Принципы правового регулирования защиты информации при осуществлении публичной власти в условиях цифровизации: теоретико-правовое разграничение нормативных конструкций

Введение

Использование цифровых технологий изменяет способы осуществления публичной власти и характер работы с информацией. Государственные информационные системы, межведомственный электронный обмен и автоматизированная обработка данных увеличивают число юридически значимых операций со сведениями. Одновременно возрастает значение их правовой защиты, поскольку такие операции связаны с реализацией публичной компетенции и способны затрагивать права граждан и организаций.

Защита информации в этой сфере не сводится к технической сохранности данных. Публичный субъект должен учитывать информационную открытость, ограничения доступа, правила обработки отдельных категорий сведений и установленные меры защиты. В статье понятие «публичный субъект» используется применительно к государственным органам и органам местного самоуправления при осуществлении ими нормативно установленной компетенции. Одновременно действующие положения различаются по месту и назначению в правовом регулировании.

Федеральный закон от 27 июля 2006 г. № 149-ФЗ закрепляет принципы правового регулирования отношений в сфере информации, информационных технологий и защиты информации. Доктрина информационной безопасности Российской Федерации отдельно устанавливает принципы деятельности государственных органов по обеспечению информационной безопасности. Наряду с ними законодательство предусматривает конкретные обязанности, требования и меры защиты, что ставит вопрос об их юридическом разграничении.

В общей теории права принципы рассматриваются как самостоятельные правовые регуляторы, определяющие содержание и направленность правового воздействия [1; 2; 3; 4]. В информационном праве разработана многоуровневая система принципов [5], а в исследованиях информационной безопасности рассматриваются их специальные классификации и взаимодействие с технологическими началами [6; 7; 8]. Отдельное внимание уделяется соотношению информационной безопасности с правами человека и иными видами регулирования [9; 10].

Разграничение принципов и конкретных требований также имеет доктринальную основу. Р. В. Амелин показал, что существенное для информационной системы требование не приобретает только вследствие этого качества принципа [14]. М. В. Дубняк связывала специальные правовые принципы информационного взаимодействия в местном самоуправлении с функциями соответствующей деятельности [16]. Поэтому ни само различение принципа и требования, ни обращение к функциональным характеристикам не рассматриваются как новый результат.

Более узким остается вопрос о соотношении нормативных конструкций, одновременно действующих при защите информации в сфере публичной власти. Одни определяют общую направленность регулирования информационных отношений, другие относятся к принципиальным началам осуществления публичной компетенции, третьи закрепляют требования и меры защиты. Научный результат исследования состоит в обосновании аналитической модели их соотношения, в которой определяющее значение имеет регулятивное назначение, а предмет действия и преимущественный адресат выступают уточняющими признаками.

Цель статьи состоит в теоретико-правовом разграничении указанных конструкций и определении характера их взаимосвязи в условиях цифровизации. Для этого сопоставляются общетеоретическое понимание принципа права, специальные принципы информационной сферы, принципиальные начала осуществления публичной компетенции и конкретные требования защиты информации.

Методологическую основу составили анализ, синтез и обобщение, формально-юридический, системно-структурный методы и метод юридической интерпретации. Формально-юридический метод применялся при анализе нормативно закрепленных принципов, требований и обязанностей; системно-структурный метод позволил установить их место и взаимосвязь в механизме регулирования. Сопоставление научных подходов использовалось для определения границ уже разработанных положений.

Принцип правового регулирования и смежные категории в информационной сфере

В общей теории права понятие принципа раскрывается по‑разному, однако для рассматриваемой проблемы существен подход, признающий за ним собственное регулятивное значение. В. В. Ершов рассматривает принципы права как самостоятельные правовые регуляторы [2]. В. Ю. Панченко и В. Н. Власенко различают принципы и нормы по степени абстрактности регулирования [3], а А. А. Арямов связывает действие принципов с направленностью правового воздействия и пределами реализации права [1, с. 29-30]. Общетеоретическая категория принципа права используется здесь как методологическая основа анализа принципов правового регулирования, но полного понятийного отождествления не предполагается. Для целей статьи принцип правового регулирования рассматривается как исходное нормативное положение, определяющее общую направленность регулирования определенной группы отношений.

