Data sovereignty and national security in China’s legal system (based on the dispute over the share allotment of the company “DiDi Taxi” on the New York Stock Exchange

В последние годы человечество вступило в эпоху т.н. «больших данных», роль которых в современных процессах общественного воспроизводства трудно переоценить. В научной литературе и публицистике их иногда образно называют «нефтью новой эры», что подчёркивает их значение для экономики и развития государств, а также ставит перед юристами задачу по разработке правовых концепций, адекватно отражающих существо новых общественных отношений.

По состоянию на июнь 2021 года количество пользователей сети «Интернет» в Китае достигло 1,011 миллиарда человек (уровень охвата населения 71,6 %), что делает его страной с наибольшим числом пользователей в мире. Данное обстоятельство привело к тому, что КНР ранее многих других стран столкнулась с необходимостью создания системы цифровой безопасности, призванной защитить национальные интересы, в том числе, в случаях, когда принятие соответствующих мер способно прямо привести к ущербу для деятельности крупных частных компаний.

Анализ вызовов, с которыми столкнулся китайский законодатель, а также правовых средств, с помощью которых он попытался их решить, несомненно, представляет интерес и для российских исследователей. Опыт КНР может быть использован как для формирования предложений по совершенствованию законодательства РФ, так и выступить основой для научной критики и построения самостоятельных гипотез. Таким образом, его исследование может быть признано научно актуальным и практически применимым.

1. Цели, методология исследования и задачи

В настоящее время в китайской юридической литературе получили распространение особые понятия «суверенитет киберпространства» и «суверенитет данных», которые дополняют привычное нам понимание суверенитета в отношении территориальных вод, земли и воздушного пространства. Между тем, их содержание в настоящее время вызывает споры среди учёных, что не позволяет признать его конвенциональным.

Данное обстоятельство предопределяет необходимость исследования наиболее актуальных проблем правоприменительной практики, успешность решения которых одновременно является и индикатором эффективности современных теоретических и законодательных конструкций. Наиболее подходящим для достижения указанной цели является метод case study, имеющий широкое распространение в англо-американской юридической литературе. Его суть состоит во всестороннем анализе модельных дел или ситуаций, в ходе которой учёный получает возможность выявить и правильным образом оценить существенные черты исследуемого явления.

Ситуация с компанией «DiDi такси» стала прологом к масштабной проверке китайским правительством безопасности данных и кибербезопасности китайских компаний, зарегистрированных на американском рынке, а также породила доктринальные дискуссии о том, является ли размещение акций на Нью-Йоркской фондовой бирже достаточным основанием для того, чтобы признать национальную безопасность Китая находящейся под угрозой.

Поиски ответа на указанный вопрос позволят нам проанализировать законодательство Китая и доктринальные воззрения, а также сформулировать авторский подход к решению обозначенной проблемы.

2. Теоретические подходы к понятию суверенитета киберпространства и данных

Как было отмечено нами ранее, понятие суверенитета киберпространства ещё не имеет общепризнанного содержания, что ставит нас перед необходимостью сформулировать данное понятие до того, как мы сможем применить его к анализу дела «DiDi такси».

Защита суверенитета киберпространства – это принцип, впервые закреплённый в законе КНР «О национальной безопасности» (2015г.). В дальнейшем закон КНР «О кибербезопасности» (2017г.) и закон КНР «О безопасности данных» (2021г.) еще раз разъяснили, что суверенитет сети и суверенитет данных являются важными компонентами национального суверенитета, а сети и данные обладают атрибутами национального суверенитета.

Статья 5 закона КНР «О кибербезопасности» (2017г.) гласит, что государство должно принимать меры для мониторинга, защиты и устранения рисков и угроз кибербезопасности, возникающих в КНР и за ее пределами, а также для защиты критически важной информационной инфраструктуры от атак и вторжений. Законодатель КНР предусмотрел возможность применения закона КНР «О безопасности данных» к организациям и частным лицам, находящимся за пределами страны, если они осуществляют недобросовестные действия по сбору, мониторингу, анализу и добыче китайских данных (ст. 2 закона).

Таким образом, национальный суверенитет Китая в киберпространстве проявляется в двух аспектах: во-первых, он касается вопросов управления страной и установления юрисдикции над её собственными данными, во-вторых, он действует в случаях необходимости обеспечения защиты данных, в том числе, путём привлечения иностранных нарушителей к ответственности.

