Про закон 466 и пора ли валить

Я редко пишу про исключительно украинские события или темы, но «редко» — это не значит «никогда», так что отвлекусь от мировых трендов.

Как, наверное, знают мои украинские читатели, на днях Президент Украины подписал закон №466, которым вносится много изменений в Налоговый Кодекс, как заковыристо сказано в названии — «для улучшения администрирования налогов, устранения технических и логических несогласований в налоговом законодательстве». Практика внесения изменений и дополнений и маскировки под этим чего-то радикального не нова даже для нынешнего созыва Верховной Рады и тут она тоже нашла своё применение. Среди всего прочего в тексте закона появляется понятие «контролируемая иностранная компания» и начинаются чудеса. Подробных анализов, сделанных юристами и другими специалистами уже более чем достаточно, я лишь остановлюсь на двух моментах, которые поражают даже привыкший к чудесам украинского законотворчества взгляд.

Сначала уточню, что апологеты Закона настаивают, что без него никак не победить олигархов с офшорами, а что при этом станет плохо стартапам, то это просто побочный эффект. Утописты из партии «Голос» уверяют, что они обязательно как-то смягчат эти нормы и облегчат участь стартапов, вероятно, надеясь, что никто не догадается посчитать, что сам Закон принят 283 голосами при 226 необходимых, из которых всего 16 дал сам «Голос» — сделайте свои выводы относительно возможности этой партии что-то провести самостоятельно.

Причем тут стартапы? При том, что иностранные компании — причем не в офшорах, а в нормальных юрисдикциях, низконалоговых или нет, — давно стали нормальным инструментом для работы современных бизнесов, особенно украинских. Если вы хотите работать в Европе, логично зарегистрировать компанию в ЕС и не грузить контрагентов пещерными требованиями украинского законодательства, если вы делаете стартап и хотите защитить свои корпоративные права и интеллектуальную собственность, вы регистрируете компанию в США или Англии, то есть в зоне действия англосаксонского права, тем более, что это будет просто обязательным требованием любого инвестора.

И не случайно, что именно представители стартапов заговорили о том, что этот закон фактически вынуждает их покинуть Украину, перестав быть её резидентом.

Во-первых, закон предусматривает, что каждый резидент Украины, будь-то житель страны или компания, который либо владеет зарубежной компанией, либо контролирует такую, обязан сообщить об этом в налоговую и подавать ежегодно отчеты о её деятельности. Причем, если вопрос владения еще хоть как-то понятен, то понятие фактического контроля описано максимально широко и, разумеется, будет так же трактоваться — мол, лицо является фактическим контроллером, если он оказывает существенное или решающее влияние на решения такой компании относительно договоров, активов и прибыли вне зависимости от юридического оформления этого влияния.

Во что эти расплывчатые требования превратятся на практике для небольшого проекта из нескольких человек? Вы можете иметь компанию в, скажем, Эстонии, она никому не принадлежит персонально, доли в ней распределены между основателями, которые все граждане Украины — готово, компанию должен указать каждый из них. ОК, предположим, что проект международный и украинцам принадлежит меньше 50%. Но развитием бизнеса занимается один человек, — за ним все продажи и переговоры с крупными партнерами, его решениям доверяют три других партнера — два технаря и маркетолог — готово, биздев осуществляет фактический контроль. Есть даже реальный и смешной пример — в подкасте Радио-Т, который я веду с товарищами уже много лет, несколько (сейчас — 5) ведущих, в том числе двое основателей, к которым я не отношусь. Но всеми продажами рекламы занимаюсь я, я оплачиваю хостинг и сейчас активно уговариваю делать видеоподкаст — готово, я оказываюсь фактически контролирующим компанию, что будет смешно слышать любому знающему про подкаст и слышавшего хотя бы один выпуск.

Казалось бы, ну что такого в требовании сообщить и подавать отчеты? Да всё такое — многие юрисдикции вообще не требуют подавать отчеты, хотя именно им вроде бы должно быть это интересно. Собственно, многие именно за это и выбирают такие страны, чтобы просто заниматься делом, а не заниматься бюрократией. Зачем же украинской налоговой отчеты компании, которые работают где-то в других странах и связаны с Украиной только личностями владельцев?

А вот в ответе на этот вопрос кроется вторая безумная новация. Предположим, ваша компания успешно развивается и заработала 2 миллиона евро прибыли. Или не заработала, а получила инвестиции на эту сумму или даже больше. На самом деле это не очень много — Round A примерно, то есть самое начало. И к вам приходит украинская налоговая, считает как хочет — то есть все эти деньги будут считаться скорректированной прибылью, вы же не сомневаетесь, а дальше в соответствии с нормами этого закона налоговая сообщит, что на самом деле это не прибыль компании, а ваш личный доход, поэтому заплатите подоходный налог и даже военный сбор.

Это совершенное безумие — даже страны, облагающие налогом всю прибыль компаний, не додумались считать её доходом основателя. Эти деньги основателю не принадлежат, если и когда он получит их в виде дивидендов или другой выплаты, он действительно должен декларировать личный доход и заплатить налог с него, — но деньги компании, находящиеся в другой стране и, вообще-то, в другой налоговой системе, считать личным доходом, да еще и посчитанным по украинским налоговым нормам, это какой-то верх большевизма.

И при этом, если кто-то считает, что такой закон осложнит положение хоть какого-то олигарха, то это уже не наивность, а скорее слабоумие. Номинальный сервис для офшоров придуман очень давно и успешно используется как раз теми же олигархами и достаточно одного такого номинального владельца в цепочке компаний, чтобы не дать отследить дальнейшие отношения. Да, времена меняются и номинальный сервис не является защитой от, например, претензий FATF, но вы же не путайте с ними украинскую налоговую со странными идеями в области учёта.

