Автор: Jakub Chlebiej

Продолжая серию публикаций о правовых аспектах деятельности в сфере Game Dev, отдельное внимание стоит уделить вопросу финальных титров в видеоиграх, так называемых Credits. 

Проблема здесь касается прежде всего того, кого, в каком объёме и каким образом нужно указывать в Credits. Учитывая, что в процесс создания видеоигры вовлечено множество людей, организаций и других субъектов, необходимо руководствоваться принципами, установленными, в частности, авторским правом – об этом подробнее в следующей части статьи. 

ДЛЯ ЧЕГО НУЖНЫ CREDITS И ЧТО УЧЕСТЬ? 

Финальные титры в любых произведениях (не только в видеоиграх, но и, например, в фильмах) являются наиболее распространённой и оптимальной формой выполнения обязанности указания авторства произведения в соответствии с авторским правом. В то же время Credits могут использоваться (и часто используются) для выражения благодарности за вклад, не связанный с творческой деятельностью. Такая благодарность, как правило, не регулируется законом, если иное не предусмотрено договором между производителем видеоигры и конкретным лицом или организацией. 

Публикуя Credits, стоит учитывать нормы, касающиеся личных неимущественных прав авторов, положения GDPR, защиту личных неимущественных прав, равное отношение в трудовых отношениях и договорные обязательства перед подрядчиками. 

CREDITS И GDPR 

Особое внимание в контексте Credits следует уделить положениям GDPR. Ключевым является обоснование правовой основы для публикации данных конкретных лиц. Интересно, что такая основа отличается для авторов и не-авторов: 

• для авторов: выполнение договора или требования закона (право/обязанность указания авторства), то есть соответственно ст. 6(1)(b) или (c) GDPR; 

• для не-авторов: законный интерес, то есть ст. 6(1)(f) GDPR (здесь возможны широкие аргументы: забота об имидже производителя, отношения с сотрудниками/партнёрами, соответствие рыночным практикам и стандартам). Учитывается также положительное влияние Credits на интересы сотрудника/партнёра и их обоснованные ожидания, что способствует успешному прохождению теста баланса интересов. 

Дополнительно можно получить согласие на обработку данных, особенно для не-авторов. Это может быть позитивно оценено с точки зрения прозрачности процесса обработки и предоставления лицам права решать, хотят ли они быть указаны в Credits. 

Однако опора на согласие как основу для обработки данных может быть проблематичной, особенно в крупных проектах. Например, отсутствие ответов от всех лиц, риск отзыва согласия в любой момент, что потребует частых обновлений Credits. Если обрабатывать данные на основании законного интереса, лицо может подать возражение, но администратор вправе его отклонить (индивидуальный подход к случаям). 

Таким образом, использование законного интереса в качестве основы обработки данных в Credits выглядит более практичным и надёжным. Важно отметить, что если производитель решит полагаться на согласие, но не получит его от всех лиц, публикация игры может рассматриваться как инцидент в рамках GDPR. 

ПРОЧИЕ ПРАВОВЫЕ АСПЕКТЫ 

Личные неимущественные права авторов включают, в частности, право решать, будет ли указано их авторство. Это обычно оговаривается в договоре между производителем и автором. В договоре указывается, кто принимает решение об указании авторства. 

Важным аспектом является защита личных неимущественных прав лиц, чьи данные включены или не включены в Credits. Неправомерное неупоминание или включение, создающее впечатление ошибочного присвоения авторства другому лицу, может нарушать личные права автора или не-автора. 

Также важен вопрос равного отношения в трудовых отношениях. Решение производителя не включать в Credits конкретного сотрудника (официально трудоустроенного) должно быть обосновано, иначе возможно обвинение в дискриминации. Это касается и бывших сотрудников, хотя риск здесь ниже (в зависимости от сроков завершения трудовых отношений). 

ИТОГ 

Тема Credits — это ещё один аспект разработки видеоигр, требующий внимательного подхода. Публикуя данные авторов или не-авторов, производители должны учитывать множество правовых нюансов, чтобы избежать нарушений и связанных с этим рисков. Credits ещё раз демонстрируют сложность процесса создания видеоигр. 

В этой статье я сосредоточусь на обсуждении обязательств, которые несут поставщики онлайн-платформ в соответствии с Законом о цифровых услугах (AUC).  

Многие услуги квалифицируются как онлайн-платформы. Это могут быть социальные сети (например, мета-сервисы, такие как Facebook или Instagram), сервисы типа маркетплейсов (например, Allegro, Amazon) или площадки для публикации видео (например, Youtube). В последние годы предоставление услуг в виде онлайн-платформ стало одним из ведущих секторов цифровой экономики. Поэтому при создании AUC законодатель ЕС решил уделить большое внимание этим организациям и наложил на них ряд обязательств.   

Кто является провайдером онлайн-платформы? 

Прежде всего, важно указать, кто такой провайдер онлайн-платформы.  

Согласно AUC, онлайн-платформа — это размещенная на хостинге услуга (подробнее об этом читайте в нашей статье в блоге [__]), которая хранит и распространяет информацию среди населения по запросу получателя услуги.  

