Шпионское ПО Pegasus превратилось в один из главных инструментов политической слежки в Европе. Дело польского сенатора Кшиштофа Брейзы, чей телефон был заражён Pegasus накануне выборов 2019 года, сейчас рассматривается Европейским судом по правам человека — и может определить, как государствам вообще разрешено использовать шпионское ПО. Мы уже разбирали это дело подробно. Сегодня — следующий шаг: анализируем позиции правозащитных организаций, которые подали в суд документы amici curiae. Их вывод звучит жёстко: использование Pegasus несовместимо с правами человека.
В этом материале мы разберём три amici curiae — от Amnesty International, коалиции Data Rights France, Homo Digitalis, Hungarian Civil Liberties Union и Irídia, а также INCLO. Но сначала — коротко о том, что такое amicus curiae и зачем их изучать.
Что такое amicus curiae — и почему это важно для дел о шпионском ПО?
Amicus curiae (дословно «друг суда») – это лицо или организация, которые не являются сторонами в судебном процессе, но имеют право представить суду свои письменные замечания, чтобы помочь ему разобраться в сложных или общественно значимых вопросах. Такие материалы называются вмешательствами третьей стороны/сторон. Амикус не поддерживает ни одну из сторон напрямую, не оценивает доказательства и не высказывается о виновности. Его задача — предоставить независимый анализ: правовой, экспертный, научный или основанный на практике работы в соответствующей сфере. Amicus curiae призваны помочь суду увидеть дело во всей его сложности, учесть опыт других механизмов защиты прав человека (как национальных, так и международных), посмотреть на дело во взаимосвязи с другими правами. Именно поэтому их полезно изучать: они показывают правовую ситуацию с разных сторон — и нередко формируют то, как суд в итоге формулирует свои стандарты.
Наши коллеги из Юридического клуба Rule of Law for Belarus подготовили карточки-эксплейнеры о подаче amicus curiae в ЕСПЧ.
Amnesty International: использование шпионского ПО несовместимо с правами человека
Amicus curiae Amnesty International, в том числе, основан на технологической экспертизе этой организации. Amnesty International в лице своей Security Lab активно занимается выявлением случаев заражения устройств шпионским ПО, включая Pegasus.
Как работает Pegasus: технические возможности шпионского ПО
Amicus curiae Amnesty International основан в том числе на технологической экспертизе организации. Security Lab Amnesty International активно занимается выявлением случаев заражения устройств шпионским ПО, включая Pegasus.
Главная особенность шпионского ПО — оно даёт полный доступ ко всей информации на устройстве. В отличие от классической прослушки, которая фиксирует конкретные разговоры в конкретный момент времени, Pegasus получает доступ ко всему массиву данных сразу: переписке, письмам, камере, микрофону — в том числе когда звонок не осуществляется. При этом шпионское ПО игнорирует шифрование.
Отдельная проблема — возможность модификации данных. Pegasus позволяет не только читать информацию, но и изменять её, искажать и создавать ложные доказательства. Это переводит его из категории инструментов наблюдения в категорию оружия.
Наконец, шпионское ПО содержит инструменты, которые намеренно затрудняют обнаружение заражения — особенно самой жертвой. Именно поэтому Европейский парламент в специальном расследовании назвал Европу «Диким западом для шпионского ПО» — где слежка под предлогом национальной безопасности направлена против политиков и журналистов.
Почему гарантии соблюдения прав человека при использовании Pegasus невозможны
Любое ограничение прав должно быть предусмотрено законом, иметь легитимную цель, быть необходимым в демократическом обществе и осуществляться наименее инвазивным из доступных способов. Amnesty International приводит выработанные практикой ЕСПЧ гарантии соблюдения прав человека при осуществлении наблюдения (и, в целом, при ограничении прав): такое разрешение должно даваться независимым судом, должно касаться конкретно определенного перечня сведений, связанных с конкретной ситуацией или угрозой, не должно быть абстрактным или позволяющим неограниченные действия по вмешательству в права человека. При этом должны существовать независимые надзорные органы, которые в состоянии непосредственно контролировать использование шпионского ПО: действительно ли оно используется для конкретных целей, действительно ли не происходит неоправданного расширения объектов наблюдения, действительно ли не нарушается охраняемая законом тайна и так далее. Также акцент делается на том, что должны быть обеспечены эффективные средства правовой защиты в случае нарушения прав. Amnesty International последовательно показывает, почему ни одно из этих условий не может быть выполнено при использовании шпионского ПО.
