О правотворчестве и правовых новациях в части защиты от утечек персональных данных

Аннотация. Статья посвящена анализу правовых новаций и законодательных изменений в области защиты персональных данных от утечек, вызванных вызовами цифровизации и глобализации. Автор подчеркивает рост киберугроз и необходимость совершенствования законодательства для противодействия этим вызовам.
В исследовании использован сравнительно-правовой анализ законодательства, а также рассмотрены последние изменения в нормативно-правовых актах, направленные на усиление защиты персональных данных. Автор анализирует ключевые проблемы, такие как рост утечек данных, и предлагает меры по их устранению, включая введение киберстрахования и усиление ответственности за утечки.
Выявлены основные проблемы в области защиты персональных данных, такие как увеличение числа утечек и незаконное использование данных с помощью технологий Deepfake. Предложены меры по улучшению законодательства, включая введение киберстрахования и усиление административной и уголовной ответственности за утечки данных. Также рассмотрены правовые механизмы борьбы с технологиями Deepfake.
Результаты исследования могут быть использованы для дальнейшего совершенствования законодательства в области защиты персональных данных, а также для повышения осведомленности граждан о киберрисках. Предложенные меры, такие как киберстрахование и усиление ответственности, могут способствовать снижению числа утечек данных и повышению уровня информационной безопасности. Исследование также подчеркивает необходимость гармонизации законодательства и повышения компетенций специалистов в области IT и права.

Ключевые слова: персональные данные, цифровизация, киберстрахование, киберриски, утечки данных, правотворчество, технология распознавания лиц, защита изображения лица, искусственный интеллект, информация.

Булочников, С. Ю. О правотворчестве и правовых новациях в части защиты от утечек персональных данных / С. Ю. Булочников // Новизна. Эксперимент. Традиции (Н.Экс.Т). – 2025. – Т. 11, № 1(29). – С. 6-15. – EDN VNUYMR.
https://elibrary.ru/item.asp?id=80636606

Введение

Правовые новации в сфере новых и развивающихся технологий включают изменения и обновления законодательства, направленные на адаптацию правовых норм к современным экономическим и социальным условиям. Эти изменения разрабатываются и принимаются государственными органами в рамках правотворческого процесса, который направлен на совершенствование правового регулирования.

Правотворчество — это процесс разработки, принятия, изменения или отмены правовых норм компетентными государственными органами. В сфере частного права правотворчество играет ключевую роль в обеспечении актуальности и эффективности правового регулирования. Оно позволяет своевременно реагировать на изменения в экономике, социальной сфере и технологиях, обеспечивая защиту прав и интересов участников гражданского оборота [5].

По мнению С. С. Вашуриной, государство для регулирования новых процессов и технологий в эпоху цифровизации вводит лишь программно-стратегические акты, а не полноценные законы или иные систематизированные и конкретные нормы [3]. Однако в последние годы в законодательстве произошел ряд значительных изменений, направленных на улучшение правового регулирования и создание более благоприятных условий для развития бизнеса и экономики в условиях цифровизации. Примеры последних изменений отражены в таблице 1.

Таблица 1

*См. напр., Федеральный закон «О внесении изменений в статьи 128 и 140 части первой, часть вторую и статьи 1128 и 1174 части третьей Гражданского кодекса Российской Федерации» от 24.07.2023 № 339-ФЗ.
**См., напр., Федеральный закон «О цифровых финансовых активах, цифровой валюте и о внесении изменений в отдельные законодательные акты Российской Федерации» от 31.07.2020 № 259-ФЗ.
***См., напр., Постановление Правительства Российской Федерации «Об утверждении Правил ведения реестра лиц, осуществляющих майнинг цифровой валюты, и Правил ведения реестра операторов майнинговой инфраструктуры» от 31.10.2024 № 1464.

Конечно же, современные правовые новации неразрывно связаны с развитием новых технологий. Цифровизация охватывает всё больше сфер жизни, способствуя развитию экономических отношений, в этой связи роль информационно-телекоммуникационной системы Интернет сложно переоценить [7]. Для пользователей Интернета остро стоит вопрос о безопасности персональных данных. Эти данные часто становятся мишенью для киберпреступников.