Такое понимание позволяет отделить принцип от любого иного положения, обладающего существенным значением для регулируемой сферы. Юридическая обязательность или практическая важность требования еще не свидетельствует о том, что оно выполняет ту же функцию, что и принцип. В противном случае категория принципа утрачивает способность обозначать особый вид правового регулятора.

В информационном праве общетеоретическая категория принципа получила специальное развитие. А. В. Минбалеев выделяет общеправовые, межотраслевые, отраслевые принципы и принципы отдельных институтов [5, с. 80-81]. Открытость, доступность, конфиденциальность и иные характеристики информационных отношений в такой системе получают значение исходных начал регулирования.

Принципы правового обеспечения информационной безопасности исследованы Т. А. Поляковой и А. А. Максуровым [6; 8]. Эти работы показывают самостоятельную доктринальную разработанность соответствующей системы, поэтому построение еще одной классификации принципов по уровню их действия не является задачей статьи.

Защита информации и информационная безопасность не совпадают по объему. А. В. Туликов рассматривает информационную безопасность как более широкую категорию, тогда как защита информации связана прежде всего с деятельностью и мерами по обеспечению защищенности [9]. Правовое обеспечение информационной безопасности включает также взаимодействие публичных и частных интересов [17; 25]. Поэтому принцип, значимый для информационной безопасности в целом, в более узком регулировании защиты информации может выражаться через конкретную обязанность или требование.

Граница между принципом и требованием проводится неодинаково. Т. А. Полякова придает отдельным законодательным требованиям значение исходных начал правового обеспечения информационной безопасности [6, с. 31]. Р. В. Амелин применительно к государственным и муниципальным информационным системам предостерегает от признания конкретного требования принципом лишь в силу его существенного значения [14]. Различие объясняется в том числе неодинаковым объемом исследуемых правовых конструкций.

Правовое и технологическое регулирование информационной сферы взаимодействуют, сохраняя собственную специфику [10]. А. К. Жарова рассматривает формирование технико-правовых принципов под влиянием информационных технологий [7], однако наличие технологической составляющей само по себе не определяет юридическую природу положения.

Функциональная обусловленность специальных принципов ранее исследовалась М. В. Дубняк применительно к информационному взаимодействию в местном самоуправлении [16]. Поэтому функция положения не предлагается как новый критерий. Существен вопрос о том, позволяет ли его назначение определить место среди принципов регулирования, начал осуществления публичной компетенции и конкретных требований защиты информации.

Дальнейший анализ направлен на разграничение принципов правового регулирования информационных отношений, принципиальных начал осуществления публичной компетенции и конкретизирующих требований и мер защиты информации.

Принципиальные начала осуществления публичной компетенции в сфере защиты информации

Особенность защиты информации в публичной сфере определяется тем, что работа со сведениями осуществляется в связи с реализацией публичных полномочий. Государственный орган или орган местного самоуправления получает, использует и предоставляет информацию не произвольно, а в пределах установленной компетенции. Поэтому правовая защита информации связана одновременно с основаниями ее получения, целями обработки, пределами доступа и обязанностями соответствующего субъекта.

Цифровая форма публичных функций этой особенности не устраняет. Л. К. Терещенко связывает электронные формы деятельности с информационной открытостью и безопасностью [11], а Л. И. Валитова анализирует право на информацию о деятельности органов государственной власти [13]. Открытость публичной власти не означает общей доступности всех находящихся у органа сведений.

Сочетание открытости и ограничений закреплено и законодательно. Федеральный закон № 149-ФЗ включает в число принципов регулирования положения об открытости информации о деятельности государственных органов и органов местного самоуправления, законодательном характере ограничения доступа, обеспечении безопасности Российской Федерации при создании и эксплуатации информационных систем и защите содержащейся в них информации, достоверности сведений и неприкосновенности частной жизни. Федеральный закон от 9 февраля 2009 г. № 8-ФЗ соединяет открытость и доступность информации о деятельности государственных органов и органов местного самоуправления с соблюдением прав граждан и организаций при ее предоставлении.

