕС и 2006/48/ЕС и об отмене Директивы 97/5/ЕС».

46 Münchener Kommentar zum Bürgerlichen Gesetzbuch. Bd. 5/2: Schuldrecht Besonderer Teil III/2: §§ 651a–704 / Hrsg. M. Henssler. C.H. Beck, 2017. § 675v. Rn. 44.

47См.: Определения КС РФ от 25.02.2016 № 428-О и от 25.05.2017 № 1145-О.

ЖУРНАЛ «ЗАКОН» № 10 ОКТЯБРЬ 2020

дистанционного взаимодействия, которую им дает Интернет, и должны нести связанные с этим риски.

3.3. Субъективная добросовестность контрагента

Полномочия в силу обстановки не возникают в случае субъективной недобросовестности контрагента — если он знал или должен был знать об отсутствии полномочий. Применительно к электронным сделкам большинство зарубежных авторов склоняются к тому, что не подлежит защите контрагент, у которого есть информация о несанкционированном доступе третьих лиц в аккаунт. Соответственно, если клиент вовремя оповестил оператора платформы или банк о возникшей ситуации, он не должен нести негативные последствия совершенных от его имени операций.

В связи с этим, на наш взгляд, ошибочна позиция некоторых судов, которые встают на сторону банка даже в том случае, когда клиент своевременно оповестил банк о несанкционированном списании денег, но банк, имея возможность заблокировать операцию, бездействовал.

Так, в деле, рассмотренном Арбитражным судом Московского округа, было установлено, что, несмотря на представленное банку письменное заявление истца о хищении денежных средств и их списание не по распоряжению клиента, денежные средства находились на счете банка еще семь дней, не были заблокированы банком, а в дальнейшем списаны. При этом суд посчитал, что, так как все требования идентификации были соблюдены, операции по списанию денежных средств с расчетного счета клиента осуществлены банком на основании распоряжений уполномоченного лица клиента с соблюдением требований законодательства и условий заключенных с клиентом договоров57.

По нашему мнению, добросовестность контр­ агента должна ставиться под сомнение и в тех случаях, когда контрагент не знал о несанкционированном доступе, но из обстоятельств дела очевидно следовало, что совершаемые действия яв­ но противоречат интересам владельца аккаунта.

57 Постановление АС Московского округа от 21.05.2019 № Ф05-5973/2019 по делу № А40-145960/2018. Аналогичную позицию см.: постановление АС Московского округа от 09.11.2016 № Ф05-16051/2016 по делу № А40-231540/2015.

В данном случае вполне может применяться по аналогии ст. 174 ГК РФ о недействительности сделок, совершенных явно в ущерб интересам представляемому, о чем другая сторона сделки знала или должна была знать.

Так, в случае совершения подозрительной, нетипичной операции оператор платформы или банк могут приостановить ее и запросить дополнительную информацию у владельца аккаунта. Подобная практика дополнительной авторизации платежа встречается у многих банков. К аналогичным выводам приходят и некоторые суды. Например, Арбитражный суд Поволжского округа указал, что банк как профессиональный участник финансового рынка должен был при возникновении у него сомнений в правомерности тех или иных транзакций, наличия полномочий у лиц, распоряжающихся средствами на счете клиента от его имени, запросить у него дополнительную информацию и документы. При отсутствии доказательств обращения банка к клиенту за получением разъяснений по этому поводу суд может возложить на него ответственность за причиненные убытки в сумме незаконно списанных денежных средств58.

4. Выводы

Анализ российского законодательства и практики с учетом зарубежного опыта позволяет нам предложить следующую возможную правовую квалификацию отношений, связанных с использованием чужих идентификаторов в сети Интернет.

Сделка, совершенная в сети Интернет под чужими идентификаторами, по сути является сделкой не­ уполномоченного лица под чужим именем и схожа по природе с подделкой подписи (только в данном случае сделка совершается не под чужим именем, а под чужим паролем). Вместе с тем в некоторых случаях целесообразно дозированное применение отдельных норм о представительстве по аналогии (так же, как судебная практика применяет их к случаям подделки подписи).

В частности, при последующем, в том числе молчаливом, одобрении сделки владельцем аккаунта можно по аналогии со ст. 183 ГК РФ считать, что сделка

58 Постановление АС Поволжского округа от 10.04.2017 № Ф06-18821/2017.

совершена уполномоченным владельцем аккаунта лицом. Такой же подход применим к использованию третьим лицом электронно-цифровой подписи или банковской карты с разрешения их владельца.