В китайских академических кругах указанные аспекты не всегда разделяются, а число предложенных в доктрине определений вряд ли уступает числу существующих в стране научных школ.

a. Специалисты в области цивилистики считают, что данные обладают гражданско-правовыми характеристиками, сходными с такими объектами гражданского права как вещи. Соответственно, представители данного направления исходят из того, что данные, в зависимости от их особенностей и значения, могут быть рассмотрены как «квази-публичные вещи» (национальный суверенитет данных) и вещи, находящиеся в обычном гражданском обороте (права на частные данные).^[1]

b. В соответствии с представлениями учёных, исследующих проблемы правового регулирования СМИ, государство обладает юрисдикцией в отношении определения режима создания, распространения, анализа и использования любых данных на его территории. Оно имеет право самостоятельно определять, какие меры следует принять для защиты безопасности своих данных, в том числе, в отношении участия в деятельности международных организаций и ратификации международных договоров. ^[2]

c. Сходной с изложенной выше позиции придерживаются и китайские политологи. По их мнению, под суверенитетом данных понимается высшая власть страны над данными, созданными отдельными лицами, компаниями и связанными организациями в пределах юрисдикции государства. Суверенитет данных - это реализация и воплощение национального суверенитета в области национальных данных, с независимостью, автономией и исключительностью в качестве его основных характеристик. ^[3]

d. Известной степенью оригинальности отличаются взгляды представителей науки природоресурсного права, которые исходят из гипотезы о том, что массив данных для целей правового регулирования может быть уподоблен добытому сырью, а обработка информации при таком подходе может рассматриваться как создание продукции (новых знаний) из этого сырья. При изложенных обстоятельствах суверенитет государства над данными не имеет сущностных отличий от суверенитета государства в отношении земли и природных ресурсов. ^[4]

Таким образом, в настоящее время китайские исследователи скорее пытаются – с большим или меньшим успехом – приспособить инструментарий существующих правовых отраслей для целей правового регулирования безопасности данных, а не создать самостоятельную концепцию, учитывающую все особенности данного объекта.

Отсутствие чёткого представления о содержании понятия «суверенитет данных» прослеживается не только на уровне научных дискуссий, но и в межгосударственных отношениях.

a. Так, некоторые страны (включая Россию, Бразилию, Индию и Малайзию) прямо закрепили принцип суверенитета данных в своем национальном законодательстве. Например, в соответствии с Федеральным Законом от 21 июля 2014 г. N 242-ФЗ «О внесении изменений в отдельные законодательные акты Российской Федерации в части уточнения порядка обработки персональных данных в информационно-телекоммуникационных сетях», что хранение и обработка данных граждан должны осуществляться на собственной территории, а локализованное хранение данных является обязательным. Фактически, возложив на организации соответствующие обязанности, государство обеспечило полный контроль над хранением, трансграничной передачей и обработкой данных на всех предприятиях (как отечественных, так и зарубежных) в РФ. Таким образом, устанавливается суверенитет данных и защищается собственная национальная сеть и безопасность данных. ^[5] При этом, как отмечается в юридической литературе, подобное регулирование может вызвать негативные последствия для экономики страны, к числу которых относятся создание препятствий в росте объёма цифровой торговли и замедление темпов инновационного развития в сфере прикладных цифровых технологий. ^[6]

b. Противоположный по своему содержанию подход характерен для США, в соответствии с позицией которых, интернет-свобода является значимой ценностью, а киберпространство находится в международном общественном доступе, подобно космосу или открытому морю. Как следствие, правительство США активно содействует свободному потоку информации и данных в глобальном киберпространстве (Transborder Data Flows). ^[7]

Например, в 2015 году Америка выступила против принятия российского закона, предусматривающего требования о локализованном хранении данных, объясняя это тем, что тем самым РФ нарушит свои обязательства по «ГАТС», данные при вступлении в ВТО, поскольку реализация соглашений о торговле услугами невозможна без свободных трансграничных потоков данных. ^[8] При этом было бы неверным утверждать, что американский законодатель в принципе отрицает концепции суверенитета данных и сетевого суверенитета – как будет продемонстрировано далее на примере дела «DiDi такси», определённые ограничения подлежат применению и на территории этой страны.

c. Позиция Европейского Союза по вопросу о суверенитете киберпространства может быть охарактеризована как промежуточная между двумя изложенными ранее. С одной стороны, ЕС применяет строгие правовые нормы в отношении трансграничных потоков данных на основании защиты права на личную жизнь. Например, 6 октября 2015 года суд Европейского Союза постановил, что соглашение между США и ЕС о «Безопасной гавани» (Safe Harbor) утратило свою правовую основу. ^[9] Это решение знаменует собой отказ ЕС от безоговорочной поддержки политики США по свободному перемещению данных.