 AUC, однако, предусматривает исключения, определяющие, является ли конкретная услуга интернет-платформой. Такое исключение действует, если деятельность является незначительной или исключительно вспомогательной функцией другой услуги и по объективным и техническим причинам невозможно использовать её без данной услуги, а включение этой функции в другую услугу не является способом обойти применение AUC. 

Определение того, что конкретный поставщик соответствует критериям интернет-платформы, не означает, что AUC обязательно будет применяться в этом случае. Если поставщик является микро- или малым предприятием в соответствии с рекомендациями Европейской комиссии 2003/361/ЕС, он (за исключением одного отчетного обязательства) освобождается от внедрения решений, предусмотренных для поставщиков интернет-платформ. Это следующие категории: 

- микропредприятие - имеет менее 10 сотрудников и оборот или годовой баланс менее 2 млн евро;  

- малое предприятие - менее 50 сотрудников и оборот или годовой баланс менее 10 миллионов евро.  

Однако здесь есть исключение из правила. Даже если поставщик интернет-платформы является микро- или малым предприятием, он обязан соблюдать эти требования, если одновременно имеет статус поставщика очень крупной интернет-платформы. Это связано с тем, что в данном случае размер компании не имеет значения, главным критерием являются её охваты (подробнее об этом ниже). 

Ниже приводится общий обзор обязательств, предусмотренных только для провайдеров онлайн-платформ с AUC (Глава III Раздел 3 AUC):  

Но обратите внимание: необходимо помнить о следующем: 

1. Провайдер онлайн-платформы должен также соблюдать обязательства, предусмотренные для каждого провайдера посреднических услуг (Глава III Раздел 1 AUC) и провайдера услуг хостинга (Глава III Раздел 2 AUC). Это связано с тем, что провайдер онлайн-платформы по определению является также провайдером хостинга — одного из видов промежуточных услуг. 
2. Дополнительные обязательства у провайдера онлайн-платформы возникают, если его платформа позволяет потребителям заключать дистанционные договоры с торговцами (так называемые B2C-платформы) (глава III раздел 4 AUC). 
3. Еще больше обязательств возникнет, если провайдер имеет статус очень крупного провайдера онлайн-платформы, то есть имеет среднее количество ежемесячных активных клиентов услуг в Союзе не менее 45 миллионов и был определен Европейской комиссией как очень крупная онлайн-платформа. 
4. И последнее, но не менее важное: несмотря на обязательства, налагаемые КАС, провайдер онлайн-платформы должен соблюдать обязательства, налагаемые на него другими законодательными актами (например, Постановлением 2021/784 о предотвращении распространения террористического контента в Интернете или RODO). 

Ниже приводится краткое описание обязательств провайдеров онлайн-платформ, которые я перечислил выше.   

Внутренняя система рассмотрения жалоб 

Это продолжение обязательств, налагаемых на каждого поставщика услуг по модерированию контента на своих ресурсах. Провайдер онлайн-платформы должен предоставить получателям услуг, включая тех, кто подает заявки, в течение как минимум шести месяцев после принятия решения о модерации доступ к эффективной внутренней системе рассмотрения жалоб.  

В качестве примера предположим, что пользователь А заметил, что на онлайн-платформе XYZ пользователь Б разместил комментарий, нарушающий личные права пользователя А. Пользователь А сообщил провайдеру онлайн-платформы XYZ о появлении этого незаконного контента. Через некоторое время провайдер платформы вынес решение, в котором согласился с позицией пользователя А и удалил комментарий пользователя Б из контента платформы XYZ, который был проинформирован об этом. Пользователь B не согласен с этим решением и поэтому подает жалобу на него, которая будет рассмотрена только внутренней системой рассмотрения жалоб этого провайдера.  

Разумеется, это один из сценариев, когда применяется внутренняя система рассмотрения жалоб.  

Подробнее об этой процедуре вы можете прочитать в этой статье.  

Внесудебный механизм разрешения споров 

Еще одна обязанность, возлагаемая на провайдеров онлайн-платформ, — обеспечить пользователям и правомочным лицам (т. е. репортерам, не являющимся пользователями) доступ к внесудебному механизму разрешения споров.  

Важно отметить, что это не еще один этап рассмотрения дела поставщиком онлайн-платформы. Дело разрешается внешним органом. Провайдер онлайн-платформы должен указать заинтересованной стороне на право применения данной меры.  

Заинтересованная сторона может направить запрос на разрешение спора во внесудебный (например, сертифицированный) орган. По общему правилу, провайдер онлайн-платформы не может отказать в рассмотрении такого дела.  

Приоритетность запросов 

Провайдер онлайн-платформы обязан внедрить в своей организации необходимые технические и организационные меры для обеспечения приоритетности уведомлений, поданных доверенными лицами, сообщающими о нарушениях. Это организации, определенные координатором цифровых услуг, которые:  

1. обладают специальным опытом и компетенцией для целей обнаружения, идентификации и сообщения о незаконном контенте; 
2. независимы от провайдеров онлайн-платформ; 
3. принимают меры по предоставлению точных и объективных сообщений с должным усердием. 