Особенно наглядно это проявляется в информационных массивах смешанного характера. В. В. Силкин отмечает возможность присутствия в одном документе открытых и защищаемых сведений [12]. Обязанность предоставить информацию и обязанность ограничить доступ к ее части могут быть одинаково обязательными, но это не делает их однородными по юридической природе.

Статья 16 Федерального закона № 149-ФЗ наглядно показывает неоднородность регулирующих средств. Защита информации определяется через принятие правовых, организационных и технических мер; одновременно законодатель закрепляет цели такой деятельности и обязанности соответствующих субъектов. В одной сфере взаимодействуют положения различного характера, причем их общая направленность на обеспечение защищенности не устраняет различий между ними.

Г. Г. Камалова рассматривает режим информации ограниченного доступа через совокупность правовых, организационных и технических мер [15, с. 118]. Конфиденциальность при этом выражается через обязанность лица, получившего доступ к сведениям, не передавать их третьим лицам без установленного основания [15, с. 120]. В нормативно-техническом понятийном аппарате конфиденциальность выступает одним из свойств, обеспечение которых характеризует безопасность информации. Это показывает, что одинаковый термин может выполнять различные функции.

Иная по назначению конструкция закреплена в Доктрине информационной безопасности Российской Федерации. Ее положения определяют принципы именно деятельности государственных органов по обеспечению информационной безопасности. Они включены в нормативный контекст, связанный с организацией соответствующей деятельности и разграничением полномочий. Речь идет не об общем перечне принципов всех информационных отношений, а об исходных началах осуществления определенного направления государственной деятельности.

Предмет защиты информации в сфере публичной власти не исчерпывается деятельностью государственных органов. Органы местного самоуправления также связаны требованиями информационной открытости, обработки и защиты сведений. Поэтому закрепленные Доктриной принципы деятельности государственных органов нельзя автоматически распространять на весь объем отношений в сфере публичной власти.

Дополнительная сложность возникает при участии публичного органа в специальных информационных правоотношениях. Федеральный закон № 152-ФЗ устанавливает самостоятельные принципы обработки персональных данных. Орган связан ими не из‑за принадлежности к публичной власти, а поскольку в конкретной ситуации выступает оператором персональных данных.

Деятельность одного публичного субъекта может одновременно регулироваться общими принципами информационного законодательства, специальными принципами определенной группы информационных отношений, принципиальными началами осуществления публичной компетенции и конкретными обязанностями по защите информации. Объединять их в единую систему только по признаку связи с информационной безопасностью было бы методологически неточно.

Теоретико-правовое разграничение принципов, требований и иных положений в сфере защиты информации

Многообразие используемых конструкций ставит вопрос не о новом перечне принципов, а об их юридической квалификации. Общая теория права раскрывает регулирующую роль принципа [1; 2; 3], информационное право располагает отраслевыми системами принципов [5], а теория информационной безопасности собственными классификациями [6; 8]. Значимое требование при этом не обязательно приобретает характер принципа [14].

При сопоставлении таких положений целесообразно исходить прежде всего из их регулятивного назначения. Для его определения имеют значение два дополнительных обстоятельства: на какой круг отношений или деятельности непосредственно направлено соответствующее положение и кому оно преимущественно адресовано. Эти признаки не образуют самостоятельной системы классификации, однако позволяют точнее установить роль исследуемого положения.

Принцип правового регулирования обращен не к единичному способу совершения конкретного действия, а определяет общую направленность регулирования определенной группы общественных отношений. Его значение проявляется в содержании правовых норм, допустимых пределах регулирования, правоприменении и интерпретации права.

