Постатейный комментарий Савельева к закону Об Информации

--------------------------------

<1> Подробнее о строении и структуре облачных сервисов см.: Cloud Computing Law / Ed. by Christopher Millard. L.: Oxford University Press, 2013.

Помимо этого законопроект предлагает определить особенности распределения ответственности между сторонами договора на предоставление услуг облачного сервиса за нарушение достоверности, целостности, подлинности и конфиденциальности информации в зависимости от типа сервиса. При оказании услуг облачных вычислений посредством предоставления программного обеспечения (SaaS) такая ответственность возлагается на поставщика услуг облачных вычислений. При оказании услуг облачных вычислений посредством предоставления платформы (PaaS) ответственность несет клиент, если только нарушение не последовало по причине ненадлежащего функционирования и управления облачной инфраструктурой поставщика услуг облачных вычислений, где ответственность несет уже поставщик. Наконец, при оказании услуг облачных вычислений посредством предоставления инфраструктуры (IaaS) ответственность несет клиент, если только нарушение достоверности, целостности, подлинности и конфиденциальности информации не являлось следствием ненадлежащего функционирования вычислительных ресурсов, используемых для обработки, хранения и передачи информации, входящих в состав облачной инфраструктуры поставщика услуг облачных вычислений, - в таком случае ответственность несет поставщик услуг облачных вычислений.

Как следует из формулировок законопроекта, соответствующие нормы сформулированы как императивные, что формально исключает возможность предусмотрения иного в договоре между российскими лицами. Однако если в качестве провайдера облачного сервиса будет выступать иностранное лицо, формально это дает основания для выбора иностранного права и тем самым - указания иного порядка определения ответственности в соответствии с применимым правом (ст. ст. 1186, 1210, 1215 ГК РФ).

Другим законопроектом, подготовленным Минкомсвязи с участием ФСО, ФСБ и ФСТЭК, является законопроект "О внесении изменений в Федеральный закон "Об информации, информационных технологиях и о защите информации", размещенный в сети Интернет для обсуждения 26 сентября 2014 г. <1>. В отличие от предыдущего законопроекта, в нем никак не регулируются облачные сервисы, предоставляемые организациям и гражданам (B2B и B2C сегменты), регламентируется только организация предоставления услуг облачных вычислений органам государственной власти, местного самоуправления, внебюджетным фондам. В соответствии с данным законопроектом услуги облачных вычислений - услуги по предоставлению вычислительных мощностей, включая технические средства и права использования программ для электронных вычислительных машин в целях обработки и хранения информации с использованием технических средств, взаимодействующих через информационно-телекоммуникационные сети. Услуги облачных вычислений предоставляются поставщиком услуг облачных вычислений, который должен получить соответствующую аккредитацию, являться российским юридическим лицом или индивидуальным предпринимателем, инфраструктура которого находится на территории РФ. При этом в силу прямого указания закона такие поставщики не должны признаваться обладателями информации, созданной или переданной государственными (муниципальными) органами в информационную систему.

--------------------------------

<1> http://regulation.gov.ru/project/17954.html

При предоставлении услуг облачных вычислений должны быть соблюдены два основных условия - доступность информации и возможность ее обработки, включая и ее удаление. Более детальное регулирование будет осуществляться на уровне подзаконных актов.

Как видно, если первый законопроект претендует на регулирование порядка предоставления облачных услуг в целом, то второй касается лишь так называемых государственных (муниципальных) облаков. Все остальные сервисы остаются за бортом закона, что не исключает потенциальной возможности применения к ним отдельных норм по аналогии.

