Крипторегулирование на Британских Виргинских островах

Британские Виргинские острова (BVI) — зависимая территория Великобритании и популярная офшорная юрисдикция, известная своими благоприятными условиями для ведения бизнеса. Официальный язык на островах — английский, а законодательная система основана на британском праве.

В последние годы BVI активно развивает регулирование виртуальных активов. В феврале 2023 года на BVI вступил в силу Закон о криптопровайдерах (VASP Act, 2022), который регулирует деятельность компаний, предоставляющих услуги с виртуальными активами.

Согласно его положениям криптокомпании должны зарегистрироваться у регулятора - Financial Services Commission, FSC. Это требование распространяется как на новые компании, так и на уже существующие, оказывающие следующие услуги:
- Хранение виртуальных активов (кастодиальные криптоуслуги)
- Управление криптовалютными биржами и обменниками
- Предоставление финансовых услуг, связанных с выпуском, предложением или продажей виртуальных активов.

После регистрации компания обязана соблюдать антиотмывочное законодательство и назначить AML специалиста. В целом всё стандартно и соответствует рекомендациям FATF, в частности “Travel Rule". Но есть и послабления по KYC для транзакций, не превышающих 1000 долларов.

Если вы запутались в терминах и аббревиатурах, то почитайте эту и эту статьи, я постарался там расшифровать их простым языком.

До прошлого года BVI находились в европейском "черном" списке как юрисдикция, не сотрудничающая с ЕС в налоговых целях. Однако в прошлом году острова из этого списка исключили, что сделало их более привлекательными для бизнеса.

Таки сам уйдёт

"Председатель Комиссии по ценным бумагам и биржам Гэри Генслер уйдет в отставку 20 января"

Почти как в Европе 🇪🇺

...будут штрафовать за утечки персональных данных в России. Госдума РФ приняла законопроекты, усиливающие ответственность за соответствующие нарушения.

Поправки в статью 13.11 КоАП ужесточают наказание за незаконную обработку персональных данных. В зависимости от конкретных деяний, объема утекших данных и повторности нарушения, гражданам грозят штрафы от 30 тысяч до 600 тысяч рублей. Должностные лица могут быть оштрафованы на сумму от 200 тысяч до 1,2 миллиона рублей. Для юридических лиц штрафы составят от 500 тысяч рублей до 1–3% годовой выручки (да да, оборотные штрафы).

В Уголовный кодекс РФ добавлена новая статья 272.1, предусматривающая ответственность за незаконное использование, передачу, сбор и хранение персональных данных.

Вводятся следующие составы:
- Незаконное использование, сбор, передача или хранение персональных данных, полученных незаконным путем (в том числе данных несовершеннолетних, биометрических или особых категорий);
- Трансграничная передача незаконно полученных данных;
- Создание или поддержка ресурсов для незаконного оборота данных.
Максимальное наказание - до 10 лет лишения свободы.

Поправки в закон «О персональных данных» требуют, чтобы согласие на обработку персональных данных оформлялось отдельно от других документов, включая договоры и иные согласия, предоставляемые для других целей. Также запрещается ограничивать доступ потребителей к информации из-за отказа предоставить персональные данные, если это не предусмотрено законом.

Новые нормы начнут действовать с 1 марта 2025 года.

Португальских судей обвинили в использовании ИИ при подготовке судебного решения

Решение было вынесено по делу бывшего руководителя Социал-демократической партии (PSD) Хелены Лопес да Кошта. Она обвиняется в злоупотреблении властью и участии в экономических махинациях. 

Адвокаты политика подали жалобу на процессуальное решение Апелляционного суда, вынесенное коллегией из трех судей. Юристы утверждают, что текст решения содержит:
- Нелепые выражения и ошибки;
- Ссылки на несуществующие статьи законов;
- Упоминания вымышленной судебной практики.

