Аналитическая справка по проекту постановления Правительства РФ по БД воздушных перевозок

«Об утверждении требований к автоматизированной информационной системе оформления воздушных перевозок, к базам данных, входящим в ее состав, к информационно-телекоммуникационной сети, обеспечивающей работу указанной автоматизированной информационной системы, к ее оператору, а также мер по защите информации, содержащейся в ней, и порядка ее функционирования, а также о внесении изменений в пункт 30(4) Правил формирования и ведения единого реестра российских программ для электронных вычислительных машин и баз данных и единого реестра программ для электронных вычислительных машин и баз данных из государств - членов Евразийского экономического союза, за исключением Российской Федерации и признании утратившими силу некоторых актов Правительства Российской Федерации»

25 апреля 2022 г. Минтранс России опубликовал проект постановления Правительства Российской Федерации «Об утверждении требований к автоматизированной информационной системе оформления воздушных перевозок, к базам данных, входящим в ее состав, к информационно-телекоммуникационной сети, обеспечивающей работу указанной автоматизированной информационной системы, к ее оператору, а также мер по защите информации, содержащейся в ней, и порядка ее функционирования, а также о внесении изменений в пункт 30(4) Правил формирования и ведения единого реестра российских программ для электронных вычислительных машин и баз данных и единого реестра программ для электронных вычислительных машин и баз данных из государств - членов Евразийского экономического союза, за исключением Российской Федерации и признании утратившими силу некоторых актов Правительства Российской Федерации» (https://regulation.gov.ru/Regulation/Npa/PublicView?npaID=126983#). Необходимость принятия данного НПА в Пояснительной записке объясняется следующим образом: «В условиях реализации со стороны иностранных государств санкционных рисков, направленных на российские компании, осуществляющие авиаперевозки, а также повышения безопасности персональных данных пассажиров и противодействия терроризму, необходимо исключить возможность использования информационных систем оформления воздушных перевозок, собственниками или разработчиками которых являются компании-резиденты иностранных государств. Ограничение или блокировка доступа отечественных авиакомпаний, использующих систем, к которым имеют доступ компании, расположенные в иностранных государствах, повышает риски дестабилизации пассажирских перевозок как на внутренних, так и международных линиях.

Деятельность, связанных с разработкой, созданием и эксплуатацией автоматизированной системы оформления воздушных перевозок, в целях обеспечения суверенитета Российской Федерации при выполнении воздушных перевозок, должна осуществляться на основе отечественных компонентов организациями-резидентами Российской Федерации.

В целях реализации указанных требований подготовлен проект постановления, закрепляющий порядок использования отечественного программного обеспечения в работе АИС ОВП, в том числе включение сведений об указанной системе и ее компонентах в Единый реестр российского программного обеспечения, а также предусматривающий изменение порядка проверки сведений, содержащихся в дополнительных требованиях к программам для электронных вычислительных машин и базам данных, сведения о которых включены в реестр российского программного обеспечения» (Пояснительная записка к проекту постановления Правительства Российской Федерации «Об утверждении требований к автоматизированной информационной системе оформления воздушных перевозок, к базам данных, входящим в ее состав, к информационно-телекоммуникационной сети, обеспечивающей работу указанной автоматизированной информационной системы, к ее оператору, а также мер по защите информации, содержащейся в ней, и порядка ее функционирования, а также о внесении изменений в пункт 30(4) Правил формирования и ведения единого реестра российских программ для электронных вычислительных машин и баз данных и единого реестра программ для электронных вычислительных машин и баз данных из государств - членов Евразийского экономического союза, за исключением Российской Федерации и признании утратившими силу некоторых актов Правительства Российской Федерации», л. 2). Проектом постановления утверждаются требования к автоматизированной информационной системе оформления воздушных перевозок. П. 2 Требований определяет следующие задачи автоматизированных систем. Они, как комплекс самостоятельных взаимодействующих между собой систем (компонентов), должны обеспечивать:

• суверенитет Российской Федерации над информационными потоками при выполнении внутренних воздушных перевозок на основе эксплуатации на территории Российской Федерации отечественных компонентов автоматизированных систем организациями - резидентами Российской Федерации;

• защиту персональных данных пассажиров от несанкционированного использования в целях, отличных от исполнения воздушных перевозок;

• реализацию мер противодействия актам незаконного вмешательства
  в соответствии с законодательством Российской Федерации в области обеспечения транспортной безопасности;

• хранение и отображение информации о расписании рейсов, наличии мест, тарифах и сборах на рейсах перевозчиков;

• бронирование и продажу (оформление) внутренних воздушных перевозок и дополнительных услуг для пассажиров с последующим хранением записей о пассажирах, электронных билетах, ордерах разных сборов;

• регистрацию пассажиров и багажа при выполнении внутренних воздушных перевозок.

В состав автоматизированных систем должны входить в том числе:

• справочные информационные системы;

• инвенторные системы бронирования;

• системы регистрации пассажиров и багажа;

• автоматизированные распределительные (дистрибутивные) системы;

• системы взаиморасчетов (п. 3).

Следующие пункты определяют задачи, которые должны решать эти системы. Справочные информационные системы должны обеспечивать накопление и хранение данных о тарифах, сборах и расписании движения воздушных судов, другой отраслевой информации, необходимой для обеспечения работы автоматизированных систем, и предоставление указанных сведений операторам систем бронирования воздушных перевозок и федеральным органам исполнительной власти. Инвенторные системы бронирования должны обеспечивать:

• ввод и корректировку информации о расписании движения воздушных судов, тарифах и сборах, условиях применения тарифов и сборов, компоновке воздушных судов и другой информации, касающейся условий воздушной перевозки;

• размещение, хранение, обработку информации о наличии мест
  на рейсах перевозчиков по классам бронирования, компоновке воздушного судна;

• предоставление информации о наличии мест на рейсы перевозчиков по запросам, поступающим из автоматизированных распределительных (дистрибутивных) систем и других систем, с целью бронирования, продажи (оформления) воздушных перевозок и дополнительных услуг для пассажиров;

• хранение информации о бронировании в виде записей о пассажирах в базе данных записей о пассажирах, а также архива бронирования
  с возможностью получения информации в виде стандартных файлов для использования в других системах;

• процессы введения, управления, обработки, изменения информации инвенторной системы бронирования, такой как: расписание движения воздушных судов, квоты доступных к продаже мест, компоновка воздушного судна и другой необходимой информации;

• процессы создания, изменения, удаления записей о пассажирах;

• оформление и хранение записей электронных билетов и ордеров разных сборов в базе данных электронных билетов, являющейся составной частью инвенторной системы бронирования;

• процессы создания, изменения, удаления записей электронных билетов и ордеров разных сборов в базе данных электронных билетов.

Системы регистрации пассажиров и багажа, использующие базы данных записей о пассажирах инвенторных систем бронирования, должны обеспечивать обслуживание пассажиров на рейсах перевозчиков, включая:

• процедуру регистрации пассажиров и багажа;

• процедуру сквозной (трансферной) регистрации пассажиров
  на рейсы перевозчиков, выполняющих совместную перевозку пассажиров
  в соответствии с заключенными между ними договорами;

• процедуру контроля посадки;

• процедуру центровки воздушного судна;

• подготовку документации для экипажа воздушного судна (п. 6).

Автоматизированные распределительные (дистрибутивные) системы должны обеспечивать:

• предоставление информации о расписании, тарифах и сборах, правилах их применения и другой информации, связанной с оформлением воздушных перевозок;

• взаимодействие с инвенторными системами бронирования для получения информации о наличии мест на рейсы и последующего бронирования воздушных перевозок и оформления перевозочных документов;

• хранение информации о бронировании в виде записей о пассажирах, а также архива бронирования;

• процессы формирования справочной информации о географических объектах, авиакомпаниях, расписании движения воздушных судов, вариантах перелетов, тарифах, сборах и другой информации для целей представления такой информации пассажирам;

• процессы создания, изменения, удаления бронирований в виде записей о пассажирах;

• процессы создания, изменения, удаления записей электронных билетов и ордеров разных сборов в базе данных электронных билетов
  в автоматизированных распределительных и инвенторных системах бронирования.

