Ритейл удовлетворен разъяснениями Минкомсвязи к 242-ФЗ: правила игры ломать не станут

Внешние эксперты Retail & Loyalty комментируют последние разъяснения Минкомсвязи к закону о персональных данных (242-ФЗ).

4 августа на сайте Минкомсвязи появился объемный документ, содержащий разъяснения и позицию ведомства по вопросам правоприменения ФЗ №242 от 21 июля 2014 года «О внесении изменений в отдельные законодательные акты Российской Федерации в части уточнения порядка обработки персональных данных в информационно-телекоммуникационных сетях», который, как известно, начинает действовать с 1 сентября 2015 года.

Разъяснения Минкомсвязи построены в виде «катехизиса» (сборника вопросов и ответов) и касаются прежде всего положений о локализации хранения и отдельных процессов обработки персональных данных.

Более всего из обширного списка вопросов и ответов привлекают внимание пункты, касающиеся самых «острых» тем – а именно функционирования в новых законодательных реалиях таких сегментов интернет-ритейла, как трансграничная коммерция и системы бронирования и продажи авиабилетов.

Как мы помним, ряд СМИ утверждали ранее, что со вступлением в действие нового закона о персональных данных россияне «лишатся возможности бронировать билеты в глобальных системах авиабронирования», а крупные игроки транграничной онлайн-коммерции якобы будут вынуждены «уйти из России», так как «требования закона невыполнимы». Между тем, предоставленные Минкомсвязи разъяснения представляют ситуацию для этих бизнесов после 1 сентября 2015 г.. в совершенно ином свете.

В частности, ответ Минкомсвязи на вопрос о том, распространяются ли требования, предусмотренные ч. 5 статьи 18 Федерального закона «О персональных данных» (в редакции Закона 242-ФЗ) на деятельность авиаперевозчиков, их уполномоченных агентов, а также иных лиц, в части обработки персональных данных граждан-пассажиров для целей бронирования, оформления и выдачи им авиабилетов (проездных билетов), багажных квитанций и иных перевозочных документов, содержит следующий тезис:

«….требования ч. 5 ст.18 ФЗ «О персональных данных не распространяются на дейтельность российских, а также иностранных авиаперевозчиков в части сбора и обработки персональных данных граждан-пассажиров для целей бронирования, оформления и выдачи им авиабилетов (проездных билетов), багажных квитанций и иных перевозочных документов, так как они подпадают под исключение, предусмотренное п.2 ч. 1 ст. 6 ФЗ «О персональных данных». Требования ч. 5 ст.18 ФЗ «О персональных данных» также не распространяются на деятельность лиц, деяствующих от имени авиаперевозчика (уполномоченный агент), деятельнось которых предусмотрена пунктом 6 Общих правил воздушных перевозок пассажиров, багажа, грузов и требования к обслуживанию пассажиров, грузоотправителей, грузополучателей, утвержденных Приказом Минтранса России от 28.06.2007 № 82 «Об утверждении Федеральных авиационных правил "Общие правила воздушных перевозок пассажиров, багажа, грузов и требования к обслуживанию пассажиров, грузоотправителей, грузополучателей», а также иных лиц, в части обработки персональных данных граждан-пассажиров исключительно для целей бронирования, оформления и выдачи последним авиабилетов (проездных билетов), багажных квитанций и иных перевозочных документов в том числе в электронном виде при внутрироссийских и международных перелетах, в случае, если вышеуказанная деятельность данных лиц предусмотрена законодательством Российской Федерации или соответствующим международным договором, в том числе для целей обеспечения авиационной безопасности».

Министерство ответило и на вопрос о том, применяется ли Закон экстерриториально и должны ли те лица (в том числе нерезиденты РФ), которым операторы или непосредственно сами субъекты ПД (граждане РФ) направляют ПД, на законных основаниях также обрабатывать их на территории РФ. Ряд публицистический статей, опубликованных СМИ в прошлом году утверждал, что закон якобы собирается регулировать деятельность организаций, расположенных за пределами РФ, однако министерство видит эту ситуацию совсем по иному. Ответ Минкомсвязи, в частности, гласит:

«В соответствии с принципами международного права, внутреннее законодательство государства действует исключительно на территории такого государства и не распространяется на нерезидентов государства, находящихся на территории иного государства. Аналогичная норма о том, что федеральные законы действуют на территории Российской Федерации, содержится также в статье 4 Конституции России. Таким образом, положения Федерального закона «О внесении изменений в отдельные законодательные акты Российской Федерации в части уточнения порядка обработки персональных данных в информационно-телекоммуникационных сетях» №242-ФЗ от 21.07.2014 не распространяются на нерезидентов Российской Федерации, находящихся и действующих на территории иных государств. Деятельность таких лиц регулируется международными нормами права, в том числе Конвенцией Совета Европы о защите частных лиц в отношении автоматизированной обработки данных личного характера, в соответствии с которым обработка персональных данных осуществляется только в пределах целей, для которых эти персональные данные были собраны, а также законодательством стран, в которых действуют такие нерезиденты».