Первый фактор — невозможность ограничить объём вмешательства.
Нельзя дать разрешение на использование Pegasus так, чтобы перехватывались только разговоры с условными соучастниками угрозы нацбезопасности, а переписка с адвокатом оставалась защищённой. Доступ даётся только полный — ко всему и сразу. Невозможно определить временной период, за который будут доступны данные. Невозможно сохранить охраняемую тайну — даже если информация впоследствии удалена, факт её раскрытия уже состоялся. Невозможна градация степени вторжения — то есть, нет каких-то уровней доступа, чтобы говорить, что выбран наименее инвазивный вариант — речь идет всегда только о полном вмешательстве и контроле.
Further, Amnesty International’s technical investigations have highlighted how highly invasive spyware such as Pegasus cannot comply, by design, with the proportionality assessment that mandates utilizing the least invasive measure to achieve legitimate aims. Spyware such as Pegasus is an extremely intrusive tool whose access to data in a device cannot be limited. Given that its access to data cannot be limited to only what is reasonably required for the purposes of the surveillance operation, highly invasive spyware cannot comply with the principle of data minimization established in this Court’s jurisprudence, as outlined in paragraph 18. As noted by the European Data Protection Supervisor, with the use of such highly invasive tools, “[t]he level of interference with the right to privacy is so severe that the individual is in fact deprived of it. In other words, the essence of the right is affected. Therefore, its use cannot be considered proportionate – irrespective of whether the measure can be deemed necessary.”
Второй фактор — невозможность независимого надзора.
Невозможен независимый контроль и аудит использования шпионского ПО. Информация не проходит через какие-либо каналы, к которым можно было бы подключиться и проверить, используется ли Pegasus в рамках выданного разрешения. Жертвы не уведомляются о слежке. Судейский контроль на практике превращается в формальность.
Amnesty International’s research has highlighted that highly invasive spyware such as Pegasus cannot be independently audited, i.e. inspected. Due to this, it cannot be determined whether its use has been limited in its functionality. Moreover, as explained in paras 7 and 8 above, once a device has been infected with Pegasus, access is granted to all areas. Simply put, by design, there are no avenues to independently verify and guarantee that its use is compatible with key state obligations in the context of surveillance operations, or indeed, whether it has been abused to target people based on the exercise of their human rights, or in a manner incompatible with the safeguards and standards established by this Court. In other words, the inability to independently audit the use of spyware such as Pegasus means that it is impossible to verify whether any safeguards were adhered to before, during and after its use, as is required for any surveillance operations as per this Court’s jurisprudence. It also means that it is impossible to verify whether such targeting was undertaken within existing legal structures, or whether such structures provide adequate protection from the arbitrary interference with the right.
Amnesty International приходит к выводу, что степень инвазии шпионского ПО в сферу защищаемых прав является настолько глубокой, а текущие механизмы обеспечения гарантий соблюдения прав человека настолько игнорируются самой сущностью шпионского ПО, что использование шпионского ПО является несовместимым с правами человека. Государствам следует отказаться от его использования, в том числе, путем принятия соответствующих запретов, до тех пор, пока не будут созданы и начнут функционировать механизмы и гарантии, которые бы устраняли вышеуказанные противоречия и могли действительно обеспечить защиту прав человека.
Based on our submissions above, Amnesty International respectfully encourages this Court to (1) use this case as an opportunity to further strengthen its standards on digital surveillance and the use of spyware, principally by finding that a ban on highly invasive spyware is required under the Convention; (2) to reaffirm that states must immediately put in place legislation with adequate safeguards for the specific use of spyware as part of surveillance operations, which must include adequate independent judicial and parliamentary oversight, as well as remove barriers to access to remedy to victims; (3) that such legislation must be fully enforced, and states should be mandated to transparently report on the oversight of such use; (4) to reiterate the harms that surveillance poses to human rights and the rule of law and (5) to affirm that the use of highly invasive spyware is fundamentally incompatible with the realisation and enjoyment of human rights.
Таким образом, позиция Amnesty International максимально радикальная – запретить, пока не будут созданы механизмы реальной защиты прав человека в этой сфере.