5. Важным направлением государственного регулирования в сфере информационных технологий является внедрение и обеспечение функционирования системы электронного опубликования нормативных правовых актов, принятых органами государственной власти РФ. В результате создана Государственная система правовой информации, функционирование которой обеспечивает ФСО России. Данная система доступна в сети Интернет в виде официального интернет-портала правовой информации по ссылке: www.pravo.gov.ru. На данном портале публикуются федеральные конституционные законы, федеральные законы, международные договоры, вступившие в силу для РФ или применяемые на временной основе (кроме договоров межведомственного характера); акты палат Федерального Собрания, указы и распоряжения Президента РФ, постановления и определения Конституционного Суда РФ, постановления и распоряжения Правительства РФ (с 7 марта 2013 г.). В соответствии с ФЗ от 21 октября 2011 г. N 289-ФЗ, внесшим изменения в ст. 4 ФЗ от 14 июня 1994 г. N 5-ФЗ "О порядке опубликования и вступления в силу федеральных конституционных законов, федеральных законов, актов палат Федерального Собрания", размещение текста закона на портале pravo.gov.ru признается его официальным опубликованием. До этого момента официальным являлось лишь опубликование закона в одном из печатных изданий ("Парламентской газете", "Российской газете", Собрании законодательства Российской Федерации). Принятые меры позволили существенно повысить оперативность опубликования правовых актов по сравнению с опубликованием в бумажных изданиях. Также появилась возможность оперативного опубликования в полном объеме документов большого размера (например, протокола о присоединении РФ к Марракешскому соглашению по ВТО объемом порядка 5500 страниц или актов о федеральном бюджете, занимающих более 4000 страниц), за опубликование которых печатные издания даже не брались. На портале pravo.gov.ru могут быть также размещены законы и иные правовые акты субъектов РФ, но это не будет считаться их официальным опубликованием; на данном этапе электронное опубликование актов в субъектах РФ в значительной степени является лишь факультативной формой их официального опубликования. Интернет-портал pravo.gov.ru зарегистрирован в Роскомнадзоре как сетевое СМИ и как федеральная государственная информационная система.

6. В соответствии с ч. 2 комментируемой статьи одним из способов регулирования применения информационных технологий является создание и реализация различного рода целевых программ. В настоящее время существуют ряд государственных программ практически в каждой сфере, в которых находят свое отражение вопросы информатизации.

В сфере образования действуют Государственная программа РФ "Развитие образования" на 2013 - 2020 гг., утв. Постановлением Правительства РФ от 15 апреля 2014 г. N 295 "Об утверждении Государственной программы Российской Федерации "Развитие образования" на 2013 - 2020 годы", и Указ Президента РФ от 7 мая 2012 г. N 599 "О мерах по реализации государственной политики в области образования и науки", которые имеют целью развитие инфраструктуры и организационно-экономических механизмов, обеспечивающих равную доступность услуг дошкольного, общего и дополнительного образования, модернизацию образовательных программ, в том числе за счет использования информационных технологий в учебном процессе, повышение эффективности управления на всех уровнях образовательной системы Российской Федерации. В целях модернизации образования для достижения современного качества учебных результатов и результатов социализации рекомендуется развитие инструментов электронного, в том числе дистанционного, образования с возможностью видеоприсутствия для лиц с ограниченными возможностями. Для повышения качества управления образованием необходимо формирование информационных систем учета обучающихся в образовательных учреждениях. Для снижения затрат на создание и эксплуатацию однотипных информационных систем в сфере образования целесообразно рассматривать возможность использования "облачных" технологий.

В сфере здравоохранения действуют Государственная программа РФ "Развитие здравоохранения", утв. Постановлением Правительства РФ от 15 апреля 2014 г. N 294 "Об утверждении Государственной программы Российской Федерации "Развитие здравоохранения", и Указы Президента РФ от 7 мая 2012 г. N 598 "О совершенствовании государственной политики в сфере здравоохранения" и N 606 "О мерах по реализации демографической политики Российской Федерации", цель которых - повышение качества оказания медицинской помощи, в том числе высокотехнологичной, развитие и внедрение современных методов диагностики, профилактики и лечения, повышение эффективности управления системой здравоохранения.

Для этого рекомендуется создание и развитие информационных систем поддержки принятия врачебных решений и контроля за исполнением стандартов медицинской помощи, в том числе получения медицинскими работниками и пациентами дистанционных медицинских консультаций, информационных систем учета оказываемой пациентам медицинской помощи, информационных систем, обеспечивающих дистанционную запись на прием к врачу и предоставляющих пациентам удаленный доступ к их медицинской информации (истории) и сведениям о полученных медицинских услугах.

