Россия: Нарастающая изоляция, контроль и цензура в интернете

Click to expand Image

Примечание: В статье приводятся краткие пояснения выделенных терминов. Нажмите на термин, чтобы увидеть пояснение.

(Москва) – В России происходит существенное расширение нормативно-правового регулирования, ужесточающего контроль над инфраструктурой интернета, контентом и приватностью коммуникаций, заявила сегодня Human Rights Watch. В случае полной реализации своего ограничительного потенциала новое законодательство может существенно сузить возможности реализации гражданами своих прав онлайн, включая свободу выражения мнений и свободу информации.

«Отношение российских властей к интернету строится на двух столпах: тотальный контроль и все большая изоляция от ‘всемирной паутины’, - говорит Хью Уильямсон, директор Human Rights Watch по Европе и Центральной Азии. – Правительством собран целый арсенал средств, позволяющих контролировать информацию, пользователей и сетевые коммуникации».

Принятые за последние два года законы и подзаконные акты расширили и без того немалые возможности государства по фильтрации и автоматическому блокированию контента. Закон о «суверенном Рунете» 2019 г. прямо обязывает интернет-провайдеров устанавливать оборудование, позволяющее властям самостоятельно и в автоматическом режиме блокировать признанный запрещенным контент и по собственному усмотрению перенаправлять трафик.

В 2018 г. были введены штрафы для операторов поисковых систем за выдачу ссылок на прокси-сервисы, таких как VPN, которые позволяют пользователям получать доступ к запрещенному контенту или предлагают инструкции, как такой доступ получить. В 2019 г. Роскомнадзор потребовал, чтобы VPN-сервисы и поисковики подключились к государственной информационной системе и оперативно блокировали доступ к занесенным туда запрещенным сайтам.

В течение последних двух лет также происходило дальнейшее законодательное ограничение конфиденциальности мобильных коммуникаций. В июле 2018 г. в полном объеме вступили в силу антитеррористические поправки «пакета Яровой», обязывающие операторов связи и интернет-компании, отнесенные в России к «организаторам распространения информации», хранить пользовательскую информацию и предоставлять ее властям без судебной санкции. Речь, в частности, идет об интернет-мессенджерах и социальных сетях.

Принятию «пакета Яровой» предшествовало появление законодательства о локализации хранения персональных данных, требующее хранить персональные данные россиян, пользующихся интернет-сервисами и мобильными приложениями, на территории России и передавать эти данные правоохранительным органам по их запросу. В 2019 г. ФСБ потребовала от компаний, обрабатывающих персональные данные российских пользователей, устанавливать аппаратуру, позволяющую органам госбезопасности автоматически подключаться к их информационным системам и получать ключи для дешифровки пользовательской переписки без каких-либо судебных санкций.

Законодатели оправдывают необходимость такого рода норм защитой безопасности государства, российского сегмента интернета и персональных данных российских граждан. В реальности эти требования ведут к тотальной цензуре и слежке, внедряют непрозрачные процедуры блокировки контента и создают все большие риски для безопасности и конфиденциальности пользователей, отмечает Human Rights Watch.

Рассматриваемые здесь законы и подзаконные акты представляются логическим развитием принятого ранее обширного комплекса законодательства, создающего условия для необоснованной блокировки разнообразного контента и проанализированного Human Rights Watch в докладе 2017-го года.

С 2017 г. увеличилось также число государственных ведомств, имеющих право давать указания о блокировании контента, и выросли штрафы для юридических лиц (в том числе интернет-провайдеров, прокси-сервисов и поисковиков), которые отказываются удалять соответствующий контент или предлагают способы обхода его блокировки.

Закон о «суверенном Рунете» предполагает передачу государству полного контроля над коммуникациями онлайн: от отключения сетей в пределах определенных российских регионов до отключения всей России от глобальной сети. В случае полномасштабной реализации этого закона власти также смогут самостоятельно блокировать любой нежелательный контент, отмечает Human Rights Watch.

