Трансграничные запросы данныхТребование должно превратиться в судебное постановление там, где находится диск, — иначе оно так и останется просто письмом.

Фраза, которую этот рынок использует и никогда не объясняет

Почитайте достаточно материалов этой индустрии — и вы встретите одно и то же утверждение, высказанное в двух противоположных направлениях. Одни говорят, что сервер за рубежом просто вне досягаемости. Другие — что всё это не имеет значения, потому что данные всё равно получат. И то, и другое — догадки, а у предмета этих догадок есть название, процедура, очередь и бумажный след.

У следователя в одной стране, которому нужны записи, хранящиеся у компании в другой, открыто немного маршрутов — пять, если считать по максимуму. Только один из них — тот самый договор, который все называют и никто не описывает. Два быстрее договора и опираются на критерий, вообще не связанный с тем, где находится оборудование. А самые быстрые маршруты из всех — вообще не право, и именно это на практике закрывает сайты.

Пять маршрутов через границу

Они отличаются тем, кому вручается документ, кто способен отказать и читает ли дело вообще какой-либо судья. Расположены примерно от самого быстрого маршрута к самому медленному — что почти обратно пропорционально весу, который несёт каждый из них.

Три из пяти маршрутов заканчиваются тем, что местный исполнитель вручает местный документ, — и именно эту мысль стоит унести с собой из этой таблицы. Два других требуют от компании действовать на основании документа, который не имеет силы там, где эта компания находится. Есть ли вообще смысл в слове «офшор», почти целиком зависит от того, что провайдер делает с этими двумя.

Что такое взаимная правовая помощь на самом деле

MLAT — это договор между двумя государствами, по которому они обещают друг другу помощь по уголовным делам: доказательства, показания, документы, вручение бумаг. Таких договоров сотни, и почти все они двусторонние; одни только США участвуют более чем в шестидесяти. Они существуют потому, что у прокурора нет полномочий за рубежом, а судебное постановление — это внутренний инструмент. Договор не даёт запрашивающему государству возможность дотянуться. Он даёт ему очередь.

Очередь проходит через специально назначенные ведомства, которые называются центральными органами, и запрос передаётся от одного к другому, а не напрямую из точки в точку. В США таким ведомством является Управление по международным делам Министерства юстиции; в других странах это обычно министерство юстиции. Почти везде эта цепочка выглядит одинаково:

1. Следователь составляет запрос и передаёт его своему собственному центральному органу в форме, предусмотренной договором, указывая преступление и запрашиваемые записи.
2. Этот орган проверяет, подпадает ли запрос под действие договора, и передаёт его центральному органу запрашиваемого государства. Именно на этом этапе запросы часто возвращают за расплывчатость формулировок — и таких запросов немало.
3. Принимающий орган проверяет его на соответствие законодательству своей страны и передаёт местному прокурору или следственному судье.
4. Этот прокурор обращается в местный суд за внутренним постановлением — точно так же, как поступил бы во внутригосударственном деле, на внутренних основаниях.
5. Суд удовлетворяет запрос или отказывает в нём. Если удовлетворяет, компании вручается внутреннее постановление — в её собственной стране, на её собственном языке, по её собственному закону.
6. Всё, что удаётся получить, идёт назад по той же цепочке в обратном порядке, и на каждом шаге — своя очередь.

Судебное поручение — это тот же путь, но без всякой опоры под ним: запрос от суда одной страны к суду другой, направляемый по дипломатическим каналам и удовлетворяемый в порядке международной вежливости, а не в силу обязательства. Его используют там, где договора не существует, и оно медленнее, чем механизм, который люди и так считают медленным.

Четыре фильтра, которые должен пройти запрос

Это не формальности. Именно здесь и происходит отсев, и три из этих четырёх фильтров применяют люди, никак не заинтересованные в исходе расследования.

1. Двойная криминализация. Большинство договоров позволяют отказать в помощи, если описанное деяние не является преступлением ещё и в запрашиваемом государстве. Стране, чьё законодательство не признаёт это деяние преступным, попросту нечего поручить собственным судам.
2. Конкретность. В запросе нужно указать искомое достаточно точно, чтобы местный судья мог подписать постановление именно на это. «Всё, что связано с этим сайтом» — не та формулировка, на которую суд правового государства выдаёт постановление.
3. Собственное законодательство запрашиваемого государства. Постановление, которое в итоге появляется, — это внутреннее постановление, а значит, оно должно удовлетворять внутренним требованиям — пропорциональности, защите данных, а в Европейском союзе ещё и статье 48 GDPR, которая делает требование третьей страны юридически значимым только тогда, когда за ним стоит международное соглашение.
4. Запись должна существовать. Ни один договор не обязывает компанию предоставить то, чего у неё нет, и ни один суд не предписывает воссоздать это заново.