Коалиция правозащитников: внутригосударственные процедуры контроля при использовании шпионского ПО никогда не работают
Коалиция правозащитных организаций Data Rights France, Homo Digitalis, the Hungarian Civil Liberties Union, and Irídia – Centre for the Defence of Human Rights (Spain) в своем amicus curiae обратила внимание суда на следующие вопросы и проблемы.
Почему жертвы не могут добиться справедливости внутри страны
Процедуры исчерпания внутренних средств защиты в случае использования шпионского ПО крайне труднодоступны. Жертвы сталкиваются с отсутствием доказательств, противодействием государственных органов и засекреченностью ключевых сведений.
Коалиция предлагает суду подходить к таким делам с бо́льшим пониманием: допускать более абстрактные жалобы, основанные не на конкретном доказанном факте взлома, а на самом отсутствии возможности защититься в национальном праве.
Отдельно поднимается проблема расширительного использования «национальной безопасности» как универсального щита против любых обвинений. Такая практика нарушает статью 18 Конвенции: ограничения прав не могут применяться в целях, противоречащих самой Конвенции.
Какие новые гарантии нужны при использовании шпионского ПО
Коалиция настаивает на обновлении стандартов, установленных в деле Zakharov v. Russia. Среди ключевых предложений:
- Осведомлённость судей: судьи должны быть полностью уведомлены о свойствах оборудования, о его возможностях и функционале, прошение должно быть исчерпывающе обоснованно с точки зрения необходимости и пропорциональности.
- Ведение логов: высокая степень инвазивности шпионского ПО при слабой возможности технологического контроля за его использованием требуют, чтобы все действия по использованию, по получению информации, по иным активностям последовательно записывались и сохранялись без возможности удаления.
- Принцип минимизации: вмешательство должно быть немедленно прекращено после получения необходимой информации и появления возможности продолжать наблюдение менее инвазивным способом. На начальном этапе наблюдения за человеком может быть допустим сбор широкого спектра его данных, с последующим обязательным сокращением сферы наблюдения по мере накопления данных.
- Право жертвы знать: должен существовать чёткий алгоритм раскрытия информации о слежке — государства не должны иметь возможности бесконтрольно прятаться за национальную безопасность.
Такое взаимодействие относительно раскрытия информации тоже должно иметь механизмы реальной оценки, что можно раскрыть, а что действительно является угрозой безопасности. Особое внимание коалиция уделяет тому, что именно знание об объеме собранной информации и то, кому была информация передана, как и когда записана и уничтожена, является в таких делах основным средством сатисфакции. Потенциальная необходимость раскрытия жертве такой информации является одним из факторов, которые тоже будут сдерживать соответствующие службы от произвольного применения шпионского ПО.
Шпионское ПО как инструмент фальсификации: уроки Индии и Польши
Коалиция особо подчёркивает: ущерб от Pegasus несопоставимо выше, чем от обычной прослушки. В деле Брейзы был получен доступ к десятилетней истории сообщений — что при классическом наблюдении просто невозможно.
Но главная опасность — возможность модификации данных. В Индии зафиксированы случаи, когда шпионское ПО использовалось для подброса компрометирующих материалов на устройства правозащитников, что впоследствии стало основанием для их уголовного преследования. В Польше извлечённые данные реорганизовывались и сводились в новые нарративы. То есть, степень инвазивности дает практически неограниченную власть над человеком, позволяет его ложно обвинить и создать ложные доказательства. Это огромная опасность для общества и отдельных граждан.
Коалиция описывает индийский случай так:
What is more, the treatment of extracted data after extraction illustrates the disproportion of Polish law enforcement actions. Indeed, data extracted was later reorganised and sometimes merged to build a new narrative. Such actions by authorities are akin to digital sabotage of target citizens. The tampering with data was probably not done directly on the phones, to not raise the suspicions of victims. It must nonetheless be stressed that tampering directly with the primary source of data, i.e. here targets’ phones, is made possible by powerful hacking tools like Pegasus. This is a core stake of hacking by States. Indeed in India, reports on human rights defenders and activists have documented they were hacked by Pegasus and then infected with malware that enabled to plant incriminating evidence on their computers to ensure their jail convictions. The Indian case illustrates that hacking tools are able to and/or facilitate the modification, removal or addition of data to tamper with evidence. In other words, this Indian case illustrates how hacking tools are beyond mere surveillance tools. Especially as the facts of the Indian case date back to 2018. Companies selling tools like Pegasus sell the ability to gain complete control over a device. The more powerful the hacking tool, the higher its market share. Hacking tools enabling one to gain complete power over one’s phone or computer are unacceptable in democratic societies as they can put political dissidents and human rights defenders at the mercy of the arbitrariness of leaders. In particular today, when citizens’ communications and critical public infrastructures rely on data integrity.
