ImlawIT

Нередко сталкиваюсь с устоявшимся стереотипом, что вся налоговая оптимизация состоит в переводе своего бизнеса в низконалоговую юрисдикцию. Типа: “открою фирму на своё имя в ОАЭ, буду гонять через неё весь оборот, а сам буду чилить в Европе”. Но если действовать так прямо и тупо, то налоговой оптимизации не видать, потому что во многих странах существует концепция КИК.

КИК - расшифровывается как контролируемая иностранная компания или controlled foreign company. Данная концепция предназначена для предотвращения уклонения от уплаты налогов путем переноса доходов в низконалоговые страны. Согласно ей, если резидент одной страны контролирует компанию, зарегистрированную в другой стране с низкими налогами, и получает доходы от этой компании, то такие доходы могут быть облагаемы налогом в стране резидента по ставкам страны резидента. Это делается чтобы предотвратить создание структур для минимизации налогов путем искусственного перемещения прибыли в зоны с более низкими налогами.

Концепция КИК может включать в себя различные механизмы и критерии, определяющие, когда компания считается контролируемой иностранной компанией, и какие доходы подлежат налогообложению в стране резидента.

Например, в России считается что налоговый резидент контролирует иностранную компанию, если доля его участия в ней (прямого и косвенного) превышает 25%. Также, она может составлять и более 10% процентов, при условии, что доля участия всех лиц, признаваемых налоговыми резидентами РФ, в этой организации составляет более 50%. При этом, даже в случае формального отсутствия доли в иностранной организации, резидент может быть признан контролирующим её лицом, если он фактически осуществляет контроль над организацией в своих интересах или в интересах своего супруга и несовершеннолетних детей.

В Европе действуют схожие принципы, но там часто добавляется ещё и критерий налоговой выгоды. Так, например, в Португалии налоговый режим КИК применяется к физическим лицам-резидентам при наличии двух условий. Первое - такое лицо владеет прямо или косвенно не менее 25% акций или прав голоса в организации-нерезиденте. Второе - эффективное налогообложение этой компании в стране, где она является резидентом, составляет менее 50% от эффективного налогообложения, которое применялось бы, если бы такая организация была резидентом Португалии.

Ещё во многих странах Евросоюза под режим КИК не попадают резиденты, которые контролируют компании в других странах-членах Евросоюза, при условии, что такие компании не были созданы “искусственно”, то есть исключительно для получения налоговых выгод. Это значит, что их существование должно иметь объективные экономические причины (например, в этой стране находится основной рынок сбыта).

Однако, концепция КИК есть не во всех странах. Более того, некоторые юрисдикции могут предоставлять исключения, налоговые льготы, а также заключать соглашения об избежании двойного налогообложения, чтобы предотвращать чрезмерную налоговую нагрузку и стимулировать инвестиции.

тг-канал: IT-юрист в эмиграции

Пока идут споры о том, насколько правомерно Open AI использует чужие произведения для обучения своего ИИ, предлагаю заглянуть под капот ChatGPT и узнать, как он будет использовать тексты и запросы, которые вы ему скармливаете. А также какие права он даёт на генерируемый контент. То же самое я ранее сделал с Midjourney (https://t.me/ImlawIT/44).

Итак, под капотом у ChatGPT есть два стула. Первый называется веб интерфейс. Это всем известный сайт, где в режиме диалога можно попросить ИИ написать сочинение, проверить код или напомнить рецепт голубцов от Ивана Семеныча. Здесь всё просто. Права на генерируемый контент передаются пользователю, а также права на вводимый контент остаются за пользователем.

Но есть один нюанс. OpenAI может использовать весь загружаемый и генерируемый контент для целей предоставления и поддержки сервиса, а также соблюдения законодательства и выполнения своих политик. Кроме того, OpenAI может использовать данный контент для улучшения и развития сервиса (то есть для обучения своего ИИ). Но последнего можно избежать, заполнив специальную форму (https://docs.google.com/forms/d/e/1FAIpQLScrnC-_A7JFs4LbIuze...).

Второй стул называется API, то есть использование ИИ через сторонние программы и приложения (например, через телеграм-бота). В данном случае с загружаемым и генерируемым контентом всё то же самое. Однако, отличие от веб интерфейса заключается в том, что по умолчанию OpenAI не может использовать контент для улучшения и развития сервиса.