Выполнение такого обязательства может включать, например, создание отдельного канала отчетности для этих организаций, независимого от сообщений, поступающих от других лиц.  

Механизм реагирования на неправомерное использование услуг 

AUC требует, чтобы поставщик онлайн-платформы создал механизмы, которые он может использовать, когда люди злоупотребляют предоставляемыми им услугами. Очень часто это люди, занимающиеся «троллингом».  

Во-первых, провайдер приостанавливает на разумный срок и после предварительного предупреждения предоставление услуг получателям услуг, часто передающим явно незаконный контент.  

Во-вторых, провайдер приостанавливает на разумный срок и после предварительного предупреждения обработку сообщений, поступающих через механизмы информирования и принятия мер, и жалоб, поступающих через внутренние системы обработки жалоб от физических или юридических лиц, часто представляющих явно необоснованные сообщения, или от заявителей, часто представляющих явно необоснованные жалобы.  

Например, пользователь A, имеющий аккаунт на платформе социальных сетей XYZ, сообщает провайдеру как о потенциально незаконном контенте любое сообщение пользователя B, касающееся политической ситуации в стране. Пользователь А не согласен со взглядами пользователя Б, поскольку сам выступает за другой политический вариант. С другой стороны, провайдер платформы XYZ, не прибегая к экспертизе, уже замечает, что ни один из постов пользователя B не содержит незаконного контента, а сами посты являются конструктивной критикой. В такой ситуации провайдер платформы XYZ предупреждает пользователя А о том, что он злоупотребляет своими правами на предоставление информации, и призывает его прекратить эту практику. Несмотря на призыв, пользователь А продолжает делать сообщения о высказываниях пользователя Б. В связи с этим провайдер приостанавливает обработку сообщений пользователя А на 1 месяц.  

Дополнительные обязательства по отчетности 

Провайдер онлайн-платформы имеет больше обязательств по отчетности, чем стандартный поставщик промежуточных услуг. Ниже приведены примеры таких обязательств.  

В дополнение к информации, содержащейся в статье 15 AUC (подробнее см. статью по этой ссылке), провайдер онлайн-платформы также должен сделать общедоступными следующие данные (обычно на веб-сайте онлайн-платформы):  

1. связанные с рассмотрением споров провайдером онлайн-платформы: 
2. количество споров, переданных в органы внесудебного урегулирования споров; 
3. результаты рассмотрения этих споров; и 
4. среднее время, затраченное на процесс разрешения спора; и 
5. доля споров, по которым провайдер онлайн-платформы исполнил решения этих органов.  
6. Количество приостановлений обслуживания в разбивке по причинам: 
7. передачи явно незаконного контента; 
8. предъявления явно необоснованных претензий; и 
9. подача явно необоснованных жалоб. 

Кроме того, не реже одного раза в шесть месяцев провайдеры должны для каждой онлайн-платформы или поисковой системы публиковать в общедоступном разделе своего онлайн-интерфейса информацию о среднемесячном количестве активных пользователей услуги в Союзе.  

В то же время провайдеры онлайн-платформ или поисковых систем должны по запросу и без неоправданной задержки предоставлять информацию о среднемесячном количестве активных получателей услуги в Союзе координатору цифровых услуг, ответственному за место учреждения, и Европейской комиссии.  

Запрет на использование темных узоров 

Поставщик онлайн-платформы не должен разрабатывать, организовывать или эксплуатировать свои онлайн-интерфейсы таким образом, чтобы вводить в заблуждение или манипулировать получателями услуги или иным образом материально препятствовать или ухудшать способность получателей услуги принимать свободные и обоснованные решения. AUC называет подобные действия «обманчивыми веб-интерфейсами», но бизнес чаще всего использует фразу «темные шаблоны». Использование темных шаблонов — чрезвычайно распространенное явление, в том числе в электронной коммерции. Через такие интерфейсы пользователи часто покупают товары, которые им совсем не нужны, или приобретают их в больших количествах, чем необходимо.  

Следует отметить, что правила RODO и Директива о недобросовестной рыночной практике (реализованная в польском законодательстве в виде Закона о противодействии недобросовестной рыночной практике) имеют приоритет над положением AUC в этом отношении.  

Прозрачность онлайн-рекламы 

Провайдеры онлайн-платформ, размещающие рекламу на своих онлайн-интерфейсах, должны обеспечить, чтобы в отношении каждой конкретной рекламы, представленной каждому отдельному получателю, получатели услуг могли четко, ясно, кратко и однозначно и в режиме реального времени  

1. определить, что информация является рекламой; 
2. установить, от имени какого физического или юридического лица представлена реклама; 
3. определить физическое или юридическое лицо, оплатившее рекламу, если это лицо не является физическим или юридическим лицом, указанным в пункте b; 
4. найти соответствующую информацию, извлекаемую непосредственно из рекламы, об основных параметрах, используемых для определения получателя, которому представляется реклама, и, если применимо, о том, как эти параметры изменяются. 