Несколько иное назначение имеют принципиальные начала осуществления публичной компетенции, нормативно закрепленные применительно к соответствующему виду деятельности. Они ориентируют организацию и реализацию компетенции в определенной сфере. Именно в таком значении Доктрина информационной безопасности закрепляет принципы деятельности государственных органов.

Значительная часть положений в сфере защиты информации непосредственно устанавливает юридически должное поведение, определяет условия совершения информационной операции либо закрепляет необходимые меры защиты. Они могут иметь фундаментальное практическое значение и быть обязательными для публичного субъекта, но из этого еще не следует их превращение в принцип правового регулирования.

Для целей теоретико-правового анализа целесообразно разграничивать три взаимосвязанные конструкции: принципы правового регулирования информационных отношений; принципиальные начала осуществления публичной компетенции, нормативно закрепленные применительно к соответствующему виду деятельности; непосредственно установленные требования и меры защиты информации. Такое разграничение имеет аналитический характер и не претендует на статус закрепленной в законодательстве классификации. Квалификация конкретного положения предполагает установление характера выполняемой им функции: определяет ли оно общую направленность правового регулирования, ориентирует осуществление публичной компетенции либо непосредственно предписывает конкретное поведение или меру защиты.

Особенно наглядно проблема проявляется на примере конфиденциальности. В нормативно-техническом контексте она выступает одним из свойств, обеспечение которых характеризует безопасность информации; в правовом регулировании выражается через обязанность не раскрывать сведения; в доктринальных построениях может включаться в систему принципиальных начал информационной безопасности [9; 15, с. 120]. Одинаковое понятие при этом не означает одинаковой юридической функции.

Конфиденциальность, таким образом, способна получать различное юридическое выражение в зависимости от контекста регулирования. Ее квалификация определяется не словесным обозначением, а той ролью, которую соответствующее положение выполняет в конкретном механизме правового регулирования.

Между выделенными конструкциями возможна взаимосвязь. В отдельных случаях принцип правового регулирования может получать развитие в принципиальных началах осуществления публичной компетенции и конкретизироваться в нормативных обязанностях и мерах. Однако такое направление связи не является универсальной иерархией и не означает, что всякое конкретизирующее положение становится самостоятельным принципом.

Позиции Р. В. Амелина и Т. А. Поляковой показывают различие уровней анализа. В более узком регулировании значимое требование не становится принципом только в силу своей важности [14], тогда как в широкой конструкции правового обеспечения информационной безопасности требования способны выражать ее базовые начала [6, с. 31]. Юридическая квалификация поэтому зависит от предмета исследования и функции положения.

Предлагаемое разграничение позволяет избежать двух крайностей: неоправданного расширения системы принципов за счет конкретных обязанностей и требований и, напротив, сведения принципиального содержания регулирования к совокупности частных предписаний и технических мер.

Цифровизация и изменение условий реализации принципиальных начал защиты информации

В условиях цифровизации необходимость такого разграничения становится особенно заметной. Развитие государственных информационных систем, автоматизация обработки данных, межведомственный электронный обмен и применение алгоритмических решений постоянно порождают новые требования к доступу, идентификации, хранению, контролю операций и защите сведений. Однако появление технологически нового правила еще не позволяет определить его место в системе правового регулирования.

Воздействие цифровых технологий на право подробно исследовано. Л. К. Терещенко и М. В. Якушев рассматривают изменение правовых режимов информации [18], Л. К. Терещенко трансформацию понятийного аппарата информационного права [19], Т. Я. Хабриева общетеоретические последствия цифровизации [20]. Поэтому сам тезис о преобразующем влиянии цифровой среды не составляет самостоятельного результата.

Сложнее вопрос о возникновении новых принципов. А. К. Жарова связывает развитие информационных технологий с технико-правовыми принципами [7]. А. А. Волос показывает, что не всякий постулат цифровой среды имеет самостоятельное принципиальное значение [21], а В. А. Болдырев подчеркивает контекстуальную зависимость технологической нейтральности [22].

