Закон ЕС о цифровых услугах: что он значит для хостинга

Закон о цифровых услугах (DSA) — регламент ЕС, устанавливающий правила для хостинг-провайдеров во всех государствах — членах ЕС. В отношении хостинга он делает четыре вещи: сохраняет условное освобождение от ответственности, запрещает возлагать общие обязанности по мониторингу, требует механизма уведомления и принятия мер с обоснованием ограничений и устанавливает условия для предписаний судов и органов власти.

В этом руководстве правила Закона о цифровых услугах для хостинга разобраны статья за статьёй по тексту самого регламента. Для офшорного хостинга именно DSA — главное ограничение обещания хостинга с игнорированием DMCA на территории ЕС.

Закон о цифровых услугах в одном абзаце

Регламент (ЕС) 2022/2065 был принят 19 октября 2022 г. и в полном объёме применяется с 17 февраля 2024 г. (статья 93). Он напрямую применяется во всех государствах — членах ЕС и заменил нормы об ответственности посредников из Директивы об электронной коммерции 2000 г. (статья 89). Регламент не определяет, что является незаконным: «незаконный контент» — это информация, нарушающая право ЕС или законодательство государства-члена (статья 3(h)), а авторское право ЕС применяется наряду с ним (статья 2(4)).

Обязанности распределены по уровням: часть из них касается всех поставщиков посреднических услуг (статьи 11–15), дополнительные — хостинговых услуг (статьи 16–18), а ещё больше — онлайн-платформ, которые распространяют контент среди неограниченного круга лиц (статьи 19–28). Пункт 29 преамбулы относит облачные вычисления и веб-хостинг к хостинговым услугам, поэтому хостинг серверов, как правило, находится на среднем уровне. Каждое государство-член назначает координатора цифровых услуг (статья 49), а штрафы могут достигать 6% годового мирового оборота (статья 52).

Где к нашим серверам применяются правила Закона о цифровых услугах для хостинга

Из семи наших локаций DSA напрямую применяется в трёх государствах — членах ЕС:

Один нюанс: сфера действия DSA определяется пользователями, а не серверами. Он распространяется на посреднические услуги, предлагаемые получателям, которые учреждены или находятся в ЕС, «независимо от того, где находится место учреждения поставщиков этих посреднических услуг» (статья 2(1)). Если вы управляете платформой для людей в ЕС, DSA может применяться к вам как к оператору, где бы ни находился ваш сервер. Наш порядок работы с жалобами определяется местонахождением сервера: в наших локациях на территории ЕС — уведомление и принятие мер по DSA, в остальных — местное законодательство.

Ответственность хостинг-провайдеров и запрет общего мониторинга

Статья 6 сохраняет освобождение от ответственности для хостинга. Хостинг-провайдер не несёт ответственности за информацию, хранимую по запросу клиента, если он «не обладает фактической осведомлённостью о незаконной деятельности или незаконном контенте» (а в отношении требований о возмещении ущерба — не знает о фактах, из которых это очевидно) или если, получив такую осведомлённость, он «оперативно принимает меры по удалению незаконного контента или блокированию доступа к нему».

Освобождение не распространяется на клиентов, действующих под руководством или контролем хостинг-провайдера (статья 6(2)), и не мешает суду или органу власти потребовать от провайдера прекратить нарушение или предотвратить его (статья 6(4)). Утрата освобождения сама по себе не делает провайдера ответственным: пункт 17 преамбулы оставляет вопрос об ответственности на усмотрение иных норм права ЕС или национального права.

Статья 8 запрещает возлагать какую-либо «общую обязанность по мониторингу информации, которую поставщики посреднических услуг передают или хранят», или обязанность активно искать факты, указывающие на незаконную деятельность. Хостинг-провайдер, который добровольно, добросовестно и тщательно проверяет контент, сохраняет освобождение от ответственности (статья 7). Аналогичная норма есть в DMCA — 17 U.S.C. 512(m).

Уведомление и принятие мер по DSA: что должно содержать действительное уведомление

Статья 16 DSA обязывает каждого хостинг-провайдера поддерживать механизм уведомлений, который был бы «легкодоступным и удобным для пользователя» и позволял бы любому направлять уведомления «исключительно электронными средствами». Механизм должен облегчать включение в уведомление четырёх элементов:

1. достаточно обоснованное объяснение того, почему информация является незаконным контентом;
2. «точное электронное местонахождение этой информации, например точный URL-адрес или адреса»;
3. имя и адрес электронной почты отправителя, за исключением уведомлений о преступлениях, связанных с сексуальным насилием над детьми;
4. заявление отправителя о его «добросовестной уверенности» в том, что уведомление точно и полно.