Четвёртый фильтр — единственный, на который клиент вообще может повлиять, и поэтому именно на него имеет смысл тратить деньги. Всё остальное в этом списке — чужая процедура. То, что содержится в записях, — это решение, которое провайдер принял за годы до того, как пришёл запрос, и которое принимаете вы сами, когда выбираете, что записывает ваше собственное приложение — этому посвящено то, что ваш собственный сайт записывает о читателях.

Почему это занимает столько времени

Каждое звено этой цепочки — это инстанция со своим накопившимся отставанием, и задержки не перекрываются, а складываются. Цифра, которую обычно называют для завершённого запроса о взаимной правовой помощи, — около десяти месяцев, и приходит она не из этой индустрии: о ней ещё в 2013 году сообщила собственная рабочая группа США по разведке и коммуникационным технологиям, а Европейская комиссия ссылалась на сопоставимую цифру, отстаивая инструмент, описанный двумя разделами ниже. С тех пор ничего не сделало этот процесс заметно быстрее.

Десять месяцев — это не формальность и не повод расслабиться, и относиться к этому как к тому или другому — ошибка. Это структурный факт о процессе, в котором шесть очередей, и именно поэтому существует запрос на сохранение данных: короткий инструмент, отправляемый в первый же день и требующий, чтобы записи, существующие сегодня, перестали удаляться, пока работает вся эта медленная машина. Сохранение — та часть, которую упускают из виду, когда думают о сроках. Требование, которое год не приносит никакого результата, вполне может успеть заморозить что-то ещё в первый же день — если там вообще было что замораживать.

CLOUD Act — это про компанию, а не про страну

В 2013 году США предъявили компании Microsoft ордер на электронную почту, хранившуюся в Дублине. Microsoft настаивала, что внутренний ордер не распространяется на Ирландию. Дело дошло до Верховного суда, а в марте 2018 года Конгресс сделал его беспредметным, приняв CLOUD Act.

То, что сделал этот закон, укладывается в одно предложение, и именно это предложение стоило бы прочитать всему рынку. Он внёс поправки в Stored Communications Act — 18 U.S.C. §2703 — обязав провайдера, подпадающего под юрисдикцию США, предоставлять данные, находящиеся в его владении, распоряжении или под его контролем, независимо от того, хранятся ли эти данные на территории США или нет.

А теперь прочтите это с точки зрения того, чего там не сказано. Там ни слова не говорится о том, где находится сервер. Вопрос о местонахождении диска перестал быть вопросом; единственное, что спрашивает закон, — может ли суд США дотянуться до компании, которая этим диском владеет. Американская корпорация с дата-центром во Франкфурте — внутри. Компания без присутствия в США — снаружи, и диск, стоящий в Виргинии, этого не изменит — для этого случая США снова оказываются в той самой очереди, что описана выше.

CLOUD Act открыл и второй маршрут: исполнительные соглашения между США и соответствующим критериям иностранным правительством, по которым органы власти каждой из сторон могут вручать постановления провайдерам в другой стране напрямую. Великобритания подписала первое такое соглашение в 2019 году, и оно вступило в силу в 2022-м; за ней последовала Австралия. Они дотягиваются до провайдеров, находящихся в пределах досягаемости правительств-подписантов, и больше ни до кого — это тот же тест, что и раньше, только в другом обличье.

Что изменилось в Европе в августе 2026 года

Европейский союз построил собственную версию прямого маршрута, и она начала применяться 18 августа 2026 года — настолько недавно, что большинство страниц на этом рынке ещё не успели это учесть. Регламент (ЕС) 2023/1543 создаёт Европейское постановление об истребовании данных и Европейское постановление о сохранении данных: орган власти одного государства-члена может вынести постановление и вручить его напрямую поставщику услуг, предлагающему услуги в Союзе, минуя органы власти второго государства — в отличие от того, как это происходит при взаимной правовой помощи.

Её напарница, Директива (ЕС) 2023/1544, — это та часть, которая заставляет всё это работать. Провайдеры, предлагающие услуги в Союзе, обязаны назначить учреждение или юридического представителя в одном из государств-членов для получения таких постановлений. Это назначение и есть зацепка, и это тот же тест CLOUD Act, только записанный по-европейски наоборот: инструмент дотягивается до всех, кто самим фактом работы там согласился быть досягаемым.

Последнюю строку цитируют неправильно чаще всего. Будапештская конвенция о киберпреступности — договор Совета Европы ETS 185, открытый для подписания в 2001 году и с тех пор ратифицированный далеко за пределами Европы — предусматривает ускоренное сохранение данных в статье 29, взаимную помощь в отношении хранимых данных в статье 31, а в статье 35 обязывает каждую сторону поддерживать контактный пункт, доступный круглосуточно. Статья 32(b), которую обычно приводят как общее полномочие на удалённый доступ, разрешает его только там, где данные уже общедоступны или где лицо, законно вправе их раскрыть, даёт на это согласие. Это узкая дверь, а не чёрный ход.

