Кирилл Азизавич Шафеев
Аннотация. В статье анализируется существующее правовое регулирование противодействия киберпреступности в праве Европейского союза, совершаемой онлайн с использованием преимуществ сети Интернет, а также выявляются тенденции и перспективы соответствующей стратегии кибербезопасности.
Ключевые слова: киберпреступления, сеть Интернет, право Европейского союза, уголовное право.
Развитие информационных технологий влечет их внедрение во все сферы общественных правоотношений. Тем не менее упрощение повседневных операций, вызванное подобным научно-техническим прогрессом, неизменно приводит ко все более широкому использованию информационных технологий в преступных целях. В настоящее время практика показывает, что преступные действия могут совершаться как с использованием современной компьютерной техники и других электронных девайсов, так и посредством использования преимуществ сети Интернет. Соответственно, деятельность законодателей должна учитывать подобные тенденции.
Противодействие подобным преступлениям и привлечение лиц, совершивших подобные преступные деяния, к ответственности затруднены даже в рамках отдельных государств, поскольку зачастую преступников сложно идентифицировать из-за использования ими компьютерной техники и несовпадения места преступления с фактическим нахождением преступника в момент совершения. Тем более уголовное преследование преступлений такого рода будет затруднено в Европейском союзе, где киберпреступления чаще всего имеют трансграничный характер и могут воздействовать на интересы ЕС в целом.
Европейский союз обладает уникальной (в той мере, в какой это может относиться к международной организации) формой политике-правового устройства, которая в некоторых аспектах усложняет регулирование различного рода правоотношений, а в некоторых аспектах их, наоборот, упрощает. Наиболее близкой аналогией здесь может выступать федеративное государство, где субъекты федерации сохраняют достаточно широкую компетенцию, а главные институции ЕС выступают в роли органов федеральной власти. При это достаточно легко усмотреть и соответствующий федеративный правовой конституционализм Европейского союза, при котором учредительные договоры и Хартия о фундаментальных правах исполняют роль конституционных актов, вторичное законодательство (регламенты, директивы, решения, рекомендации) выполняют функцию федеральных законов, а национально-правовые системы являются законодательными системами субъектов федерации, которые действуют до тех пор, пока не будут «вытеснены» вторичным законодательством вследствие гармонизационных процессов.
При этом нельзя сказать, что существуют все классические для национально-правовых систем отрасли права в «федеральном» восприятии права Европейского союза, поскольку ЕС является достаточно молодой международной организацией для того, чтобы полностью гармонизировать свою автономную правовую систему и привести все право государств-членов к единому «знаменателю».
Тем не менее в гармонизации и унификации уголовного права государств-членов и в создании единого уголовного права Европейского союза как наднациональной отрасли права европейские институции достигли заметных успехов. И все это, несмотря на довольно небольшой процент наднациональных нормативно-правовых актов, посвященных вопросам уголовного права, от общего числа законодательных актов ЕС.
Изначально гармонизация уголовного права Европейского союза началась на политическом уровне почти за 20 лет до того, как сам термин «Европейский союз» окончательно пришел на смену термину «Европейские сообщества». В 1975 г. на министерском уровне в рамках Европейского совета была организована группа TREVI[1], которая заложила основу европейского сотрудничества в сфере противодействия особо тяжким преступлениям, имеющим зачастую трансграничный характер (терроризм, экстремизм и т.п.)[2]. При этом за время своей деятельности группа TREVI обозначила необходимость совершенно разных механизмов уголовного права, а также смежных областей. В частности, различные рабочие группы прорабатывали план гармонизации мер противодействия широкому кругу преступных действий, а также необходимых мер для подобной гармонизации: от футбольного хулиганства и безопасности ядерных установок до терроризма и полицейского и судебного сотрудничества по уголовным делам. После введения политики «трех опор» (см. далее) и взятия курса на усиленную политико-правовую интеграцию в начале 1990-х функционирование группы прекратилось ввиду распределения ее разнообразных задач между Европолом и другими ad hoc рабочими группами, деятельность которых касалась противодействия терроризму и другим опасным трансграничным преступлениям.
Следующим важным этапом на пути формирования единой отрасли уголовного права Европейского союза является принятие Маастрихтского договора в 1992 г., на основании которого ЕС получил три «опоры» – три главных направления и основания для продолжения европейской политико-правовой интеграции [3].
Первой опорой являлись Европейские сообщества, в рамках которых проводилась интеграция по направлениям создания единого экономического рынка, европейских конкурентных правил, единой политики охраны окружающей среды, а также валютного союза.
