Операторы информационных систем ЦФА: правовой статус, обязанности и ответственность

Цифровизация финансовых отношений стала ключевым вектором развития правового регулирования в России [8]. В центре внимания оказались цифровые финансовые активы (далее - ЦФА) и связанные с ними элементы инфраструктуры, прежде всего — операторы информационных систем, в которых осуществляется выпуск и обращение ЦФА. Законодательно закреплённый в Федеральном законе от 31.07.2020 № 259-ФЗ [6] правовой статус таких операторов представляет собой одну из важнейших новелл цифрового финансового регулирования.

Актуальность исследования обусловлена тем, что операторы ЦФА выполняют системообразующую функцию на цифровом финансовом рынке, обеспечивая его стабильность, надёжность и прозрачность. На них возложены обязанности по обеспечению функционирования информационной системы, ведению реестра пользователей, предоставлению данных государственным органам и соблюдению требований к защите информации. При этом закон устанавливает запрет на совмещение функций оператора и номинального держателя, что направлено на предотвращение конфликта интересов и защиту прав участников оборота ЦФА.

Однако, несмотря на строгость нормативных формулировок, в правоприменительной плоскости остаются значительные пробелы. В частности, отсутствует ясное регулирование ответственности оператора в случае сбоев в системе, утечки данных или неправомерного внесения записей в реестр ЦФА. Применяются лишь общие нормы о возмещении вреда, содержащиеся в Гражданском кодексе Российской Федерации [1], без учёта цифровой специфики и повышенной технологической нагрузки на субъекта.

Таким образом, исследование правового статуса и ответственности оператора ЦФА требует комплексного анализа действующего законодательства, а также формулирования предложений по устранению правовых неопределённостей.

Цель настоящей статьи — раскрыть особенности правового статуса оператора ЦФА, выявить нормативные пробелы в регулировании его ответственности и предложить направления совершенствования правового механизма.

Для достижения поставленной цели решаются следующие задачи:

–исследовать нормативные требования к операторам информационных систем, включая порядок включения в реестр и основания для исключения; –оценить юридические риски, связанные с деятельностью операторов, и действующие механизмы их минимизации; –исследовать действующую и потенциальную модель гражданско-правовой ответственности операторов, включая порядок определения ущерба и механизм его возмещения.

В соответствии с пунктом 1 статьи 1 Федерального закона от 31.07.2020 № 259-ФЗ «О цифровых финансовых активах, цифровой валюте и о внесении изменений в отдельные законодательные акты Российской Федерации» (далее — Закон о ЦФА), под оператором информационной системы ЦФА (далее – ИС ЦФА) понимается юридическое лицо, осуществляющее эксплуатацию информационной системы, в которой происходит выпуск, учёт и обращение цифровых финансовых активов, посредством внесения и изменения записей в такой системе [6].

Правовой статус оператора ИС ЦФА наделяет его функцией системного координатора внутри цифровой финансовой инфраструктуры. В его задачи входит поддержание стабильности информационной среды, юридической фиксации цифровых прав, их легитимного движения и правомерного распределения между участниками оборота.

Согласно статье 5 Закона о ЦФА, оператор ИС ЦФА обязан соответствовать ряду установленных критериев, включая:

–наличие статуса юридического лица, зарегистрированного по российскому праву; –обязательное включение в реестр операторов информационных систем, который ведётся Банком России; –утверждение внутренних правил функционирования информационной системы, в том числе условий учёта и обращения ЦФА, механизмов защиты информации и процедур внесения записей; –соблюдение требований к устойчивости, доступности и безопасности системы с учётом критически важной роли ЦФА в финансовом обороте Кроме того, оператор ИС ЦФА квалифицируется как некредитная финансовая организация, что влечёт за собой применение к нему соответствующих положений законодательства о финансовом рынке. В частности, устанавливаются дополнительные требования к:

–квалификации и деловой репутации руководящих лиц; –наличию системы внутреннего контроля и управления рисками; –прозрачности корпоративной структуры и источников финансирования деятельности.

Законодатель также предусматривает комплекс функциональных обязанностей оператора, призванных обеспечить надёжность и легитимность операций с ЦФА:

–бесперебойное функционирование информационной системы и соблюдение алгоритмов обработки данных; –ведение и актуализация реестра пользователей, участвующих в обороте ЦФА; –исполнение требований судебных и исполнительных актов посредством изменения записей в системе; –предоставление информации по запросам уполномоченных государственных органов (включая ФНС, Банк России, суды, органы предварительного следствия и исполнительного производства).

Особое внимание в правовом регулировании уделяется разграничению функций оператора ИС ЦФА и номинального держателя.

