Электронные доказательства для онлайн-рынков и облачных платформ: Что нужно знать

Сайт Постановление ЕС об электронных доказательствах (ЕС) 2023/1543 часто обсуждается так, как будто это проблема только телекоммуникаций. Это не так. С сайта 18 августа 2026 года, В сферу действия закона попадают онлайн-площадки, SaaS-платформы, облачные хранилища и IaaS-провайдеры, хостинговые компании, социальные сети и инструменты для совместной работы. Если ваша платформа хранит, обрабатывает или передает пользовательские данные и предоставляет услуги пользователям в ЕС, вы должны быть готовы к получению и исполнению европейских заказов на производство (EPO) и европейских заказов на сохранение (EPOC-PR) - напрямую, без дипломатических посредников, в сжатые сроки.

Для платформ, которые исторически рассматривали запросы на предоставление данных как эпизодические, специальные юридические вопросы, это шаг вперед. Только по оценкам Федерального министерства юстиции Германии, примерно 9 000 компаний в Германии подпадают под действие этого закона, и аналогичные показатели характерны для остальных стран ЕС. В этом руководстве объясняется, какие именно платформы попадают под действие этого закона, какие виды приказов следует ожидать, что именно требуется от торговых площадок и облачных провайдеров, а также как своевременно построить соответствующую операционную модель.

Какие онлайн-платформы входят в сферу применения электронных доказательств?

В Постановлении намеренно используются широкие, технологически нейтральные определения, чтобы отразить реалии современных онлайн-сервисов. К категориям, имеющим непосредственное отношение к операторам платформ, относятся:

• Онлайновые рынки - Любая платформа, позволяющая третьим лицам предлагать товары или услуги потребителям, включая B2C-рынки, торговые площадки peer-to-peer, платформы по продаже билетов, гиг-рынки и площадки по требованию, а также платформы по аренде.
• Поставщики облачных вычислений и систем хранения данных - Поставщики услуг IaaS, PaaS и SaaS, услуг хранения объектов/файлов, резервного копирования и аварийного восстановления, а также управляемых баз данных.
• Хостинг-провайдеры - управляемый хостинг, выделенные серверы, VPS, сети доставки контента и граничные платформы.
• Социальные сети и онлайн-сообщества - В том числе форумы, приложения для знакомств, профессиональные сети, игровые платформы с социальными функциями и платформы для создания и трансляции фильмов.
• Услуги информационного общества, хранящие пользовательские данные - Пакеты для совместной работы, инструменты для обмена файлами, платформы для управления проектами, платформы с низким уровнем кодирования и продукты ИИ, сохраняющие подсказки или результаты.
• Услуги интернет-доменов и IP-нумерации - реестры, регистраторы, службы конфиденциальности/прокси, RIR и DNS-провайдеры.
• Межличностные коммуникации, не зависящие от числа - Функции обмена сообщениями, видеоконференций и чатов, встроенные в более крупные продукты.

Крайне важно, что в Постановлении применяется “тест на ”существенную связь"Если ваша услуга предлагается пользователям, находящимся в ЕС, и вы нацелены на рынок ЕС - например, с помощью локализованных цен, языка или маркетинга, - вы попадаете в сферу действия, независимо от того, где зарегистрировано ваше юридическое лицо.

Какие данные будут запрашивать органы власти?

Постановление различает четыре категории электронных доказательств, каждая из которых имеет свои пороговые значения и гарантии:

1. Абонентские данные - личность, контактные данные, информация для выставления счета, тип используемой услуги и дата регистрации.
2. Данные, запрашиваемые исключительно с целью идентификации пользователя - IP-адреса и журналы доступа, используемые исключительно для идентификации личности.
3. Данные о трафике (кроме идентификационных данных) - журналы соединений, метаданные транзакций, идентификаторы устройств, временные метки и информация о маршрутизации.
4. Данные о содержимом - объявления, сообщения, загруженные файлы, фотографии, документы, записи о сделках и другой содержательный контент.

Абонентские и идентификационные данные могут быть запрошены в связи с любым уголовным преступлением. Данные о трафике и контенте предназначены только для преступлений, за которые предусмотрено наказание в виде лишения свободы на срок не менее трех лет, или для определенного списка серьезных киберпреступлений, терроризма, сексуального насилия над детьми и преступлений, связанных с организованной преступностью. Торговые площадки и облачные платформы, как правило, содержат все четыре категории, поэтому точное отображение данных является одной из основных задач по обеспечению соответствия.

Типичные сценарии электронного доказательства на торговых площадках и облачных платформах

Мошенничество на онлайн-площадках

Следователь, преследующий мошенников, запрашивает у оператора торговой площадки данные о личности продавца, его регистрационный IP, историю транзакций и потоки сообщений с жертвами. Данные о подписчиках и трафике могут поступать в рамках стандартного 10-дневного окна; данные о контенте, например сообщения и фотографии, предназначены для серьезных преступлений и требуют дополнительных мер защиты.