Системы взаиморасчетов должны обеспечивать:

• выпуск перевозочных документов и присвоение им уникальных идентификационных номеров;

• предоставление перевозчикам и другим участникам перевозочного процесса доступа к данным о проданных (оформленных) воздушных перевозках в целях оформления отчетности и осуществления взаиморасчетов;

• проведение взаиморасчетов между перевозчиками и другими участниками перевозочного процесса за проданные (оформленные) воздушные перевозки, хранение данных о пассажирах и реквизитах перевозочных документов.

Сведения об автоматизированной информационной системы оформления воздушных перевозок и ее компонентах должны быть включены в Единый реестр российского программного обеспечения.

Для автоматизированной системы и ее компонентов устанавливаются следующие дополнительные требования:

Исключительные права на автоматизированную информационную систему оформления воздушных перевозок и все системы, входящие в ее состав, на территории всего мира и на весь срок действия исключительного права должны принадлежать одному либо нескольким из следующих лиц (далее - правообладатель):

• Российской Федерации;

• российской некоммерческой или коммерческой организации, в высших органах управления которых не принимаю участие иностранные граждане, граждане Российской Федерации, имеющие гражданство иностранного государства, лица без гражданства, иностранные юридические лица, и в составе учредителей (участников) которых отсутствуют указанные граждане и лица, а также отсутствует прямое и (или) косвенное иностранное участие в уставном капитале (далее - российская некоммерческая или коммерческая организации) (П. 9.1).

Важным является п. 9.2: «Автоматизированная информационная система оформления воздушных перевозок (в том числе, все системы и сторонние компоненты, входящие в ее состав) и информационно-телекоммуникационная инфраструктура, обеспечивающая ее работу, не должны иметь принудительного обновления и управления из-за рубежа». Непосредственно с ним связан п. 9.5, согласно которому автоматизированная информационная система оформления воздушных перевозок и все системы, входящие в ее состав, обеспечивающие оформление и выполнение внутренних воздушных перевозок пассажиров, должны обеспечивать полнофункциональное использование системы без необходимости подключения сторонних или дополнительных программных/аппаратных компонентов, находящихся за пределами территории Российской Федерации.

Однако в это связи удивление вызывает п. 9.6: «Базы данных и обрабатывающие вычислительные комплексы (серверы), базы данных систем, обеспечивающих регистрацию пассажиров и багажа, оформление внутренних воздушных перевозок пассажиров, включая процессы создания, хранения, изменения, удаления записей о пассажирах, электронных билетах, ордерах разных сборов, должны располагаться на территории Российской Федерации.

При оформлении в рамках соглашений о совместной эксплуатации рейсов с иностранными авиакомпаниями внутренних воздушных перевозок пассажиров, выполняемых российскими перевозчиками, базы данных и обрабатывающие их вычислительные комплексы (серверы) систем, входящих в состав автоматизированной информационной системы оформления воздушных перевозок, могут располагаться за пределами территории Российской Федерации».

Начав с правильного положения о необходимости нахождения различных баз на территории Российской Федерации, во втором абзаце этого пункта авторы НПА сами делают исключение из этого правила, что во многом сводит на нет значимость данного положения.

Согласно п. 9.3 правообладатель автоматизированной информационной системы оформления воздушных перевозок должен иметь:

• собственную инфраструктуру обеспечения полного жизненного цикла такой системы, находящуюся на территории и в юрисдикции Российской Федерации;

• штатный персонал, обладающий достаточными квалификацией и навыками для обеспечения полного жизненного цикла такой системы.

Гарантийное обслуживание, техническая поддержка и модернизация автоматизированной информационной системы оформления воздушных перевозок и всех систем, входящих в ее состав, должны осуществляться российской некоммерческой или коммерческой организацией (п. 9.4).