Рост утечек персональных данных в России

По данным InfoWatch (российской компании, специализирующейся на информационной безопасности), в 2023 году количество утечек конфиденциальных данных в мире увеличилось в 2,4 раза. Число скомпрометированных записей персональных данных возросло в 6 раз и достигло 18,3 миллиарда. В России этот показатель составил 705 миллионов (Доклад компании InfoWatch об утечках персональных данных в 2023 году).

Более того, по данным центра противодействия кибератакам Solar JSOC (ГК «Солар»), злоумышленники сформировали базу персональных данных на каждого жителя страны. Это может привести к активизации преступности в цифровой и информационной среде. В частности, повысится уровень мошенничества, шантажа, кибератак и число обзвонов граждан для введения их в заблуждение (ТАСС. Эксперт предупредил о возможном наличии базы почти на всех россиян у хакеров). В ноябре 2024 года президент ПАО «Ростелеком» Михаил Осеевский заявил, что персональные данные абсолютно всех россиян уже продолжительное время находятся в открытом доступе (ТАСС. Глава «Ростелекома» считает, что личные данные всех россиян уже утекли в сеть).

Безусловно, привлечение всеобщего внимания к проблеме защиты информации и персональных данных частных лиц способствует запуску процессов изменений и в других сферах. Так, наряду с необходимостью внесения изменений в гражданское, уголовное, административное и законодательство сфере страхования неизбежные изменения произойдут в экономических отношениях между государством и гражданами, государством и коммерческими структурами, оказывающими комплексные услуги страхования. Это подтверждает Е. В. Михайлова, которая выделяет не только позитивные стороны цифровых ресурсов, но и отрицательные, например, новые способы уклонения от уплаты налогов и нарушения авторских прав [9]. Очевидно, что субъектам законотворчества необходимо реагировать на эти изменения и принимать соответствующие меры.

Одновременно с этим достижение успеха невозможно без привлечения компетентных специалистов в IT-отрасли, а также повышения соответствующих навыков у юристов и адвокатов.

Механизм страхования киберрисков (киберстрахование)

Законодатель пытается урегулировать распространение персональных данных в цифровой среде. Так, в 2024 году сенаторы предложили ввести понятие «киберстрахование» — страхование от киберрисков, связанных с утечкой и неправомерным использованием персональных данных. С помощью этого механизма граждане России могут начать получать компенсации в случае утечек своих персональных данных из ФГИС «Госуслуги». Выплачивать компенсации будет Министерство цифрового развития, связи и массовых коммуникаций Российской Федерации (Минцифры РФ) из собственных средств, поскольку является оператором персональных данных. Важно, чтобы операторы, работающие с персональными данными, имели финансовое обеспечение для выплаты компенсаций в случае утечек данных и ущерба, причиненного гражданам. Что касается государственных организаций, то компенсации в пользу граждан также возможны: их могут выплачивать либо из бюджета, либо из финансовых средств непосредственного виновника утечки (РИА Новости. Россияне могут начать получать компенсации от «Госуслуг» за утечки данных).

Компенсация за утечки данных — это важный аспект в области защиты данных и приватности. В современном цифровом мире, где персональная информация может быть скомпрометирована из-за кибератак, утечек данных или других сбоев в безопасности, компенсация является механизмом, который позволяет пострадавшим получить возмещение ущерба, понесенного в результате таких инцидентов.

В. Ф. Бадюков в своих работах приводит несколько исследований, подтверждающих опасность и перспективность вопросов утечек персональных данных еще в 2020 году. Отмечалось, что в силу отсутствия проработанной нормативно-правовой базы интерес российских компаний и предприятий к рынку страхования утечек персональных данных практически отсутствовал [1].

Западные страны разработали и применяют политику информационной безопасности как комплекс законотворческих, социально-экономических и общественных реформ, что, в свою очередь, позволяет нам рассуждать над используемыми понятиями: «киберриски», «киберпреступление» и «киберстрахование» [6].

Одно из коммерчески популярных решений за рубежом, которое позволяет защищать предприятия и частных лиц от финансовых потерь, вызванных подверженностью киберрискам, является киберстрахование (англ. cyber insurance). В частности, бизнес-решения в области киберстрахования диверсифицируют своих клиентов по типу киберрисков (высокий, средний, низкий). Кроме того, они позволяют покрывать свои собственные расходы и ответственность перед третьими лицами (например, ответственность электронных СМИ, сетевая безопасность, предотвращение утечек персональных данных и ответственность за конфиденциальность) [10].