Кроме того, провайдеры предоставляют получателям услуг возможность заявить о том, является ли предоставляемый ими контент коммерческой информацией или содержит ее (вы иногда видите на платформах, что тот или иной материал является «спонсированным»? 😊).  

Еще одно важное обязательство, налагаемое на провайдеров онлайн-платформ, — запрет на представление получателям услуг в соответствии с положениями RODO рекламы, основанной на профилировании, с использованием специальных категорий персональных данных (например, данных о состоянии здоровья или политических взглядах).  

Использование прозрачной системы рекомендаций 

Поставщики онлайн-платформ, использующие рекомендательные системы, должны простым и доступным языком изложить в своих условиях предоставления услуг основные параметры, используемые в их рекомендательных системах, а также любые возможности для получателей услуг по изменению или влиянию на эти параметры.  

Основные параметры объясняют, почему определенная информация предлагается получателю услуги. К ним относятся, как минимум:  

1. критерии, которые являются наиболее значимыми при определении информации, предлагаемой получателю услуги; и 
2. вклад каждого параметра («его вес») в определение рекомендации пользователю. 

Другими словами, таким образом мы должны знать, что на платформе нам часто показывают картинки с забавными кошками, потому что мы смотрим много видео с ними в общем доступе 😊.  

Если в рекомендательных системах имеется несколько вариантов, определяющих относительный порядок информации, представляемой получателям услуги, поставщики должны также предоставить функцию, позволяющую получателю услуги в любой момент выбрать и изменить предпочтительный вариант. Эта функция должна быть непосредственно и легко доступна в конкретном разделе веб-интерфейса онлайн-платформы, в котором устанавливается приоритет информации.   

Защита несовершеннолетних в Интернете 

Последняя область обязательств для поставщиков онлайн-платформ связана с использованием их услуг несовершеннолетними. Эти обязательства заключаются в следующем:  

• введение соответствующих и соразмерных мер для обеспечения высокого уровня конфиденциальности, безопасности и защиты несовершеннолетних в рамках услуг, предоставляемых провайдерами (здесь очень полезны решения, разработанные в RODO); 

• запретить провайдерам размещать на своем интерфейсе рекламу, основанную на профилировании, используя персональные данные получателя услуг, если им с достаточной степенью уверенности известно, что получатель услуг является несовершеннолетним. 

Соблюдение вышеуказанных обязательств не обязывает провайдеров онлайн-платформ обрабатывать дополнительные персональные данные для оценки того, является ли получатель услуги несовершеннолетним.  

Обязанность публиковать репозитории объявлений 

 Одним из ключевых обязательств, налагаемых DSA на VLOP, является обязанность публиковать репозитории объявлений. Эти платформы должны собирать и предоставлять информацию обо всех рекламных объявлениях, отображаемых на их сайтах. Реестр должен содержать: 

1. Содержание рекламы – наименование продукта, услуги или бренда, а также предмет рекламы, отображаемой пользователям. 
2. Данные рекламодателя – информация о лице или организации, от имени которых размещена реклама. 
3. Данные плательщика – если за рекламу заплатило лицо, отличное от рекламодателя, необходимо указать этого плательщика, чтобы отразить, в чьих интересах проводится рекламная кампания. Платформы обязаны приложить разумные усилия для проверки достоверности предоставленной информации (ст. 39(1) DSA). 
4. Срок размещения – даты первого и последнего показа рекламы. 
5. Целевая аудитория – группы пользователей, которым адресована реклама, а также критерии её таргетирования (например, возраст, пол, активность, географическое расположение), включая исключённые аудитории. 
6. Общее число пользователей – общее количество человек, увидевших рекламу, включая разбивку по странам для таргетированной рекламы. 

DSA также обязывает: 

1. Размещать реестр в отдельном разделе интерфейса платформы. 
2. Обеспечить возможность поиска по различным критериям и предоставление данных через API, чтобы сторонние организации могли разрабатывать собственные инструменты анализа. 

VLOP должны гарантировать, что репозиторий не содержит никаких персональных данных получателей услуг, которым была или могла быть представлена реклама.  

Цель и значение регулирования 

Обязательство публиковать реестры направлено на повышение прозрачности интернет-рекламы, предотвращение манипуляций, включая избирательные кампании, и распространение дезинформации. 

Последствия для онлайн-платформ 

 Введение обязательной публикации репозиториев рекламы ставит перед онлайн-платформами ряд новых задач. Они должны инвестировать в соответствующие технологии и человеческие ресурсы, чтобы соответствовать новым требованиям законодательства. Кроме того, они должны работать прозрачно и в соответствии с законом, что может потребовать изменения существующей деловой практики. Несоблюдение новых требований может привести к серьезным последствиям, включая крупные финансовые штрафы. 

Влияние на пользователей и рекламодателей 

Новые правила направлены на защиту интересов пользователей, предоставляя им больше возможностей для контроля и информирования о рекламе, которую они видят. Пользователи получат доступ к информации о рекламных объявлениях, что позволит им более осознанно использовать онлайн-сервисы. 