Таким образом, пользуясь ChatGPT через сторонние приложения вы его ничему не учите и ваш загружаемый контент в безопасности. Во всяком случае так утверждает OpenAI.

тг-канал: IT-юрист в эмиграции

Кому принадлежат произведения, созданные ИИ? /для удобства термином "ИИ" я буду называть в том числе языковые модели и нейросети/. Это один из вопросов, который привёл меня в ИТ право. Когда я был молодой и незрелый, я даже полагал, что существует огромная правовая и экзистенциальная коллизия. Ведь с одной стороны, есть творческий труд ИИ, а с другой отсутствие у него субъектности. Но всё оказалось намного проще. Если это конечно не сферический ИИ в вакууме, у него есть создатель и тот, кто поддерживает его работу. И именно он определяет кому что принадлежит, пока законодатель не решил иначе.

Для примера возьмём условия сервиса Midjourney. Предположим, вы загрузили туда картинку и на её основе создали новые. В условиях пользования указано, что если у вас есть подписка на сервис, то вы являетесь единственным правообладателем всех сгенерированных изображений. При этом ваши права сохраняются даже после окончания срока подписки. Кроме того, на определённых тарифах Midjourney “приложит все усилия”, чтобы уже сгенерированные изображения не были опубликованы (т.е. без гарантий).

Если же подписки нет - то Midjourney предоставляет вам на сгенерированные изображения всего лишь лицензию Creative Commons Noncommercial 4.0 Attribution International. Она разрешает использование изображений только в некоммерческих целях и требует указания авторства.

Теперь о картинке, которую вы скормили Midjourney. Загружая её в сервис, вы предоставляете Midjourney кучу прав. Причём как в отношении неё, так и вводимых текстов (т.н. prompts). А именно: бессрочную, всемирную, неисключительную, бесплатную, безвозмездную, безотзывную лицензию на воспроизведение, создание производных работ, публичную демонстрацию, публичное исполнение, с правом сублицензирования. Она сохранится в силе даже после прекращения пользования сервисом.

Кроме того, ваши изображения будут доступны для публичного просмотра и могут быть изменены. И это тоже входит в лицензию, которую вы предоставляете Midjourney. Однако, на определённых тарифных планах платной подписки можно включить настройки, которые ограничат видимость загружаемых изображений и текстов для других пользователей.

Таким образом, надо хорошо подумать прежде чем что-то загружать в подобные сервисы, ведь они смогут использовать это по своему усмотрению сколько угодно времени. В том числе для обучения своей ИИ. Ну и надо понимать, что сгенерированные изображения не совсем ваши, пока вы не платите Midjourney деньги.

тг-канал: IT-юрист в эмиграции

По всей видимости в России наконец-то начнут защищать персональные данные на адекватном уровне. И основной стимул для таких изменений - ужесточение наказаний. На неделе правительство одобрило поправки к статье 13.11 КоАП в части увеличения размера штрафов за нарушение законодательства о персональных данных.

Итак, если законопроект будет принят, то за утечку данных от 1000 до 10 000 субъектов персональных данных штраф для юрлиц составит от 3 до 5 млн рублей. За утечку данных от 10 000 до 100 000 субъектов — от 5 до 10 млн рублей. Ну и за утечку данных более 100 000 граждан — от 10 до 15 млн рублей. За утечки биометрических персональных данных юрлицо может получить штраф от 15 до 20 млн руб.

Это ещё не всё. Законопроект предусматривает и оборотные штрафы, прям как в GDPR. Так, если при повторной утечке пострадали не менее тысячи человек, оборотный штраф составит от 0,1 до 3% выручки за календарный год, предшествующий нарушению, или за часть текущего года, но не менее 15 и не более 500 млн рублей.

Но и это ещё не всё. Правительство поддержало поистине прогрессивную инициативу о том, что компании будут компенсировать ущерб пострадавшим от утечек персональных данных.

Механизм следующий:

- Компания сообщает пользователю об утечке его персональных данных. Если она готова выплатить компенсацию, то в сообщении должна содержаться соответствующая информация. Сведения дублируются на госуслугах.

- После получения информации пользователь должен в течение 15 рабочих дней подать заявку на возмещение причиненного ущерба. Это можно сделать через госуслуги.