Два маршрута, которые никогда не доходят до судьи

А вот и неудобная половина ответа. Каждый из описанных выше маршрутов — медленный, формальный и поддающийся подсчёту — отчёт в конце этой страницы их как раз считает. Маршруты, которые на практике закрывают большинство сайтов, — совсем не такие, и читатель, дошедший вместе с нами через всю эту договорную машинерию досюда, обычно беспокоится не о том.

• Вышестоящий оператор. Провайдер арендует транзит у операторов связи и площадь у дата-центра. Жалоба, отправленная им вместо провайдера, попадает к стороне, у которой нет с вами никаких отношений и нечего терять, если она на неё отреагирует. Ответ на это — провайдер, которому принадлежат эти отношения и который уже раньше отказывал.
• Регистратор. Домен — это лицензия от реестра в его собственной юрисдикции, и реестр может приостановить имя, вообще не трогая сервер. Машина продолжает отвечать; просто ничего не резолвится. Это отдельная поверхность атаки, у которой есть своё собственное руководство.
• Платёжный канал. Карточный процессинг может заморозить счёт по одной лишь жалобе, по собственному усмотрению, без сколько-нибудь значимой процедуры и без права на апелляцию. Во многом именно поэтому расчёты здесь ведутся только on-chain.
• Абуз-отдел. Жалобу читает человек за другим столом, по другим часам, сверяясь с политикой компании, а не с законом. Кто читает жалобу на вас описывает это изнутри.

Ни одно из этого не является трансграничным запросом данных — и именно поэтому им самое место в руководстве о трансграничных запросах данных. Угроза, от которой люди покупают офшорный хостинг, зачастую оказывается не той угрозой, что до них добирается.

Как читать структуру хостера в свете всего этого

Всё сказанное выше сводится к горстке проверяемых фактов о компании, и каждый из них можно установить ещё до того, как вы потратите хоть что-то.

1. Какое юридическое лицо указано в счёте и где оно зарегистрировано. Не регион, не флаг на карте — а компания, с которой вы заключаете договор.
2. Одно юридическое лицо или по одному на регион. Единая компания, работающая в восьми странах, — это один ответчик с восемью адресами, и постановление против неё дотягивается до всех сразу.
3. Есть ли в группе хоть что-то, досягаемое из той юрисдикции, о которой вы думаете. Материнская компания, дочерняя структура, офис, банковский счёт. Это и есть тест CLOUD Act, и применяется он гораздо шире, чем сам закон.
4. Что провайдер заявляет о том, как он поступает с иностранным постановлением. В письменном виде, со сроками, опубликованное ещё до того, как это понадобилось.
5. Что он публикует впоследствии. Подсчёт того, что поступило, что прошло порог и что было предоставлено фактически. Третью цифру убедительно подделать не может никто, потому что именно она была бы неловкой.
6. Что вообще существует, чтобы это можно было предоставить. Последний вопрос — и в конечном счёте единственный, который хоть что-то решает.

Структура нашего холдинга — восемь регионов и восемь компаний, каждая в реестре своей страны, и именно поэтому постановление, полученное против одной из них, не подлежит исполнению в отношении другой без того, чтобы начинать весь процесс заново во второй стране. Это дорогой способ построить бизнес, и он устроен так именно по этой причине; так сказано в пункте 1 условий, а список юридических лиц — на странице о компании.

Как это выглядит в цифрах

Наш холдинг публикует всё, что к нему поступает, по кварталам, и делает это с момента открытия. Из 164 запросов правоохранительных органов, полученных на сегодняшний день, 54 прошли юридический порог — постановление от суда, обладающего юрисдикцией над юридическим лицом, которому оно предъявлено — и только 31 хоть что-то дал.

Цифра, на которую действительно стоит смотреть, — это разрыв между ними. Сто десять запросов, две трети всего поступившего, так и не прошли дальше того самого вопроса, которому посвящено всё это руководство: было ли это вручено судом, способным дотянуться до компании, которой оно предъявлено. Это не показатель отказов и не проявление неповиновения. Это форма самой проблемы — на примере одной-единственной компании.

Вторая цифра — на другом конце. Из тридцати одного запроса, который к чему-то привёл, предоставленным был перечень — адрес электронной почты, закреплённый за аккаунтом, запись в блокчейне — и никогда содержимое диска. Не потому что кто-то героически держал оборону, а потому что запись, которая никогда не создавалась, не может быть передана никому. Полный отчёт — на странице прозрачности, а процесс, который он подсчитывает, описан в политике для правоохранительных органов.

Вопросы, которые задают на самом деле

Каждая цена в этом хозяйстве опубликована полностью и в одном месте. Смотреть весь каталог