Нужно отметить, что и в Российской Федерации делаются существенные шаги в решении указанных проблем. В течение всего 2024 года депутаты Государственной Думы ФС РФ обсуждали и принимали законопроекты, ужесточающие ответственность за утечки персональных данных. Теперь мера административной ответственности будет сопряжена с количеством незаконно распространенных сведений и информации о конкретном человеке (Федеральный закон «О внесении изменений в Кодекс Российской Федерации об административных правонарушениях» от 30.11.2024 № 420-ФЗ). В таблице 2 представлены количество субъектов (идентификаторов) и ответственность за неправомерную передачу информации (предоставление, распространение, доступ).

Таблица 2

Примечательно, что одновременно были внесены и соответствующие поправки в Уголовный кодекс (Федеральный закон «О внесении изменений в Уголовный кодекс Российской Федерации» от 30.11.2024 № 421-ФЗ). Отныне за незаконное использование, передачу, сбор или хранение компьютерной информации, содержащей персональные данные, грозит штраф в размере 300 000–400 000 рублей или принудительные работы на срок до четырех лет, либо лишение свободы на срок до четырех лет.

Следует отметить, что государство приспосабливает действующее законодательство к современным реалиям, стремясь удовлетворить потребности общества в защите информации, и особенно — персональных данных граждан.

Однако ни одна из инициатив не сработает, если сами граждане не начнут ответственно относиться к безопасности своих персональных данных. В этой связи перед государством стоит задача не только разъяснить простым обывателям смысл проводимых реформ, но и сформировать у них необходимые компетенции, путем проведения ряда образовательных мероприятий.

Осуществление компенсационных выплат, так называемое страхование киберрисков, из средств бюджета в пользу гражданина, чьи персональные данные стали достоянием общественности, формирует представление о государстве, которое не только признает, но и уважает сведения каждого конкретного взятого гражданина. Киберстрахование в данном случае выступает как правовой и экономических механизм социальной направленности, не связанный с противоправными либо виновными действиями самого государства (государственных организаций и институтов). Этот механизм позволяет минимизировать негативные последствия от утечки персональных данных.

Остаются неразрешенными вопросы о процедуре оценки страховых рисков и страховых случаев, критериях оценки размера компенсационной выплаты в зависимости от социального статуса потерпевшего гражданина либо от размера причиненного ущерба. Не стоит забывать, что гражданское законодательство и сложившаяся судебная практика испытывают определенные сложности с оценкой размера компенсации морального вреда, например, в сфере защиты авторских прав, либо компенсации вреда вследствие совершенных противоправных действий в отношении личности. Из-за отсутствия четких критериев оценки размера компенсации морального вреда в каждом конкретном случае размер компенсационной выплаты индивидуален (Определение Конституционного Суда РФ «Об отказе в принятии к рассмотрению жалобы гражданки Веретенниковой Анны Александровны на нарушение ее конституционных прав пунктом 2 статьи 1101 Гражданского кодекса Российской Федерации» от 15.07.2004 № 276-О).

Это же относится и к страховым выплатам, подлежащим выплате в случае кибератак на персональные данные, размещенные (хранящиеся), к примеру, во ФГИС «Госуслуги». В ходе расследования уголовных дел и привлечения виновных к ответственности государство правомочно восполнить бюджет для целей выплаты страховых возмещений, а также развития материально-технической базы и комплексного укрепления информационной безопасности.

Может ли идти речь о страховании, если утечка персональных данных произошла из-за халатного отношения, неисполнения требований информационной безопасности или нарушения положений Федерального закона о персональных данных сотрудниками ФГИС «Госуслуги», а также представителями иных государственных структур (организаций)? В этой связи обсуждению подлежит вопрос о наличии вины в тех или иных действиях (бездействии), вследствие которых произошло разглашение персональных данных, а также о пределах ответственности Минцифры РФ как крупнейшего оператора персональных данных.

В таком случае компенсация причиненного морального вреда и материального ущерба гражданину должна проходить через призму гражданско-правовой ответственности, а не через механизм страховых выплат. Процедура получения пострадавшим гражданином страховых выплат либо возмещение вреда (ущерба) из бюджета представляется надежной, скоротечной и гарантированной.