Редакция информационного портала Retail & Loyalty попросила своих внешних экспертов прокомментировать документ Минкомсвязи.

В Ассоциации компаний интернет-торговли (АКИТ) в целом довольны появившимися разъяснениями ведомства. Как отмечает исполнительный директор АКИТ Артем Соколов, очень важно, что ритейлерам официально подтвердили, что хотя первичный сбор информации должен осуществляться на территории РФ, затем они могут передавать данные, куда считают нужным: трансграничная передача данных разрешена и на иностранных серверах может храниться копия баз данных компаний. Кроме того, говорит А.Соколов, не менее важен для понимания весьма лояльной позиции регулятора и факт появления на сайте Роскомнадзора официального плана проверок на 2015 год, где, в частности, указано, что при проверках Роскомнадзором в предписаниях будут описываться варианты исправления выявленных нарушений.

Алексей Дорош, директор «Связной Трэвел», также оптимистичен. «Специальный раздел сайта с разъяснениями поможет лучше понимать, как применяется Закон о персональных данных в разных сферах. Это полезно и для бизнеса, и для широкой аудитории покупателей» - говорит он.

А. Дорош считает крайне важным появление разъяснений Минкомсвязи по поводу обработки персональных данных россиян, используемых зарубежными авиакомпаниями. «До появления разъяснений мы столкнулись с волнением со стороны клиентов, они не понимали, смогут ли путешествовать, как раньше. Сейчас Минкомсвязи четко объяснило, что в получение и обработка персональных данных такими авиакомпаниями производится в целях обеспечения авиационной безопасности. Таким образом, в данном случае деятельность авиакомпаний регулируется международными конвенциями (Гвадалахарской, Варшавской, Чикагской), а Российская Федерация является участником этих конвенций. Поэтому о невозможности перелетов международными перевозчиками переживать более не стоит» - считает эксперт из «Связной Трэвел».

Виктор Достов, президент Ассоциации "Электронные Деньги" считает, что подготовку разъяснений Минкомсвязи можно только приветствовать. "В законе действительно довольно много неясностей, что вызывало немалое количество неоднозначных толкований" - говорит он. 

"В целом, требование локального хранения и обработки данных мало скажется на российском рынке платежей, поскольку большинство платежных операторов являются резидентами и не хранят данные за рубежом. PayPal также оказывает свои услуги в России через российское юридическое лицо, лицензированное Банком России. 

С Интернет-магазинами все сложнее: Минкомсвязи указало некоторые признаки, по которым будут определять, если ли у сайта того или иного магазина «направленность на территорию Российской Федерации». Другими словами, каждый случай будет рассматриваться отдельно. К сожалению, в отличие от авиаперевозчиков, у продавцов нет международного законодательства, на которое они могли бы ссылаться. Поэтому авиакомпании и службы бронирования не обязательно должны локализовывать обработку данных. 

А интернет-магазины, которые перевели сайт на русский и предлагают конвертацию цен в рубли, под специальное регулирование вполне могут попасть. Мне кажется, что с 1 сентября каких-либо перебоев в обслуживании клиентов не произойдет. Хотя не исключено, что некоторые небольшие игроки на рынке e-commerce предпочтут отказаться от российской аудитории, чтобы не нести дополнительные издержки. Разъяснения Минкомсвязи на какое-то время снизили риски, но в долгосрочной перспективе они остаются довольно высокими. 

На мой взгляд, в самом законе есть несколько системных противоречий, которые рано или поздно приведут к непредсказуемым последствиям. Например, уже указанная «направленность на территорию Российской Федерации - как кажется, разумнее было бы закрепить перечень юрисдикций, где есть эффективное законодательство по защите персональных данных, и разрешить хранение сведений в этих странах. Тем более, как следует из разъяснений Минкомсвязи, закон не защищает от утечки информации за рубеж – их можно хранить вне страны, если в России находится больший или равный объем персональных данных" - подчеркивает В. Достов. 