Согласно ч. 4 ст. 2 Закона о ЦФА, оператор системы не вправе одновременно выступать в качестве номинального держателя по активам, выпущенным в управляемой им системе. Этот запрет направлен на устранение конфликта интересов, минимизацию юридических рисков и повышение доверия участников к механизму цифрового оборота.

Юридическая природа оператора ИС ЦФА двойственна: с одной стороны, он выступает в качестве технического администратора цифровой инфраструктуры, с другой — несёт юридически значимые публичные и частноправовые обязанности, обеспечивающие стабильность всей системы ЦФА.

Таким образом, оператор ИС ЦФА представляет собой юридически значимого и экономически ответственного участника цифрового финансового рынка, деятельность которого требует как высокой степени надёжности, так и соответствующего уровня правового регулирования.

Однако при кажущейся определённости нормативной конструкции остаются непроработанные аспекты, в частности — ответственность оператора за сбои системы, недостоверные записи, сбои в информационном обмене или утечку данных. Эти аспекты будут рассмотрены в следующих разделах статьи.

Осуществление деятельности оператора информационной системы, в которой выпускаются цифровые финансовые активы (ЦФА), требует не только соответствия установленным критериям, но и обязательного включения такого лица в специальный реестр операторов информационных систем, который ведётся Банком России. Данное требование закреплено в п. 3 ст. 5 Федерального закона от 31.07.2020 № 259-ФЗ «О цифровых финансовых активах, цифровой валюте и о внесении изменений в отдельные законодательные акты Российской Федерации». Включение в реестр осуществляется на основании заявления юридического лица, к которому прилагаются документы, подтверждающие соответствие заявителя требованиям законодательства, включая:

–наличие внутренних правил информационной системы, регулирующих порядок выпуска, учёта и обращения ЦФА; –соблюдение требований по защите информации, операционной надёжности и непрерывности функционирования системы; –соответствие критериям деловой репутации и квалификации руководителей; –отсутствие ограничений, препятствующих ведению деятельности в сфере финансового рынка [3].

Законодатель не содержит исчерпывающего перечня процедурных этапов включения в реестр, оставляя Банк России полномочиями по нормативному закреплению формы, порядка подачи заявления и требований к технической документации. Такая правовая конструкция демонстрирует открытую модель регулирования, гибко реагирующую на технологическое развитие, однако одновременно создаёт высокую степень неопределённости для заявителей.

Важно подчеркнуть, что включение в реестр является не просто административным актом, а юридическим условием допустимости деятельности по выпуску ЦФА. Без такого включения юридическое лицо не вправе квалифицироваться как оператор ИС ЦФА и, соответственно, не может формировать цифровые финансовые права в рамках правопорядка Российской Федерации. Закон о ЦФА содержит положения о возможности исключения оператора из реестра, однако делает это в общей форме. В соответствии с п. 4 ст. 5, Банк России вправе исключить оператора из реестра в случае утраты соответствия требованиям, предусмотренным законодательством Российской Федерации, либо в случае прекращения деятельности такой информационной системы.

Анализ положений Закона № 259-ФЗ и правовых позиций доктрины [7] позволяет выделить условно два блока оснований для исключения: Первый блок, это юридические основанияотсутствие или утрата организационно-правового соответствия:

–прекращение деятельности юридического лица; –добровольный отказ от статуса оператора; –решение о ликвидации информационной системы; –несоблюдение норм законодательства, включая положения Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» [5].

Второй блок, регуляторные основания — решение Банка России в результате надзорной проверки:

–нарушение оператором порядка внесения записей о ЦФА; –неисполнение требований об исполнении судебных и иных обязательных актов; –системные сбои в обеспечении функционирования информационной системы; –представление заведомо недостоверной информации при регистрации либо в ходе надзорной деятельности.

Следует подчеркнуть, что отсутствие в законе исчерпывающего перечня оснований для исключения из реестра создаёт широкие дискреционные полномочия регулятора. С одной стороны, это позволяет гибко реагировать на возникающие угрозы финансовой стабильности и технологической надёжности. С другой стороны, это влечёт риски правовой неопределённости и неустойчивости статуса участников рынка.

Оператор информационной системы, в которой осуществляется выпуск цифровых финансовых активов (ЦФА), представляет собой специализированное юридическое лицо, осуществляющее деятельность в высокотехнологичной сфере, сопряжённой с юридически значимыми действиями по фиксации цифровых прав. Однако при всей степени значимости его функций в нормативной конструкции отсутствует полнота регулирования вопросов ответственности за неправомерные действия либо бездействие, повлекшие убытки у участников оборота.

