Электронные доказательства для онлайн-рынков и облачных платформ: Что нужно знать

Сайт Постановление ЕС об электронных доказательствах (ЕС) 2023/1543 часто обсуждается так, как будто это проблема только телекоммуникаций. Это не так. С сайта 18 августа 2026 года, В сферу действия закона попадают онлайн-площадки, SaaS-платформы, облачные хранилища и IaaS-провайдеры, хостинговые компании, социальные сети и инструменты для совместной работы. Если ваша платформа хранит, обрабатывает или передает пользовательские данные и предоставляет услуги пользователям в ЕС, вы должны быть готовы к получению и исполнению европейских заказов на производство (EPO) и европейских заказов на сохранение (EPOC-PR) - напрямую, без дипломатических посредников, в сжатые сроки.

Для платформ, которые исторически рассматривали запросы на предоставление данных как эпизодические, специальные юридические вопросы, это шаг вперед. Только по оценкам Федерального министерства юстиции Германии, примерно 9 000 компаний в Германии подпадают под действие этого закона, и аналогичные показатели характерны для остальных стран ЕС. В этом руководстве объясняется, какие именно платформы попадают под действие этого закона, какие виды приказов следует ожидать, что именно требуется от торговых площадок и облачных провайдеров, а также как своевременно построить соответствующую операционную модель.

Какие онлайн-платформы входят в сферу применения электронных доказательств?

В Постановлении намеренно используются широкие, технологически нейтральные определения, чтобы отразить реалии современных онлайн-сервисов. К категориям, имеющим непосредственное отношение к операторам платформ, относятся:

• Онлайновые рынки - Любая платформа, позволяющая третьим лицам предлагать товары или услуги потребителям, включая B2C-рынки, торговые площадки peer-to-peer, платформы по продаже билетов, гиг-рынки и площадки по требованию, а также платформы по аренде.
• Поставщики облачных вычислений и систем хранения данных - Поставщики услуг IaaS, PaaS и SaaS, услуг хранения объектов/файлов, резервного копирования и аварийного восстановления, а также управляемых баз данных.
• Хостинг-провайдеры - управляемый хостинг, выделенные серверы, VPS, сети доставки контента и граничные платформы.
• Социальные сети и онлайн-сообщества - В том числе форумы, приложения для знакомств, профессиональные сети, игровые платформы с социальными функциями и платформы для создания и трансляции фильмов.
• Услуги информационного общества, хранящие пользовательские данные - Пакеты для совместной работы, инструменты для обмена файлами, платформы для управления проектами, платформы с низким уровнем кодирования и продукты ИИ, сохраняющие подсказки или результаты.
• Услуги интернет-доменов и IP-нумерации - реестры, регистраторы, службы конфиденциальности/прокси, RIR и DNS-провайдеры.
• Межличностные коммуникации, не зависящие от числа - Функции обмена сообщениями, видеоконференций и чатов, встроенные в более крупные продукты.

Крайне важно, что в Постановлении применяется “тест на ”существенную связь"Если ваша услуга предлагается пользователям, находящимся в ЕС, и вы нацелены на рынок ЕС - например, с помощью локализованных цен, языка или маркетинга, - вы попадаете в сферу действия, независимо от того, где зарегистрировано ваше юридическое лицо.

Какие данные будут запрашивать органы власти?

Постановление различает четыре категории электронных доказательств, каждая из которых имеет свои пороговые значения и гарантии:

1. Абонентские данные - личность, контактные данные, информация для выставления счета, тип используемой услуги и дата регистрации.
2. Данные, запрашиваемые исключительно с целью идентификации пользователя - IP-адреса и журналы доступа, используемые исключительно для идентификации личности.
3. Данные о трафике (кроме идентификационных данных) - журналы соединений, метаданные транзакций, идентификаторы устройств, временные метки и информация о маршрутизации.
4. Данные о содержимом - объявления, сообщения, загруженные файлы, фотографии, документы, записи о сделках и другой содержательный контент.

Subscriber and identification data may be requested for any criminal offence. Traffic and content data are reserved for offences punishable by at least three years’ custodial sentence, or for a defined list of serious cybercrime, terrorism, child sexual abuse and organised-crime offences. Marketplaces and cloud platforms typically hold all four categories — which is why precise data mapping is a foundational compliance task.

Типичные сценарии электронного доказательства на торговых площадках и облачных платформах

Мошенничество на онлайн-площадках

An investigator pursuing a fraud ring asks a marketplace operator for the seller’s identity, registration IP, transaction history and message threads with victims. Subscriber and данные о трафике can flow under the standard 10-day window; content data such as messages and photos is reserved for serious offences and requires additional safeguards.

Ransomware и злоупотребление инфраструктурой на облачных платформах

Прокурор, расследующий дело о вымогательстве, запрашивает у облачного провайдера журналы панели управления, метаданные экземпляра, идентификационные данные биллинга и журналы доступа к хранилищу для подозреваемого арендатора. Это критически важные по времени запросы, которые обычно поступают в виде экстренные ЭПО с 8-часовым сроком выполнения.