- Компания в течение 20 рабочих дней после получения заявок рассчитывает объем денежной выплаты. После чего направляет обратившимся свое предложение, в том числе через госуслуги.

- Пользователь может принять предложение или отказаться от него в течение 20 рабочих дней.

- Если более 80% обратившихся согласятся на компенсацию, то компания должна будет выплатить ее в течение 5 рабочих дней.

Как видно из текста, выплата компенсации осуществляется в добровольном порядке. Однако, если компания таким образом возмещает ущерб, то это будет расцениваться в качестве смягчающего обстоятельства и к ней будут применяться пониженные штрафы.

Предложенный подход мне видится разумным с точки зрения интересов общества, государства и пострадавших пользователей. Ведь немногие идут в суд за компенсацией ущерба, причинённого утечкой данных. Прежде всего из-за сложных судебных процедур и смехотворных размеров такой компенсации. Если же законопроект примут, это позволит гражданам получать возмещение в упрощённом порядке не выходя из дома. Посмотрим, насколько такая система окажется эффективной. В любом случае, этот законопроект является огромным шагом вперед в сфере защиты персональных данных.

тг-канал: IT-юрист в эмиграции

Первая часть про сходства здесь. А теперь перейдём к различиям концепций законного интереса в российском и европейском законодательстве.
Первое. В GDPR чётко обозначено что обрабатывать данные на этом основании нельзя если интересы или фундаментальным права и свободы субъекта данных, которые требуют защиты персональных данных, "перевешивают" законные интересы контролёра. В частности, когда субъект данных - ребенок или когда субъекты данных не ожидают такой обработки их данных.

Схожее положение имеется и в 152-ФЗ, но оно сформулировано иначе. Так, обработка персональных данных допускается на этом основании при условии, что при этом не нарушаются права и свободы субъекта персональных данных. То есть российское законодательство, в отличие от GDPR, явно не требует оценивать баланс интересов контролёра и интересов, прав и свобод субъекта данных (проводить "balancing test"), а требует только воздержаться от их нарушения. В целом, этот принцип в 152-ФЗ допускает большое количество интерпретаций, включая наиболее широкие.

Далее, как в GDPR, так и в 152-ФЗ имеется термин "третьи лица", чей законный интерес также может быть основанием для обработки персональных данных. Однако, в отличие от GDPR, понятие третьих лиц в российском законе не раскрывается и может трактоваться шире, чем в GDPR.

Также, GDPR обязывает контролера предоставить субъекту данных информацию о содержании законных интересов, которые преследуются контролёром или третьими лицами, на момент получения персональных данных как от субъекта данных, так и без его участия. При этом, 152-ФЗ не содержит прямых требований предоставлять информацию именно о законном интересе оператора, а только информацию о целях обработки персональных данных и её основании.

Ну и наконец следует отметить совершенно противоположный подход в GDPR и 152-ФЗ к прямому маркетингу (под которым подразумевается, например, рекламная email рассылка) как законному интересу для обработки персональных данных. В GDPR явно указано, что обработка персональных данных для целей прямого маркетинга может осуществляться на основании законного интереса контролёра. В то же время в 152-ФЗ обработка персональных данных с целью продвижения товаров, работ, услуг на рынке с привлечением потенциального потребителя с помощью средств коммуникации допускается только с предварительного согласия субъекта персональных данных. Поэтому обработку персональных данных для целей прямого маркетинга нельзя рассматривать как осуществляемую в законных интересах оператора согласно положениям российского законодательства.

В заключении можно упомянуть, что штрафы за нарушение GDPR и 152-ФЗ несопоставимы и именно они в большей степени влияют на культуру и приоритеты в области защиты персональных данных.

тг-канал: IT-юрист в эмиграции

Когда я первый раз открыл GDPR, то испытал лёгкое дежавю. Многие принципы и термины были мне знакомы по родному закону “О персональных данных” или 152-ФЗ. Затем возникла необходимость сравнить концепции “законного интереса” как основания для обработки персональных данных в обоих нормативных актах. Внешне они похожи, но это впечатление обманчиво. Собственно, хочу с вами поделиться тем, что я обнаружил.