Рассматриваемые здесь ограничительные меры, касающиеся интернета, находятся в русле общего тренда на законодательное ограничение свободы выражения мнений как онлайн, так и офлайн. Некоторые из недавно принятых законов сужают пространство для общественного обсуждения в целом, особенно по тем вопросам, в которых власти видят источник раскола в обществе или угрозу режиму. К ним традиционно относятся ЛГБТ-тематика и политические свободы, а в последнее время и коронавирусная тематика. Другое законодательство, как представляется, преследует цель дальнейшего подрыва приватности и безопасности интернет-коммуникаций, что делает любые цифровые коммуникации в России уязвимыми для государственного вмешательства.

Преобладающая часть недавно принятых нормативно-правовых актов находятся на ранней стадии реализации или еще не заработали на практике. В такой ситуации характер и охват их правоприменения пока остаются неясными.

Последние события в области регулирования интернета в России, связанные с ужесточением государственного контроля над сетевой инфраструктурой, внедрением новых технических средств отслеживания пользовательской активности и фильтрации и перенаправления трафика, а также с наращиванием возможностей правительства по блокированию контента, противоречат стандартам свободы выражения мнений и неприкосновенности частной жизни, охраняемым Международным пактом о гражданских и политических правах и Европейской конвенцией о правах человека (Россия является участником обоих договоров). И МПГПП, и ЕКПЧ признают право властей ограничивать эти свободы для достижения законных целей безопасности государства, однако любые такие ограничения должны соответствовать определённым критериям.

В частности, международное право допускает ограничения этих свобод в интересах государственной или общественной безопасности, общественного порядка, охраны здоровья и нравственности населения, однако любые такие ограничения должны отвечать критериям необходимости, соразмерности, правовой определенности и не выходить за пределы безусловно необходимых. Как разъясняет спецдокладчик ООН по вопросу о свободе мнений и их выражения, «любое ограничение должно быть установлено понятным и доступным для всех законом (принципы предсказуемости и транспарентности)». В соответствии с Европейской конвенцией о правах человека, ограничения на свободу выражения мнений и право на неприкосновенность частной жизни должны быть установлены законом, и должно быть «убедительно установлено», что они необходимы для достижения законной цели в демократическом обществе.

Конституция РФ гарантирует каждому человеку право на неприкосновенность частной жизни и право на тайну переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений. Гарантируются также свобода мысли и слова и право свободно искать, получать, передавать, производить и распространять информацию любым законным способом.

«Последние изменения в нормативно-правовой базе устанавливают ещё более жёсткий контроль над пользователями интернета, - говорит Хью Уильямсон. –Они фактически наращивают слежку и сужают доступ пользователей к контенту на фоне зловещей перспективы для россиян в какой-то момент вообще оказаться отрезанным от глобального интернета».

Детальный анализ законов и нормативных положений приводится ниже.

Human Rights Watch проанализировала основные законы и подзаконные акты, которые были приняты или вступили в силу с 2017 г. и которые в совокупности дают российским властям широкие возможности по контролю интернет-инфраструктуры и цифровой активности в стране. Они включают:

• «пакет Яровой» 2016 г. об обязательном хранении пользовательской информации;
• закон 2017 г. о запрете использовать VPN-сервисы и анонимайзеры для предоставления доступа к запрещенному контенту и последующие поправки в КоАП 2018 г.;
• закон 2017 г. об обязательной идентификации пользователей мессенджеров и постановление правительства 2018 г. об утверждении порядка такой идентификации;
• закон 2019 г. «суверенном Рунете»;
• закон 2019 г. о предустановке российских приложений.

Мы также проанализировали подзаконные акты, которые предполагается принять в развитие этих законов.

Обязательное хранение пользовательских данных и «пакет Яровой»

Принятые в 2016 г. поправки в законодательство, получившие название «пакет Яровой» по имени ключевого автора - председателя думского комитета по безопасности Ирины Яровой от «Единой России», содержали целый ряд положений, существенно ущемляющих право на неприкосновенность частной жизни и свободу выражения мнений онлайн. Некоторые положения усугубляли интрузивность вступивших в силу в 2015 г. проблемных требований о необходимости хранения персональных данных российских пользователей на территории России.

Большинство положений этого пакета вступили в силу в июле 2016 г., в том числе требование о хранении метаданных операторами связи в течение трех лет, а «организаторами распространения информации» (к ним отнесены мессенджеры, интернет-форумы, соцсети и любые другие сервисы, позволяющие пользователям обмениваться информацией) – в течение года. Метаданные включают сведения о времени, месте, отправителе и получателях информации.