Для рекламодателей это означает повышение прозрачности и подотчетности рекламных кампаний. Они могут столкнуться с новыми препятствиями и проблемами, особенно в плане соблюдения новых правил. Необходимость публиковать подробную информацию о рекламных кампаниях может также повлиять на маркетинговую стратегию и бюджетирование кампаний. 

Резюме 

 Закон о цифровых услугах вносит существенные изменения в работу VLOP. Хотя новые правила, в том числе обязанность публиковать репозитории рекламы, могут создать проблемы для VLOP и рекламодателей, они направлены на повышение прозрачности и защиту пользователей от неэтичной рекламной практики. 

Более подробную информацию об обязательствах, налагаемых на очень крупные онлайн-платформы, можно найти в главе IX публикации «Реализация Закона о цифровых услугах в электронной коммерции», 2024, C.H. Beck Publishers, соавтором которой я являюсь. 

https://www.ksiegarnia.beck.pl/22073-wdrozenie-aktu-o-uslugach-cyfrowych-w-e-commerce-mateusz-borkiewicz 

1. AUC и RODO — статус отношений: «это сложно». 

В последние месяцы многие предприятия электронной коммерции внедряют в своих организациях положения ЕС — Закон о цифровых услугах (AUC).  

Важно помнить, что AUC не действует в вакууме. В дополнение к нему предпринимателям электронной коммерции необходимо помнить о других нормативных актах, которые они должны соблюдать, чтобы полностью соответствовать требованиям. Одним из них как раз и является RODO. Можно даже рискнуть сказать, что AUC не будет реализован должным образом, если RODO не было внедрено в организации заранее.  

По своему содержанию Положение о КАС указывает, как оно соотносится с RODO. В целом, AUC не затрагивает регламент ЕС по защите данных (т. е. в первую очередь RODO). В этот момент юрист использует выражение, что RODO является lex specialis по отношению к AUC. Это означает, что положения RODO специфичны по отношению к положениям AUC. Закон о цифровых услугах лишь дополняет положения RODO.  

Ниже приведены несколько областей, в которых RODO следует иметь в виду при внедрении AUC в организации.  

2. RODO и темные шаблоны 

Одним из примеров является запрет темных шаблонов — «обманчивых интерфейсов». Согласно статье 25(1) КАС, провайдеры онлайн-платформ не должны разрабатывать, организовывать или эксплуатировать свои онлайн-интерфейсы таким образом, чтобы вводить в заблуждение или манипулировать получателями услуг или иным образом существенно препятствовать или ухудшать способность получателей услуг принимать свободные и обоснованные решения. Важно отметить, что данное положение применяется в тех случаях, когда положения RODO и Директивы о недобросовестной рыночной практике не применяются. Что это значит? Даже если поставщик онлайн-платформы использует темные шаблоны, сначала необходимо установить, не связаны ли они со сбором или обработкой персональных данных и не направлены ли они на потребителей. Если нет ни того, ни другого, то необходимо использовать регламент AUC.  

Таким образом, RODO остается более актуальным, чем AUC, при борьбе с темными схемами. В этом контексте важно обратить внимание, в частности, на Руководство 3/2022 Европейского совета по защите данных (Guidelines 3/2022 on Deceptive design patterns in social media platform interfaces: How to recognise and avoid them, принятое 14.2.2023 (версия 2.0)).  

3. RODO и профилирование 

Одной из областей, которой AUC уделяет особое внимание, является вопрос представления рекламы на основе профилирования персональных данных.  

Что такое профилирование? Согласно RODO, это любая форма автоматизированной обработки персональных данных, которая предполагает использование персональных данных для оценки определенных личных факторов человека, в частности, для анализа или прогнозирования аспектов, связанных с его деятельностью, экономическим положением, здоровьем, личными предпочтениями, интересами, надежностью, поведением, местоположением или перемещениями.  

Постановление AUC в первую очередь касается профилирования в отношении провайдеров онлайн-платформ.  

Во-первых, поставщики онлайн-платформ не могут предоставлять получателям услуг рекламу, основанную на профилировании, используя специальные категории персональных данных.  

Что это за «специальные категории данных», которые также называют «чувствительными данными»? RODO указывает, что это персональные данные, раскрывающие расовое или этническое происхождение, политические взгляды, религиозные или философские убеждения, членство в профсоюзе, а также генетические данные, биометрические данные для целей однозначной идентификации физического лица или данные, касающиеся здоровья, сексуальности или сексуальной ориентации человека.  

Во-вторых, поставщики онлайн-платформ не могут размещать на своем интерфейсе рекламу, основанную на профилировании, используя персональные данные (не только конфиденциальные!) получателя услуг, если им с достаточной степенью уверенности известно, что получатель услуг является несовершеннолетним.  

В-третьих, поставщики очень крупных онлайн-платформ и очень крупных поисковых систем, использующих рекомендательные системы (подробнее по ссылке), должны предоставить как минимум одну опцию для каждой из своих рекомендательных систем, не основанную на профилировании.  