В настоящее время, когда данные поступают за пределы ЕС, он оставляет за своими государствами-членами право ограничивать трансграничное перемещение данных по соображениям национальной безопасности. Однако в то же самое время ЕС способствует свободному обмену данными внутри стран-участниц организации. ^[10]

d. Политика современного Китая в отношении суверенитета киберпространства и суверенитета данных основывается на следующих принципах:

1). Киберпространство не является особой международной общественной зоной (пространством). Суверенитет киберпространства имеет ту же независимость и автономию, что и суверенитет над «территориальной сушей, воздушным пространством и территориальным морем»;

2). Государство имеет право осуществлять регулирование в отношении всех данных, созданных на его территории. Юрисдикция в отношении трансграничного перемещения данных в собственной стране принадлежит суверенитету каждой страны;

3). При обеспечении национальной безопасности китайское правительство стремится установить баланс между защитой права на личную жизнь, обеспечением трансграничной передачи данных и содействием экономическому развитию страны.

Описанные выше модели правового регулирования и теоретические концепции позволят нам уяснить те причины, по которым органы исполнительной власти Китая заняли столь непримиримую позицию по вопросу о возможности листинга акций компании «DiDi такси» на американской фондовой бирже.

3. Применение теоретических подходов к анализу обстоятельств дела «DiDi такси»

По нашему мнению, в качестве такого «модельного» спора для выяснения содержания понятий, связанных с суверенитетом киберпространства и данных, может быть использован недавний спор, связанный с попыткой китайской компании «DiDi такси» осуществить размещение своих акций на Нью-Йоркской фондовой бирже.

DiDi является крупнейшей в мире платформой мобильных технологий. ^[11] Стратегия развития подобных IT-компаний достаточно типична, в связи с чем осуществление листинга её акций на международной бирже для привлечения дополнительных инвестиций являлось вопросом времени.

30 июня 2021 года компания «DiDi такси» была зарегистрирована на Нью-Йоркской фондовой бирже. Однако менее чем через 48 часов после листинга (02 июля 2021 года) Управление по проверке кибербезопасности Китая в целях обеспечения национальной безопасности и предотвращения рисков для национальной безопасности данных провело проверку кибербезопасности компании в соответствии с законом КНР «О национальной безопасности» и законом КНР «О кибербезопасности». ^[12]

9 июля 2021 года государственное информационное управление интернета согласно закону КНР «О кибербезопасности» уведомило магазин мобильных приложений об удалении 25 приложений, разработанных компанией «DiDi такси».^[13]16 июля 2021 года семь департаментов, в том числе Министерство национальной безопасности, Министерство общественной безопасности и Министерство транспорта, совместно провели проверку сетевой безопасности компании «DiDi такси». ^[14] 3 декабря 2021 года компания «DiDi» объявила о своем исключении из листинга Нью-Йоркской фондовой биржи. Таким образом, размещение её акций на иностранной фондовой бирже не состоялось.

На основе всестороннего анализа проспекта листинга акций и сферы деятельности компании «DiDi такси», а также китайских и американских законов и постановлений, касающихся национальной безопасности, можно утверждать о наличии двух самостоятельных групп причин, которые могли повлиять на решения китайских профильных органов и ведомств.

Во-первых, речь идёт о существовании внутренних ограничений, связанных со сферой деятельности компании «DiDi такси», а также с общими требованиями к правовому регулированию их деятельности.

a. Бизнес «DiDi такси» разделен на три основных направления (китайский внутренний бизнес, международный бизнес и другие инновационные предприятия) и четыре основных стратегических сектора, к которым относятся сети автосервисов, общая платформа для путешествий, электромобили и системы автономного вождения. Компания «DiDi такси» владеет личной информацией 377 миллионов пользователей и 13 миллионов водителей в Китае. ^[15] На бизнес внутри страны приходится более 90% общей выручки в компании «DiDi такси». ^[16]

Кроме того, онлайн-бизнес по вызову такси DiDi в Китае сопряжён со сбором видео- и аудиозаписей. ^[17] Так, в соответствии с п. 3.4 «Соглашения о сборе аудио-видео информации и защите конфиденциальности», выпущенного «DiDi такси», созданные во время поездки аудио- и видеозаписи будут использоваться для анализа, проектирования и разработки системы онлайн-вызова такси.