Телекоммуникационные и интернет-компании должны предоставлять метаданные властям по их запросу без санкции суда, а также обязаны передавать cпецслужбам «информацию, необходимую для декодирования электронных сообщений», например, ключи шифрования.

В июле 2018 г. вступила в силу оставшаяся часть «пакета Яровой», требующая от операторов связи и организаторов распространения информации в течение полугода хранить все содержание трафика: текстовые и голосовые сообщения, передачу данных, изображения. Все это должно храниться на территории России и передаваться властям по запросу без санкции суда, что стало дальнейшим развитием и без того широкой и проблемной нормы о хранении персональных данных российских пользователей на территории России. В 2016 г. власти за несоблюдение этого требования заблокировали доступ к соцсети LinkedIn. В феврале 2020 г. по тому же закону Twitter и Facebook были оштрафованы на 4 млн рублей каждый.

В 2019 г. ФСБ потребовала от интернет-компаний, включенных в реестр «организаторов распространения информации», устанавливать аппаратуру, позволяющую органам госбезопасности автоматически подключаться к их информационным системам и получать ключи для дешифровки пользовательской переписки. В реестре значатся 242 интернет-компаний и сервисов, таких как Яндекс, Telegram, Mail.ru и Сбербанк-онлайн. Google и Facebook (включая WhatsApp) пока не зарегистрировались в реестре. Некоторые компании уже установили соответствующую аппаратуру.

В мае 2019. правительство своим постановлением обязало операторов связи использовать для хранения данных по «пакету Яровой» только технические средства российского производства. В декабре правительство ввело двухлетний запрет на госзакупки технических средств хранения данных у иностранных поставщиков, обосновав ограничения «необходимостью обеспечения безопасности критической информационной инфраструктуры Российской Федерации».

Запрет VPN-сервисов и анонимайзеров

276-й федеральный закон 2017 г. запрещает не VPN-сервисы и анонимайзеры (такие как Tor или Opera) как таковые, а их использование для обхода блокировки запрещенных в России сайтов. Закон также запрещает поисковикам включать такие сайты в выдачу. Он также наделяет Роскомнадзор полномочием блокировать доступ к ресурсам, предлагающим инструкции по обходу блокировок, в том числе с помощью VPN-сервисов. Правоохранительным органам, включая МВД и ФСБ, поручено выявлять нарушителей, а Роскомнадзору – создать реестр запрещенных интернет-адресов.

«Закон о запрете обхода блокировок через VPN и анонимайзеры – это один из многочисленных шагов по расширению государственного регулирования блокировок», - сказал Human Rights Watch Александр Исавнин, эксперт по информационным технологиям и регулированию интернета.

Санкции за нарушение этого закона не были введены в КоАП вплоть до следующего года. В апреле 2018 г. Роскомнадзор заблокировал миллионы IP-адресов, пытаясь бороться таким образом с Telegram, руководство которого отказалось передавать российским спецслужбам ключи шифрования, сославшись на то, что при используемой технологии для этого нет технической возможности. Это привело к массовым сбоям в работе на территории России законопослушных сервисов, таких как банковские приложения, интернет-магазины и поисковики. Для обхода этих блокировок российские пользователи стали массово использовать VPN-сервисы: некоторые провайдеры сообщали о более чем 1000-процентном росте продаж. В ответ Роскомнадзор заблокировал 50 анонимайзеров и VPN-сервисов, предоставлявших доступ к Telegram.

В июне 2018 г. Госдума приняла закон о штрафах до 700 тыс. рублей за нарушение требований 276-го закона, и в декабре Google был показательно оштрафован на 500 тыс. рублей за несоблюдение требования об исключении запрещенных сайтов из своей выдачи.

В марте 2019 г. Роскомнадзор потребовал, чтобы VPN-сервисы, анонимайзеры и поисковики подключились к государственной информационной системе и оперативно блокировали доступ к занесенным туда запрещенным сайтам.