4. RODO и защита несовершеннолетних 

Еще одна область DSA, в которой знание RODO необходимо для реализации, — это вопрос защиты несовершеннолетних (с точки зрения DSA — лиц моложе 18 лет). Выше я упоминал о запрете на представление несовершеннолетним рекламы, основанной на профилировании, с использованием персональных данных. Ниже приводится еще одно обязательство.  

Поставщики онлайн-платформ, доступных для несовершеннолетних, должны принять соответствующие и соразмерные меры для обеспечения высокого уровня конфиденциальности, безопасности и защиты несовершеннолетних в рамках предоставляемых ими услуг. Этот подход схож с моделью «конфиденциальность по замыслу» и «конфиденциальность по умолчанию», представленной в RODO. Другими словами, при принятии соответствующих мер по обеспечению конфиденциальности, безопасности и защиты несовершеннолетних необходимо опираться на положения RODO в этой области, особенно в контексте статей 25 и 34 Регламента. Также важно использовать руководство, разработанное как ЕРОД (например, 5/2020 о согласии в соответствии с Регламентом 2016/679), так и надзорными органами отдельных государств-членов Европейского союза (например, «Основы подхода к обработке данных, ориентированного на детей», разработанного Ирландской комиссией по защите данных).  

 Резюме 

Это лишь несколько примеров, иллюстрирующих, насколько важен RODO с точки зрения AUC. Внедрение Закона о цифровых услугах в организации будет неполным, если заранее не внедрить RODO. Это означает, что каждому предприятию электронной коммерции уже сейчас стоит проверить правильность своих решений по защите данных. 

ПОДПИШИСЬ НА 

🚀 Открыт набор в аспирантуру «Право новых технологий! 

Открыта запись на аспирантскую программу «Право новых технологий — работа с бизнесом и государственным сектором» на факультете права и управления Лодзинского университета под руководством д-ра Марлены Саковской-Барылы, профессора UŁ Ph. 

Мы рады сообщить, что наш новый эксперт по технологическому праву доктор Войцех Ламик будет лектором на этом курсе! 

🌟 Почему стоит присоединиться? 

Представьте себе, что вы находитесь в авангарде юристов, обслуживающих передовые предприятия, использующие искусственный интеллект, электронную коммерцию, цифровой маркетинг и электронные услуги. Или вы работаете в государственном секторе, занимаетесь внедрением ИТ и формированием будущего цифрового правительства. Эта программа — идеальная возможность получить необходимые знания и навыки! 

👩‍🏫 Что делает эту программу уникальной? 

🔹 Более 200 часов занятий с опытными экспертами — получайте знания от лучших в отрасли! 

🔹 Узнайте о LegalTech, кибербезопасности и искусственном интеллекте — будьте в курсе последних тенденций. 

🔹 Всеобъемлющий сборник по поддержке юридических технологий — будьте готовы к вызовам будущего. 

🔹 Практический анализ юридических вопросов и внедрения ИТ — получите навыки, которые вам действительно нужны на рынке труда. 

🎓 Занятия исключительно онлайн! 

Вы можете учиться из любой точки мира и подстраивать обучение под свой график. 🚀 

🗓 Набор продолжается до 15 октября 2024 года. 

А преподавательский состав – это настоящая визитная карточка этой программы: Marlena Sakowska-Baryła, prof. UŁ dr hab., Zbigniew Okoń, Rafał Prabucki, PhD, Mariola Więckowska, Artur Prasal, Mirosław Gumularz, Ph.D., prof. UŚ dr hab Dariusz Szostek, Beata Konieczna-Drzewiecka, Marcin Górski, Anna Kruszewska, Jakub Wyczik, Maciej Szmigiero, Arleta Nerka, Jan Wosiura, Kamil Szpyt, Dominika Kuźnicka- Błaszkowska, Milena Wilkowska, Tomasz S., dr Piotr Siemieniak, Magdalena Czaplińska,PhD, Damian Karwala, Ph.D., Izabela Kowalczuk-Pakuła, Dominika Prabucka, Agnieszka G., Adrian Kapczyński, CISA, CISM, Ph.D., Mateusz Jakubik, Michał Nowakowski, PhD, Gabriela Bar, Damian Flisak, Tomasz Izydorczyk, Krzysztof Stefański, Magdalena Piech, PhD, dr Iga Małobęcka-Szwast, LL.M., Mateusz Franke. 

Более подробную информацию можно найти здесь: 🔗https://lnkd.in/diPetjum 

Премьера очередного эпизода подкаста «Право и новые технологии» 🎙️ 

17 июля этого года состоялась премьера очередного эпизода подкаста OIRP Wrocław Komisja ds Nowych Technologii i Transformacji Cyfrowej «Право и новые технологии», со-ведущими которого стали доктор Войцех Ламик, эксперт по праву новых технологий нашей юридической фирмы и председатель OIRP Wrocław Komisja ds Nowych Technologii i Transformacji Cyfrowej и меценат Лукаш Отфиновский. 

Гостями подкаста стали мек Павел Кемпа-Дыминьский, старший менеджер и эксперт по трудовому праву юридической фирмы Leśniewski Borkiewicz Kostka & Partners, и мек Сальвадор Мильчановский, специалист по экономическому уголовному праву и комплаенсу. 