Второй опорой стала Общая внешняя политика и политика безопасности, которая обозначала роль Европейского союза в миротворчестве, правах человека, соответствующей помощи третьим государствам и т.п., т.е. очерчивала роль ЕС на мировой арене, несмотря на пока отсутствующую правосубъектность.
Третья опора изначально была обозначена как «Правосудие и внутренние дела» (англ. Justice and Ноте Affairs). Позже, после вступления в силу Амстердамского договора, в 1999 г. она была переименована в «Полицейское и судебной сотрудничество по уголовным делам» (англ. Police and Judicial Co-operationin Criminal Matters), что точнее отражает направление гармонизации в данной области. Соответственно в рамках данной опоры государства-члены обеспечивали сотрудничество судебных органов по вопросам уголовных дел, а также сотрудничество полицейских органов для противодействия трансграничным преступлениям (терроризм, торговля наркотиками, организованная преступность и т.п.).
Также в этот период принимались пятилетние программы действия для развития кооперации государств-членов в области правосудия и внутренних дел: Тамперская программа (1999 г.)[4] обозначила направления по созданию единой миграционной политики ЕС, европейского пространства правосудия, борьбы с трансграничной преступностью и внешней политики в данной области; Гаагская (2005 г.) и Стокгольмская (2010 г.) программы конкретизировали интеграцию государств-членов в вышеназванных направлениях.
После вступления в силу Лиссабонского договора в декабре 2009 г. система опор была упразднена, однако Европейский союз в силу своей появившейся правосубъектности получил некоторые компетенции в сфере уголовного права.
Статья 67 Договора о функционировании Европейского союза[5](далее – ДФЕС) устанавливает пространство свободы, безопасности и правосудия, учитывая фундаментальные права человека и различия в правовых системах и традициях государств – членов. При этом безопасность и правосудие должны обеспечиваться посредством мер по предупреждению преступности и взаимного признания и исполнения судебных решений по уголовным делам, путем кооперации полицейских органов и иных компетентных органов, а также при необходимости гармонизацией уголовных законов государств-членов.
На основании ст. 4 ДФЕС в рамках пространства свободы, безопасности и правосудия ЕС имеет совместную с государствами-членами компетенцию, это означает, что и ЕС как наднациональная структура, и государства-члены могут принимать нормативно-правовые акты в данной области. Но (если проводить параллель с европейским федерализмом) в области совместной компетенции действует правило «вытеснения», которое означает, что, если какие-либо правоотношения были гармонизированы институциями ЕС на общесоюзном уровне, государства-члены теряют свое право нормотворческой деятельности в данной области. Это значимо для сферы уголовного права, поскольку благодаря этому ЕС обладает компетенцией определить необходимый минимум уголовного законодательства государств-членов. Такая практика устоялась в отношении конкретного перечня преступных деяний, напрямую указанных в учредительных договорах.
Статья 83 ДФЕС подтверждает компетенцию ЕС по установлению минимума состава и санкций в отношении определенных особо тяжких преступлений, часто носящих трансграничный характер, – так называемых европреступлений.
К подобного рода преступным деяниям относятся терроризм, торговля людьми, сексуальная эксплуатация женщин и детей, торговля оружием, торговля наркотиками, отмывание денег, коррупция, подделка платежных средств, компьютерные преступления и организованная преступность. Данный список носит исчерпывающий характер, однако может быть расширен Советом ЕС, действующим единогласно после получения согласия Европейского парламента. При этом на данный момент минимум состава и санкций гармонизирован для всех перечисленных преступлений (за исключением торговли оружием), это означает, что государства-члены не могут сделать свое уголовное законодательство мягче установленных стандартов в рамках противодействия подобным преступлениям и применения мер ответственности к лицам, их совершившим.
Также стоит отметить, что к подобного рода преступным деяниям на основании указанных критериев (особая опасность, трансграничный характер) можно отнести преступления против финансовых интересов Европейского союза (к примеру, подделка евро, ст. 325 ДФЕС); преступлений, затрудняющих единообразное применение политики ЕС в государствах-членах (ст. 83(2) ДФЕС). В этих областях ЕС также имеет компетенцию устанавливать обязательное уголовное преследование подобных преступлений в государствах-членах и минимум состава и санкций.
Подобные компетенции, закрепленные в учредительных договорах, воплощаются путем принятия секторального вторичного законодательства (в основном Директив и Рамочных решений), которое государства – члены обязаны имплементировать в свои национально-правовые системы в течение определенного времени.