Эффективным механизмом контроля объемов оказанных медицинских услуг является информирование граждан через их личные кабинеты на Едином портале о поступивших в органы управления здравоохранением фактах получения гражданами медицинских услуг, а также сопоставление в рамках действующего законодательства данных медицинских карт, ведение которых осуществляется в электронной форме, с данными системы обязательного медицинского страхования и отчетными данными лечебно-профилактических учреждений. Для снижения затрат на создание и эксплуатацию информационных систем в сфере здравоохранения рекомендуется использование "облачных" технологий с учетом требований законодательства Российской Федерации, в том числе о защите персональных данных и медицинской тайны. Министерству здравоохранения Российской Федерации целесообразно обеспечивать утверждение форматов предоставления медицинских сведений и документов в электронной форме, порядок обмена такими сведениями, а также корректировку положений правовых актов в целях обеспечения ведения медицинской документации, учета медицинской информации и формирования отчетных форм в электронной форме, а также исключения дублирующего представления указанных сведений на бумажном носителе.

В сфере социального обеспечения информатизация осуществляется с учетом Государственной программы РФ "Социальная поддержка граждан", утв. Постановлением Правительства РФ от 15 апреля 2014 г. N 296 "Об утверждении Государственной программы Российской Федерации "Социальная поддержка граждан", и Указа Президента РФ от 7 мая 2012 г. N 597 "О мероприятиях по реализации государственной социальной политики", цель которых - повышение доступности социального обслуживания населения Российской Федерации. Для этого предполагается создание информационного ресурса, обеспечивающего автоматизацию учета получателей социальной помощи, предоставляемой по различным основаниям и в различных формах, оптимизацию информационного взаимодействия между региональными и местными органами социального обеспечения при назначении адресной социальной помощи, а также организацию межведомственного информационного взаимодействия с территориальными органами Пенсионного фонда РФ, органами записи актов гражданского состояния и другими органами и организациями. Для повышения доступности социального обслуживания рекомендуется обеспечить дистанционный доступ граждан к информации об их правах на льготы, субсидии, пенсии, пособия, выплаты, медицинскую и материальную помощь, а также предоставлять сервисы дистанционного расчета размеров положенной им социальной помощи, подачи заявлений в электронной форме на ее получение.

В сфере безопасности жизнедеятельности информатизация осуществляется с учетом Государственной программы РФ "Защита населения и территорий от чрезвычайных ситуаций, обеспечение пожарной безопасности и безопасности людей на водных объектах", утв. Постановлением Правительства РФ от 15 апреля 2014 г. N 300 "О Государственной программе Российской Федерации "Защита населения и территорий от чрезвычайных ситуаций, обеспечение пожарной безопасности и безопасности людей на водных объектах", в которой планируется обеспечить внедрение в субъектах РФ информационных систем "112" и "ЭРА-ГЛОНАСС", общероссийской комплексной системы информирования и оповещения населения в местах массового пребывания людей, комплексных систем видеонаблюдения, систем контроля доступа на опасные объекты, использование технических средств обеспечения безопасности, в том числе в области экологического, сейсмического и иного контроля, систем жизнеобеспечения, автоматизации мониторинга и предотвращения кризисных ситуаций, иных информационных систем в сфере безопасности жизнедеятельности.

В сфере транспорта вопросы информатизации затронуты в Государственной программе РФ "Развитие транспортной системы", утв. Постановлением Правительства РФ от 15 апреля 2014 г. N 319 "Об утверждении государственной программы Российской Федерации "Развитие транспортной системы", направленной на автоматизацию управления системой транспорта в муниципальных образованиях субъекта РФ, в том числе путем создания диспетчерских центров управления движением транспорта, внедрения автоматизированных систем управления дорожным движением и управления движением общественного транспорта с использованием информационно-навигационных систем, а также формирования актуальной картографической информации о состоянии автомобильных дорог и транспортной инфраструктуры региона. При этом в целях повышения безопасности дорожного движения планируется создавать информационные системы, обеспечивающие информирование участников дорожного движения в режиме реального времени о чрезвычайных ситуациях, авариях, заторах, метеорологической обстановке, в том числе с использованием мобильной связи. Для улучшения соблюдения правил дорожного движения его участниками, повышения собираемости штрафов, снижения коррупционных рисков рекомендуется внедрять системы автоматизированной фото- и видеофиксации нарушений правил дорожного движения и инструментов дистанционной оплаты штрафов.