Кроме того, текст решения не содержит конкретного анализа действий обвиняемой, а ограничивается лишь общими рассуждениями о преступлениях. Также в нем присутствует "устаревшая орфография", что выглядит странным для официального документа. На этих основаниях адвокаты подозревают, что текст решения мог быть сгенерирован искусственным интеллектом.

Адвокаты потребовали признать судебное решение недействительным и провести расследование. Использование ИИ для подготовки решений, которые напрямую влияют на судьбы людей, они считают как минимум неэтичным, а как максимум - незаконным.

На фоне новости придумал новый промт для ChatGPT: "Найди в тексте судебного решения признаки использования ИИ и составь на основе этого жалобу"

Илон Маск тренирует свой ИИ на судебной практике

Илон Маск в соцсети "X" заявил, его языковая модель Grok 3 обучается на судебной практике и может выносить убедительные юридические вердикты. Ранее он сообщал, что этот ИИ будет способен делать краткую выжимку сути законов чтобы политики не смогли ничего скрыть за непонятными формулировками.

Учитывая новость о том, что португальские судьи пользовались ИИ для написания решения, видится мне что правосудие ждут большие перемены. А ведь мы ещё даже не внедрили законы робототехники...

Крипта или не крипта?

Европейские надзорные органы (EBA, EIOPA и ESMA) опубликовали совместные гайдлайны для классификации криптоактивов в рамках криптовалютной регуляции (MiCAR). Эти гайдлайны включают стандартизированный тест для определения, попадают ли токены под регуляцию и являются ли они стейблкоинами (E-money tokens или Asset-referenced tokens).

Также в них указано, что документация, сопровождающая эмиссию токенов, должна содержать юридическое заключение, обосновывающее классификацию криптоактива. Или заключение о том, что данный токен не является активом не попадающим под регуляцию в рамках MiCAR.

Гайдлайны содержат шаблоны для таких юридических заключений и стандартизированный тест, который обеспечивает единый подход к определению типа криптоактива (можете ознакомиться ниже).

Напомню, что положения о стейблкоинах вступили в силу в конце июня. В полном объеме MiCAR начнёт применяться c 30 декабря этого года.

В ЕС вступает в силу Акт о киберустойчивости

Сегодня вступает в силу Акт ЕС о киберустойчивости — регламент, устанавливающий обязательные стандарты кибербезопасности на всех этапах жизненного цикла продуктов с цифровыми элементами, включая системы ИИ. Подобно GDPR и Закону ЕС об ИИ, Акт о киберустойчивости действует во всех странах ЕС, обеспечивая единый подход к вопросам кибербезопасности. Производители обязаны внедрять меры кибербезопасности на каждом этапе жизненного цикла продукта, а для критически важных продуктов предусмотрены независимые процедуры оценки соответствия.

Акт пересекается с Законом ЕС об ИИ: системы ИИ высокого риска теперь должны соответствовать требованиям как кибербезопасности, так и специфическим для ИИ стандартам. Оценка соответствия будет проводиться уполномоченными органами, компетентными в обеих областях. Максимальные штрафы за несоблюдение достигают €15 млн или 2,5% от мирового годового оборота, что требует серьезного внимания от разработчиков ИИ и специалистов по кибербезопасности. Полностью Акт вступит в силу в декабре 2027 года. , а подготовка уже идет — создается Экспертная группа по Акту о киберустойчивости.

#ИИ #AIRegulation #Cybersecurity #AIAct

Криптовалютные биржи в Европе начинают массовый делистинг стейблкоинов

В декабре Coinbase начала исключение ряда стейблкоинов из своих продуктов, доступных в Европе. Это связано с вступлением в силу криптовалютной регуляции MiCA, которая обязывает эмитентов стейблкоинов соблюдать ряд строгих требований.

Среди стейблкоинов, которые будут теперь недоступны, названы USDT, PAX, PYUSD, GUSD, GYEN и DAI. Однако Coinbase продолжит поддерживать те стейблкоины, которые соответствуют MiCA, такие как USD Coin (USDC) и EURC (стейблкоин с привязкой к евро). Эти активы выпускаются компанией Circle, которая стремится соблюдать все нормы и подсуетилась, выполнив требования новой регуляции. Tether вроде как ведет переговоры с регуляторами в Европе, но чем они закончатся пока непонятно.

