Как работает регистрация мессенджеров в Роскомнадзоре на примере Threema
Должны ли они сотрудничать с властями России и передавать данные о пользователях, чтобы не оказаться заблокированными, или могут этого не делать.
Ситуация с Threema
С начала весны 2017 года Роскомнадзор начал активно вносить иностранные мессенджеры в реестр организаторов распространения информации (ОРИ). Хотя обычно массовые иностранные сервисы неохотно сотрудничают с российскими властями по местным законам, некоторые мессенджеры пошли на регистрацию в реестре — в том числе WeChat, который сделал это после блокировки.
По 97-ФЗ, зарегистрированный в реестре ОРИ сервис обязан хранить данные о пользователях (факты совершения голосовых звонков, SMS и других сообщений) в течение полугода и предоставлять их российским органам — то есть ФСБ. Однако, как выяснилось, не все сервисы намерены это делать — например, мессенджер Threema, первым зарегистрировавшийся в реестре.
Летом 2016 года петербургское издание «Фонтанка» писало, что мода в России среди бизнесменов и чиновников на Threema пошла от чекистов — то есть сотрудников ФСБ, ФСО, СВР и прочих силовиков. При этом сам мессенджер платный: для Android он стоит 199 рублей, для iOS — 229 рублей.
Статистику по всем запросам от властей Threema ведёт на отдельной странице. По данным компании, с 2014 года был выполнен лишь один формальный запрос на передачу данных о пользователе. На той же странице указано, что компания вообще не работает с прямыми обращениями представителей иностранных властей, а подчиняется лишь требованию швейцарских властей или иностранным запросам, которые подпадают под действие швейцарского закона о международном сотрудничестве по расследованию преступлений.
Из этого закона следует, что часть иностранных запросов может игнорироваться: например, если власти Швейцарии сочтут их политически мотивированными, не соответствующими процедурным требованиям ЕСПЧ, а также в незначительных случаях
12 мая «Роскомсвобода» опубликовала ответ техподдержки мессенджера Threema на запрос одного из читателей сайта проекта. Из него следует, что в швейцарской Threema не собираются «предоставлять российским властям информацию о пользователях и никогда не связывались с российскими властями на предмет предоставления таких данных».
Threema находится в юрисдикции Швейцарии, где российское законодательство не может применяться, поскольку у нас нет серверов или дочерних компаний в России.
Российским властям необходимо обратиться за правовой помощью в соответствии с Федеральным законом «О международной взаимной помощи по уголовным делам» (Federal Act on International Mutual Assistance in Criminal Matters) в швейцарском суде.
Нам не разрешается и мы сами не желаем предоставлять какую бы то ни было информацию о наших пользователях напрямую иностранным властям.
Можно быть в реестре и не сотрудничать с ФСБ? Официально нет
Позиция Threema выглядит нестройной: сервис отреагировал на прямой запрос российских властей (требование Роскомнадзора о регистрации в реестре), однако делает вид, что не знает о прописанных в законе требованиях о хранении данных о пользователях и выдаче их российским органам (ФСБ) по запросу или по крайней мере не собирается их соблюдать.
Может ли сервис зарегистрироваться в реестре, но при этом не передавать государству данные о пользователях? До поры — вероятно, однако рано или поздно ФСБ начнёт рассылать запросы на предоставление информации, и отказ будет расценен как административное преступление (по российским законам). Более того, в законе говорится, что компания должна хранить данные о пользовательской активности, и если она этого делать не будет, это тоже будет считаться нарушением закона.
Процедура регистрации в реестре и ответственность за нарушение 97-ФЗ организаторами распространения информации была прописана ещё в 2014 году. Тогда в Роскомнадзоре поясняли: сервис может зарегистрироваться сам или получить уведомление от ведомства. Ведомство посылает такие уведомления не по собственной инициативе, а в течение трёх дней после обращения из «государственного органа, осуществляющего оперативно-разыскную деятельность (ОРД) или обеспечение безопасности Российской Федерации» — то есть ФСБ решает, когда такие уведомления получат Telegram, Viber, WhatsApp, Facebook и другие крупные платформы.
Поэтому сам порядок регистрации мессенджеров в России фактически регулируется ФСБ.
В разговоре с TJ пресс-секретарь Роскомнадзора Вадим Ампелонский не стал комментировать отказ Threema передавать данные о своих пользователях властям РФ, сославшись на то, что источник информации сомнительный. Он лишь подтвердил, что Threema зарегистрировалась в реестре после уведомления, но по словам Ампелонского, после этого ведомство не участвует во взаимодействии с ОРИ.
Есть процедура нашего взаимодействия с организаторами распространения информации, прописана в постановлении правительства. В соответствии с этой процедурой мы направили им требование предоставить данные, необходимые для внесения в реестр. Они нам эти данные предоставили и были в реестр внесены.
Далее идёт взаимодействие органов ОРД с организатором распространения информации. Мы в нём не участвуем. Что касается материала «Роскомсвободы», неизвестно кто написал неизвестно кому и получил неизвестно чей ответ. Извините, но это несерьёзный источник информации.
По 97-ФЗ, если сервис в течение 10 дней (подзаконный акт Правительства РФ устанавливает срок не менее 15 дней) не отвечает на запрос из Роскомнадзора, считается, что он отказался регистрироваться в реестре. В этом случае ведомство само инициирует процедуру блокировки.
Однако в случае с предоставлением данных ситуация обстоит несколько сложнее. Какие-либо меры по отношению к нарушившему закон ОРИ могут применяться только после решения суда по административному делу: значит, это дело должны сначала возбудить, потом суд должен признать нарушение, затем придётся дождаться возможных апелляций и наконец вступления решения в силу.
И даже после решения, фиксирующего правонарушение, Роскомнадзор должен послать ОРИ уведомление с требованием исполнить закон и дать 15 суток на его исполнение. Иностранным сервисам в случае неисполнения закона грозит блокировка. Российским, помимо этого, ещё и административные штрафы (от 300 до 500 тысяч рублей для юрлиц).
Если кратко: как и любой сервис, Threema, конечно, может публично отказаться предоставлять ФСБ сведения о своих пользователях. Те, кто доверяют сервису, могут ориентироваться на данные с его страницы о разглашении информации по государственным запросам: за 2017 год пока ни одного Threema не получала.
Однако до тех пор, пока сервис находится в реестре, а никаких дел против него не возбуждается и доступ к нему не блокируется, считается, что все требования по сотрудничеству с российскими органами он официально соблюдает. Для руководства сервиса регистрация в реестре — фактически рабочий метод для отсрочки блокировки. А вот для пользователей это реальный повод задуматься о безопасности переписки.