В соответствии с действовавшим на тот период времени законодательством, компания «DiDi такси» была обязана проходить проверки соблюдения кибербезопасности в случае, если её деятельность потенциально способна создавать угрозы для системы национальной безопасности (ст. 59 закона КНР «О национальной безопасности»).

Однако непосредственно после появления новостей о размещении акций компании на Нью-Йоркской бирже указанное выше законодательное требование было существенно детализировано. Так, 9 июля 2021 года Национальное информационное бюро Интернета сообщило, что приложение «DiDi такси» серьезно нарушило законы и постановления при сборе и использовании личной информации.

Уже на следующий день после публикации указанного сообщения было нормативно закреплено требование проверки кибербезопасности для всех китайских операторов персональных данных, обрабатывающих информацию более 1 миллиона пользователей, если они собираются разместить акции на иностранной фондовой бирже.

Данное ограничение не только означает, что почти все китайские интернет-компании, которые желают разместить свои ценные бумаги за границей, должны проходить проверку сетевой безопасности, но также свидетельствует о том, что китайское правительство стало преследовать цель защиты суверенитета данных и защиты личной информации.

b. Вероятно, помимо объёма данных, на решение китайских контролирующих органов в отношении листинга акций компании «DiDi такси» послужила и специфика её деятельности в области создания и использования высокоточных карт, обновляемых в реальном времени.

В 2017 году компания «DiDi такси» получила разрешение на осуществление деятельности в сфере высокоточных карт, которая включает в себя право на разработку систем автономного вождения (Autonomous Driving). Поскольку географическая информация (особенно конфиденциальная) является стратегическим ресурсом страны, она напрямую связана с национальным суверенитетом и безопасностью. Государство шифрует все общедоступные карты, и требует, чтобы сервера для хранения картографических данных находились на территории КНР. Однако создание высокоточных карт требует сбора большого количества географических элементов (их точность может достигать сантиметрового уровня).

В случае применения высокоточных карт для систем автономного вождения необходимо также обеспечить возможность их обновления в реальном времени, что исключает возможность шифрования или даже сколько-нибудь эффективного контроля над данными со стороны государственных учреждений. ^[18]

Данный риск осознаётся китайским законодателем. В соответствии с принятым в 2021 году актом под названием «Меры по управлению квалификацией в области геодезии и картографии», высокоточные карты должны соответствовать следующим дополнительным положениям о конфиденциальности: результаты секретных съемок и картографирования должны основываться на защищённых сетевых операциях. При внешнем обеспечении должен быть задействован специальный персонал и специализированные компьютеры, требуется осуществление аудита безопасности в реальном времени.

Соответственно, сам факт наличия у организации лицензии на создание высокоточных карт территории всей страны свидетельствует о том, что её деятельность является критически-важной для национальной безопасности страны.

В соответствии с позицией исследователей из Министерства природных ресурсов Китая, сохранить конфиденциальность указанной информации в случае её передачи в другие страны практически невозможно, что способно поставить под угрозу национальную безопасность Китая. ^[19]

С учётом изложенного, сама сфера деятельности компании «DiDi такси» накладывала дополнительные ограничения на её возможность разместить акции на иностранной бирже, которое создает угрозу передачу данных организации за границу (в соответствии со ст. 37 закона КНР «О кибербезопасности» данные китайских компаний должны быть локализованы на его территории, а в случае такой необходимости должна проводиться проверка кибербезопасности).

c. Когда компания «DiDi такси» была зарегистрирована на Нью-Йоркской фондовой бирже, у нее был бизнес онлайн-такси в более чем 4000 городах и округах в 15 странах. ^[20] Основываясь на разнообразных и массивных данных, собранных в режиме реального времени, компания «DiDi такси» может использовать технологию анализа больших данных для прогнозирования статуса социального развития, таких как транспорт и управление в городах, где она осуществляет свою деятельность.

Например, в 2015 году Информационное агентство Синьхуа и расположенный в США Институт медиа-исследований компании «DiDi такси» провели углубленный анализ больших данных о взаимосвязи между записями о такси (время и маршрут) сотрудников китайских министерств (таких как Министерство иностранных дел), сведениями о погоде и новостями дня. Таким образом выводится взаимосвязи между рабочим временем и кругом должностных обязанностей сотрудников различных министерств и комиссий в Китае. ^[21]

С учётом изложенного, посредством интеллектуального анализа больших данных оказалось возможным выяснить значительный объём информации, имеющей значение для национальной безопасности страны. ^[22]

d. В случае успешного размещения акций компании «DiDi такси» на иностранной бирже, последняя была бы обязана предоставить важные и конфиденциальные данные о критически важной информационной инфраструктуре в Комиссию по ценным бумагам и биржам США (SEC), включая информацию об основной финансовой системе и документы аудита данных.