Данное нововведение является интересным дополнительным механизмом стимулирования государственных органов на примере Минцифры РФ и к повышению обеспечения уровня защищенности персональных данных, особенно в условиях участившихся случаев утечки такого рода информации [4]. Этот прецедент наилучшим образом отразится на изменении отношения государственных и коммерческих организаций к политике обеспечения безопасности персональных данных, а субъектам персональных данных наконец-то дадут возможность получения компенсации материального и морального вреда от неправомерного использования их данных.

Государственная Дума приняла законопроект об обязательном страховании вреда, причиненного искусственным интеллектом (ИИ), в рамках работы экспериментальных правовых режимов (ЭПР). Документ (№ 512628-8) правительство внесло в Государственную Думу в декабре 2023 г. Поправки вносятся в закон «Об экспериментальных правовых режимах в сфере цифровых инноваций в РФ», а в июле 2024 год Президентом был подписан указ о введении этого режима (Федеральный закон «О внесении изменений в Федеральный закон ” Об экспериментальных правовых режимах в сфере цифровых инноваций в Российской Федерации“» от 08.07.2024 № 169-ФЗ).

Сейчас страхование рисков в ЭПР носит добровольный характер. «Программой экспериментального правового режима может предусматриваться требование к субъекту экспериментального правового режима о необходимости страхования им гражданской ответственности за причинение указанного вреда при реализации экспериментального правового режима», — говорится в законе. Эту норму предлагается убрать и сделать страхование обязательным. «Программа ЭПР должна содержать (...) положения о страховании участниками ЭПР своей гражданской ответственности за причинение вреда жизни, здоровью или имуществу других лиц при реализации ЭПР, в том числе в результате использования решений, созданных с применением технологий искусственного интеллекта, а также требования к условиям такого страхования, в том числе к минимальному размеру страховой суммы, перечню рисков и страховых случаев», — говорится в принятом во втором чтении законопроекте.

Технология DeepFake и незаконное использование персональных данных граждан

Следующая технология, которую необходимо рассмотреть, — это DeepFake (англ. «глубокая подделка»). Она основана на использовании искусственного интеллекта и машинного обучения для создания фальшивых цифровых материалов, таких как видео, аудио или изображения, которые могут реалистично имитировать оригиналы. Очевидно, что в основе этих материалов часто лежат персональные данные граждан, которые с большой долей вероятности используются незаконно [8].

Существует несколько видов технологии DeepFake:

1. FaceSwap — замена лица на видео с использованием глубоких нейронных сетей;
2. Audio DeepFake — синтез речи, создание фейковых аудиозаписей, имитирующих голос человека;
3. Text-to-Speech (TTS) — генерация речи из текстового ввода, с помощью которого можно создавать видео, где люди «произносят» вещи, которые они никогда не говорили.

Эта технология, безусловно, имеет преимущества и может помочь человечеству в решении различных задач. Однако в контексте исследования особый интерес представляют негативные последствия применения DeepFake и правовые механизмы их устранения. А. А. Бычинская и С. И. Иванова выделяют такие последствия, как манипуляции и обман; нарушение приватности; рост киберпреступлений [2].

В сентябре 2024 года в Государственную Думу было внесено сразу два законопроекта, направленных на защиту от дипфейков. Законопроект № 718538-8 «О внесении изменений в УК РФ» предлагает определить использование дипфейков как отягчающее обстоятельство для таких преступлений, как клевета (ст. 128.1), мошенничество (ст. 159), кража (ст. 158) вымогательство (ст. 163) и причинение имущественного ущерба (ст. 165). В случае принятия закона использование дипфейка по указанным выше статьям будет квалифицироваться судом как преступление, совершенное с отягчающими обстоятельствами, по которым наказание может быть увеличено. Например, за клевету штраф может быть поднят до 1,5 млн рублей (без отягчающих обстоятельств штраф за клевету ограничен 500 тыс. рублей), а за мошенничество срок лишения свободы может быть ужесточен до 6 лет (без отягчающих обстоятельств лишение свободы ограничено двумя годами) (Законопроект № 718538-8 «О внесении изменений в Уголовный кодекс Российской Федерации» (в части установления уголовной ответственности за совершение преступлений с использованием технологий подмены личности)).