Развитие информационных технологий сделало все аспекты человеческих жизней практически зависимыми от различных электронных девайсов и наличия доступа в сеть Интернет. В настоящий момент сложно представить, к примеру, ведение бизнеса без сайта в сети Интернет, без общения онлайн с контрагентом по договору или без электронного перевода платежей.
Киберпреступность имеет гораздо более значительные масштабы: на сегодняшний день объектом подобных преступных кибердеяний могут стать не только экономические интересы человека, но и, например, его личная информация. Европейский союз, где ввиду отсутствия внутренних границ преследование подобных преступлений осложнено их постоянным трансграничным характером, осознал соответствующие вызовы, стоящие перед ним с законодательной точки зрения, и ответил на угрозу роста киберпреступности своевременной стратегией по киберзащите интересов Союза и его граждан.
Киберпреступления вне зависимости от объекта преступных деяний объединяют два признака: во-первых, все они совершаются онлайн, т.е. с использованием доступа в сеть Интернет; во-вторых, все они совершаются с использованием электронных коммуникационных сетей и информационных систем.
По объектному составу все совершаемые киберпреступления можно разделить на три большие группы: 1) преступления, связанные с информационными возможностями сети Интернет (хакерские атаки на информационные сети, фишинг (кража паролей) и т.п.); 2) онлайн-мошенничество; 3) онлайн-хранение неправомерной информации (детская порнография, информация, подстрекающая к расовой ненависти, терроризму и ксенофобии и т.п.).
Что касается первой группы преступлений, связанной прежде всего с использованием информационных преимуществ сети Интернет, то в данных случаях преступники осуществляют кражу информации, которая обычно находится в закрытом доступе, путем хакерских атак на информационные сети или фишинга, т.е. кражи паролей при помощи фальшивых фишинговых сайтов или программ, где потерпевшие, заблуждаясь, вводят свою личную информацию (обычно пароли или реквизиты банковских карт).
Противодействие подобным киберпреступлениям было урегулировано одним из первых на общеевропейском уровне.
Еще в 2002 г. была принята первая редакция Директивы 58/ЕС, касающаяся обработки персональных данных и защиты неприкосновенности частной жизни в сфере электронных коммуникаций[6] (Директива о неприкосновенности частной жизни и электронных коммуникациях). Эта Директива в первую очередь ориентирована на защиту прав пользователей, под которыми понимаются любые физические лица, которые используют общедоступные средства электронной коммуникации в личных или коммерческих целях.
Защита пользователей осуществляется путем установления позитивного обязательства поставщиков общедоступных средств электронной коммуникации (провайдеров) по принятию надлежащих технических и организационных мер для обеспечения безопасности предоставляемых ими услуг. Подобные меры должны отвечать соответствующему уровню риска стать жертвой релевантных киберпреступлений и должны как минимум включать обеспечение доступа к личной информации только путем авторизации; защиту личных данных от случайного или неправомерного удаления, изменения, обработки, доступа или раскрытия; и обеспечение реализации соответствующей политики безопасности в отношении обработки персональных данных. Также провайдеры обязаны своевременно сообщать пользователям о любом повышении рисков и случаях взломов и кражи их личной информации.
Государства-члены, в свою очередь, обязаны не допускать случайного или неправомерного нарушения конфиденциальности электронных коммуникаций. Любая запись или хранение электронных коммуникаций возможны лишь при даче ясного согласия на это субъектами коммуникации или на основании закона. Вместе с тем у государств-членов также появляется обязанность по обеспечению соответствия национальных систем электронной коммуникации стандартам Европейского союза.
Еще одним важным нормативно-правовым актом ЕС в сфере противодействия преступлениям, связанным с информационными возможностями сети Интернет, стала Директива 2013/40/EU об атаках на информационные системы[7]. Директива устанавливает минимальные определения и санкции для преступлений, связанных с атаками на информационные системы в государствах-членах, а также создает условия для сотрудничества судебных и полицейских органов в преследовании подобных преступных деяний.
На основании данной Директивы государства-члены должны криминализировать следующие уголовные составы: незаконный доступ к информационным системам, незаконное вмешательство в функционирование информационных систем, незаконная обработка данных (например, удаление, копирование, изменение и т.п.) и незаконный перехват передачи данных. Также государства-члены обязаны обеспечить уголовное преследование лиц, производящих, продающих, покупающих, импортирующих и распространяющих орудия для подобных преступлений: компьютерные программы, пароли, коды доступа к информационным системам и любая соответствующая информация. Уголовно преследоваться должны соучастники, а также лица, которые покушались на совершение незаконного вмешательства в функционирование информационных систем и незаконную обработку данных.