Тогда же Роскомнадзор объявил тендер на разработку автоматизированной системы контроля за соблюдением 276-го закона (изначально это делалось вручную). В июне 2019 г. Роскомнадзор пригрозил девяти VPN-сервисам в течение месяца заблокировать их за то, что они не выполнили требование о подключении к государственной информационной системе. Это требование выполнил только сервис Kaspersky Secure Connection (единственная российская компания из этого списка), а Avast SecureLine ушла с российского рынка

Несколько VPN-сервисов и анонимайзеров продолжают работать в России, предоставляя доступ к ресурсам, которые заблокированы Роскомнадзором.

Идентификация пользователей интернет-мессенджеров

В июле 2017 г. были приняты поправки, запрещающие интернет-мессенджерам, включенным в реестр «организаторов распространения информации», предоставлять услуги анонимным пользователям. Новая редакция законодательства вводит обязательную идентификацию по номеру мобильного телефона.

После вступления закона в силу в 2018 г. правительство своим постановлением обязало зарубежные интернет-мессенджеры заключать с российскими операторами мобильной связи договоры об идентификации пользователя по номеру телефона в течение 20 минут после поступления такого запроса. Неидентифицированным пользователям должно быть отказано в регистрации аккаунта. По словам тогдашнего главы Роскомнадзора Александра Жарова, такую верификацию должны проходить как уже зарегистрированные, так и новые пользователи.

Закон, однако, не обязывает интернет-мессенджеры, имеющие в России зарегистрированное юридическое лицо, проводить идентификацию пользователя через операторов мобильной связи, ограничиваясь указанием на использование для этого номера телефона. В законе говорится, что Правительством Российской Федерации могут устанавливаться требования к порядку идентификации. Такой порядок пока не принят.

Законодательство дает Роскомнадзору право блокировать доступ к мобильным приложениям, которые не соблюдают требование об обязательной идентификации пользователей. За нарушение закона также предусмотрена административная ответственность по статье 13.39 КоАП в виде штрафа до 1 млн рублей. До настоящего времени санкций со стороны Роскомнадзора в отношении мессенджеров не применялось.

Human Rights Watch не располагает информацией об обращениях зарубежных интернет-мессенджеров к российским мобильным операторам на предмет заключения договоров об идентификации пользователей за два года после вступления законодательства в силу.

Многие интернет-мессенджеры, как российские, так и зарубежные, запрашивают номер телефона пользователя для верификации аккаунта. Однако известны случаи, когда пользователи регистрируются с помощью SIM-карт, купленных неофициально без предъявления паспорта, в то время как в случае официального приобретения процедура подтверждения личных данных является обязательной.

Эксперты, среди прочего, отмечают техническую неясность закона, что осложняет его реализацию. Постановление правительства 2018 г. о заключении интернет-мессенджерами договоров с мобильными операторами не определяет порядок передачи персональных данных и не разъясняет, должны ли мобильные операторы проводить верификацию бесплатно. С другой стороны, имеется множество сервисов анонимной верификации. Они фактически сдают в аренду на короткий срок номера телефонов, по которым пользователи могут зарегистрировать аккаунт в интернет-мессенджере, соцсети, на форуме и т.п. Широкое использование таких сервисов еще больше затрудняет исполнение закона.

Поправки 2017 г. обязывают интернет-мессенджеры по требованию Роскомнадзора «ограничить возможность осуществления пользователем … , указанным в этом требовании, передачи электронных сообщений, содержащих информацию, распространение которой в Российской Федерации запрещено, а также информацию, распространяемую с нарушением требований законодательства Российской Федерации». В сентябре 2017 г. правительство подготовило проект постановления о порядке реализации этой нормы, однако документ до сих пор не принят. Против этого возражало Министерство экономического развития, указывая на невозможность технической реализации для многих сервисов, которые используют сквозное шифрование трафика.

Депутаты признали неэффективность законодательства об идентификации пользователей в ходе предварительного обсуждения в Госдуме аналогичной инициативы о распространении требований об идентификации на службы электронной почты, в итоге не получившей развития. Правительство, со своей стороны, не предпринимало дальнейших шагов ни по обеспечению исполнения закона, ни по применению санкций к нарушителям.

Однако если власти решат всерьез задействовать эти спящие нормы, то это создаст угрозу конфиденциальности персональной информации и переписки российских пользователей интернета.