Если же аккаунтом (электронно-цифровой подписью, банковской картой) против прямой воли владельца завладело третье лицо, заключившее сделку либо совершившее платеж, то можно прибегнуть к применению по аналогии п. 1 ст. 182 ГК РФ о полномочиях

всилу обстановки. Последствием этого будет защита разумных ожиданий контрагента относительно того, что сделка заключена с владельцем аккаунта, что в конечном счете будет способствовать развитию доверия

всети Интернет. При этом в целях соблюдения баланса интересов должны быть соблюдены строгие критерии применения полномочий в силу обстановки с учетом особенностей взаимодействия в сети Интернет. В качестве критериев можно рассматривать следующие:

1)насколько объективно доверие контрагента к конкретной онлайн-системе и способу идентификации, т.е. насколько надежен в целом используемый способ связи;

2)насколько владелец аккаунта ответственен за доступ в него третьих лиц: оставил ли он без присмотра включенный компьютер, сам ли сообщил пароль злоумышленникам, допустил ли компрометацию карты;

3)насколько был добросовестен контрагент, с которым заключалась спорная онлайн-операция, проявил ли он должную степень осмотрительности перед совершением сделки.

Указанные критерии должны приниматься во внимание каждый раз с учетом всех иных обстоятельств дела, в том числе коммерческого или потребительского характера отношений, наличия договорных отношений между сторонами и пр.

Gongalo, B.M. (ed.). Civil Law: A Course Book in 2 vol. [Grazhdanskoye pravo: ucheb. v 2 t.]. Moscow, 2018.

Henssler, M. (ed.). Münchener Kommentar zum Bürgerlichen Gesetzbuch Bd. 5/2: Schuldrecht Besonderer Teil III/2: §§ 651a– 704. 7th ed. C.H. Beck, 2017. 1109 p.

Hoeren, Th. and Bensinger, V. Haftung im Internet: Die neue Rechtslage. Walter de Gruyter GmbH & Co KG, 2014.

J. von Staudingers Kommentar zum Bürgerlichen Gesetzbuch mit Einführungsgesetz und Nebengesetzen. Buch 1: Allgemeiner Teil. §§ 164–240 (Allgemeiner Teil 5). 16th ed. Sellier, 2009. XI + 1103 p.

Müller-Brockhausen, M. Haftung für den Missbrauch von Zugangsdaten im Internet. Nomos Verlagsgesellschaft, 2014. 500 p.

Oechsler, Jü. “Die Bedeutung des § 172 Abs. 1 BGB beim Handeln unter fremdem Namen im Internet”. Archiv für die civilistische Praxis. 2008. Vol. 208. P. 565–583.

Rieder, M.S. Rechtsscheinhaftung im elektronischen Geschäfts­ verkehr. Duncker & Humblot, 2004. 402 p.

Ryasentsev, V.A. Representation under Soviet Civil Law [Predstavitel’stvo v sovetskom grazhdanskom prave]. Moscow, 2006.

Schneider, M. Die rechtsgeschäftliche Haftung für den Accountmissbrauch im Internet Europäische Hochschulschriften Recht. Frankfurt am Main, Berlin, Bern, Bruxelles, New York, Oxford, Wien, 2015. 235 p.

Schubert, C. (ed.). Der Münchener Kommentar zum BGB: Band 1 — Grundlegende Vorschriften. 8th ed. C.H. Beck, 2018. XXVII + 2886 p.

Stöber, M. “Die analoge Anwendung der §§ 171, 172 BGB am Beispiel der unbefugten Benutzung fremder Internetoder Telekommunikationszugänge”. Die Juristische Rundschau. 2012. P. 225–231.

Sukhanov, E.A. (ed.). Russian Civil Law: A Textbook in 2 vol. Vol. 1: General Part. Right in Rem. Succession. Intellectual Property. Non-Personal Rights [Rossiyskoye grazhdanskoye pravo: ucheb. v 2 t. T. 1. Obshchaya chast’. Veshchnoye pravo. Nasledstvennoye pravo. Intellektual’nyye prava. Lichnyye neimushchestvennyye prava]. Moscow. 2011. 956 p.

REFERENCES

Egorov, A.V., Papchenkova, E.A. and Shirvindt, A.M. Representation: A Case Study [Predstavitel’stvo: issledovaniye sudebnoy praktiki]. Moscow, 2017.

INFORMATION ABOUT THE AUTHOR

Ekaterina A. Papchenkova

Vice-President at the Center for Strategic Research, Master of Private Law (e-mail: epapchenkova@gmail.com).