Наказания должны назначаться, учитывая принципы эффективности, пропорциональности и превентивности. При этом санкции назначаются по правилу «максимума-минимума», при котором Европейский союз устанавливает необходимый минимум максимальных санкций. Соответственно, все вышеперечисленные составы, будучи криминализированными в государствах-членах, должны предусматривать максимальные санкции в виде лишения свободы на срок не менее двух лет. Если незаконное вмешательство в функционирование информационных систем или незаконная обработка данных были совершены умышленно и с нарушением функционирования большого количества информационных систем или больших объемов данных, то максимальные санкции должны предусматривать лишение свободы на срок не менее трех лет. Эти же преступные составы наказываются максимальными санкциями в виде лишения свободы на срок не менее пяти лет при наличии следующих квалифицирующих признаков: если они были совершены преступной организацией; если они повлекли серьезный ущерб; если преступление было совершено в отношении важной инфраструктурной информационной системы. Кроме того, государства – члены должны установить свою юрисдикцию в отношении подобных преступлений, если преступление или его часть были совершены на территории государства-члена; если преступление было совершено гражданином государства-члена; если преступник находится на территории государства-члена; и если информационная система, против которой было совершено преступление, находится на территории государства-члена. Также после соответствующего уведомления Европейской комиссии государство-член имеет право расширить свою юрисдикцию и на те случаи, когда преступник имеет свое обычное местожительство на территории государства-члена и когда преступление было совершено в пользу юридического лица, которое зарегистрировано в данном государстве-члене.
Основным нормативно-правовым актом Европейского союза в рамках противодействия онлайн-мошенничеству и смежных с ним преступных деяний является Рамочное решение Совета ЕС 2001/413/ JHA о противодействии мошенничеству и подделке безналичных платежных средств[8].
Это решение обязывает государства-члены криминализировать практически все основные уголовные составы, так или иначе связанные с безналичными расчетами: кража банковских карт, фальсификация платежных инструментов, умышленное использование заведомо краденых платежных средств и т.п. Государства обязаны криминализировать ряд преступлений, относящихся к сфере киберпреступлений, совершаемых онлайн посредством сети Интернет: получение выгоды за счет трансфера денежных средств другого лица без соответствующих прав на обработку (введение, изменение, удаление, копирование) персональных данных и соответствующих прав на вмешательство в функционирование компьютерной системы или программы. Также уголовно преследоваться должны изготовление, продажа, покупка и передача компьютерных программ, предназначенных для совершения вышеназванных киберпреступлений. Соответственно должны преследоваться соучастие и покушения на эти преступления.
Что касается гармонизации санкций в отношении данной категории киберпреступлений, то нельзя с уверенностью сказать, что эта область достаточно гармонизирована. Это связано с тем, что, помимо необходимости соответствия наказания принципам эффективности, пропорциональности и превентивности, в Рамочном решении указано лишь на возможность применения санкций в виде лишения свободы (с допустимостью экстрадиции) «в серьезных случаях», без указания какого-либо минимума такого лишения. Вследствие этого определение санкций практически полностью передано на усмотрение государств-членов.
При этом государства-члены обязаны установить свою обязательную юрисдикцию в отношении уголовного преследования киберпреступлений подобного рода, если: преступление или его часть были совершены на территории государства-члена; преступление было совершено гражданином государства-члена; преступление было совершено в пользу юридического лица, чей административный центр находится на территории данного государства-члена.
Сеть Интернет помимо общеизвестной полезности является самым большим хранилищем информации. Но не всегда хранимая информация является правомерной. И, к сожалению, широко распространены ситуации, при которых хранение неправомерной информации нарушает права особо уязвимой категории граждан – детей.
Именно поэтому в рамках вторичного законодательства Европейским союзом была разработана и принята Директива 2011/92/ EU о противодействии сексуальному надругательству и сексуальной эксплуатации детей и детской порнографии[9].
Помимо необходимости криминализировать ряд основных преступлений, связанных с детской порнографией и детской сексуальной эксплуатацией, у государств-членов появляется обязательство по криминализации нескольких киберпреступлений в данной сфере, которые появились совсем недавно ввиду развития информационных технологий и сети Интернет. Так, криминализации подлежат любые попытки встретиться с ребенком, совершенные при помощи средств информационных и коммуникационных технологий, с намерением совершить любое преступление из группы преступлений, связанных с сексуальной эксплуатацией детей. Подобные преступления должны наказываться в государствах-членах лишением свободы на максимальный срок не менее одного года. Также уголовно преследоваться должно и покушение на подобное преступление, совершенное при помощи средств информационных и коммуникационных технологий. Все электронные девайсы, с помощью которых были совершены подобные преступные деяния, подлежат конфискации.