Тема эпизода — защита информаторов. 

В ходе интервью были затронуты, в частности, следующие вопросы: 

🔹 Кто может стать информатором по новому закону и есть ли исключения? 

🔹 Основные обязательства работодателей в соответствии с законом и процедуры защиты информаторов. 

🔹 Способы, с помощью которых информаторы могут сообщать о правонарушениях, и критерии их отбора. 

🔹 Защита информаторов от преследований. 

🔹 Риск злоупотребления статусом информатора и ложных сообщений. 

🔹 Правовые риски и санкции за несоблюдение Закона. 

🔹 Самые большие проблемы при внедрении защиты информаторов и рекомендации по этому вопросу. 

🔗 Советуем вам узнать больше об изобличителях по следующей ссылке: https://lnkd.in/djvJUCEB. 

Другие эпизоды подкаста можно найти здесь: https://lnkd.in/dnF28bsR 

Конец 2024 года ознаменован не только разоблачениями, но и «кибербезопасностью». Этим мы обязаны директиве NIS 2 и регламенту DORA. Сегодня несколько слов о директиве NIS 2.

До 17 октября 2024 года Польша должна выполнить директиву ЕС NIS 2, которая призвана обеспечить устойчивость организаций, важных с точки зрения общественных интересов, к киберугрозам. Это требует внедрения соответствующих процедур и обучения, включая анализ рисков и безопасность ИТ-систем, обработку инцидентов, обеспечение непрерывности бизнеса, управление кризисными ситуациями, безопасность цепочки поставок и другие.

NIS 2 будет охватывать ряд организаций, которые до сих пор не регулировались NIS 1. Согласно проекту поправок к Закону о национальной системе кибербезопасности (UKSC), организации, которые должны быть особенно заинтересованы в NIS 2 , включают..:

✔️ Энергетика
✔️ Транспорт
✔️Bankowość
✔️ Инфраструктура финансовых рынков
✔️ Здравоохранение
✔️ Подача и распределение питьевой воды
✔️ Инфраструктура цифровых технологий
✔️ Водоотведение
✔️ Управление ИТ-услугами
✔️ Государственный сектор
✔️ Космос
✔️Usługi Почтовые и курьерские услуги
✔️ Управление отходами
✔️ Производство и распространение химических веществ
✔️ Производство и распределение продуктов питания
✔️ Производство
✔️ Поставщики цифровых услуг
✔️ Исследования

Список длинный 😊. Более того, проект UKSC требует самостоятельной идентификации организаций, соответствующих критериям, и регистрации в соответствующем реестре.

Поправки UKSC, согласно проекту, вступят в силу через месяц после публикации. Этого времени будет недостаточно для полной реализации новых обязательств. Поэтому мы уже сейчас предлагаем нашим клиентам провести аудит и внедрить NIS 2 на основе стандартов PN-EN ISO/IEC 27001, PN-EN ISO/IEC 22301 и лучших рыночных практик. После того как законодательство будет окончательно утверждено, достаточно будет доработать процедуры.

А вы, «догоняете» ли вы NIS2 и готовы ли вы к NIS?

DORA — новые стандарты кибербезопасности 🔒.
В цифровую эпоху, когда большинство финансовых операций происходит онлайн, безопасность наших данных и средств становится приоритетом. Недавно мы все видели на примере сбоя операционных систем Microsoft, что происходит, когда страдает один из наиболее часто используемых онлайн-сервисов для бизнеса, Office 365. ✈️🚫.
Авиарейсы были отменены, Лондонская фондовая биржа не работала, а клиенты банков также сообщали о проблемах (в Польше пострадали, в частности, Santander Bank и PKO BP). По оценкам Microsoft, инцидент затронул до 8,5 миллионов устройств с Windows. Последствия того, что оказалось «просто» сбоем, на мгновение остановили часть мира. Масштаб нарушения работы предприятий во многих отраслях заставляет задуматься над тем, что может произойти, когда мы имеем дело не со сбоем, а с успешной кибератакой. 🤔💻

Европейский Союз, признавая растущие риски в сфере цифровой безопасности для финансового сектора и его клиентов, в декабре 2023 года принял Закон о цифровой операционной устойчивости (сокращенно DORA), который устанавливает новые стандарты кибербезопасности финансовых учреждений, направленные на обеспечение их устойчивости ко всем сбоям и угрозам, связанным с ИКТ. 🌐📜

Новые правила имеют целью

Минимизировать риски, связанные не только с кибератаками, но и с инцидентами, связанными с безопасностью. Ожидается, что путем установления единых стандартов и процедур DORA будет способствовать защите целостности, безопасности и непрерывности финансовых услуг в Европейском Союзе. 🛡️🇪🇺

Обратный отсчет начался ⏳

У финансовых учреждений есть время до 17 января 2025 года, чтобы выполнить требования DORA. После этой даты льготных тарифов не будет — FSA во время тренингов и встреч с финансовым сектором предупреждает, что не будет ждать запоздалых и планирует проверять и обеспечивать выполнение новых обязательств с первого дня. 📅🔍

