Юридические аспекты обеспечения безопасности в электронных платежных системах

Правовой аспект защиты информации в электронных платежных системах (ЭПС) важен как с точки зрения возможности применения тех или иных технологий для обеспечения функционирования ЭПС, так и с точки зрения правомерности применения тех или иных методов обеспечения безопасности транзакций.

Понятие электронной коммерции в различных правовых системах не имеет единого толкования, что, несомненно, создает определенные неудобства. При этом можно проследить ряд тенденций, которые характерны для большинства законодательных систем, тем или иным образом регулирующих деятельность контрагентов в сети Интернет, которая связана с электронными платежными системами[3GPP TR 21.905: Vocabulary for 3GPP Specifications.]:

• через Интернет не заключаются договоры, требующие нотариального заверения;
• через сеть не заключаются договоры, требующие регистрации в органах государственной власти;
• через сеть не заключаются договоры в области семейного и наследственного права.

При этом электронная коммерция охватывает отношения, осуществляемые с использованием Интернета. К подобным услугам относятся[EMV ICC Specification for Payment Systems.]:

• продажи и покупки через Интернет;
• оказание услуг через Интернет (медицинские, юридические, иные профессиональные консультации, а также банковские, финансовые услуги).

В настоящее время об Интернете все чаще говорят как о новом информационно-социальном пространстве, где формируется своя нормативная система регулирования и требуется выработка особой концепции правового регулирования[ISO/IEC 4909. "Идентификационные карты. Содержание данных 3-й дорожки магнитной полосы".].

Вопрос о юридической силе сделок связывается с условиями, при которых государство признает ту или иную сделку порождающей соответствующие ей правовые последствия. Такими условиями по действующему законодательству являются:

• наличие у субъектов правоспособности и дееспособности на совершение данной сделки;
• законность содержания сделки;
• соответствия внутренней воли сторон их волеизъявлению;
• совершение сделки в установленной законом форме.

Европейский Союз стремится установить единое правовое пространство, в том числе и в сфере электронной коммерции, и как следствие гарантировать защиту интересов участников электронной коммерции[ISO/IEC 7810. "Идентификационные карты. Физические характеристики".].

8 июня 2000 г. вступила в силу Директива Европейского Союза № 2000/31/EC о некоторых правовых аспектах услуг информационного общества, в частности электронной коммерции, на внутреннем рынке. Еще одна Директива Европейского Союза № 2002/65/EC от 23 сентября 2002 г. регулирует деятельность в дистанционном маркетинге потребительских финансовых услуг (см. Приложение 2).

Таким образом, Европейский Союз (ЕС) делает необходимые шаги к установлению правомерных отношений в электронных платежных системах.

В России для того, чтобы обозначить правовую норму, которая бы распространялась на электронную коммерцию, необходимо прежде всего решить ряд юридических проблем, связанных с существующим законодательством.

В настоящее время, например, существует Положение ЦБ РФ № 23-П "О порядке эмиссии кредитными организациями банковских карт и осуществления расчетов по операциям, совершаемым с их использованием", позволяющее совершать торговые операции через Интернет с оплатой товаров с помощью пластиковой карточки[ISO/IEC 7811. "Идентификационные карты. Способ записи".] (см. Приложение 4).

В Разделе 1 этого Положения допускается составление "документа по операциям с использованием банковских карт", если есть только ее реквизиты, как это и происходит при покупках через Интернет. Стоит отметить следующий важный факт. Реквизиты банковской карты, сообщаемые владельцем контрагенту, не являются эквивалентным аналогом подписи владельца карты[ISO/IEC 7812. "Идентификационные карты. Система нумерации. Процедура регистрации идентификаторов эмитента".].

Из-за этого при совершении электронной покупки нарушаются требования к форме расчетного документа, который в соответствии с действующим гражданско-правовым законодательством должен быть заверен собственноручной подписью покупателя или ее аналогом (абз. 1 п. 1 и п. 2 ст. 160 ГК - Гражданского Кодекса).

Положение ЦБ РФ № 23-П не предусматривает того, что нарушение формы документа по операциям с использованием банковских карт влечет его недействительность, равно как и не предусматривает иные последствия такого нарушения. Следовательно, их нужно искать в общегражданском законодательстве[ISO/IEC 7813. "Идентификационные карты. Банковские карты".].

Приведем еще один пример того, как расхождения могут препятствовать однозначному толкованию правовой базы.

До 1 января 2001 г. в законодательстве Российской Федерации существовал юридический казус, связанный с тем, что в соответствии с Федеральным законом от 2 декабря 1990 г. № 395-1 "О банках и банковской деятельности" операции с пластиковыми карточками не отнесены к банковским, а значит, могут подпадать под налогообложение.

Важно понимать, что Гражданский кодекс Российской Федерации (ГК РФ) утверждает, что последствиями нарушений простой письменной формы сделки является невозможность в случае спора ссылаться в подтверждение ее (сделки) и ее условий на свидетельские показания, но не недействительность сделки как таковой[ISO/IEC 7816. "Идентификационные карты. Карты на интегральных схемах с контактами".]. При этом за сторонами сохраняется право ссылаться на письменные и другие доказательства (п. 1 ст. 162 ГК РФ). Такими доказательствами могут быть подписанное держателем карточки уведомление о вручении ему товара или другие документы, подтверждающие его доставку. Однако если таких документов нет, факт совершения сделки доказать будет невозможно[ISO/IEC 9594–8. Информационные технологии. Взаимосвязь открытых систем. Директория. Структура сертификатов открытого ключа и атрибутов.].