Также государства-члены обязаны принять все необходимые меры для оперативного удаления веб-страниц, содержащих или распространяющих детскую порнографию, если серверы данного веб-сайта находятся на их территории; и все попытки, необходимые для удаления данных веб-сайтов, если их серверы находятся за пределами территории государств-членов. Также могут устанавливаться соответствующие внутренние меры по блокировке сайтов, содержащих или распространяющих детскую порнографию, при условии соблюдения принципов эффективности, пропорциональности и прозрачности.
Что касается установления юрисдикции, то государства-члены обязаны установить юрисдикцию в отношении всех киберпреступлений, сопряженных с онлайн-хранением неправомерной информации, если все преступление или его часть были совершены на его территории и если преступление было совершено гражданином данного государства-члена.
Также с условием уведомления Европейской комиссии государства-члены могут расширить свою юрисдикцию на ситуации, когда киберпреступления были совершены против гражданина данного государства-члена или лица, имеющего свое постоянное местожительство на территории данного государства-члена; когда киберпреступление было совершено в пользу юридического лица, зарегистрированного в установленном законом порядке на территории данного государства-члена; когда субъект киберпреступления имеет свое обычное местожительство на территории данного государства-члена. При этом киберпреступление считается совершенным на территории государства-члена, даже если на его территории всего лишь находятся информационные и коммуникационные технологии, при помощи которых киберпреступление было совершено.
В мае 2015 г. Европейская комиссия под председательством Жан-Клода Юнкера инициировала создание европейского Цифрового единого рынка (англ. Digital Single Market) – сегмента европейского Единого рынка, в рамках которого свободное передвижение товаров, услуг, лиц и капитала могло бы осуществляться с постоянным доступом онлайн в условиях честной конкуренции и защиты личных данных вне зависимости от гражданства или местонахождения[10]. Однако необходимые основы для формирования безопасного цифрового рынка были заложены еще в 2013 г., когда Европейский парламент, Совет Европейского союза, Европейский экономический и социальный комитет и Комитет регионов совместно предложили Стратегию кибербезопасности ЕС[11].
Помимо необходимых основ по защите личных данных для формирования Цифрового единого рынка, поводом для формирования Стратегии кибербезопасности ЕС стала серьезная обеспокоенность институций ЕС соблюдением фундаментальных прав человека, в том числе и онлайн. Киберпреступления – весьма специфический и труднорегулируемый вид преступных деяний, где объектом преступления помимо экономических интересов граждан является их право на защиту частной и семейной жизни. Киберпространство должно соответствовать таким стандартам, при которых права граждан онлайн не только бы защищались, но и могли бы свободно реализовываться самими гражданами. Свобода слова является одной из главнейших демократических ценностей, а поскольку сеть Интернет является ключевым информационным источником на сегодняшний день, невозможно представить современное демократическое общество без возможности свободного при условии правомерности выражения мнения онлайн.
Кибербезопаность Европейского союза предполагает реализацию на основе ряда принципов, каждый из которых учитывает как позитивные, так и негативные аспекты современного роста информационных технологий.
Первостепенным является защита фундаментальных прав человека: свободы слова, неприкосновенности личной жизни и персональных данных. При этом реализация и защита прав человека онлайн должна происходить с учетом стандартов Хартии о фундаментальных правах ЕС1 – основополагающего нормативно-правового акта по правам человека в Европейском союзе, имеющего юридическую силу учредительных договоров.
Не менее важным является соблюдение принципа равенства, а именно установление свободного доступа в сеть Интернет для всех граждан Союза и осуществления в отношении всех граждан единых стандартов кибербезопаности.
Также стратегия кибербезопасности должна реализовываться с соблюдением принципа «антимонопольности» управления, что подразумевает возможность оказания услуг по предоставлению доступа в сеть Интернет не только государственными организациями, но и частными компаниями. Подобный публично-частный дуализм управления должен реализовываться на основании принципа разделения ответственности, на основании которого как публичные, так и частные провайдеры должны нести ответственность перед законом и соответствовать общепринятым стандартам кибербезопасности.
Стратегия ЕС в области кибербезопасности осуществляется по пяти основным направлениям, отражающим как внутрисоюзные потребности киберпространства, так и международные тенденции в этой области.