Уведомление создаёт у хостинг-провайдера фактическую осведомлённость, только если позволяет «осмотрительному поставщику хостинговых услуг установить незаконность соответствующей деятельности или информации без детального юридического анализа» (статья 16(3)). Точное уведомление о явно незаконном контенте этому условию отвечает, а спорная претензия о нарушении авторских прав, исход которой зависит от лицензий или исключений, может ему и не отвечать. Поэтому уведомление не является автоматическим предписанием об удалении.

Хостинг-провайдер без неоправданной задержки подтверждает получение уведомления, если отправитель оставил электронные контактные данные, принимает решение «своевременно, тщательно, не произвольно и объективно» и сообщает отправителю о своём решении и доступных средствах правовой защиты (статья 16(4)–(6)). Срока в часах нет. Доверенные уведомители (статья 22) и приостановка в отношении тех, кто продолжает направлять явно необоснованные уведомления (статья 23), касаются только онлайн-платформ.

Обоснование решения (статья 17)

Если хостинг-провайдер вводит ограничения в отношении клиента, потому что контент незаконен или нарушает условия провайдера, он обязан предоставить этому клиенту «ясное и конкретное обоснование» с момента введения ограничения, если у него есть электронные контактные данные клиента. Это касается удаления контента, блокирования доступа к нему или понижения его видимости, прекращения выплат, приостановки или прекращения обслуживания, а также приостановки или закрытия аккаунта. В обосновании должны быть указаны:

• само решение, его территориальный охват и срок действия;
• факты, на которых оно основано, в том числе было ли оно принято по уведомлению или по итогам собственной проверки провайдера;
• использовались ли автоматизированные средства;
• правовое или договорное основание и причины, по которым контент подпадает под него;
• доступные средства правовой защиты.

Для клиентов хостинга правовая защита означает в основном обращение в суд: внутренние системы рассмотрения жалоб и сертифицированные органы внесудебного урегулирования споров — обязанности онлайн-платформ (статьи 20 и 21). Предписания по статье 9 вместо этого подчиняются собственным правилам (статья 17(5)).

Предписания органов власти (статьи 9 и 10)

Статья 9 не создаёт новых полномочий (пункт 31 преамбулы). Она устанавливает минимальные требования к предписаниям, которые национальные судебные или административные органы выносят «на основании применимого права Союза или национального права, соответствующего праву Союза». В предписании должно быть указано его правовое основание, со ссылкой на конкретные нормы объяснено, почему контент незаконен, назван вынесший его орган, указано местонахождение контента, «например один или несколько точных URL-адресов», и описаны доступные средства правовой защиты. Его территориальный охват должен ограничиваться строго необходимым.

Хостинг-провайдер без неоправданной задержки сообщает органу, исполнил ли он предписание и когда, а клиенту — не позднее момента исполнения или в срок, установленный предписанием, с указанием причин и доступных средств правовой защиты (статья 9(5)). Статья 10 применяет ту же модель к предписаниям о предоставлении информации о конкретных получателях услуг, которые могут касаться только информации, «уже собранной для целей оказания услуги и находящейся под его контролем».

Кто может выносить предписания, определяет национальное законодательство. В Румынии Закон № 50/2024 наделяет этим правом отраслевых регуляторов и судебные органы; по данным ANCOM, в 2024 г. было зарегистрировано четыре предписания об удалении и два — о предоставлении информации. Кроме того, Регламент (ЕС) 2021/784 позволяет предписать убрать террористический контент из сети в течение одного часа.

Подозрения в совершении уголовных преступлений (статья 18)

Хостинг-провайдер, которому стала известна информация, «дающая основания подозревать, что было совершено, совершается или, вероятно, будет совершено уголовное преступление, создающее угрозу жизни или безопасности человека или людей», обязан незамедлительно проинформировать правоохранительные или судебные органы соответствующего государства-члена. Если он не может определить это государство, он информирует органы государства, в котором учреждён он сам или его законный представитель, либо Европол, либо и тех и других.