Показательной является сама конструкция технологической нейтральности. Федеральный закон № 149-ФЗ относит недопустимость необоснованного нормативного предпочтения отдельных информационных технологий к принципам правового регулирования. В данном случае положение обращено к правовому регулированию как таковому и ограничивает возможность нормативного предпочтения определенной технологии. Его принципиальный характер определяется не фактом связи с цифровой средой, а местом и функцией в системе регулирования.

Совершенно иначе может действовать технически обусловленное требование к конкретной информационной системе. Обязательная идентификация пользователя, использование определенного средства контроля доступа или фиксация совершаемых операций также могут быть закреплены нормативно и иметь существенное значение для безопасности. Но их юридическая обязательность еще не делает каждое из таких положений самостоятельным принципом. На необходимость такого различия применительно к государственным и муниципальным информационным системам обращал внимание Р. В. Амелин [14].

Цифровизация способна изменить условия реализации уже существующего принципа. Е. Ю. Липская исследует эту проблему применительно к использованию искусственного интеллекта органами публичной власти [23]. Иные проблемы цифровых технологий в публичной власти также рассматриваются через сохранение публично-правовых ориентиров регулирования [24].

Поэтому технологическая новизна должна быть отделена от новизны юридической. Новая технология может потребовать создания особой обязанности, изменения процедуры или введения дополнительной меры защиты. В другом случае она заставляет иначе реализовывать уже существующий принцип. И лишь тогда, когда новое положение приобретает общее регулятивное значение и выходит за пределы конкретной технологии или отдельной операции, возникает основание обсуждать его в качестве самостоятельного принципа.

При осуществлении публичных полномочий цифровая технология включается в нормативно определенную деятельность органа и реализацию его компетенции. Поэтому юридическая оценка цифрового решения зависит не от технической сложности, а от его места в механизме регулирования и правовых последствий для участников соответствующих отношений.

Цифровизация не выступает самостоятельным критерием квалификации правового принципа. Она изменяет условия действия права, создает новые способы исполнения обязанностей и может обусловливать возникновение новых нормативных требований. Юридическая природа каждого такого положения должна определяться с учетом его регулятивного назначения.

Заключение

Проведенный анализ показывает, что положения, действующие в сфере защиты информации при осуществлении публичной власти, неоднородны по юридическому назначению. Общая связь с информационной безопасностью не является основанием для их объединения в единую систему принципов.

Проведенное исследование позволило обосновать аналитическую модель разграничения нормативных положений, одновременно действующих при защите информации в сфере публичной власти. Ее основу составляет различие регулятивного назначения соответствующих положений, уточняемое с учетом предмета непосредственного воздействия и преимущественного адресата.

В рамках этой модели разграничиваются принципы правового регулирования информационных отношений, принципиальные начала осуществления публичной компетенции, нормативно закрепленные применительно к соответствующему виду деятельности, и непосредственно установленные требования и меры защиты информации. Модель носит аналитический характер и не является нормативно закрепленной классификацией.

Названные конструкции могут быть взаимосвязаны и в отдельных случаях находиться в отношении последовательной конкретизации. Принцип правового регулирования способен получать развитие в принципиальных началах осуществления публичной компетенции и выражаться в конкретных обязанностях и мерах защиты. Такая связь не устраняет различий между ними и не позволяет признавать конкретное требование принципом исключительно вследствие его особой значимости.

Один публичный орган может одновременно быть связан общими принципами информационного законодательства, специальными принципами отдельных информационных отношений, принципиальными началами осуществления публичной компетенции и конкретными обязанностями по защите сведений. Поэтому задача теоретико-правового анализа состоит не в создании универсального перечня принципов, а в определении места каждого положения в механизме регулирования.

Цифровизация сопровождается появлением новых правовых и технических требований, но технологическая новизна сама по себе не определяет юридический статус положения. Новая технология может изменить условия реализации существующего принципа, обусловить специальную обязанность либо поставить вопрос о формировании нового принципа. Разграничение этих ситуаций требует оценки регулятивного назначения положения.