Федеральный закон № 259-ФЗ не содержит специальных норм, прямо регламентирующих состав гражданско-правовой ответственности оператора ИС ЦФА. В силу диспозитивной природы гражданского права, это означает применение общих положений об обязательствах вследствие причинения вреда (деликтная ответственность), закреплённых в ст. 1064 Гражданского кодекса Российской Федерации (далее — ГК РФ). Согласно п. 1 ст. 1064 ГК РФ [2], вред, причинённый личности или имуществу гражданина, а также вред, причинённый имуществу юридического лица, подлежит возмещению в полном объёме лицом, причинившим вред, если оно не докажет отсутствие своей вины. Таким образом, бремя доказывания лежит на операторе, если пострадавшая сторона заявит требование о возмещении ущерба, причинённого сбоем системы, утечкой данных, или внесением недостоверной записи в реестр ЦФА.

В п. 5 ст. 4 Закона № 259-ФЗ оператор прямо уполномочен вносить записи в информационную систему по требованию суда, налогового органа, судебного пристава-исполнителя, либо на основании нотариального свидетельства о праве на наследство. Неисполнение данных обязанностей может квалифицироваться как причинение вреда вследствие незаконного бездействия, подпадающее под действие ст. 1064, 1068 и 1099 ГК РФ [2]. На текущий момент отсутствует специальная дефиниция состава правонарушения, характерного для оператора ИС ЦФА, нормы о размере, пределах и механизме определения ущерба, указания на формы вины, презумпции её наличия либо возможности ограничения механизмы солидарной ответственности с другими участниками (например, оператором обмена ЦФА, эмитентом, пользователем системы).

Это приводит к ситуации, в которой юридические риски возлагаются в значительной мере на участников оборота, лишённых специфических механизмов защиты. Возникает парадокс:

оператор выполняет функции, аналогичные центральному депозитарию или нотариусу в традиционной системе, однако не наделён ни специальным статусом, ни соответствующим регулирующим режимом ответственности.

Доктрина также указывает на несоразмерность рисков и правовых последствий. Так, Т. Э. Рождественская подчёркивает, что отсутствие конкретизированной ответственности оператора ИС ЦФА, особенно в части ущерба, причинённого массовому количеству пользователей, может привести к юридическому вакууму в сфере защиты прав участников цифрового финансового рынка [7].

Инфраструктура ЦФА критически зависит от надёжности и бесперебойности функционирования программных решений, систем хранения и распределения данных, а также информационной безопасности. Прецеденты международной практики свидетельствуют о возможных сценариях, при которых даже кратковременный отказ системы влечёт утрату прав доступа, фиксации или учёта цифровых активов.

Наряду с этим, в отечественном регулировании отсутствует аналог норм, содержащихся, например, в законодательстве об инвестиционных платформах (ФЗ № 259-ФЗ не содержит даже упоминания о возможности страхования рисков или создания компенсационного фонда). Это порождает пробелы в защите добросовестных участников, действующих в рамках юридически признанных, но технически уязвимых систем. Дополнительную неопределённость вносит отсутствие механизмов установления и расчёта ущерба, связанного с нефинансовыми последствиями (например, невозможность исполнения контракта в связи с задержкой или ошибкой в учёте ЦФА). Такие ситуации не попадают под прямое регулирование ни ст. 393 ГК РФ (убытки за неисполнение обязательств), ни ст. 15 ГК РФ (общая формула убытков), поскольку правовая природа ЦФА — гибридная, и совмещает свойства как имущественных прав, так и цифровых объектов.

Представляется необходимым разработать и внедрить специальный нормативный блок, регулирующий ответственность операторов ИС ЦФА.

Он должен включать:

–специальный состав правонарушения, включая технические инциденты; –механизмы расчёта убытков, в том числе с учётом времени простоя и потерь по обязательствам; –введение страховых моделей и компенсационных фондов, аналогично системе обязательного страхования банковских вкладов [4]; –возможность привлечения к ответственности за системные нарушения, повлекшие массовый ущерб (например, по аналогии с публичной офертой эмитента).

Таким образом, в условиях растущего масштаба цифровизации финансового оборота и расширения круга пользователей, взаимодействующих с ЦФА, формирование комплексного механизма ответственности оператора ИС ЦФА становится не только вопросом теоретической проработки, но и неотложной законодательной задачей, направленной на защиту прав и законных интересов всех участников рынка.

Несмотря на наличие в Законе № 259-ФЗ специальной нормы, посвящённой ответственности оператора информационной системы, в которой осуществляется выпуск цифровых финансовых активов (далее — оператор ИС ЦФА), её содержание носит преимущественно декларативный характер и не соответствует степени технологических и юридических рисков, связанных с деятельностью такого субъекта. Статья 9 закона формулирует обязанность оператора по возмещению убытков пользователям системы, однако фактически отсылает к общим нормам гражданского законодательства без установления конкретного состава правонарушения, процедуры расчёта ущерба, формы вины и правовых последствий системных сбоев.