Первое направление включает достижение устойчивого уровня защиты от киберугроз. Под этим понимается установление минимальных стандартов Сетевой и информационной безопасности, которые были бы обязательными как для частных, так и для публичных акторов, координация и сотрудничество национальных компетентных органов, отвечающих за кибербезопасность, увеличение технического уровня частного сектора в данной области, а также развитие общеевропейских инициатив в сфере кибербезопасности.
Вторым направлением является непосредственное снижение количества совершаемых киберпреступлений путем принятия эффективного и строгого законодательства в сфере противодействия киберпреступлениям, расширения числа оперативных мероприятий и сотрудничества полицейских и судебных органов государств-членов.
Третье направление вводит кибербезопасность в рамки Общей внешней политики и политики безопасности. В рамках данного направления планируется открытие диалога между частным и военным секторами в области кибербезопасности, более стандартизированное обучение соответствующего персонала, сотрудничество с международными партнерами (к примеру, НАТО).
Четвертое направление включает в себя развитие индустриальных и технологических ресурсов для обеспечения средств кибербезопасности.
И, наконец, пятое направление заключается в создании согласованной международной политики в области кибербезопасности, которая бы продвигала основные ценности Европейского союза в данной области (фундаментальные права человека, свобода Интернета, защита частной и семейной жизни и т.п.). В рамках данного направления ожидается сотрудничество с НАТО, ОБСЕ, ООН, АСЕАН и другими ключевыми международными межправительственными организациями.
Также в рамках поддержки положений Стратегии кибербезопасности ЕС в январе 2013 г. Европол создал Европейский центр по борьбе с киберпреступностью[12] (далее – ЕСЗ).
ЕСЗ является специальным отделом Европола, в компетенцию и задачи которого входит усиление правоохранительных органов в ответ на угрозу киберпреступности в Европейском союзе и, таким образом, защита прав граждан, предприятий и государств – членов от онлайн-преступности. Для этого ЕСЗ разрабатывает методики экспертиз в случаях совершения киберпреступлений, собирает и классифицирует информацию о новых способах совершения киберпреступлений, разрабатывает стратегии для осуществления сотрудничества национальных полицейских органов, а также рекомендует порядок проведения и виды оперативных мероприятий в случае совершения киберпреступлений.
ЕСЗ тесно сотрудничает с Агентством ЕС по сетевой и информационной безопасности, которое учреждено после вступления в юридическую силу Регламента No 460/2004[13]. Главной целью данного Агентства является разработка и помощь институциями государствам-членам и представителям экономического сектора в имплементации стандартов сетевой и информационной безопасности для надлежащего функционирования внутреннего рынка ЕС.
Отдельно стоит упомянуть нормативно-правовые акты, которые станут частью системы права Европейского союза и вступят в свою законную силу в скором будущем.
В 2016 г. был принят новый Регламент 2016/679 об общей защите данных[14]. Регламент представляет собой масштабный и объемный нормативно-правовой акт, призванный установить стандарты обработки данных в Европейском союзе, при которых гарантировались бы все фундаментальные права граждан ЕС, а также принцип законности. В документе содержатся такие новеллы права прав человека и кибербезопаности, как право «быть забытым», право на изменение информации, право на переносимость данных и т.п. Но, несмотря на то что регламенты обладают прямым действием и не нуждаются в имплементации в национально-правовые системы, в законную силу Регламент 2016/679 вступит только 25.05.2018.
На данный момент существует очевидная тенденция по включению в национальные уголовные кодексы института уголовной ответственности юридических лиц. Страны Европейского союза не стали исключением: институт уголовной ответственности юридических лиц существует, к примеру, в Литве (ст. 20 Уголовного кодекса Литовской Республики[15]), Франция (ст. 121-2 Уголовного кодекса Французской Республики[16]) и т.д.
Однако на данный момент не представляется возможным гармонизировать институт уголовной ответственности юридических лиц на общесоюзном уровне ввиду слишком больших различий в правовом регулировании данного вопроса в государствах-членах. Соответственно в наднациональном праве Европейского союза нет института уголовной ответственности юридических лиц, но предусматривается ответственность юридических лиц за преступления. При этом государства-члены обязаны преследовать юридические лица за совершение киберпреступлений, однако вид преследования (административное или уголовное), а также виды санкций остаются на усмотрение государств-членов.
При этом, указывая на возможность ответственности юридических лиц за преступления, европейские институты всегда оставляют рекомендательную норму, содержащую возможные административные и уголовные виды санкций, применимые к юридическим лицам. Норма ответственности юридических лиц за преступления содержится в неизменном виде практически в каждом нормативно-правовом акте, который относится к уголовному праву ЕС, и преследование киберпреступлений, совершаемых в и при помощи сети Интернет, не является исключением.
