Госдума приняла закон о передаче финорганизациями данных клиентов на обработку сторонним IT-компаниям
Госдума приняла во втором и третьем чтениях закон, который разрешает банкам и другим финансовым организациям передавать на обработку сторонним организациям информацию ограниченного доступа, в том числе банковскую тайну и персональные данные клиентов.
Документ (№404786-8) был внесен в парламент группой депутатов и сенаторов в июле 2023 года и принят в первом чтении в ноябре того же года. В первоначальной редакции законопроект снимал ограничения на IT-аутсорсинг для финансовых организаций и позволял им поручать поставщикам IT-аутсорсинга и облачных услуг хранение и иную обработку своей информации, включая банковскую тайну, без согласия клиентов. Ко второму чтению документ был существенно переработан комитетом Госдумы по финансовому рынку, отмечает "Интерфакс".
Согласно принятому закону, кредитные организации смогут передавать данные на обработку только аккредитованным IT-компаниям и банкам с универсальной лицензией, более 50% голосов в которых прямо или косвенно контролируют государство, регионы, муниципалитеты или граждане РФ, не имеющие другого гражданства. Небанковские финансовые организации смогут привлекать аккредитованные IT-компании, а также других участников финансового рынка под российским контролем. Круг допустимых исполнителей зависит от вида деятельности заказчика. Информационные системы исполнителя должны находиться на территории РФ.
О намерении привлечь исполнителя финансовая организация обязана заранее уведомить ЦБ. К уведомлению прикладывается заключение об операционном аудите исполнителя, проведенном организацией с лицензией ФСТЭК и (или) ФСБ. Передавать данные можно будет по истечении 60 дней после направления уведомления, если ЦБ за это время не запретит привлечение исполнителя.
Российские банки с универсальной лицензией, находящиеся под контролем иностранных банков, смогут поручать обработку данных, в том числе составляющих банковскую тайну, иностранному банку с использованием его информационных систем. Для этого потребуется согласование ЦБ, ФСБ и Росфинмониторинга. Иностранный банк должен вести банковскую деятельность не менее трех лет, у ЦБ должно быть соглашение об обмене информацией с регулятором страны, где фактически находится этот банк, а передача данных не должна угрожать стабильности банковской системы РФ.
Согласие клиентов на передачу их персональных данных исполнителю не требуется, однако договор с исполнителем должен отвечать требованиям закона о персональных данных. Исполнитель обязан ежегодно проходить операционный аудит и направлять его результаты заказчику и в ЦБ, а также сообщать заказчику об инцидентах информационной безопасности в течение двух часов с момента их выявления.
У исполнителя должны быть сотрудники, отвечающие за информационную безопасность, а у его руководителя не должно быть непогашенной судимости за экономические и компьютерные преступления. Исполнитель и его руководитель не должны являться "блокируемыми лицами" по закону о специальных экономических мерах.
При нарушении установленных требований ЦБ вправе запретить обработку информации с использованием систем исполнителя на срок до шести месяцев.
Регулирование распространяется на банки, страховщиков, НПФ, МФО, бюро кредитных историй, клиринговые организации и центральных контрагентов, организаторов торговли, специализированные депозитарии, операционные центры, не являющиеся кредитными организациями, а также на депозитарии, регистраторов и трансфер-агентов.
Закон вступает в силу по истечении одного года после дня его официального опубликования. Финансовые организации, которые уже передали данные на обработку сторонним организациям, должны будут в течение 180 дней со дня вступления закона в силу привести договоры в соответствие с новыми требованиями. Исполнители должны будут в течение года провести операционный аудит.