Компании, продающие такие инструменты, продают возможность получить полный контроль над устройством. Инструменты, дающие такую власть над телефоном или компьютером человека, неприемлемы в демократических обществах.
Как это работает в Греции, Венгрии и Испании
Завершается amicus curiae обзором проблем с использованием шпионского ПО в Греции, Венгрии и Испании. Коалиция последовательно показывает, что имеющееся регулирование вопросов использования шпионского ПО, практики работы спецслужб, предоставляемые возможности по судебному обжалованию, правила раскрытия информации о наблюдении даже по своему дизайну не соответствуют стандартам прав человека, не говоря уже о практике применения. Коалиция показывает, что существует множество лазеек и способов, отличающихся от страны к стране, но неизменно делающих возможным нарушение прав человека при использовании шпионского ПО без соответствующей возможности защититься. В Греции механизм последующего уведомления жертв о слежке был отменён задним числом — после того как журналист попытался им воспользоваться. В Испании действующий закон о государственной тайне прямо запрещает руководству спецслужб давать полные показания следователям. В Венгрии возможности судебного обжалования слежки де-факто заблокированы.
Greece exemplifies how even potentially effective remedies can be systematically undermined. The subsequent notification system operated by the Hellenic Authority for Communication Security and Privacy (ADAE) was retroactively abolished for surveillance conducted on national security grounds after journalist Thanasis Koukakis sought confirmation of his monitoring by the National Intelligence Service (EYP). Although the law was later amended again, individuals must still wait three years before requesting information, and even then, they are only informed of the duration—not the justification—of the surveillance.
[Spain] Restrictions on the investigation of senior officials: The Official Secrets Act prevents current or former CNI directors from fully answering questions during interviews with investigators or involved parties. In addition, the former director of the CNI claimed in an official statement to a court that she was unable to speak freely because of the existence of the law. In any case, there would be no authorisation to make personal statements by those responsible for the CNI at the time of the intervention.
Позиция коалиции отражает необходимость выработки новых гарантий и механизмов защиты прав человека при использовании шпионского ПО, поскольку старые механизмы не работают.
INCLO: шпионское ПО следует считать наступательным вооружением
Третий и последний amicus curiae, который мы проанализируем, был подготовлен коалицией Irish Сouncil For Civil Liberties, Kenya Human Rights Commission и Legal Resources Centre. Почти в самом начале этого amicus curiae при описании технологии шпионского оборудования авторы цитируют Верховный суд Индии, который, в свою очередь, в деле о шпионском ПО цитирует «1984» Джорджа Оруэлла: «Если ты хочешь сохранить что-то в тайне, ты должен прятать это и от самого себя».
INCLO обращает внимание на аспект, который не затронут в других amici curiae: нарушение прав третьих лиц. Люди, не указанные ни в одном судебном разрешении на слежку, чья переписка оказалась на заражённом устройстве, становятся жертвами — без каких-либо правовых оснований и без какой-либо возможности об этом узнать. Также затрагивается аспект использования шпионского ПО для трансграничных репрессий, жертвами которых в основном являются политические оппоненты власти, журналисты, правозащитники, при этом большинство известных случаев использования Pegasus относится как раз к использованию против политических оппонентов и журналистов. Возможности для использования шпионского ПО в трансграничных репрессиях практически безграничны. Это связано с невозможностью отследить получателя информации/заказчика слежки, что делает невозможным установление конкретного нарушителя. Общий вывод таков: шпионское ПО это не новый уровень развития прослушки, это принципиально иной инструмент, ближе к кибероружию.
Далее в amicus curiae обосновывается, почему шпионское ПО несовместимо с правами человека. Отправной точкой, на которую предлагается обратить внимание ЕСПЧ, является решение Австрийского конституционного суда о неконституционности использования троянских вирусов для получения информации именно в силу высокой степени инвазивности. Pegasus в этом свете является еще более инвазивным ПО: достигается полный контроль над устройством, какие-либо возможности надзора за соблюдением правил и ограничений отсутствуют. При этом отсутствует предсказуемая и ясная правовая база использования шпионского ПО.