Другие криптовалютные биржи, такие как OKX, Bitstamp и Uphold, тоже начали ограничивать доступ к криптоактивам, не соответствующим требованиям MiCA. Binance также планирует ужесточить меры в отношении данных стейблкоинов. Это может привести к их делистингу с платформ, доступных в Европе.

Регуляция MiCA вступает в силу с 30.12.2024

Cookie и персональные данные

Сookies (куки) — это небольшие текстовые файлы, которые веб-сайты сохраняют на устройствах пользователей. Они выполняют разные функции: от сохранения данных для входа до сбора информации о предпочтениях и поведении пользователя на сайте. Куки попадают под понятие персональных данных и их использование в ЕС регулируется GDPR и ePrivacy Directive.

Согласно статье 5(3) ePrivacy Directive, для сбора куки необходимо получить согласие пользователя. Т.е. нужен тот самый бесящий куки баннер, где написано что-то типа: "Наш сайт собирает cookie" и кнопки вроде "Принять", "Отклонить" и/или "Настройки".

При этом согласие пользователя не требуется для так называемых "строго необходимых куки". Их ещё иногда называют "функциональные". Они обеспечивает корректную работу и доступность сайта, без них пользователь не сможет им воспользоваться. Поэтому считается, что основанием для их сбора является законный интерес либо выполнение обязательств по договору.

В последнее время возникает много споров о том, как должен выглядеть куки баннер, чтобы соответствовать требованиям GDPR. Точнее нужно ли обязательно на нем размещать кнопку "отклонить cookie" рядом с кнопкой "принять cookie".

Недавно Бельгийским управлением по защите данных (DPA) был создан важный прецедент. DPA, по жалобе небезызвестной NOYB, постановило, что отсутствие кнопки "Reject All" на первой странице баннера нарушает статьи 5(1)(a) и 6(1)(a) GDPR. Т.е. если пользователю не предоставлена равная возможность отказаться от куки наряду с их принятием, согласие не может считаться свободным и соответствующим принципам GDPR.

Предновогодняя криптосуета

В связи со вступлением в силу европейской крипторегуляции MiCA суетятся не только биржи и криптокомпании. Парламенты стран-членов ЕС тоже. Они спешно приводят национальное законодательство в соответствие с новыми требованиями.

MiCAR является общеевропейским регламентом. Он имеет прямое действие и теоретически не требует специального законодательства на национальном уровне. Однако многим странам нужно определить какой орган будет иметь полномочия крипторегулятора, контролировать соблюдение требований MiCAR и выдавать лицензии. Его отсутствие может привести к определенной коллизии: компании с лицензиями из других стран ЕС смогут работать в стране без регулятора, тогда как местные не смогут выходить на рынки других стран ЕС.

Например, буквально на днях немецкий парламент оперативно утвердил закон о цифровизации финансовых рынков. Согласно ему BaFin (Федеральное управление финансового надзора) станет официальным крипторегулятором.

Также MiCAR предусматривает переходный период сроком до 18 месяцев, в течение которого компании с национальными лицензиями, выданными до вступления регуляции в силу, смогут продолжать оказывать криптоуслуги. Однако каждая страна может самостоятельно установить продолжительность этого переходного периода.

Известно что в Германии он будет составлять год. В Латвии, Венгрии, Нидерландах, Польше, Словении и Финляндии - 6 месяцев. В Литве переходный период составит 5 месяцев, так как там уже давно есть крипторегулятор и лицензирование. В остальных европейских юрисдикциях сроки переходного периода еще не определены, т.е. вероятно они будут максимально возможными - 18 месяцев.