В сфере культуры вопросы информатизации регулируются с учетом положений Федеральной целевой программы "Культура России (2012 - 2018 годы)", утв. Постановлением Правительства РФ от 3 марта 2012 г. N 186 "О федеральной целевой программе "Культура России (2012 - 2018 годы)", в которой планируется доступ граждан к объектам культуры и сведениям государственных архивов, в том числе за счет создания в сети Интернет сайтов и информационных порталов утверждений культуры, создания и размещения виртуальных музеев, формирования электронных баз фондов музеев и электронных копий уникальных памятников из музейных фондов. Предполагается оснащение образовательных учреждений в сфере культуры, детских школ искусств современным материально-техническим оборудованием и создание условия для внедрения электронных билетов в музеи, театры и на зрелищные мероприятия.

В сфере энергетики информатизация осуществляется с учетом Государственной программы РФ "Энергоэффективность и развитие энергетики", утв. Постановлением Правительства РФ от 15 апреля 2014 г. N 321 "Об утверждении Государственной программы Российской Федерации "Энергоэффективность и развитие энергетики", которая планирует формирование государственных информационных ресурсов, обеспечивающих учет в электронной форме основных объектов и субъектов отрасли энергетики, что должно повысить достоверность соответствующих учетных сведений. Помимо этого предполагается предусмотреть создание информационных систем автоматизированного сбора и анализа данных об энергоэффективности топливно-энергетического комплекса субъекта РФ, а также интегрировать региональные информационные системы в сфере энергетики с федеральными информационными системами и обеспечивать возможность автоматического формирования аналитических и отчетных данных и их представления на федеральный уровень.

Статья 13. Информационные системы

Комментарий к статье 13

1. Комментируемая статья содержит ряд общих положений, применимых к информационным системам, которые выступают в качестве одного из ключевых компонентов IT-инфраструктуры любой организации или публично-правового образования. Под информационной системой понимается совокупность содержащейся в базах данных информации и обеспечивающих ее обработку информационных технологий и технических средств (см. п. 3 ст. 2 Закона и комментарий к нему). Часть 1 комментируемой статьи содержит классификацию информационных систем, в основе которой лежит статус субъекта, выступающего их собственником. В соответствии с ней все информационные системы разделены на государственные (федеральные и региональные), муниципальные и "иные", т.е. принадлежащие гражданам и организациям. При отнесении той или иной информационной системы к определенной группе ч. 1 ст. 13 Закона использует формальный критерий: характер и уровень правового акта или решения, лежащих в основе создания такой системы. Если информационная система имеет в своей основе федеральный закон или закон субъекта РФ, то она является соответственно федеральной или региональной. Правда, существующая формулировка ч. 1 ст. 13 Закона позволяет относить к федеральной или региональной информационную систему, созданную также "на основании правовых актов государственных органов", в качестве которых могут выступать не только нормативные, но и ненормативные правовые акты, например различного рода приказы о вводе в эксплуатацию информационной системы. Муниципальные информационные системы создаются на основе решения органа местного самоуправления. В отношении "иных" информационных систем каких-либо специальных актов, которые должны лежать в основании их создания, не указано, что вполне логично, учитывая, что в силу их частноправового статуса данный вопрос должен являться предметом усмотрения собственника информационной системы.

2. Федеральные государственные информационные системы подлежат регистрации в специальном реестре Роскомнадзора, в установленном порядке <1>. Данный реестр доступен на сайте Роскомнадзора по ссылке: http://rkn.gov.ru/it/register/#. Региональные информационные системы регистрируются в региональных реестрах в порядке, установленном соответствующим нормативным правовым актом субъекта РФ. Например, в Московской области - это Постановление губернатора Московской области от 2 марта 2010 г. N 21-ПГ "Об учете и регистрации информационных систем Московской области", в Санкт-Петербурге - Постановление правительства Ленинградской области от 23 мая 2006 г. N 156 "Об утверждении Положения о порядке учета и регистрации государственных информационных ресурсов и информационных систем Ленинградской области".