Ответственность юридических лиц за преступления наступает при наличии определенных критериев и при этом не исключает возможности уголовного преследования физического лица, непосредственно совершившего преступные деяния. Основания ответственности юридических лиц за киберпреступления можно условно разделить на обязательные и дискреционные. При наличии всех обязательных оснований государства-члены обязаны привлечь юридическое лицо к ответственности; если установлены все дискреционные основания, то государство-член должно решить вопрос о необходимости привлечения юридического лица к ответственности.
Под обязательными основаниями понимаются: совершение преступления физическим лицом; совершение преступления в пользу и в интересах юридического лица, наличие у физического лица руководящей позиции. Руководящая роль выражается в наличии полномочий по представлению юридического лица, по совершению юридических действий от имени юридического лица, а также наличии контролирующих полномочий в целом. При этом не имеет значения, в каком качестве выступает физическое лицо в момент совершения преступления.
Дискреционные основания включают в себя: совершение преступления физическим лицом (а именно любым, кто представляет интересы юридического лица), совершение преступления в пользу юридического лица, отсутствие достаточного контроля со стороны руководящего лица.
Стандартным положением для данного института уголовного права является государственный иммунитет и иммунитет международных публичных организаций: меры ответственности юридических лиц не могут быть применены к государству, государственным предприятиям, институциям государства и местной власти, а также к международным публичным организациям.
Также предусматриваются следующие рекомендательные санкции: штраф, временное лишение права деятельности, ликвидация, запрет на предоставление государственной помощи, временный запрет на участие в государственных закупках (в том числе там, где покупателем выступает ЕС или его институция).
Таким образом, правовое регулирование противодействия киберпреступности в Европейском союзе является достаточно широким и в первую очередь направленным на защиту потерпевших, их прав на неприкосновенность частной и семейной жизни, а также на защиту личной информации. Стоит отметить, что европейское законодательство в данной области учитывает все опасные тенденции развития информационных и коммуникационных технологий, а также совершение уже ранее известных уголовному законодательству государств-членов преступных деяний, получивших принципиально новую форму ввиду использования для их совершения информационных удобств сети Интернет.
Несмотря на тот факт, что киберпреступность – явление весьма молодое, европейские институции значительно преуспели в вопросе правового регулирования противодействия, которое не ограничивается нормативно-правовыми актами уголовного права. В частности, благодаря процессам гармонизации на данный момент уже можно говорить о сложившихся стандартах обработки информации в ЕС, а также о достаточном соблюдении прав человека в этой области, что на практике дополняет действие Хартии о фундаментальных правах, которая устанавливает общие положения о неприкосновенности частной, семейной жизни и личной информации.
Что касается уголовного права Европейского союза в сфере противодействия киберпреступлениям в сети Интернет, то на сегодняшний день можно наблюдать достаточно эффективную гармонизацию законодательства государств-членов посредством имплементации вторичного законодательства ЕС. Это законодательство устанавливает минимум определений и санкций (преимущественно в виде лишения свободы и конфискации электронных девайсов, с помощью которых были совершены релевантные киберпреступления) для наиболее распространенных категорий преступных деяний, сопряженных с информационными возможностями сети Интернет, онлайн-мошенничеством и онлайн-хранением неправомерной информации.
Стоит отметить, что применительно к онлайн-хранению неправомерной информации на общеевропейском уровне эффективно урегулировано лишь противодействие хранению информации, касающейся сексуальной эксплуатации детей. Это, безусловно, является значительным для системы уголовного права ЕС, поскольку в данном случае защищаются права наиболее уязвимых граждан.
Вместе с тем в перспективе необходимо развивать регулирование противодействия онлайн-хранения информации экстремистского характера. На данный момент противодействие разжиганию ненависти по любым мотивам регулируется Рамочным решением Совета 2008/913/JHA[17], однако данный нормативно-правовой акт включает в преступные составы лишь те преступные деяния, которые были совершены публично, оставляя за сферой своего действия преступления такого рода, совершенные при помощи средств онлайн-коммуникации и сети Интернет.
Противодействие онлайн-мошенничеству также весьма эффективно. Несмотря на то что правовое регулирование на общеевропейском уровне основывается лишь на одном нормативно-правовом акте, все самые последние тенденции киберпреступности в данной сфере отслеживаются ЕСЗ, который осуществляет сотрудничество с полицейскими органами всех государств-членов, что позволяет оперативно осуществлять мероприятия для предотвращения онлайн-мошенничества.
