Госдума разрешила банкам передавать клиентские данные аккредитованным IT-подрядчикам

Государственная Дума проголосовала за законопроект № 404786-8, который меняет правила обработки конфиденциальной информации в финансовом секторе. Документ позволяет банкам и небанковским кредитным организациям передавать сторонним исполнителям банковскую тайну, персональные данные клиентов и иную информацию ограниченного доступа. Инициатива прошла второе и третье чтения, теперь документу предстоит пройти Совет Федерации и подпись Президента.

Круг организаций, которым доверят такие сведения, закрыт. Право получать данные имеют только аккредитованные IT-компании или банки с универсальной лицензией. Небанковские финансовые организации смогут привлекать аккредитованные IT-фирмы и других участников финансового рынка, если те отвечают аналогичным критериям контроля.

Финансовая организация обязана заранее уведомить Банк России о намерении привлечь подрядчика и приложить к уведомлению заключение об операционном аудите исполнителя. Само право на передачу информации возникает через 60 дней после подачи уведомления, если за это время ЦБ не вынесет запрет. Исполнитель должен ежегодно проходить операционный аудит организацией, имеющей лицензии ФСТЭК или ФСБ.

Физическое расположение инфраструктуры стало обязательным условием. Информационные системы подрядчика, а именно серверы с обрабатываемой информацией, должны находиться на территории России. Исключение предусмотрено для российских банков с универсальной лицензией, которые контролируют иностранные структуры. Они могут поручить обработку данных своей материнской иностранной компании, но только при получении согласования от Центробанка, ФСБ и Росфинмониторинга. Такое разрешение выдается, если иностранный банк работает не менее трех лет, у ЦБ есть соглашение об обмене информацией с регулятором страны его нахождения, а передача не создает угроз российской банковской системе.

Ответственность за защиту полученных данных полностью ложится на исполнителя. IT-компания или банк-партнер обязаны контролировать отсутствие несанкционированного доступа и возмещать ущерб в случае разглашения информации. Вопрос о необходимости прямого согласия клиента на передачу данных остался открытым: первоначальная версия законопроекта позволяла это делать без согласия, но текст ко второму чтению существенно переработали. Окончательная редакция документа в открытом доступе пока отсутствует.

Закон вступит в силу через год после официального опубликования. За разглашение банковской тайны по-прежнему сохраняется ответственность, включая уголовную.