--------------------------------

<1> Постановление Правительства РФ от 10 сентября 2009 г. N 723 "О порядке ввода в эксплуатацию отдельных государственных информационных систем" (вместе с Положением о регистрации федеральных государственных информационных систем).

Реестры государственных информационных систем содержат информацию об операторе системы, ее целях и назначении, дате ввода в эксплуатацию, периодичности обновления, используемом программном и аппаратном обеспечении с указанием наименований и выделением в особую категорию свободного ПО, сведения об источниках финансирования.

В связи с наличием подобного рода реестров на практике может возникнуть вопрос: является наличие сведений о государственной информационной системе в таком реестре ее конститутивным признаком или нет? Иными словами, является ли информационная система, сведения о которой отсутствуют в соответствующем реестре, государственной (например, кадровые, бухгалтерские системы, направленные на обслуживание деятельности государственных органов)? Это может иметь значение, в частности, для определения сферы действия Приказа ФСТЭК от 11 февраля 2013 г. N 17, утвердившего Требования о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах.

Представляется, что ответ на данный вопрос следует искать в ч. 1 комментируемой статьи: если есть соответствующий правовой акт, например приказ руководителя государственного органа о вводе в эксплуатацию такой системы, то она приобретает статус государственной безотносительно к наличию о ней сведений в соответствующем реестре.

3. Одной из разновидностей информационных систем, собственником которой может быть в равной степени и публично-правовое образование, и частная организация, является информационная система персональных данных, под которой понимается совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств (п. 10 ст. 3 ФЗ "О персональных данных"). Операторы таких информационных систем должны соблюдать особые требования к обеспечению их безопасности (см. Постановление Правительства РФ от 1 ноября 2012 г. N 1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных", Приказ ФСТЭК России от 18 февраля 2013 г. N 21 "Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных").

4. Часть 2 комментируемой статьи определяет, кто является оператором информационной системы, т.е. лицом, осуществляющим деятельность по эксплуатации информационной системы, в том числе по обработке информации, содержащейся в ее базах данных. По общему правилу, таким лицом является собственник используемых для обработки содержащейся в базах данных информации технических средств, который правомерно пользуется такими базами данных. Таким образом, необходимо наличие двух условий: во-первых, права собственности на оборудование, используемое в информационной системе, в первую очередь серверы и терминалы пользователей, а во-вторых - быть правомерным пользователем базы данных, выступая в качестве лицензиата по лицензионному договору с ее правообладателем либо в исключительных случаях - реализуя правомочия, указанные в ст. 1280 ГК РФ. К сожалению, Закон не дает разъяснений, как быть в ситуации, когда собственник технических средств и лицензиат базы данных формально отличаются, например, когда такие технические средства находятся в аренде или предоставляются в рамках договора возмездного оказания услуг.

Другой вариант, предусматриваемый ч. 2 ст. 13 Закона, заключается в том, что оператором информационной системы может выступать лицо, с которым собственник заключил договор об эксплуатации такой системы. Применительно к информационным системам персональных данных таким лицом может выступать так называемый обработчик - лицо, осуществляющее обработку персональных данных по поручению оператора (ч. 3 ст. 6 ФЗ "О персональных данных"). В качестве лиц, выступающих обработчиками персональных данных, можно указать, в частности, провайдеров отдельных видов облачных сервисов; организации, осуществляющие расчеты заработной платы на условиях аутсорсинга (payroll companies); организации, в чьих дата-центрах размещаются серверы оператора персональных данных, и др.

Интересен вопрос о применимости положений, указанных в ч. 2 ст. 13 Закона к государственным и муниципальным информационным системам. Дело в том, что государственные и муниципальные органы обычно имеют статус учреждений, у которых имущество закрепляется на праве оперативного управления (ст. 296 ГК РФ), собственником же имущества является соответствующее публично-правовое образование. Если же ознакомиться с реестром федеральных информационных систем на сайте Роскомнадзора, то в качестве операторов таких систем указаны именно государственные органы, что не укладывается в концепцию, указанную в комментируемом положении. И уж тем более нельзя говорить о том, что между публично-правовым образованием и государственным органом существует некий договор, поскольку государственный орган осуществляет свои полномочия не в силу договора, а во исполнение соответствующего нормативно-правового акта. Таким образом, общее правило, установленное в ч. 2 ст. 13 Закона, неприменимо к государственным и муниципальным информационным системам. В данном случае подлежит применению положение ч. 5 ст. 14 Закона, согласно которому оператором государственной информационной системы, созданной в рамках государственного контракта на ее создание, является заказчик, заключивший такой контракт. В силу ч. 4 ст. 13 Закона, данное положение распространяется и на муниципальные информационные системы, созданные в рамках муниципального контракта на ее создание.