Более осторожен в своих оценках Михаил Емельянников, управляющий партнер консалтингового агентства «Емельянников, Попова и партнеры». Он так же полагает, что августовские разъяснения Минкомсвязи крайне важны для отрасли, т.к. именно Минкомсвязи является ведомством, отвечающим за выработку государственной политики и государственное регулирование в сфере обработки персональных данных. Однако, считает М. Емельянников, учитывая, что Минкомсвязи ранее практически этими вопросами никак не занималось, а Роскомнадзор обычно параллельно дает свои разъяснения к законам, не всегда совпадающие с министерскими, ситуация остается не до конца ясной. Сейчас очень важно увидеть, будет ли Роскомнадзор в своей деятельности следовать мнению Минкомсвязи или же будет проводить свою линию, считает эксперт.

«Разъяснения Минкомсвязи в отношении бронирования авиабилетов говорят о том, что принято решение сложившуюся ситуацию не ломать, а действовать постепенно, и это очень хорошо. Однако справедливости ради надо отметить, что в документах, в том числе международных конвенциях, на которые ссылается Минкомсвязи, ничего не говорится о глобальных системах бронирования и их территориальном размещении. К примеру, совершенно не понятно, почему на бронирование билетов российской компании, выполняющей рейс из Москвы в Новосибирск, требования закона о территориальности не распространяется ,а на интернет-магазин в Китае – распространяется» - говорит М. Емельянников.

При этом, говорит эксперт, выводов о том, что зарубежным системам типа PayPal а также зарубежным интернет-магазинам типа AliExpress, JD.com и eBay не придется вкладываться в перенос данных, из разъяснений Минкомсвязи сделать нельзя. Более того, - уточняет он - руководство Роскомнадзора постоянно сообщает об «успешных переговорах», в том числе и с владельцами указанных Вами сервисов, о переносе их баз данных в Россию. «Впрочем, достоверных подтверждений таких переносов пока нет. Не исключено, что ситуация может развиваться и по пессимистическому сценарию, когда новые требования будут применяться избирательно к участникам рынка, и какие-то звери в лесу, строго по Оруэллу, окажутся «равны больше, чем остальные» - говорит М. Емельянников.

Серьезные вопросы вызывает у эксперта и тот пункт разъяснений Минкомсвязи, где содержится ответ на вопрос о возможности экстерриториального применения закона о ПДн, и здесь опять налицо противоречие с политикой Роскомнадзора.

«Несмотря на данное по этому поводу министерством разъяснение, в комментариях различных должностных лиц и разъяснениях Роскомнадзора неоднократно подчеркивалось, что законодательство будет применятся к иностранным компаниям, не присутствующим в России, но деятельность которых направлена на российских граждан и даже давалось определение признаков такой направленности (доменная зона, сайт на русском языке, расчеты в рублях). В основном для них с 1 сентября вводится механизм блокирования доступа к сайтам в случае необеспечения размещения баз для первичного сбора персональных данных на территории России. Но и здесь пока полно противоречий. Министр связи Н. Никифоров высказал мнение, что Twitter, например, под действие закона не подпадает. А вот Facebook, как и Alibaba и Amazon настойчиво убеждается в необходимости переноса данных россиян в российский сегмент» - комментирует этот пункт документа М. Емельянников.

В целом, полагает эксперт в своем комментарии Retail & Loyalty, документ полезен для отрасли уже тем, что здесь уполномоченный госорган выразил свою позицию, которой можно следовать в своей деятельности и ссылаться на мнение ведомства, наделенного соответствующими функциями (в том числе при проверках и в суде).

По данным Retail & Loyalty , что касается ведущих компаний на рынке трансграничного e-commerce, то их юридические службы сегодня находятся в процессе изучения сложившейся ситуации и, в том числе, анализа разъяснений Минкомсвязи. По некоторым данным, российские регуляторы перед вступлением закона в силу еще раз проведут неформальные переговоры и консультации с зарубежными игроками, и в отрасли ждут их результатов. Этими факторами, на наш взгляд, объясняется и весьма спокойная нейтральная реакция представителей китайских игроков в России. Так, и AliExpress, и JD.com предпочли в своих комментариях нашему информационному порталу ограничиться указанием на то, что компании будут полностью соблюдать требования российского законодательства и готовы работать в новых условиях, без предоставления какой-либо конкретики. Очевидно, более подробная информация о позициях игроков трансграничного e-commerce будет известна позднее.