Расследования по вопросам безопасности детей в Интернете

Расследования материалов о сексуальном насилии над детьми, размещенных на социальных платформах или контент-платформах, обычно сочетают постановления об идентификации с постановлениями о производстве и сохранении контента. Такие дела выигрывают от ускорения работы каналов, предусмотренных Постановлением, но при этом требуют соблюдения высочайших стандартов целостности и цепочки хранения.

Захват аккаунтов и масштабный фишинг

Органы власти могут издавать приказы о сохранении данных (EPOC-PR) на ранних этапах расследования, чтобы заблокировать журналы и данные учетных записей на время подготовки приказа о производстве. Платформы должны быть способны сохранять конкретные наборы данных в течение 60 дней с возможностью продления еще на 30, не нарушая при этом обычные процессы хранения и аналитики.

Задача поставщика, не входящего в ЕС: Назначенное учреждение

Для платформ, штаб-квартиры которых расположены за пределами ЕС, одним из наиболее значимых требований является обязательство в соответствии с Директивой (ЕС) 2023/1544 назначить официальное учреждение или законный представитель в одном из государств-членов. Этот назначенный субъект является адресом обслуживания для каждого EPO и EPOC-PR и сам несет ответственность за соблюдение требований.

• Без специального учреждения вы не сможете законно получать заказы, не сможете выдвигать возражения и рискуете автоматически не выполнить требования и понести наказание вплоть до 2% мирового годового оборота.
• Назначенная организация должна быть зарегистрирована в компетентном национальном органе (в Германии - в Федеральное управление юстиции; другие государства-члены имеют эквиваленты).
• Она должна обладать полномочиями и оперативными возможностями для выполнения заказов в установленные сроки.
• Она должна беспрепятственно взаимодействовать с вашими глобальными юридическими службами, службами безопасности и инженерными группами, часто находящимися в разных часовых поясах.

Для многих платформ, не входящих в ЕС, наиболее эффективным решением является Назначенное учреждение как услуга Организация: регулируемый партнер из ЕС выступает в качестве контактного лица, осуществляет прием заказов 24/7, проверяет и сортирует их, а также передает вашим внутренним специалистам только те существенные решения, которые требуют знания платформы.

Операционные требования к торговым площадкам и облачным платформам

Соблюдение требований - это не просто бумажная работа. Для надежного соблюдения 10-дневных стандартных и 8-часовых срочных сроков платформам обычно требуются:

• Безопасный интерфейс приема соединённый с e-CODEX, с автоматической проверкой цифровых подписей и полномочий выдавшего их лица.
• Обнаружение межсистемных данных способный находить данные об абонентах, идентификации, трафике и контенте в старых и современных хранилищах данных.
• Стандартизированные форматы экспорта соответствие с исполнительными актами Комиссии по форматам данных.
• Зашифрованная доставка обратно через e-CODEX, с проверкой получения и ведением журнала аудита.
• Аудиторские записи с контролем вскрытия охватывает все действия от получения до доставки, что очень важно для обеспечения доказательной базы и проверки нормативных актов после факта.
• Круглосуточное дежурство юристов и инженеров, С отработанными схемами выполнения срочных заказов.
• Контроль минимизации данных обеспечение раскрытия только того, что было специально заказано, в соответствии со статьей 5 GDPR.
• Отчетность о прозрачности Приведение в соответствие с Законом о цифровых услугах очень крупных онлайн-платформ (VLOPs) и очень крупных онлайн-поисковых систем (VLOSEs).

Создание всего этого своими силами возможно для самых крупных платформ, но большинство торговых площадок и облачных провайдеров выигрывают от специально разработанного решения. Сайт ICS e-Evidence Compliance Platform Охватывает весь жизненный цикл - от получения до проверки, извлечения, проверки и доставки - и интегрируется с существующими системами идентификации, регистрации и хранения данных.

Особые соображения для поставщиков облачных услуг

Облачные провайдеры сталкиваются с несколькими многоуровневыми проблемами, которые не свойственны платформам с чистым контентом:

• Многопользовательский режим и изоляция: Производство должно быть нацелено на данные одного клиента, не подвергая опасности других арендаторов - как технически, так и по контракту.
• Шифрование под контролем клиента: Если клиенты владеют собственными ключами (BYOK/HYOK), провайдер может быть действительно не в состоянии производить данные о содержимом, и это ограничение должно быть задокументировано и сообщено.
• Общая ответственность: В контрактах и соглашениях об обработке данных должно быть четко указано, какая сторона отвечает за получение и исполнение правоохранительных приказов в отношении каких данных.
• Уведомление клиентов: коммерческие клиенты - особенно корпоративные B2B-клиенты - часто имеют договорные права на уведомление о запросах на доступ при условии соблюдения обязательств по конфиденциальности, налагаемых органом, выдавшим запрос.
• Межрегиональная репликация: Данные могут находиться в нескольких государствах-членах или третьих странах, что приводит к потенциальным конфликтам между постановлениями ЕС и законодательством третьих стран (“обзор статьи 17”).