Поэтому товары заказчику рекомендуется посылать заказным почтовым отправлением и сохранять подписанные им квитанции о доставке в течение некоторого времени. Только в таком случае можно выиграть спор либо в арбитражном суде платежной системы, либо в общегражданском суде[ISO/IEC 14443. "Идентификационные карты. Бесконтактные карты на интегральных схемах с контактами. Карты бесконтактного считывания".].

Ситуация меняется при применении протоколов электронной коммерции, использующих аналоги собственноручной подписи (например, SET). Применение аналогов собственноручной подписи при совершении операций через Интернет приведет эти операции в соответствие с требованиями действующего законодательства.

В этом плане несомненным достижением является принятие закона об электронной цифровой подписи (см. Приложение 3).

Любая модель платежей в Интернете является специфической формой безналичных расчетов, которая может быть принципиально новой или соответствовать уже существующим формам.

В соответствии с п. 1 статьи 862 ГК РФ форма безналичных расчетов считается законной, если она либо предусмотрена законом и установленными в соответствии с ним банковскими правилами, либо подпадает под категорию "применяемого в банковской практике обычая делового оборота". Приведенные критерии являются слишком общими, в каждом конкретном случае может быть трудно установить наличие или отсутствие обычая делового оборота. В этом случае практика большое значение придает закреплению потенциального обычая в актах отечественных и особенно международных торговых палат и иных авторитетных в данной области организаций[ISO/IEC 15693. "Идентификационные карты. Бесконтактные карты на интегральных схемах с контактами. Карты с радиосвязью".].

На данный момент можно с уверенностью сказать, что под определение "применяемого в банковской практике обычая делового оборота" подпадают операции с платежными картами, также являющиеся особой формой безналичных расчетов[Kravitz J. FSML. Financial Services Markup Language, Version 1.5. // Financial Services Technology Consortium, Chicago, IL, July 1999.].

Правило ч. 3 ст. 861 ГК РФ гласит, что "безналичные расчеты производятся через банки, иные кредитные организации, в которых открыты соответствующие счета, если иное не вытекает из закона и не обусловлено используемой формой расчетов". В соответствии с действующим законодательством помимо кредитных организаций расчеты могут осуществляться[О’Mahoney D., Peirce M., Tewari H. Electronic Payment Systems for E-commerce. Second Edition. ARTECH HOUSE, 2001.]:

• путем зачета взаимных требований;
• с использованием векселей.

Очевидно, что оба метода не могут быть применимы. Основное препятствие в этой связи - тот факт, что ст. 4 ФЗ от 21 февраля 1997 г. № 48-83 "О простом и переводном векселе" устанавливает, что любой вексель должен быть составлен только на бумажном носителе. Становится очевидным, что использование электронных технологий в расчетах осуществимо только при участии в них кредитных организаций.

В соответствии с п. 2.1 Положения ЦБ РФ от 25 ноября 1997 г. № 25-П "О проведении безналичных расчетов кредитными организациями в Российской Федерации" "расчеты в безналичном порядке между кредитными организациями, филиалами могут производиться через[RFC 2246. The TLS Protocol. Version 1.0.]:

• расчетную сеть Банка России;
• кредитные организации по корреспондентским счетам "ЛОРО" и "НОСТРО";
• небанковские кредитные организации, осуществляющие расчетные операции;
• внутрибанковскую расчетную систему (счета межфилиальных расчетов).

Поскольку, как об этом говорилось ранее, электронные расчеты возможны только через кредитные учреждения, то они должны иметь соответствующую банковскую лицензию, как это определено законом о банках и банковской деятельности и нормативными актами ЦБ РФ. В случае использования моделей, основанных на логике ценных бумаг, что в соответствии с ч. 1 п. 1 ст. 149 ГК РФ будет считаться бездокументарной ценной бумагой, возникает необходимость получения дополнительно специальной лицензии, дающей право на электронную фиксацию прав, закрепляемых ценной бумагой. Также следует заметить, что электронная фиксация прав, закрепляемых ценной бумагой, возможна только в случаях, определенных законом, или в установленном им порядке[RFC 3749. Transport Layer Security Protocol Compression Methods.].

Система поступления платежей в Интернете может быть выведена на достаточно высокий уровень только при условии создания полноценных третейских судов, что достаточно трудно в настоящее время. Существует несколько препятствий этому, первое из которых - несовершенное гражданско-процессуальное законодательство России.

В связи с вышеизложенным возникает необходимость внесения изменений в законодательство. Без создания инфраструктуры центров сертификации невозможно построить систему электронных платежей, обеспечивающую необходимый уровень безопасности электронных покупок. Вот почему так важно принятие закона об электронно-цифровой подписи (ЭЦП)[RFC 4120. The Kerberos Network Authentication Service (V5).] (см. Приложение 3).