Персональные данные в США 🇺🇸

Несмотря на высокий уровень цифровизации, США не имеют единого федерального законодательства, регулирующего защиту персональных данных. Вместо этого есть сочетание федеральных инициатив и многочисленных местных нормативных актов на уровне штатов. А в некоторых штатах нет вообще ничего.

В США существует несколько федеральных актов, регулирующих обработку персональных данных в определенных сферах. Например, Health Insurance Portability and Accountability Act (HIPAA) регулирует обработку данных в сфере здравоохранения. Children’s Online Privacy Protection Act (COPPA) защищает личные персональные данные детей.

Дополнительно, в июле 2023 года был принят новый EU-US Data Privacy Framework. Этот механизм направлен на упрощение трансграничной передачи данных между ЕС и США, а также на обеспечение соответствия требованиям конфиденциальности, установленным в Европе. Однако данное соглашение в большей степени касается международного взаимодействия и направлено в основном на защиту прав граждан ЕС.

Многие штаты приняли собственные законы в области защиты данных. Наиболее заметные примеры:

- California Consumer Privacy Act (CCPA) – один из самых прогрессивных законов США в сфере защиты данных. Он предоставляет жителям Калифорнии права на управление их персональными данными, включая право на доступ, удаление к данным и отказ от продажи данных.

- Virginia Consumer Data Protection Act (VCDPA) – схожий с CCPA закон, который распространяется на жителей Вирджинии.

Colorado Privacy Act (CPA) – действует в Колорадо и также регулирует права пользователей на доступ и управление данными.

Главной особенностью регулирования защиты данных в США является фрагментированность. Штаты имеют разрозненные законы, которые могут существенно различаться по своему содержанию и области применения. Такая ситуация создает сложности как для организаций, особенно в контексте соблюдения требований в нескольких юрисдикциях одновременно.

Законодатели США не оставляют попыток принять наконец единый закон о защите данных. Так, в апреле этого года был представлен проект American Privacy Rights Act (APRA). Он предлагал жесткие ограничения на сбор персональных данных и предоставлял пользователям возможности по контролю за использованием их данных. Однако к июню этот законопроект, под давлением консервативных законодателей, не смог выйти за пределы комитета и был "похоронен".

Всех с наступающим🎄

Желаю в новом году понятных регуляций и лояльных регуляторов!

Представляю вам уже традиционный обзор трендов регулирования в наступившем году

Крипта

В ЕС вступила в полную силу крипторегуляция MiCA. И хотя для получения криптолицензий предусмотрен переходный период, некоторые последствия европейцы уже могут ощутить, как говорится, на своей шкуре. Например недоступность USDT на крупных биржах.

Но сейчас все взгляды обращены на США. Перед выборами Трамп наобещал всякого и скоро мы узнаем, сдержит ли он свое слово.

А по всему миру крипторегулирование набирает обороты. Во всю подтягиваются как мелкие оффшоры так и крупные страны.

ИИ

Регулирование ИИ носит пока реактивный характер. Госорганы где-то вяло, а где-то активно предъявляют претензии ИИ-проектам. Озабоченные безопасностью своих персональных данных граждане строчат жалобы и готовят коллективные иски. Первая законодательная ласточка в виде AI Act прилетела из ЕС, но я думаю в этом году их будет больше.

Финтех

Являясь конкурентном традиционных банков, финтех продолжает вызывать головную боль у регуляторов. Так что думаю нас ждёт ужесточение контроля за финансовыми потоками, особенно в свете санкционных войн

Персональные данные

Значительная доля кейсов о нарушениях в сфере персональных данных в прошлом году касалась ИИ. Ожидается выработка единого подхода и формирование судебной практики, как минимум в ЕС - законодателе регуляторных мод. Возможно некоторым ИИ компаниям придется релоцироваться из ЕС или закрыть европейцам доступ к своим продуктам.

Также продолжаем наблюдать за ужесточением законодательства о персональных данных по всему миру и ростом штрафов. Возможно скоро придется делать отдельную privacy policy для каждой юрисдикции, где доступен продукт.