Самым проблемным полем остается группа киберпреступлений, связанных с информационными возможностями сети Интернет, поскольку передвижение информации онлайн связано, во-первых, с огромными объемами, а во-вторых, с каждодневным появлением новых возможностей для преступников возобновить и изменить свою преступную деятельность, выходящую за пределы существующего уголовного законодательства. В отличие от основных видов преступлений, таких как фишинг или хакерские атаки (которые урегулированы достаточно новыми Директивами), вопрос свободного движения информации в ЕС в целом остается открытым – эта сфера на данный момент не урегулирована, но, возможно, ситуация улучшится с вступлением в силу Регламента об общей защите данных.
Таким образом, правовое регулирование противодействия киберпреступлениям в Европейском союзе характеризуется разносторонним и многоуровневым подходом, сочетающим как нормативно-правовые акты «мягкого» права, так и регламенты, директивы и рамочные решения, обязательные для государств-членов. В целом уже на данном этапе развития этого сегмента уголовного права ЕС существующая практика и модель правового регулирования, а также существующие стандарты в этой области могут быть переняты государствами, не входящими в ЕС, в качестве образца для реформирования собственных систем уголовной юстиции в сфере противодействия киберпреступлениям.
1. Consolidated version of the Treaty on the Functioning of the European Union. OJ C 326, 26.10.2012. P. 47-390.
2. Charter of Fundamental Rights of the European Union. OJ C 326, 26.10.2012. P. 391-407.
3. Regulation (EC) No 460/2004 of the European Parliament and of the Council of 10 March 2004 establishing the European Network and Information Security Agency (Text with EEA relevance). Official Journal L 077, 13.03.2004. P. 0001-0011.
4. Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) (Text with EEA relevance). OJ L 119, 04.05.2016. P. 1-88.
5. Directive 2002/58/EC of the European Parliament and of the Council of 12 July 2002 concerning the processing of personal data and the protection of privacy in the electronic communications sector (Directive on privacy and electronic communications). OJ L 201, 31.7.2002. P. 37—47.
6. Directive 2011/92/EU of the European Parliament and of the Council of 13 December 2011 on combating the sexual abuse and sexual exploitation of children and child pornography, and replacing Council Framework Decision 2004/68/JHA. OJ L 335, 17.12.2011. P. 1-14.
7. Directive 2013/40/EU of the European Parliament and of the Council of 12 August 2013 on attacks against information systems and replacing Council Framework Decision 2005/222/JHA. OJ L218, 14.08.2013. P. 8-14.
8. Council Framework Decision 2001/413/JHA of 28 May 2001 combating fraud and counterfeiting of non-cash means of payment. OJ L 149, 02.06.2001. P. 1-4.
9. Council Framework Decision 2008/913/JHA of 28 November 2008 on combating certain forms and expressions of racism and xenophobia by means of criminal law. OJ L 328, 06.12.2008. P. 55—58.
10. Cyber Security Strategy of the European Union: An open, safe and secure cyberspace. Joint communication to the European Parliament, The Council, The European Economic and Social Committee and The Committee of the Regions, /* JOIN/2013/01 final */•
11. Lietuvos Respublikosbaudziamojo kodekso (https://e-seimas.lrs.lt/ portal/legalAct/lt/TAD/TAIS.111555, свободный (загл. с экрана)).
12. Codepenal (https://www.legifrance.gouv.fr/affichCode.do; jsession id=F06BB691FF16DDFE9DF58E6822AEA8B9.tpdilallv_l?idSectionT A=LEGISCTA000006149817&cidTexte=LEGITEXT000006070719&dat eTexte=20170331, свободный (загл. с экрана)).
13. Топу Випуап. Trevi. Europoland the Europeanstate (http://www. statewatch.org/news/handbook-trevi.pdf, свободный (загл. с экрана)).
14. Tampere. Kick-start to the EU’s policy for justice and home affairs (http://ec.europa.eu/councils/bx20040617/tampere_09_2002_en.pdf, свободный (загл. с экрана)).
15. Treaty of Maastricht on European Union // Document information (http://eur-lex.europa.eu/legal-content/EN/ALL/?uri=uriserv:xy0026, свободный загл. с экрана)).
16. Digital Single Market // official site of European Commission (https://ec.europa.eu/digital-single-market/en/digital-single-market (загл. с экрана)).
17. About // EuropeanCybercrimeCentre (https://www.europol.europa. eu/about-europol/european-cybercrime-centre-ec3 (загл. с экрана)).