Закон о персональных данных. Что будет с русским интернетом

В пятницу Дума окончательно приняла поправки (см. текст к третьему чтению внизу страницы) к законам, регулирующим обработку персональных данных, и в очередной раз напугала рунет до смерти. Если законопроект пройдет в Совете Федерации и у президента, с 1 сентября 2016 года интернет-компании будут обязаны хранить персональные данные пользователей исключительно на серверах в России. Иначе сайты-нарушители будут блокированы по решению суда. Депутаты таким образом постарались защитить частную жизнь пользователей. Хотя текущая версия «Закона о персональных данных» (17-я статья) и так ее защищает: вы можете обратиться в суд, если считаете, что сайт нарушает ваши права, — то есть закон сейчас разрешает человеку делать со своими данными все, что тот считает нужным.

В блогах заговорили о том, что государство собирается запретить вообще все сервисы, в которых можно зарегистрироваться: зарубежные сайты по продаже билетов, интернет-магазины, платежные системы. Права граждан в этом случае не защищаются, а наоборот, ущемляются. Российская ассоциация электронных коммуникаций, одна из основных отраслевых лоббистских структур, с инициативой Думы тоже не совсем согласна. Поскольку формулировки в законопроекте не то чтобы очень четкие, есть два вопроса, в которых надо разобраться, чтобы понять, чем нам это все грозит: какие персональные данные имеются в виду и каких компаний это касается.

На первый вопрос Сергей Плуготаренко, директор РАЭК, ответил так: «Согласно текущей версии законопроекта, за рубежом нельзя будет хранить и обрабатывать НИКАКИЕ персональные данные россиян. Законопроект грозит всем названным операторам персональных данных», — в своем вопросе мы в случайном порядке перечислили некоторых билетных продавцов, букинговые сервисы, Google, Facebook, магазины приложений Google Play и App Store.

Выходит, что в этот список можно добавить еще стопятьсот тысяч компаний, которые хранят на серверах за границей какую угодно информацию о российских гражданах, будь то паспортные данные, банковские реквизиты или адрес электронной почты. А если учесть дух поправок, в объяснительной записке к которым зачем-то фигурирует недавнее решение Европейского суда о праве быть забытым (оно позволяет гражданам ЕС требовать у Google удалить упоминания о себе в поисковой выдаче), речь, возможно, идет вообще о любой информации о человеке, например, в том же поисковике — или, кто знает, в статье «Википедии».

Еще появились предположения, что, может быть, не все так страшно: Gmail, Dropbox, Airbnb не пострадают, потому что новые поправки рассчитаны только на российские интернет-компании. Но это тоже не совсем так. Как сказал нам юрист РАЭК Максим Буянов, поправки в текущей версии действуют «как на организации, зарегистрированные в РФ, так и на иностранные организации, которые осуществляют свою деятельность в РФ. Законопроект не затрагивает только те организации, которые никак не связаны с Российской Федерацией».

Буянов привел примеры: если российский гражданин покупает музыку в Эквадоре на эквадорском сайте, новый закон не подействует, а, скажем, при покупке через Skyscanner — подействует, потому что вы имеете дело с авиакомпаниями и иностранными организациями, которые работают в том числе и в России. Судя по всему, вообще не важно, на каком сайте вы покупаете билет на самолет. Петр Кутис, создатель сайта OneTwoTrip, говорит, что законопроект «больше касается авикомпаний и международных систем бронирования Sabre, Amadeus, Galileo и проч.» (многие из них имеют российские представительства).

Или вот еще вопрос: коснется ли закон, ну например, компании Facebook Inc., у которой, кажется, нет официального представительства в России (и вообще где бы то ни было). Facebook, а также Google и Apple, не комментирует принятый Думой закон, пока не станет окончательно ясно, что он означает. Его инициаторы тоже ничего не объясняют. Только один из них, депутат Вадим Деньгин, спрашивает в твиттере «Что за паника?» и обещает, что проект еще доработают в сентябре.

