Смелые решения и «опасные форточки»: Юрист нашел «провалы» в новом Цифровом кодексе КР

«Я не участвовал в разработке Цифрового кодекса КР и не участвовал в общественном обсуждении, но хочу поделиться своими первыми впечатлениями от его прочтения. Воспринимайте это как первые мысли третьего человека к этому документу. Баштадык!», - поделился эксперт Акылбек Джусупов.

Раздел I

1. Если вы занимаетесь своей профессиональной деятельностью и уделяете оставшееся время на чтение цифрового гиганта, то только на ознакомление терминов Кодекса можно выделить несколько дней. Не сказать, что они сложные, хотя приходилось отдельные определения читать повторно, чтобы понять все мысли законодателя. Дополнительно придется отказаться от привычного понимания отдельных терминов. Например, будем переходить от использования слова «электронный» к «цифровой». До этого юристы, экономисты, журналисты и маркетологи всегда применяли разные термины. Одни чаще использовали термин «электронный» (электронная подпись, электронный документ), другие используя термин «цифра» (цифровая подпись, цифровой документ). 

2. Многие разработчики проекта НПА ведут себя как Гай Ричи в своих фильмах, сразу давая определение к понятиям, которые будут часто встречаться в тексту. Но часто эти «персонажи» так и не появляются в НПА в отличие от фильмов английского режиссера. Как сложится судьба всех терминов в Кодексе еще неизвестна, - видимо не все они будут упомянуты. Например, сразу бросается в глаза сложность терминов «принципал данных» и «субъект персональных данных», в чем отличие? Уже на уровне терминов документ сложно понимать.

3. Зачем подразделять принципы регулирования цифровой среды на 3 группы: общеправовые, организационные и отраслевые? Принципы остаются принципами, и ни одна из групп не обладает приоритетом. Лучше было бы сделать общий перечень принципов, так легче понимается.

4. Надеюсь «принцип устойчивости», то есть долговременная устойчивость правил и правоотношений, определяемых Кодексом, будет работать в отличие от Налогового кодекса КР, в котором зафиксировано обязательство о внесении изменений только раз в год, но с момента утверждения уже несколько раз нарушили его, периодически внося изменения и дополнения. 

К слову, такое же обязательство содержит и Цифровой кодекс.

5. Отраслевой регулятор. Кодекс определяет следующие сферы для регулирования: 

• персональные данные; 
• национальная цифровая экосистема; 
• телекоммуникации.

Получается, что отдельной сферы регулирования как «финансы» не будет? Или нас отнесли к цифровой экосистеме? Если нет, то означает ли это отсутствие отдельного регулятора по цифровым взаимоотношениям для финансовых институтов, и Нацбанк КР будет осуществлять единоличное регулирование? С одной стороны, легче работать, когда есть только один надзорный орган. 

6. Очень интересное решение предлагается относительно проверок. Теперь после аккредитации даже частные лица могут осуществлять проверки субъектов регулирования. Такого продвинутого подхода я давно не встречал. Получается, что государство делится своими полномочиями для оперативного решения проблем. Мне кажется, что это очень смелое решение. 

7. На мой взгляд, очень вредная норма предусмотрена в Цифровом кодексе по приостановлению эксплуатации телекоммуникационных сетей и оказания телекоммуникационных сервисов по решению кабинета министров КР. Получается, в случаях, предусмотренных законодательством, даже нижестоящим актом, должностное лицо может по своему решению приостановить связь и использование сервисов? Кодекс по юридической силе должен стоять выше своих нижестоящих «братьев», поэтому законодателю стоило установить ограничение в самом Кодексе и не оставлять «форточку» для дальнейших злоупотреблений. Иначе причины «в интересах государственного управления, национальной безопасности, обороны, охраны правопорядка и при чрезвычайных ситуациях (природные катастрофы, карантины)» могут быть интерпретированы очень широко. Кроме того, вопросы компенсации предусмотрены только для операторов, а для граждан и компаний - пользователей этих сервисов - никто не позаботился обеспечить компенсацию.

8. Спецрегулирование или, как я понял, «песочница» разрешается - что очень хорошо! Но не совсем понятно: кабмин осуществляет общее госрегулирование цифровых отношений путем определения координирующего органа и утверждения положений отраслевых регуляторов, но когда дело касается введения спецрегулирования, то кабмин отходит в сторону, даже если утверждение процедурных моментов все же остается за ним. Что именно испугало законодателей полномочия по песочницам отдать не кабмину?

Раздел II 

1. Он начинается с объектов, конечно же все цифровое: данные, записи, документы, ресурсы, сервисы, экосистемы и технологические системы, что очень логично. Далее - центры обработки данных и телекоммуникационные сети и, связывая их с первой группой, приходишь к выводу, что законодатель добавил и те физические объекты, на которых хранятся цифровые составляющие. Однако оставшаяся группа объектов - земли, здания, строения, сооружения и иные аналогичные объекты - вызвали у меня острое любопытство. В частности, мне стало интересно, в какой момент объекты гражданских правоотношений могут параллельно стать объектом в цифровой среде. Посмотрим. 