Важно, что DORA — это не директива (как в случае с другим актом, касающимся кибербезопасности, например, NIS2), а регламент. Это означает, что он является обязательным для исполнения в полном объеме субъектами, которым он адресован, и имеет прямое действие во всех странах Европейского Союза, без необходимости его имплементации в местные правопорядки посредством законов. 📜⚖️

На кого распространяется действие DORA ? 🏦💼🏦💼

DORA в первую очередь — но не исключительно — охватывает широкий спектр финансовых учреждений и субъектов цифровых финансов. В частности, банки, страховые компании, инвестиционные фонды, кредитные учреждения, провайдеры криптовалют, учреждения электронных денег и другие поставщики финансовых услуг обязаны соблюдать новые правила. 💳🏢

Кроме того, DORA вводит определенные обязательства для поставщиков технологий, включая поставщиков облачных услуг и других поставщиков ИКТ-услуг. ☁️💻

Что означает DORA для финансового сектора? 📊🔒📊🔒

DORA накладывает обязательства на игроков финансового сектора, требуя от финансовых учреждений не только реагировать на инциденты, но и принимать ряд превентивных мер, исходя из принципа, что профилактика лучше, чем лечение. 💡🔧

На практике это означает принятие мер прежде всего в таких ключевых сферах:

1. Управление рисками в сфере ИКТ 🖥️⚠️Instytucje финансов должны разработать и внедрить комплексную стратегию управления рисками в сфере ИКТ. Эта стратегия должна включать выявление, оценку, мониторинг и контроль ИКТ-рисков для обеспечения безопасности и целостности ИТ-систем.
2. Управление инцидентами в сфере ИКТ 🛡️🚨Классификация и отчетность об инцидентах в сфере ИКТ являются ключевыми для эффективного управления безопасностью, согласно DORA. Финансовые учреждения будут обязаны придерживаться четких рекомендаций по классификации инцидентов, что, как ожидается, приведет к надлежащему отслеживанию, анализу и реагированию.Обязанности в этой сфере будут включать, но не ограничиваются:Создание и внедрение единых руководящих принципов классификации инцидентов для классификации инцидентов по уровню серьезности и типу угрозы.Регулярная отчетность об инцидентах соответствующим органам власти и заинтересованным сторонам в соответствии с применимыми стандартами и нормативными актами.Проведение анализа первопричин
3. Управление рисками от внешних поставщиков услуг ИКТ 🤝🔍Финансовые учреждения должны определить политику управления сотрудничеством с внешними поставщиками услуг ИКТ. Обязанности в этой сфере будут включать, среди прочего, разработку критериев оценки и отбора поставщиков услуг ИКТ для обеспечения их соответствия требованиям безопасности и комплаенса, обеспечение соответствия контрактов, заключенных с поставщиками услуг ИКТ, требованиям, установленным DORA, а также регулярный мониторинг и оценку эффективности работы поставщиков.
4. Оперативное тестирование цифровой устойчивости 🔄🛠️Obowiązki в этой сфере будет включать, среди прочего, создание комплексной программы оперативного тестирования цифровой устойчивости. Финансовые учреждения, кроме микропредприятий, будут обязаны тестировать все ИКТ-системы и приложения минимум раз в год. Для некоторых обязанных субъектов DORA также предусматривает дополнительное обязательство проводить расширенное тестирование на проникновение (TLPT) для поиска угроз по меньшей мере каждые 3 года.

Где есть обязательства, там есть и санкции ⚖️💰.

Понимание и адаптация к требованиям DORA важны с точки зрения финансовых субъектов не только для обеспечения надлежащего уровня операционной цифровой устойчивости, но и для избежания серьезных юридических и финансовых последствий.

DORA предусматривает, что компетентные органы (в Польше это, прежде всего, FSA) получат широкие полномочия для надзора и обеспечения выполнения DORA. Они будут иметь право требовать доступ к любым документам и данным, которые они посчитают важными в контексте своих расследований. Финансовые учреждения должны быть готовы к возможным аудитам и проверкам. Отказ от сотрудничества или непредоставление запрашиваемой информации может привести к дополнительным санкциям. 🔍📋

В случае выявления нарушений DORA надзорные органы могут применять различные административные санкции. К ним относятся, в частности, предписания о прекращении деятельности, не соответствующей требованиям, требование прекратить практику, противоречащую нормативным актам, а также применение финансовых санкций, направленных на обеспечение соблюдения требований. 💼💸

Итог 📊✍️

Конечно, полная оценка влияния новых правил будет возможна только через некоторое время, но мы уже сейчас осмеливаемся предположить, что DORA является важной вехой на пути к обеспечению цифровой операционной устойчивости в финансовом секторе ЕС. С введением новых стандартов управления ИКТ-рисками и требованием проактивного подхода к цифровой безопасности, DORA должна не только помочь защитить финансовые учреждения, но и повысить доверие клиентов к финансовым услугам. Ход сейчас на стороне финансового сектора — достижение цели DORA и связанных с ней преимуществ станет возможным только при условии серьезного отношения к имплементации новых нормативных актов. 🔜🔧