Второй законопроект, № 718834-8 «О внесении изменений в часть первую Гражданского кодекса Российской Федерации», вносит в ГК новую статью 152.3. «Охрана голоса гражданина» (Законопроект № 718834-8 «О внесении изменений в часть первую Гражданского кодекса Российской Федерации» (об охране голоса)). Она закрепляет за гражданином право распоряжаться записями своего голоса, в том числе и синтезированного с помощью искусственного интеллекта. Правда, предполагаются три исключения, если:

1. использование голоса гражданина осуществляется в государственных, общественных или иных публичных интересах;
2. голос гражданина записан при видео- или аудиозаписи, которая проводится в местах, открытых для свободного посещения, или на публичных мероприятиях;
3. запись голоса гражданина производилась за плату.

Заключение

Развитие новых технологий и способов взаимодействия с персональными данными представляет собой сложный и динамичный процесс, который требует непрерывного внимания и усилий со стороны государства, правоприменителей и самих граждан. Можно сказать, что правовые новации в этой сфере в России являются результатом динамичного процесса правотворчества, который отражает изменения в обществе и экономике. Правотворчество направлено на улучшение правового регулирования и создание более благоприятных условий для развития бизнеса, экономики и безопасности населения в цифровой среде.

На процесс правотворчества влияют как внутренние, так и внешние факторы, включая глобализацию, которая способствует интеграции российского законодательства в международную правовую систему. Государство играет ключевую роль в правотворчестве, обеспечивая разработку и принятие законодательных актов, а также контроль за их соблюдением.

Литература

1. Бадюков, В. Ф. Риски цифровой экономики: особенности и перспективы развития киберстрахования в России / В. Ф. Бадюков, М. Н. Докучаев // Страховое право. – 2021. – № 1 (90). – С. 42–44. – EDN UKGJBK
2. Бычинская, А. А. Deepfake: новая реальность / А. А. Бычинская, С. И. Иванова // Новизна. Эксперимент. Традиции (Н.Экс.Т). – 2024. – Т. 10, № 2 (26). – С. 32–39. – EDN TGTRQG
3. Вашурина, С. С. Влияние цифровизации на конституционные права граждан / С. С. Вашурина // Теоретическая и прикладная юриспруденция. – 2024. – № 1 (19). – С. 74–83. – EDN EEVHNK
4. Градобоева, П. А. Утечка персональных данных в России / П. А. Градобоева // Молодой ученый. – 2024. – № 17 (516). – С. 179–181. – EDN NPTHXJ
5. Гусева, С. Г. Правотворчество: основные понятия и принципы / С. Г. Гусева, Т. Я. Коняхина // Вестник экономической безопасности. – 2016. – № 6. – С. 257–259. – EDN YLGJNB
6. Казарин, О. В. Современные концепции кибербезопасности ведущих зарубежных государств / О. В. Казарин, А. А. Тарасов // Вестник РГГУ. Серия: Документоведение и архивоведение. Информатика. Защита информации и информационная безопасность. – 2013. – № 14 (115). – С. 58–74. – EDN RLYGMT
7. Михайлова, Е. В. Цифровизация права в контексте его сущности и применения / Е. В. Михайлова // Теория и практика общественного развития. – 2021. – № 7 (161). – С. 83–86. – EDN OBWWXA
8. Распознавание Deepfake фотографий и видео с помощью глубокого обучения / К. В. Санталов, О. В. Панкратьева, И. Д. Котилевец, И. И. Иванова // Управление в современных системах: сборник трудов XI Всероссийской (национальной) научно-практической конференции научных, научно-педагогических работников и аспирантов. Челябинск, 15 декабря 2021 года. – Челябинск: Южно-Уральский технологический университет, 2021. – С. 332–340. – EDN EKOVHC
9. Фроленко, Н. А. Цифровизация права: процессы цифровизации и ее особенности / Н. А. Фроленко, Ю. В. Осипова // Вестник науки. – 2024. – Т. 2, № 2 (71). – С. 184–188. – EDN LAUBTI
10. Ranjan Pal, Peihan Liu, Taoan Lu, and Ed Hua. (2023) How Hard Is Cyber-risk Management in IT/OT Systems? A Theory to Classify and Conquer Hardness of Insuring ICSs. ACM Trans. Cyber-Phys. Syst. 6, 4, Article 35 (October 2022), 31 pages. https://doi. org/10.1145/3568399