Оператором автоматизированной системы является российская коммерческая или некоммерческая организация (п. 10). Согласно п. 11 организация операторами и пользователями автоматизированных систем обработки персональных данных пассажиров и контроль трансграничного перемещения этих данных должны осуществляться в соответствии с законодательством Российской Федерации в области персональных данных в порядке, установленном договорами между операторами и пользователями автоматизированных систем. Как видим, и здесь предусматривается возможность трансграничного перемещения персональных данных наших граждан.

П. 12 содержит перечень того, что должны обеспечивать операторы автоматизированных систем:

• осуществление процедуры регистрации и авторизации пользователей с использованием федеральной государственной информационной системы "Единая система идентификации и аутентификации в инфраструктуре, обеспечивающей информационно-технологическое взаимодействие информационных систем, используемых для предоставления государственных и муниципальных услуг в электронной форме" (далее - единая система идентификации и аутентификации);

• идентификацию пассажиров с использованием единой системы идентификации и аутентификации;

• получение из единой системы нормативно-справочной информации Евразийского экономического союза, а также из баз данных федеральных органов исполнительной власти, дипломатических представительств либо консульских учреждений иностранных государств, международных организаций или их представительств в Российской Федерации информации о требованиях и условиях, выполнение которых необходимо для пересечения пассажиром государственных границ, передачи указанной информации в систему регистрации пассажиров и багажа;

• соответствие автоматизированных систем рекомендациям Международной ассоциации воздушного транспорта, касающимся протоколов передачи и форматов данных;

• передачу в автоматизированные централизованные базы персональных данных пассажиров и персонала (экипажа) транспортных средств;

• исключение передачи персональных данных пассажиров за пределы Российской Федерации при оформлении российскими перевозчиками внутренних воздушных перевозок без привлечения агентов;

• поддержание символов кириллического и латинского алфавитов при оформлении перевозочных документов.

Как видим, цифровизаторы и здесь стараются максимально возможно использовать ЕСИА и идентификацию пассажиров с ее использованием.

Согласно п. 13 меры по защите информации, содержащейся в автоматизированных системах, реализуются операторами автоматизированных систем посредством обеспечения конфиденциальности и целостности информации, передаваемой через общедоступные каналы связи, с применением сертифицированных средств криптографической защиты информации. П. 14 устанавливает, что функционирование автоматизированных систем должно осуществляться в соответствии с требованиями законодательства Российской Федерации об информации, информационных технологиях и о защите информации, а сами автоматизированные системы должны соответствовать требованиям по безопасности, установленным статьями 10 и 11 Федерального закона от 26 июля 2017 г. № 187-ФЗ "О безопасности критической информационной инфраструктуры Российской Федерации".

Как видим, несмотря на все высокопарные заявления об импортозамещении, данный проект постановления Правительства РФ не устанавливает требования, чтобы все компоненты систем имели отечественное происхождение, а ограничивается лишь тем, что они не должны иметь принудительного обновления и управления из-за рубежа, т.е. фактически, соглашаясь с тем, что оборудование данных систем полностью или частично будет иметь иностранное происхождение. Еще одним положением, способным уменьшить риск для наших граждан, стало требование о том, чтобы базы данных и обрабатывающие вычислительные комплексы (серверы), базы данных систем, обеспечивающих регистрацию пассажиров и багажа, оформление внутренних воздушных перевозок пассажиров, включая процессы создания, хранения, изменения, удаления записей о пассажирах, электронных билетах располагались на территории Российской Федерации, однако оно было сведено на нет оговоркой, что эти базы могут располагаться за пределами территории Российской Федерации при заключении соглашений о совместной эксплуатации рейсов с иностранными авиакомпаниями внутренних воздушных перевозок пассажиров, выполняемых российскими перевозчиками (п. 9.6). Полагаем, что данная оговорка должна быть исключена, а требование о том, чтобы все компоненты систем и все используемые в этой сфере программы имели отечественное происхождение – включены в проект данного постановления Правительства РФ.