Сфера действия узкая: угрозы жизни или безопасности, а не любые преступления и не претензии о нарушении авторских прав. Отдельно от этого по нашим собственным правилам материалы сексуального насилия над детьми немедленно удаляются, а сведения о них передаются компетентным органам во всех локациях.

DSA и DMCA: сравнение двух систем

Обе системы связывают защиту хостинг-провайдера с тем, что ему известно, но различаются в деталях:

Таким образом, уведомление DMCA, отправленное на сервер в Амстердаме, не становится уведомлением по DSA только потому, что пришло туда. Таковым оно считается, лишь если содержит элементы, предусмотренные статьёй 16, и касается контента, незаконного по праву ЕС или Нидерландов. О том, что вместо DMCA применяется в других наших локациях, рассказывает наше руководство о странах, игнорирующих DMCA.

Как мы рассматриваем уведомления по Закону о цифровых услугах

1. Каждая жалоба на сервер в Нидерландах, Румынии или Болгарии регистрируется и проверяется на соответствие праву ЕС и национальному законодательству.
2. Ссылка на американский DMCA ничего не меняет. Важно, отвечает ли уведомление требованиям статьи 16 и касается ли оно незаконного контента: такое уведомление рассматривается по существу, кто бы его ни направил, а уведомление, которое этим условиям не отвечает, обрабатывается как иностранное в соответствии с нашей политикой в отношении DMCA и жалоб.
3. Потребовать принятия мер могут действительное решение суда, предписание по статье 9 или уведомление, отвечающее требованиям статьи 16. Сначала мы сообщаем об этом клиенту, и он может ответить, если только суд этого не запрещает; если дело не является срочным или закрытым, мы обычно даём на ответ 5 рабочих дней. Ограничение сопровождается обоснованием решения.
4. Запросы и результаты их рассмотрения учитываются без данных клиентов в нашем ежеквартальном отчёте о прозрачности, где для уведомлений по DSA предусмотрена отдельная категория.

Часто задаваемые вопросы

Распространяется ли Закон о цифровых услугах на хостинг-провайдеров?

Да. Хостинг — одна из трёх посреднических услуг, на которые распространяется DSA, наряду с простой передачей данных и кэшированием. Основные обязанности хостинг-провайдера по DSA — механизм уведомления и принятия мер, обоснование решений, исполнение действительных предписаний и сообщение об угрозах жизни или безопасности; отдельно от этого хостинг-провайдеры сохраняют условное освобождение от ответственности. На онлайн-платформы и крупнейшие сервисы возлагаются дополнительные обязанности.

Что такое уведомление и принятие мер по DSA?

Это процедура, установленная статьёй 16. Любой может уведомить хостинг-провайдера о контенте, который считает незаконным, указав причины, точный URL, своё имя и адрес электронной почты и заявление о добросовестности. Уведомление, позволяющее осмотрительному провайдеру установить незаконность без детального юридического анализа, создаёт у него фактическую осведомлённость, и тогда провайдер обязан принять решение своевременно, тщательно и объективно.

DSA — то же самое, что DMCA?

Нет. DMCA — американский закон, касающийся только авторского права, с жёстко заданной процедурой удаления и встречного уведомления. DSA — регламент ЕС, охватывающий любой незаконный контент, и решение он оставляет за хостинг-провайдером — с обязательным обоснованием и возможностью обжалования в суде. Уведомление DMCA не имеет силы по DSA, если только оно одновременно не отвечает требованиям статьи 16.

Действует ли DSA в отношении серверов за пределами ЕС?

Не как местное право. DSA не входит в законодательство Швейцарии, Молдовы или Малайзии и пока не стал частью законодательства Исландии. Однако сфера его действия определяется пользователями: статья 2(1) распространяется на услуги, предлагаемые людям в ЕС, где бы ни был учреждён поставщик, поэтому платформа, ориентированная на ЕС, может подпадать под действие DSA даже на сервере за пределами ЕС.

Обязаны ли хостинг-провайдеры отслеживать контент по DSA?

Нет. Статья 8 запрещает возлагать общую обязанность отслеживать хранимую информацию или активно искать факты, указывающие на незаконную деятельность. Вместо этого хостинг-провайдеры обязаны реагировать на конкретные уведомления и предписания. При этом провайдер может добровольно проверять контент, не теряя освобождения от ответственности, если действует добросовестно и тщательно (статья 7).