Специальные соображения для онлайн-рынков

• Данные проверки продавца (KYC, регистрация бизнеса, налоговые идентификаторы) часто являются наиболее ценными данными об абонентах для следователей и должны быть легко извлекаемыми.
• Объявления и сообщения как правило, являются данными о содержимом и требуют более высокого порога серьезности правонарушения.
• Платежные данные может принадлежать PSP, а не самому рынку - важно четко определить, кто отвечает на какой заказ.
• Трансграничные продавцы дублирование обязательств по защите прав потребителей, НДС и DSA; электронная доказательная база должна быть интегрирована с этими программами, а не дублировать их.

Штрафы за несоблюдение

Государства-члены должны устанавливать эффективные, соразмерные и сдерживающие наказания. Постановление устанавливает административные штрафы на уровне до 2% от годового оборота провайдера по всему миру. Для SaaS-платформы среднего размера это может означать десятки миллионов евро; для гипермасштабируемых компаний и крупных рыночных площадок цифры в заголовке быстро становятся существенными для финансовой отчетности. Помимо штрафов, повторные сбои могут повлечь за собой судебные решения, действия регулирующих органов и значительный репутационный ущерб для корпоративных клиентов, партнеров и инвесторов.

Дорожная карта на 6 месяцев до августа 2026 года для платформ

1. Месяцы 1-2 - определение объема работ и составление схемы данных. Уточните, какие организации и услуги входят в сферу действия, сопоставьте данные об абонентах/идентификации/трафике/контенте в разных системах, выявите пробелы.
2. Месяцы 2-3 - юридические основы. Назначьте учреждение в ЕС, зарегистрируйтесь в компетентном органе, обновите контракты, DPA, условия и руководства по правоприменению.
3. Месяцы 3-4 - техническое строительство. Интеграция с e-CODEX, развертывание инструментария для приема, проверки и извлечения, усиление регистрации аудита.
4. Месяцы 4-5 - оперативная готовность. Набрать и обучить группу круглосуточного реагирования, завершить работу над учебными планами, провести учения по отработке действий в чрезвычайных ситуациях.
5. Месяц 6 - Обеспечение. Независимый аудит на соответствие требованиям, подписание на уровне совета директоров и репетиция запуска до 18 августа 2026 года.

Часто задаваемые вопросы

Более подробную информацию можно найти на нашем сайте FAQ по электронным доказательствам.

Применимо ли e-Evidence к небольшим торговым площадкам и облачным стартапам?

Да. Общего исключения для МСП не существует. Если вы предлагаете пользователям в ЕС услуги, входящие в сферу охвата, вы попадаете в сферу охвата независимо от численности персонала или выручки. Небольшие платформы могут пропорционально расширить сферу своего соответствия, но основные обязательства - создание, прием, способность реагировать - все равно применяются.

Можем ли мы полагаться на существующий порядок работы правоохранительных органов?

Скорее всего, нет. Большинство существующих рабочих процессов предполагают прием документов по электронной почте/порталу вручную и недели на их обработку. Постановление об электронных доказательствах требует приема документов на основе e-CODEX, реагирования на чрезвычайные ситуации в течение часа и ведения журналов аудита с контролем вскрытия, которые старые рабочие процессы обычно не обеспечивают.

Что делать, если данные хранятся у субпроцессора или другой части нашей группы?

Поставщик, получивший заказ, отвечает за его выполнение. Внутренние контракты и соглашения об обработке данных должны быть согласованы, чтобы вы могли заставить субпроцессора или аффилированное лицо предоставить данные в установленные сроки.

А как насчет услуг со сквозным шифрованием?

Постановление не требует от провайдеров ослаблять шифрование. Если вы действительно не можете получить доступ к данным контента из-за ключей, принадлежащих клиенту, или истинной архитектуры E2E, об этом ограничении можно сообщить, но вы все равно должны предоставить абоненту, идентификацию и метаданные, к которым у вас есть доступ.

Как ICS помогает платформам подготовиться к работе

ICS обеспечивает как платформа технического соответствия и услуги специализированных учреждений для платформ любого размера - от быстрорастущих масштабируемых SaaS-компаний до глобальных торговых площадок и гипермасштабных облачных провайдеров. Наше комплексное предложение включает в себя прием e-CODEX, автоматическую проверку, извлечение данных из нескольких систем, зашифрованную доставку, ведение журнала аудита с гарантией вскрытия и круглосуточное управление операциями - все это в рамках интегрированной системы. Программа обеспечения соответствия стандартам e-Evidence.

Свяжитесь с ICS сегодня для независимой оценки готовности вашей платформы к электронному доказательству с четким планом действий к сроку 18 августа 2026 года.