А вот как раз стартапам и небольшим проектам прятаться нельзя и часто нет возможности. И кто же теперь решится продолжать находиться в Украине, когда вслед за статьей в Techcrunch о новом раунде в офис наверняка заявится маски-шоу, вынесет всё, что найдет и еще и оштрафует на миллионы?

Законопроект №6688 и что в нём плохого

По хорошему, мне бы здесь следовало начать со вступление, что это за законопроект такой и в чем он заключается, но этот случай, когда объяснять не надо — если вы не следите за происходящим вокруг, то самое время очнуться и начать это делать. Для живущих не в Украине все же коротко поясню, что ряд народных депутатов Украины под маркой борьбы за информационную безопасность еще в прошлом году придумала закон, дающий правоохранительным органам право блокировать на 48 часов любой сайт, по их мнению, представляющий угрозу, без какой-либо судебной процедуры, причем техническую возможность этого блокирования должны обеспечить провайдеры интернета. 

Уже то, как этот законопроект протаскивают на протяжении последнего года на рассмотрение Верховной Рады, говорит о том, что дело нечисто — его не смогли включить в повестку дня в прошлом году, его вдруг включили пару недель назад в повестку дня, вчера рассмотрели на комитете Рады по национальной безопасности, не провели через профильный комитет по вопросам защиты свободы слова и ночью включили в повестку дня сегодняшнего пленарного заседания. Правда, в итоге Рада отказалась рассматривать этот законопроект (с необычно большим количеством голосов «против», обычно депутаты просто не голосуют, если не голосуют «за»). Но успокаиваться рано.

Я немного пообщался на эту тему еще вчера и меня попросили сжато перечислить аргументы против принятия закона. Не уверен, что могу дать исчерпывающий список таких аргументов, но все же попробую, если вам покажется полезным, используйте, дополняйте, развивайте и объясняйте это депутатам, если есть возможность — все же они тоже люди и не факт, что могут с ходу разобраться во всех проблемах.

Законопроект возлагает на СБУ и прокуратуру право внесудебной блокировки сайтов на 48 часов, очевидно, предполагая, что соответствующие органы будут выполнять функции антивируса и файрволла в реальном времени. На практике с сетевыми угрозами гораздо лучше справляются существующие механизмы провайдеров и антивирусные программы. Блокировка отдельных сайтов в принципе неэффективна в случае с DDOS-атаками, когда в атаке участвует несколько миллионов узлов, не являющихся при этом вебсайтами, и совершенно нерелевантна в случае с вирусной атакой через почту. Зато она прекрасно подходит для цензуры и даже коррупционных действий, о которых далее.

Законопроект содержит широчайшие возможности для коррупции, поскольку деятельность любого вебсайта может быть прекращена без решения суда, точно так же, как путем проведения обыска по надуманным поводам может быть блокирована деятельность компании. Следует отметить, что ни по одному случаю обыска в IT-компаниях (включая очень громкие случаи, как-то Lucky Labs, Wnet, Интертелеком и Яндекс.Украина) дело не дошло ни до суда, ни до привлечения ответственности принимавших решения об обысках, при том, что в большинстве случаев имеются решения судов о возврате изъятого оборудования. Каковые решения соответствующие органы тоже совершенно безнаказанно саботируют. Отмечу, что в тексте законопроекта вообще ничего не сказано об ответственности принявшего внесудебное решение о блокировке, если, скажем, в дальнейшем суд отказывает в блокировке сайта. Как и об ответственности за саботирование такого решения — кто будет отвечать, если сайт остается недоступным более 48 часов без решения суда?

Можно только представить себе, какого порядка ущерб экономике страны можно нанести блокированием сайта масштаба Rozetka.ua или Novaposhta.ua. И какую выгоду получить, предложив решить вопрос «на месте» владельцу магазина размером поменьше.

Технические решения, предлагаемые СБУ, для реализации законопроекта, в частности, для фильтрации HTTPS-трафика, предусматривают грубейшие нарушения принципов сетевой безопасности путем установки на все пользовательские устройства глобального доверенного сертификата производителя DPI решения. На практике это означает, что весь трафик после установки такого решения будет шифроваться в два этапа — между устройством пользователя и комплексом DPI и между DPI и сайтом назначения. Это называется “атака Man-In-The-Middle” и означает, что комплекс DPI будет иметь доступ вообще ко всему содержимому всего интернет-трафика в Украине. Такое решение кратковременно внедрялось в Казахстане, но даже там протесты общественности заставили отказаться от него. Кроме того, подобное решение не будет поддержано разработчиками браузеров не из Украины (как это и было в случае с Казахстаном) — то есть 100% сайтов будут помечены как опасные из-за подмены сертификата, а многие, включившие HSTS, будут просто недоступны для посещения, — а никаких украинских браузеров в природе не существует.

Я не буду углубляться в то, интересы какого именно разработчика DPI-решения в данном случае лоббируют те, кто разработал проект и техническое решение, хотя много где называется и название компании и конкретные лоббисты её интересов. Но это, к сожалению, не единственный пример того, как под девизом «У нас тут война» принимается решение, продиктованное сугубо коммерческими и, поскольку речь идет о государственных чиновниках и депутатах, сугубо коррупционными интересами. А учитывая эпопею с запретами сервисов и платежных систем, мне начинает казаться, что никакими другими интересами никто руководствоваться и не собирается.