Но сомнений мало: законопроект в том или ином виде начнет действовать. Сергей Плуготаренко говорит, шансы, что эти поправки примут в СФ и заверит президент, максимальные. Вот отзыв Артема Козлюка, представителя Пиратской партии: «То, что рано или поздно закон не подпишет президент, слабо верится. Уже достаточно много законов из депрессивного тренда вступили в силу, несмотря на общественный резонанс и весомые аргументы против. Интернет-отрасль еще не выработала сильный институт лоббизма своих интересов. Пока максимальные успехи — это всего лишь редкие отсрочки принятия законов по госрегулированию рунета». Как именно будет выглядеть русский интернет, мы узнаем осенью, а пока можно только фантазировать о возможных сценариях.

1. Наивный

Он же самый благоразумный: осенью РАЭК и крупным интернет-компаниям удается договориться о доработке законопроекта. Один из вариантов — взять за пример U.S.-EU Safe Harbor, соглашение между Европой (где действуют довольно строгие ограничения на передачу данных граждан в другие страны) и США (где базируется большинство интернет-сервисов, ради которых вообще стоит открывать ноутбук или телефон). Это соглашение разрешает передачу и хранение данных европейцев на серверах американских компаний, если выполняются семь условий. Правда, предыдущий опыт взаимодействия той же РАЭК и депутатов показывает, что последние редко учитывают все замечания экспертов. Если вспомнить историю с законом о реестре запрещенных сайтов, власти принимали его так же быстро, тоже с кучей двусмысленностей, а главную претензию сообщества — блокировку сайтов без судебного разбирательства — вообще проигнорировали.

2. Маловероятный

Законопроект вступает в силу с несущественными исправлениями, все так же запрещая коммерческим компаниям, чья деятельность связана с Россией, хранить данные российских граждан за рубежом. Компании вынуждены размещать здесь серверы и переносить на них свои базы данных — или пользоваться услугами местных провайдеров. Но, похоже, все это немного фантастика. Петр Кутис из OneTwoTrip: «Хранить данные на серверах в России — нет проблем. Правда, я не видел ни одного российского провайдера хостинга, обеспечивающего облачное хранение данных с минимальными простоями». Если говорить о гигантах вроде Google и Facebook, им придется строить в России дата-центры. Из «Яндекса» по этому поводу пишут: «У нас сейчас несколько дата-центров, но если бы перед нами стояла задача построить их за два года, мы бы, пожалуй, не справились. Только на строительство первой фазы нашего крупнейшего дата-центра в Рязанской области ушло как минимум два года».

3. Безумный

Законопроект, практически не изменившись, вступает в силу, и условный Google уходит из России. Как это произошло в Китае, где реальный Google какое-то время помогал правительству с цензурой поисковой выдачи, а потом ушел из страны (то ли по идеологическим причинам, то ли потому, что проиграл местному «Яндексу»). Сейчас google.cn перенаправляет пользователей на гонконгскую версию поисковика. Время от времени китайское правительство блокируют Google целиком, включая его сервисы вроде YouTube, когда ему захочется, например — в канун годовщины событий на площади Тяньаньмэнь. Если что, блокировать зарубежные сайты в России тоже давно умеют.

Еще важнее — локализовать данные о гражданах в отдельном дата-центре в отдельно взятой стране может оказаться непростой технической задачей. Во-первых, как определить, что пользователь — гражданин России? Вы всегда сообщаете о своем гражданстве, когда покупаете книжку на Amazon или бронируете номер в гостинице? К тому же некоторые компании вообще не хранят профили пользователей в одном месте. У фейсбука, как подсказывают коллеги, на одном сервере могут быть лайки, на другом — фотографии, на третьем — имена и комментарии. Один из этих серверов находится где-нибудь в Америке, а другой — за полярным кругом в шведском Лулео (это не шутка).

Очень дико это говорить, но если следовать одному из толкований нынешних поправок (их действие распространяется на зарубежные компании с представительствами в России), то получается, что этим компаниям проще отсюда уйти. Еще хуже, что единственный совет пользователям, который приходит в голову: поставить себе IP2 или Tor и открыть старое руководство о том, как подготовиться к «наступлению великого русского файерволла».