2. Принудительное отчуждение или ограничение цифровых прав в отношении конкретного объекта допускается только на основании решения суда в случаях, прямо предусмотренных законодательством Кыргызской Республики. Вот здесь тоже видна ошибка законодателя в части не установления случаев принудительного отчуждения в самом Кодексе. Это же Цифровой кодекс и все, что касается цифровых прав, надо было окончательно решить здесь, а не оставлять возможности влиять на правила, тем более нижестоящими актами. Ведь под законодательством понимаются также законы и подзаконные акты (постановления и указы), которые намного ниже Кодекса. 

3. Понравился подход в обозначении субъектов отношений. В частности, используется термин «владелец» вместо «собственник». Не нравится мне термин «собственник» в отношении информации. По этому поводу я спорил со многими отечественными и зарубежными юристами. Они часто указывают в шаблонах своих договоров, что «конфиденциальная информация в собственности» и «собственник информации», а мне всегда хотелось исправить эти термины на «владение/владелец», но не всегда удавалось убедить в этом своих контрагентов. Теперь увидев в Кодексе термин «владелец», я очень обрадовался. В этом плане я на одной волне с разработчиками!

4. Согласно Кодексу участниками (субъектами) выступают:

• владельцы цифровых записей; 
• владельцы цифровых ресурсов;
• владельцы цифровых технологических систем; 
• владельцы экосистем;
• поставщики цифровых сервисов; 
• принципалы данных; 
• пользователи; 
• обработчики.

5. На мой взгляд, противоречивые нормы внесены относительно идентификаторов. К публичному идентификатору для физлиц отнесли персональный идентификационный номер. Как может персональный номер стать публичным? Более того, ПИН содержит дату рождения лица. Слишком много чувствительной информации сделали общедоступными данными. Тем более, ст. 48 относит ПИН к персональным данным, то есть уже не может быть автоматически общедоступным. На мой взгляд, один из главных провалов Кодекса заключается именно в этом. 

6. Идентификатор - любая информация, в том числе код, шифр, номер или адрес, позволяющая связывать цифровые записи, содержащие такую информацию, между собой и с субъектом правоотношений в цифровой среде. Идентификатор, использованный в цифровой записи в соответствии с правилами системы цифровой идентификации, считается цифровым документом, аналогичным документу на бумажном носителе, подписанному собственноручной подписью. Ранее такую роль выполняла «простая электронная подпись» (ПЭП). Таким образом, необходимо внести изменения в шаблоны договоров (публичной оферты) и ЛНА банков, в которых упоминается ПЭП.

7. Цифровая идентификация и цифровая аутентификация являются основанием для возникновения, изменения, прекращения правоотношений, в том числе для целей доказывания (ч. 3 ст. 46). Казалось бы, очень хорошая норма для развития бизнеса. Но норма (ч. 4) зачем-то добавляет «подтверждает личность физического лица» при цифровой аутентификации. Боюсь, некоторые могут неправильно понять, хотя я склонен считать цифровую идентификацию разрешенную и для юрлиц.

8. Интересная норма заложена относительно биометрических данных. Обработка биометрических данных (изображение лица, узоры пальцев, собственноручная подпись) не допускается, за исключением целей проведения выборов и референдумов, получения и предоставления госсервисов и прямо предусмотренных законом. Таким образом, есть вероятность признания запрета использования биометрических данных для банковской деятельности, пока специальный закон прямо не укажет такие случаи. Кстати, действующий закон о банках ничего интересного по цифровизации (например, по электронной подписи или удаленной идентификации) не содержит, хотя в свое время я лично предлагал включить положения, которые уже работали на тот момент на основании подзаконных актов.

9. Целую статью посвятили ответственности за нарушение права на идентичность. Такие точные нормы с включением минимального возмещения, включая за моральный вред вне зависимости от возмещения имущественного вреда, очень серьезное дело. Если честно, только работая на возмещение, можно заработать неплохие деньги, так как нарушений в этом направлении не мало.

10. Цифровая запись может содержать юридический факт, а принадлежность цифровых прав может подтверждаться метаданными. Таким образом, можно обновить мою публикацию по электронным доказательствам, там как раз раскрыты действующие методы представления электронных, а теперь цифровых доказательств. Кстати, в связи с принятием ЦК КР ждем новых норм относительно представления доказательств по цифровым правоотношениям.

11. Наконец-то внедряют новые для КР институты «доверенных цифровых сервисов», которые я встречал только в законодательстве ЕС (в частности eIDAS). Наш Кодекс разрешил пять направлений: 

• сервисы цифровой аутентификации;
• сервисы цифровых подписей;
• сервисы цифровых архивов;
• сервисы гарантированной доставки сообщений;
• сервисы аутентификации сайтов.

Немного жаль, что установил исчерпывающий перечень и даже не оставил дверь для других сервисов. Например, «сервис цифровых контрактов» в рамках моей диссертации был бы супер-решением.

12. «Исследователи и научные организации имеют право осуществлять доступ к цифровым записям, содержащим персональные данные или отнесенным к охраняемой законом тайне, в научных, статистических или иных исследовательских целях при условии обеспечения их конфиденциальности», - гласит ч. 3 ст. 61 Кодекса.

Интересно, я, как исследователь, тоже могу получить доступ к персональным данным? Очень спорная норма. 

Я закончил читать два раздела Цифрового кодекса КР. Впереди - особенная часть.