Ransomware и злоупотребление инфраструктурой на облачных платформах

Прокурор, расследующий дело о вымогательстве, запрашивает у облачного провайдера журналы панели управления, метаданные экземпляра, идентификационные данные биллинга и журналы доступа к хранилищу для подозреваемого арендатора. Это критически важные по времени запросы, которые обычно поступают в виде экстренные ЭПО с 8-часовым сроком выполнения.

Расследования по вопросам безопасности детей в Интернете

Расследования материалов о сексуальном насилии над детьми, размещенных на социальных платформах или контент-платформах, обычно сочетают постановления об идентификации с постановлениями о производстве и сохранении контента. Такие дела выигрывают от ускорения работы каналов, предусмотренных Постановлением, но при этом требуют соблюдения высочайших стандартов целостности и цепочки хранения.

Захват аккаунтов и масштабный фишинг

Органы власти могут издавать приказы о сохранении данных (EPOC-PR) на ранних этапах расследования, чтобы заблокировать журналы и данные учетных записей на время подготовки приказа о производстве. Платформы должны быть способны сохранять конкретные наборы данных в течение 60 дней с возможностью продления еще на 30, не нарушая при этом обычные процессы хранения и аналитики.

Задача поставщика, не входящего в ЕС: Назначенное учреждение

Для платформ, штаб-квартиры которых расположены за пределами ЕС, одним из наиболее значимых требований является обязательство в соответствии с Директивой (ЕС) 2023/1544 назначить официальное учреждение или законный представитель в одном из государств-членов. Этот назначенный субъект является адресом обслуживания для каждого EPO и EPOC-PR и сам несет ответственность за соблюдение требований.

• Без специального учреждения вы не сможете законно получать заказы, не сможете выдвигать возражения и рискуете автоматически не выполнить требования и понести наказание вплоть до 2% мирового годового оборота.
• Назначенная организация должна быть зарегистрирована в компетентном национальном органе (в Германии - в Федеральное управление юстиции; другие государства-члены имеют эквиваленты).
• Она должна обладать полномочиями и оперативными возможностями для выполнения заказов в установленные сроки.
• Она должна беспрепятственно взаимодействовать с вашими глобальными юридическими службами, службами безопасности и инженерными группами, часто находящимися в разных часовых поясах.

Для многих платформ, не входящих в ЕС, наиболее эффективным решением является Назначенное учреждение как услуга Организация: регулируемый партнер из ЕС выступает в качестве контактного лица, осуществляет прием заказов 24/7, проверяет и сортирует их, а также передает вашим внутренним специалистам только те существенные решения, которые требуют знания платформы.

Операционные требования к торговым площадкам и облачным платформам

Соблюдение требований - это не просто бумажная работа. Для надежного соблюдения 10-дневных стандартных и 8-часовых срочных сроков платформам обычно требуются:

• Безопасный интерфейс приема соединённый с e-CODEX, с автоматической проверкой цифровых подписей и полномочий выдавшего их лица.
• Обнаружение межсистемных данных способный находить данные об абонентах, идентификации, трафике и контенте в старых и современных хранилищах данных.
• Стандартизированные форматы экспорта соответствие с исполнительными актами Комиссии по форматам данных.
• Зашифрованная доставка обратно через e-CODEX, с проверкой получения и ведением журнала аудита.
• Аудиторские записи с контролем вскрытия охватывает все действия от получения до доставки, что очень важно для обеспечения доказательной базы и проверки нормативных актов после факта.
• Круглосуточное дежурство юристов и инженеров, С отработанными схемами выполнения срочных заказов.
• Контроль минимизации данных обеспечение раскрытия только того, что было специально заказано, в соответствии со статьей 5 GDPR.
• Отчетность о прозрачности Приведение в соответствие с Законом о цифровых услугах очень крупных онлайн-платформ (VLOPs) и очень крупных онлайн-поисковых систем (VLOSEs).

Создание всего этого своими силами возможно для самых крупных платформ, но большинство торговых площадок и облачных провайдеров выигрывают от специально разработанного решения. Сайт ICS e-Evidence Compliance Platform Охватывает весь жизненный цикл - от получения до проверки, извлечения, проверки и доставки - и интегрируется с существующими системами идентификации, регистрации и хранения данных.

Особые соображения для поставщиков облачных услуг

Облачные провайдеры сталкиваются с несколькими многоуровневыми проблемами, которые не свойственны платформам с чистым контентом:

• Многопользовательский режим и изоляция: Производство должно быть нацелено на данные одного клиента, не подвергая опасности других арендаторов - как технически, так и по контракту.
• Шифрование под контролем клиента: Если клиенты владеют собственными ключами (BYOK/HYOK), провайдер может быть действительно не в состоянии производить данные о содержимом, и это ограничение должно быть задокументировано и сообщено.
• Общая ответственность: В контрактах и соглашениях об обработке данных должно быть четко указано, какая сторона отвечает за получение и исполнение правоохранительных приказов в отношении каких данных.
• Уведомление клиентов: коммерческие клиенты - особенно корпоративные B2B-клиенты - часто имеют договорные права на уведомление о запросах на доступ при условии соблюдения обязательств по конфиденциальности, налагаемых органом, выдавшим запрос.
• Межрегиональная репликация: Данные могут находиться в нескольких государствах-членах или третьих странах, что приводит к потенциальным конфликтам между постановлениями ЕС и законодательством третьих стран (“обзор статьи 17”).