Начнём с текстов. В 152-ФЗ (статья 6) концепция законного интереса звучит следующим образом: обработка персональных данных допускается в если она необходима для осуществления прав и законных интересов оператора или третьих лиц… либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных.

Открываем статью 6 GDPR (даже номер статьи тот же!): обработка считается законной когда она необходима для целей, вытекающих из законных интересов, преследуемых контролёром или третьим лицом, за исключением случаев, когда преимущество над такими интересами имеют интересы или фундаментальные права и свободы субъекта данных, требующие защиты персональных данных, в частности, когда субъектом данных является ребенок.

Понятие законного интереса в 152-ФЗ не раскрывается. И оно довольно широкое. Поэтому только толкование этого понятия судами может определять его границы. К сожалению, судебной практики по данной теме не то чтобы много. Можно выделить только несколько дел когда суды решили, что конкретные случаи обработки данных подпадают под концепцию законного интереса. Например, суд признал право банка получать и обрабатывать персональные данные лиц, зарегистрированных в жилом доме, принадлежащем этому банку. Причиной этому был законный интерес банка, связанный с необходимостью внесудебного урегулирования споров, связанных с выселением этих лиц.

На основе анализа норм и судебной практики можно выделить следующие сходства между понятиями "законный интерес" в GDPR и в 152-ФЗ.

Во-первых, и там и там статья 6 :)

Во-вторых, как и в GDPR, в 152-ФЗ законный интерес является самостоятельным основанием для обработки персональных данных.

В-третьих, в обоих актах обработка персональных данных возможна на основе законного интереса не только контролёра (оператора), но и третьих лиц.

В-четвёртых, и в 152-ФЗ и в GDPR при обработке данных на этом основании требуется учитывать как это будет влиять на права и свободы субъекта данных.

И, наконец, в обоих актах законный интерес не может быть основанием для обработки особых категорий персональных данных.

Получается слишком объёмно, поэтому о различиях напишу в следующем посте.
Источник: https://t.me/ImlawIT

Отчёты

Участники рекламных отношений обязаны передавать данные о рекламе в Единый реестр интернет-рекламы (ЕРИР) через ОРД.

До размещения рекламы передаются:

- реквизиты участников (рекламодатель, рекламораспространитель, агентство, оператор рекламной системы);

- данные обо всей цепочке договоров между участниками (наименование, ИНН, дата, номер договора);

- адреса сайтов, приложений, каналов и т.д. где планируется размещение рекламы,

- данные о рекламном материале (здесь ему присваивается идентификатор).

После размещения рекламы передаются данные об исполнении договора, включающие:

- информацию об актах сдачи-приемки оказанных услуг, их содержании,

- сведения о стоимости и объеме оказанных услуг, стоимости одного показа рекламы, факта доступа, действия потребителя рекламы, определенного рекламодателем,

- сведения о сроке оказания услуг,

- сведения о типе рекламной кампании в сети "Интернет",

- характеристиках охваченной рекламой аудитории с учетом пола, возраста, территории проживания (нахождения), иных социально-демографических параметров (при наличии такой информации).

Информацию нужно передавать до 30-го числа месяца, следующего за месяцем, в котором была размещена реклама. По умолчанию информацию об исполнении договора передаёт исполнитель, но стороны вправе указать в договоре любого участника рекламной цепочки в качестве ответственного за передачу данных.

Принуждение

И самое главное, из-за чего эти изменения начнут работать - конские штрафы. Сейчас за отсутствие пометки «реклама» и указания на рекламодателя предусмотрен штраф для граждан в размере от 2 до 2,5 тыс. рублей, для должностных лиц - от 4 до 20 тыс. рублей, для юридических лиц - от 100 до 500 тыс. рублей (ст. 14.3 КоАП РФ).

С 1 сентября 2023:

- Неисполнение обязанностей по предоставлению информации об интернет-рекламе, обеспечению такого предоставления или нарушение сроков: штраф для граждан – до 30 тыс. руб., для должностных лиц – до 100 тыс. руб., для компаний – до 500 тыс. руб.

- Распространение рекламы в Интернете без идентификатора, присвоенного ОРД, или нарушение правил его размещения: штраф для граждан – до 100 тыс. руб., для должностных лиц – до 200 тыс. руб., для компаний – до 500 тыс. руб.

Источник: https://t.me/ImlawIT