Также обращается внимание на то, что при использовании шпионского ПО невозможно обеспечить пропорциональность и надзор за соблюдением правил. Ни один контролирующий орган, никакой омбудсмен, никакая парламентская комиссия никогда не имеет прямого доступа к исходным данным, соответственно, данные легко могут быть модифицированы, сфальсифицированы или уничтожены. Данные проходят через иностранные сервера, получателя такой информации очень сложно установить. Приводится пример Индии, где Верховный суд создал свою комиссию по проверке фактов использования шпионского ПО и фальсификации доказательств, поскольку не доверял полиции. Это произошло как раз после того, как данные на устройствах жертв были модифицированы.
Почему шифрование — это право, а не техническая функция
Кроме того, обращается внимание, что шпионское ПО игнорирует шифрование, которое является не просто техническим инструментом, но было ранее признано ЕСПЧ частью права на приватность (дело Podchasov v. Russia) и возможностью самостоятельно себя защищать. Кроме этого, нет никакой возможности обеспечить защиту защищенных коммуникаций (адвокатская тайна, защита журналистских источников, врачебная тайна). Удаление подобной информации не меняет ситуации – она становится известной еще кому-то, что противоречит самой природе тайны.
Отдельным аспектом трансграничного характера использования шпионского ПО является сложность присвоения нарушения конкретному государству. А когда невозможно отнести действия к конкретному государству, это создает атмосферу вседозволенности с одной стороны и охлаждающего эффекта (chilling effect) с другой. Поэтому одно из предложений этого amicus curiae – принимать, в том числе, косвенные доказательства заинтересованности государства в наблюдении.
In such cases the Court’s case law and international law is clear on the issues of jurisdiction and attribution, the State that deploys such transboundary surveillance exercises jurisdiction under Article 1 of the Convention, and the hacking 27 is attributable to the State as it’s been decided on its organ’s orders.28 Untraceability by design, however, results in virtual impossibility to establish even a prima facie case, and in view of the suspected State’s denials, meaningful inferences may not be drawn. The distribution of burden of proof must be adapted accordingly, e.g. that a prima facie case may be established on indirect evidence.
Также упоминается аспект, не затронутый в других анализируемых amici curiae – прозрачность закупок государствами шпионского ПО. Государства не считают себя связанными обязательствами информировать граждан об используемых технологиях и чаще всего отрицают такое использование. Несмотря на то, что это может показаться внутренним вопросом спецслужб, это все равно относится к сфере предсказуемого применения права и государственных полномочий.
В заключение этот amicus curiae приходит к тем же выводам, что и Amnesty International: в силу своей инвазивности, невозможности отслеживания источника угрозы, понимания, что ни один механизм надзора не может служить реальной гарантией надлежащего использования шпионского ПО, шпионское ПО несовместимо с правами человека, и подлежит запрещению.
Accordingly, the solution is not to accept any possible compatibility of Pegasus with the Convention. Such a ban does not come without regulating the compliance with which can still be overseen by domestic courts and in Strasbourg. It may be related to the enforcement of the ban, including the use by private entities, and to the import and export of spyware, without amending the principle.
Что три amici curiae говорят суду — и что это значит для цифровых прав
Три документа, поданных разными организациями с разными подходами, приходят к единому выводу: существующие правовые механизмы принципиально не способны обеспечить соблюдение прав человека при использовании шпионского ПО типа Pegasus.
Позиции различаются в акцентах:
- Amnesty International делает упор на техническую невозможность соблюдения гарантий — по самому устройству Pegasus.
- Коалиция правозащитников показывает, что даже формально существующие внутренние механизмы защиты не работают ни в одной из исследованных стран.
- INCLO настаивает на переквалификации: Pegasus — это не инструмент наблюдения, это кибероружие, и регулироваться он должен соответственно.
Дело Brejza v. Poland — возможно, последний шанс для ЕСПЧ сформулировать стандарты до того, как использование шпионского ПО в Европе станет ещё более распространённым. Все три организации призывают суд использовать этот шанс — и ввести прямой запрет на использование высокоинвазивного шпионского ПО до тех пор, пока не будут созданы реальные механизмы защиты прав человека.