Специальные соображения для онлайн-рынков

• Данные проверки продавца (KYC, регистрация бизнеса, налоговые идентификаторы) часто являются наиболее ценными данными об абонентах для следователей и должны быть легко извлекаемыми.
• Объявления и сообщения как правило, являются данными о содержимом и требуют более высокого порога серьезности правонарушения.
• Платежные данные может принадлежать PSP, а не самому рынку - важно четко определить, кто отвечает на какой заказ.
• Трансграничные продавцы дублирование обязательств по защите прав потребителей, НДС и DSA; электронная доказательная база должна быть интегрирована с этими программами, а не дублировать их.

Штрафы за несоблюдение

Государства-члены должны устанавливать эффективные, соразмерные и сдерживающие наказания. Постановление устанавливает административные штрафы на уровне до 2% от годового оборота провайдера по всему миру. Для SaaS-платформы среднего размера это может означать десятки миллионов евро; для гипермасштабируемых компаний и крупных рыночных площадок цифры в заголовке быстро становятся существенными для финансовой отчетности. Помимо штрафов, повторные сбои могут повлечь за собой судебные решения, действия регулирующих органов и значительный репутационный ущерб для корпоративных клиентов, партнеров и инвесторов.

Дорожная карта на 6 месяцев до августа 2026 года для платформ

1. Месяцы 1-2 - определение объема работ и составление схемы данных. Уточните, какие организации и услуги входят в сферу действия, сопоставьте данные об абонентах/идентификации/трафике/контенте в разных системах, выявите пробелы.
2. Месяцы 2-3 - юридические основы. Назначьте учреждение в ЕС, зарегистрируйтесь в компетентном органе, обновите контракты, DPA, условия и руководства по правоприменению.
3. Месяцы 3-4 - техническое строительство. Интеграция с e-CODEX, развертывание инструментария для приема, проверки и извлечения, усиление регистрации аудита.
4. Месяцы 4-5 - оперативная готовность. Набрать и обучить группу круглосуточного реагирования, завершить работу над учебными планами, провести учения по отработке действий в чрезвычайных ситуациях.
5. Месяц 6 - Обеспечение. Независимый аудит на соответствие требованиям, подписание на уровне совета директоров и репетиция запуска до 18 августа 2026 года.

Часто задаваемые вопросы

Более подробную информацию можно найти на нашем сайте FAQ по электронным доказательствам.

Применимо ли e-Evidence к небольшим торговым площадкам и облачным стартапам?

Да. Общего исключения для МСП не существует. Если вы предлагаете пользователям в ЕС услуги, входящие в сферу охвата, вы попадаете в сферу охвата независимо от численности персонала или выручки. Небольшие платформы могут пропорционально расширить сферу своего соответствия, но основные обязательства - создание, прием, способность реагировать - все равно применяются.

Можем ли мы полагаться на существующий порядок работы правоохранительных органов?

Скорее всего, нет. Большинство существующих рабочих процессов предполагают прием документов по электронной почте/порталу вручную и недели на их обработку. Постановление об электронных доказательствах требует приема документов на основе e-CODEX, реагирования на чрезвычайные ситуации в течение часа и ведения журналов аудита с контролем вскрытия, которые старые рабочие процессы обычно не обеспечивают.

Что делать, если данные хранятся у субпроцессора или другой части нашей группы?

Поставщик, получивший заказ, отвечает за его выполнение. Внутренние контракты и соглашения об обработке данных должны быть согласованы, чтобы вы могли заставить субпроцессора или аффилированное лицо предоставить данные в установленные сроки.

А как насчет услуг со сквозным шифрованием?

Постановление не требует от провайдеров ослаблять шифрование. Если вы действительно не можете получить доступ к данным контента из-за ключей, принадлежащих клиенту, или истинной архитектуры E2E, об этом ограничении можно сообщить, но вы все равно должны предоставить абоненту, идентификацию и метаданные, к которым у вас есть доступ.

Как ICS помогает платформам подготовиться к работе

ICS обеспечивает как платформа технического соответствия и услуги специализированных учреждений для платформ любого размера - от быстрорастущих масштабируемых SaaS-компаний до глобальных торговых площадок и гипермасштабных облачных провайдеров. Наше комплексное предложение включает в себя прием e-CODEX, автоматическую проверку, извлечение данных из нескольких систем, зашифрованную доставку, ведение журнала аудита с гарантией вскрытия и круглосуточное управление операциями - все это в рамках интегрированной системы. Программа обеспечения соответствия стандартам e-Evidence.

Свяжитесь с ICS сегодня для независимой оценки готовности вашей платформы к электронному доказательству с четким планом действий к сроку 18 августа 2026 года.