1 октября 2022 года во Вьетнаме вступил в силу Декрет № 53/2022/ND-CP (Декрет №53), уточняющий требования к хранению данных на территории Вьетнама.[1] Эти требования были введены Законом о кибербезопасности в 2018 году. Они применяются к поставщикам услуг, которые обрабатывают и анализируют данные Интернет-пользователей и других телекоммуникационных сетей, включая персональные данные и любые другие данные, созданные интернет-пользователями.[2] Среди прочего, Декрет №53 разъяснил, какая именно информация подлежит хранению (статья 26), в течение какого срока (статья 27) и какими предприятиями (статья 26). Указанные требования распространяется на те иностранные предприятия, которые действуют в одном из 10-ти указанных в Декрете №53 секторов (например, e-commerce, онлайн-платежи, социальные сети), и которые проигнорировали просьбу властей Вьетнама расследовать правонарушение в киберпространстве (например, не заблокировали оскорбительный пост). Такие предприятия должны создать во Вьетнаме представительство или филиал; при этом форма и способ локализации данных выбирается ими самостоятельно. Чтобы привести деятельность в соответствие с Декретом №53, предприятиям отведено 12 месяцев. В противном случае, доступ к их сайтам во Вьетнаме могут заблокировать.
Декрет №53, как и упомянутый Закон о кибербезопасности, подвергся критике со стороны партнеров Вьетнама по Соглашению о Всестороннем региональном экономическом партнерстве (RCEP) и Всестороннему и прогрессивному соглашению о Транстихоокеанском партнерстве (CPTPP).[3] Указанные соглашения запрещают договаривающимся сторонам обуславливать ведение бизнеса использованием или размещением на их территории так называемых “computing facilities”, под которыми понимаются компьютерные серверы и устройства для хранения и обработки информации, которая используется в коммерческих целях.[4] CPTPP, тем не менее, содержит исключение из этого обязательства. Фактически оно допускает нарушение обязательства, если это необходимо для достижения общественной цели и не является средством неоправданной или произвольной дискриминации или скрытым ограничением торговли (по аналогии с тестом статьи XX GATT 1994). Однако, как видится, Вьетнаму будет сложно обосновать применение исключений из CPTPP к Декрету №53, поскольку спорные меры не должны быть более ограничительными, чем необходимо для достижения общественной цели. В этой связи Global Data Alliance отмечает, что требования о локализации данных может затруднить их трансграничную передачу и снизить способность вьетнамских предприятий реагировать на кибер-угрозы. Таким образом, Декрет №53 не только не способствует обеспечению кибербезопасности, но и может подорвать заявленные в нем цели по усилению безопасности и защиты данных.[5] Это мнение разделяет BSA Asia-Pacific Software Alliance, указывая, что «локализация данных не повышает безопасность или доступность данных для пользователей и правоохранительных органов».[6]
Япония (участница RCEP) и Канада (участница CPTPP) уже выразили обеспокоенность принятием Декрета №53 и призвали Вьетнам действовать в соответствии с международными обязательствами.[7] Однако страны пока не собираются оспаривать правомерность Декрета №53 в рамках механизмов указанных соглашений. К тому же, согласно CPTPP Вьетнам защищен от оспаривания его мер, не соответствующих обязательству о запрете локализации, до окончания переходного периода в январе 2024 года.
Автор: Дарья Завершинская
__________________________
[1] Decree Elaborating a number of Articles of the Law on Cybersecurity of Vietnam.
[3] Vietnam Data Storage Law Rankles Big Tech and CPTPP Trade Bloc; Vietnam Says Controversial Cybersecurity Law Aims to Protect Online Rights.
[5] Comments of the Global Data Alliance on the Data Localization Elements of Decree 53 to Implement the Law on Cybersecurity
[6] Vietnam Data Storage Law Rankles Big Tech and CPTPP Trade Bloc.
[7] См. сноску 4.
28 фев 2024
27 фев 2024
18 апр 2024
8 апр 2024