Некоторые эксперты считают, что даже если это только аудиторские отчеты, примечания к финансовым отчетам и обмены с Комиссией по регулированию ценных бумаг США, объем раскрываемой информации огромен. ^[23] Если эти данные незаконно используются иностранными враждебными силами, это создаст серьезную угрозу национальной безопасности. ^[24]

Поэтому, если компания «DiDi такси» по неосторожности передаст вышеуказанные пользовательские данные, высокоточные картографические данные и информацию после анализа больших данных и углубленного анализа в зарубежные страны, то это может не только подорвать национальный суверенитет Китая в отношении данных, но также может нанести значительный ущерб его национальной безопасности.

Во-вторых, на решение компании «DiDi такси» отказаться от публичного размещения своих акций в США могли повлиять и изменения в американском законодательстве.

2 декабря 2021 года в США были объявлены правила применения закона «О подотчетности иностранных компаний» (Holding Foreign Companies Accountable Act, HFCAA). Согласно данным правилам, Комиссия и Совет по надзору за бухгалтерским учетом акционерных компаний (PCAOB), скорее всего, будет проверять данные пользователей компании, дорожные данные и другие данные, связанные с общественной безопасностью. ^[25] На следующий день (3 декабря) компания «DiDi такси» объявила о своем исключении из листинга Нью-Йоркской фондовой биржи.

Кроме того, потенциально деятельность компании «DiDi такси» могла бы попасть под действие американского разъяснения закона «О законном использовании данных за рубежом» (Clarifying Lawful Overseas Use of Data Act), что было способно привести к следующему:

1). компания «DiDi такси» могла быть признана американской компанией после приобретения значительного числа акций гражданами США или их компаниями; ^[26]

2). компания «DiDi такси» могла быть признана иностранным поставщиком услуг по смыслу кибербезопасности. ^[27]

В соответствии со ст. 105 указанного закона, пока поставщик услуг в США имеет фактический контроль над пользовательскими данными, независимо от того, в какой стране они хранятся, правоохранительные органы США имеют право в одностороннем порядке требовать доступ к ним.

В то же самое время, когда органы иностранного государства стремятся получить данные от американской компании, их предоставление возможно только при выполнении значительного числа условий:

1). получение разрешения от американских контролирующих органов на получение данных с территории США; ^[28]

2). соблюдение американских стандартов защиты данных в отношении полученной информации;

3). проведение строгой проверки перед предоставлением данных;

4). возможность американских государственных органов и комиссий самостоятельно определять содержательное наполнение перечисленных выше условий ^[29]

Таким образом, разъяснение закона США «О законном использовании данных за рубежом» не только основано на дискриминационной и несправедливой по своей сути модели, но и фактически расширяет суверенитет США над данными за пределы территории этой страны ^[30]. Иными словами, изложенное правовое регулирование привело к возникновению конфликта между юрисдикциями США и иных государств в отношении данных и поставило под сомнение сложившиеся подходы к локализации данных, применяемые в других странах. ^[31]

Применение рассматриваемого нормативного акта к компании «DiDi такси» позволило бы США проигнорировать суверенитет КНР в отношении данных и требовать предоставления сведений о личных данных пользователей, высокоточных карт и результатов анализа больших данных, что очевидно создавало бы угрозу для национальной безопасности Китая.

4. Выводы

С учётом изложенного, вероятно, не будет преувеличением сказать, что дело компании «DiDi такси» является знаковым для всех организаций, деятельность которых сопряжена с анализом больших объёмов данных, желающих разместить свои акции на территории США. Фактически, американский законодатель попытался навязать другим странам собственное понимание суверенитета данных и сетевого суверенитета, что, несомненно, окажет влияние и на развитие мировой интернет-индустрии, и на отношения между государствами.

Проанализированный нами спор позволяет осознать существование насущной необходимости выработки общепризнанных подходов к трансграничной передаче данных, которые будут применяться всеми странами. В противном случае существует реальная опасность навязывания стандартов определённой страны всем иным государствам, которая неизбежно вызовет конфликты суверенитета данных между странами в будущем.