Так, пункт 1 статьи 9 предусматривает пять обобщённых оснований для ответственности: от утраты информации и сбоя в работе ИТ-инфраструктуры до предоставления недостоверных сведений или нарушения правил функционирования системы. В пункте 2 дополнительно указывается обязанность оператора совершить «действия, реализующие волеизъявление пользователя», если ему помешал технический сбой. Эти положения, будучи формально охватывающими наиболее вероятные рисковые события, не содержат юридически значимой детализации, необходимой для правоприменения.

Во-первых, отсутствует критерий вины: не указано, должна ли ответственность быть без виновной (что логично при инфраструктурной роли оператора) либо предполагается презумпция вины, как в деликтном праве.

Во-вторых, норма не содержит процессуального механизма фиксации события сбоя или утраты информации, что делает невозможным применение ст. 9 без доказательств, зачастую находящихся исключительно в распоряжении самого оператора.

В-третьих, не определены формы и объём убытков, подлежащих возмещению, возможно ли требовать компенсацию упущенной выгоды, расходов на восстановление цифровых активов, стоимости технической экспертизы.

Дальнейшее развитие законодательства должно пойти по пути разграничения юридических конструкций: состав правонарушения, порядок фиксации события, объём и методика расчёта убытков, допустимые формы ответственности. В действующем виде ст. 9 скорее выражает законодательное намерение возложить ответственность, чем реальный юридический инструмент для защиты интересов пользователей. Это противоречит природе самого субъекта регулирования — оператора, который в силу технологической централизации и доверительного характера своей функции должен быть не просто обязанным лицом, но и объектом повышенного нормативного надзора.

Общие нормы гражданского права не адаптированы к специфике цифрового оборота, где вред может возникнуть мгновенно, без предшествующего нарушения, а ущерб будет носить распределённый, сетевой характер.

Представляется целесообразным дополнить статью 9 Федерального закона № 259-ФЗ рядом положений, направленных на конкретизацию гражданско-правовой ответственности оператора информационной системы.

Во-первых, необходимо закрепить презумпцию ответственности оператора за цифровые инциденты, прямо предусмотренные законом (в том числе сбой системы, утрату информации, внесение недостоверных данных). Освобождение от такой ответственности должно допускаться исключительно при наличии доказанного форс-мажора.

Во-вторых, следует установить процедурную обязанность оператора по ведению журнала событий системы, технических логов, а также по обязательному уведомлению пользователей и Банка России о зафиксированных сбоях. Это обеспечит доказательственную базу при рассмотрении претензий и исков.

В-третьих, необходимо закрепить правило расчёта ущерба, учитывающее как прямые убытки, так и упущенную выгоду, расходы на восстановление нарушенных прав, а также затраты на проведение технической и юридической экс- пертизы. Такая методика должна быть формализована на уровне подзаконного акта Банка России.

Кроме того, представляется обоснованным введение обязательного страхования ответственности оператора перед пользователями информационной системы, а также возможность создания компенсационного фонда — особенно в целях возмещения массового ущерба, возникающего при сбоях, затрагивающих значительное число субъектов цифрового оборота.

Наконец, требуется предусмотреть процессуальные механизмы коллективной защиты прав пользователей, включая модель групповых исков и досудебный порядок урегулирования спора. Последний должен включать разумный срок ответа оператора и возможность автоматической передачи дела в Банк России в случае уклонения от взаимодействия с потерпевшими.

Таким образом, действующая редакция статьи 9 Закона о ЦФА нуждается в структурной доработке и наполнении позитивным юридическим содержанием, позволяющим реализовать гарантии, предусмотренные законом, на практике. Ответственность оператора ИС ЦФА должна трактоваться не как общая норма, встроенная в деликтную модель, а как обязательство, формирующее доверие к цифровым финансовым технологиям и правовую стабильность цифрового рынка.

Оператор информационной системы, в которой осуществляется выпуск цифровых финансовых активов (ЦФА), представляет собой ключевое звено цифровой финансовой инфраструктуры, от которого напрямую зависят юридическая фиксация прав, стабильность цифрового оборота и доверие участников. Несмотря на формальное нормативное закрепление правового статуса оператора и его ответственности в Законе № 259-ФЗ, анализ показал, что действующее регулирование обладает высокой степенью обобщённости, что существенно снижает его прикладную ценность в правоприменительной практике.

Представляется необходимым развитие законодательства в направлении комплексной регламентации статуса оператора ИС ЦФА, включая внедрение специального механизма ответственности, формализацию технического и правового аудита, институционализацию модели страхования и введение элементов публичного сервиса. Такая правовая трансформация обеспечит не только эффективность и устойчивость функционирования цифровых активов, но и соответствие стандартам правовой определённости, справедливости и доверия к цифровой экономике.