Одной из обязанностей, которая может быть возложена на оператора информационной системы в случае или порядке, установленном федеральным законом, является размещение в сети Интернет открытых данных (о понятии открытых данных см. комментарий к ст. 7 Закона). При этом соответствующие технические требования содержатся в Приказе Минкомсвязи России от 27 июня 2013 г. N 149 "Об утверждении Требований к технологическим, программным и лингвистическим средствам, необходимым для размещения информации государственными органами и органами местного самоуправления в сети Интернет в форме открытых данных, а также для обеспечения ее использования".

5. С 1 июля 2015 г. вступит в силу ч. 2.1, которая была введена в ст. 13 Закона ФЗ от 31 декабря 2014 г. N 531-ФЗ и которая устанавливает требование о необходимости размещения технических средств, используемых в государственных и муниципальных информационных системах на территории Российской Федерации. Фактически это означает запрет на использование ресурсов зарубежных хостингов и облачных провайдеров, в том числе и услуг отечественных компаний, которые используют зарубежные платформы для предлагаемых решений (например, облачные сервисы Microsoft Azure или Amazon AWS) в государственной и муниципальной сфере. Это продиктовано стремлением обеспечения национальной информационной безопасности и является частью общей политики по локализации отношений, возникающих при использовании информационно-телекоммуникационных сетей и информационных технологий, которая также проявляется и в требовании о хранении и совершении ряда операций с персональными данными российских граждан с использованием баз данных, расположенных на территории Российской Федерации (ч. 5 ст. 18 ФЗ "О персональных данных", вступающая в силу с 1 сентября 2015 г. в соответствии с ФЗ от 21 июля 2014 г. N 242-ФЗ "О внесении изменений в отдельные законодательные акты Российской Федерации в части уточнения порядка обработки персональных данных в информационно-телекоммуникационных сетях" в редакции от 31 декабря 2014 г. Подробнее о данном Законе см. комментарий к ст. 15.5 Закона). Однако можно отметить определенную непоследовательность законодателя, допущенную в регулировании вопросов локализации информационной инфраструктуры и данных, обрабатываемых государственными или муниципальными органами. Если в соответствии с ч. 2.1 комментируемой статьи технические средства, используемые в государственных и муниципальных информационных системах, должны быть расположены на территории России без каких-либо исключений, то в соответствии с ч. 5 ст. 18 ФЗ "О персональных данных" положение о необходимости сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменений), извлечения персональных данных российских граждан с использованием баз данных, расположенных на территории России, не распространяется на случаи обработки, указанные в п. 4 ч. 1 ст. 6 данного Закона, а именно когда обработка персональных данных необходима для исполнения полномочий федеральных органов исполнительной власти, органов государственных внебюджетных фондов, исполнительных органов государственной власти субъектов Российской Федерации, органов местного самоуправления и функций организаций, участвующих в предоставлении соответственно государственных и муниципальных услуг. Возникает вполне резонный вопрос, с какой целью было введено указанное исключение, учитывая, что оно все равно не может быть реализовано при одновременном соблюдении положений ч. 2.1 комментируемой статьи. По-видимому, его появление следует объяснить несогласованностью действий различных рабочих групп, вовлеченных в процесс разработки соответствующих законопроектов, и наличием различных ответственных лиц за их подготовку и согласование. Так или иначе, с технической и логической точек зрения, требование о локализации всей технической инфраструктуры, используемой в государственных и муниципальных информационных системах, неизбежно влечет совершение действий по обработки содержащейся в них информации, в том числе персональных данных, с использованием баз данных, расположенных на территории РФ. В связи с этим рассматриваемое исключение из требований о локализации обработки персональных данных для государственных и муниципальных органов на практике применяться не должно.