Закон о «суверенном Рунете»

В мае 2019 г. президент Владимир Путин подписал пакет поправок, известный как закон о «суверенном Рунете». Заявленной целью закона является противодействие угрозам устойчивости, безопасности и целостности функционирования российского сегмента интернета. В реальности он еще больше расширяет контроль государства над интернет-инфраструктурой.

Та часть закона, которая вступила в силу в ноябре 2019 г., обязывает интернет-провайдеров устанавливать на свои сети «технические средства противодействия угрозам», включая аппаратуру глубокой фильтрации трафика (DPI), позволяющие властям отслеживать, фильтровать и перенаправлять его. Эксперты критикуют эту технологию как инструмент цензуры и слежки.

DPI

К середине ноября 2019 г. несколько российских интернет-провайдеров в Уральском федеральном округе в тестовом режиме установили у себя соответствующую аппаратуру и отчитались перед Минкомсвязи о в целом успешных результатах. У трех из восьми провайдеров не возникло никаких проблем с трафиком, остальные пять сообщили о тех или иных проблемах, включая падение скорости и ухудшение качества сигнала, сохранение проблем с блокировкой Telegram и локальные перебои со связью. Компании отметили, что проверить работу DPI на больших объемах трафика не представилось возможным, поскольку в выбранном для эксперимента регионе нет такого числа пользователей.

Из закона следует, что эта технология должна блокировать пользователям доступ к нежелательному контенту с помощью программируемых властями прямых команд, которые будут исполняться незаметно для пользователей и провайдеров.

Российские власти уже долгое время подвергаются критике за избыточное блокирование контента и использование нормативного регулирования для интернет-цензуры. На 10 июня 2020 г. даже без полноценного внедрения DPI было заблокировано как минимум 85 246 сайтов. На этом фоне и российские, и международные правозащитные организации выражают обеспокоенность в связи с непрозрачной и внесудебной блокировкой сайтов с использованием технологии DPI.

Кто блокирует сайты в России?

* По данным Роскомсвободы на 10.06.2020

В марте 2020 г. подведомственный Роскомнадзору Главный радиочастотный центр заказал федеральному исследовательскому центру РАН «Информатика и управление» исследование распространенных в России технологий обхода блокировок контента, таких как VPN и другие прокси-сервисы (Tor, Telegram Open Network и т.п.) с целью усовершенствования государственной системы фильтрации трафика.

Национальная система доменных имен

Закон о «суверенном Рунете» предусматривает создание национальной системы доменных имен (DNS). Интернет-провайдеры должны будут перейти на нее с 1 января 2021 г. DNS фактически представляет собой адресную книгу интернета, преобразуя URL в цифровой IP-адрес, по которому затем происходит соединение с целевым сайтом. Принудительный перевод провайдеров на национальную систему доменных имен позволит властям манипулировать тем IP-адресом, который видит провайдер, создавая возможность для подмены запрошенного пользователем сайта или имитации отсутствия запрошенного IP-адреса.

Расширение контроля над архитектурой интернета

Закон о «суверенном Рунете» обязывает операторов связи предоставлять Роскомнадзору детальную информацию «об инфраструктуре своей сети связи», которая может впоследствии использоваться властями для расширения контроля за их деятельностью.

Закон передает в распоряжение государства всю информацию об интернет-архитектуре, необходимую для осуществления полного и безнадзорного контроля, что чревато ущемлением свободы выражения мнений, права на доступ к информации и неприкосновенности частной жизни, отмечает Human Rights Watch.

Например, зарегистрированные в России интернет-провайдеры должны информировать о точке выхода трафика за пределы страны, что позволяет властям перенаправлять его с помощью DPI.

Закон обязывает операторов точек обмена трафиком отключать провайдеров, которые не соблюдают его положения, в противном случае точка обмена трафиком сама может быть исключена из реестра, что сделает невозможным подключение к ней интернет-провайдеров.

Аппаратура DPI предоставляется интернет-провайдерам бесплатно, однако обеспечение ее работоспособности связано со значительными расходами.

«Самое опасное в этом законе то, что государство дало себе право вмешиваться в отношения между операторами. Это может ударить по конкуренции и вытолкнуть с рынка менее крупных операторов, - утверждает Александр Исавнин. - Хотя государственный контроль над оставшимися операторами станет проще, именно разнообразие операторов и связей между ними, как ни иронично, – это то, что обеспечивает безопасность интернета».

Принятые в развитие закона о «суверенном Рунете» подзаконные акты исходят из того, что правовым основанием приведения в действие «централизованного управления сетью связи общего пользования» являются общие угрозы «устойчивости, безопасности и целостности» функционирования российского сегмента интернета. В случае активации такого механизма к Роскомнадзору переходит полный контроль над сетями от блокирования связи в том или ином регионе до полного отключения России от «всемирной паутины». Эти положения вызывают особую обеспокоенность с учетом заявлений о том, что российские власти уже в нескольких ситуациях отключали мобильный интернет, в том числе во время протестов в Москве и Ингушетии.

Интервью с Андреем Солдатовым

Журналист-расследователь и соавтор книги «Битва за Рунет», о цифровых правах в России.

Читать интервью

«Закон о “суверенном Рунете” [для властей] может оказаться очень эффективным, - говорит российский журналист-расследователь Андрей Солдатов. – В реальности речь не о том, чтобы изолировать весь российский сегмент. Наверху понимают, что это не сработает –  они знают, что слишком завязаны на глобальную сеть. Но власти хотят получить инструмент, чтобы иметь возможность отключать тот или иной регион, в котором кризисная ситуация, и не давать протестам распространяться по стране. Это, например, мы почти полтора года наблюдали в Ингушетии, когда там шли протесты по поводу изменения административной границы с Чечней».

Закон о «суверенном Рунете» одновременно служит российским властям инструментом эффективного обеспечения ограничительного законодательства в области интернета и коммуникаций и средством дальнейшего ограничения цифровых прав.

Закон о предустановке российских приложений

В ноябре 2019 г. парламент принял поправку в закон о защите прав потребителей, которая обязывает предустанавливать российские приложения на всех продаваемых в России гаджетах. Законодатели обосновывали инициативу необходимостью защиты интересов российских пользователей и российских производителей.

В развитие этого закона правительством был подготовлен проект постановления, последняя версия которого гласит, что все продаваемые в России смартфоны, компьютеры и телевизоры с цифровым блоком управления должны иметь предустановленные программы, отвечающие таким критериям, как «высокая социальная значимость для потребителей», принадлежность исключительных прав российскому юридическому или физическому лицу, а также отсутствие в течение года вступившего в силу решения суда о нарушении законодательства в области сбора, обработки, хранения персональных данных в связи с распространением соответствующей программы. К предустанавливаемым приложениям относятся мессенджеры, браузеры, карты, новостные агрегаторы, электронная почта. Предполагается, что перечень таких приложений будет вести Федеральная антимонопольная служба.

«В том, что государство воспользуется этой возможностью для реализации своих целей, сомнений нет, - говорит Александр Исавнин. – Опасность установки следящих приложений и сертификатов для дешифровки трафика есть».

Закон о предустановке российских приложений дает российским властям эффективную возможность воздействия на отечественных производителей софта. Поскольку предустановка их программ с большой долей вероятности увеличит их долю на рынке, это будет мотивировать их на соблюдение законодательства о локализации хранения персональных данных и о хранении пользовательского трафика, так как соблюдение этих требований является обязательным для разработчиков предустанавливаемых программ. В июле 2019 г. был внесен законопроект о введении штрафа в размере до 200 тыс. рублей за продажу устройств без предустановленного российского ПО, однако пока он не прошел даже первое чтение в парламенте.

«Идея в том, чтобы заставить российских пользователей работать с приложениями российских же разработчиков, которых легче контролировать, чем иностранных», - говорит Андрей Солдатов.

Российский медиа-коммуникационный союз, объединяющий крупнейших операторов связи и медиахолдинги, уже выступил с инициативой обязать разработчиков отечественного софта идентифицировать по номеру телефона каждого «пользователя оборудования беспроводной связи, имеющего сенсорный экран и обладающего двумя и более функциями», по аналогии с недавним законом об идентификации пользователей интернет-мессенджеров.

Закон о предустановке российских приложений должен был вступить в силу в июле, однако из-за пандемии Covid-19 срок был перенесен на 1 января 2021 г.