Банки и МФО смогут передавать данные клиентов ИТ-подрядчикам: Госдума приняла закон

Банки, МФО, страховщики и другие финансовые компании смогут поручать обработку данных клиентов сторонним ИТ-фирмам. Соответствующий закон Госдума приняла 14 октября, сразу во втором и третьем чтениях. Касается он банковской тайны и персональных данных, а разрешения у клиента спрашивать не придётся. Нужно только, чтобы договор с подрядчиком не противоречил 152-ФЗ о персональных данных.

Законопроект № 404786-8 внесли в июле 2023 года, и между первым и вторым чтением прошло почти три года. Сначала аутсорсинг в нём разрешали без особых условий. Комитет по финансовому рынку текст переделал и вписал требования к подрядчикам, о них ниже. Теперь закон должны одобрить сенаторы и подписать президент, а заработает он через год после публикации.

Кого касается закон

Норма распространяется не только на банки. В списке страховщики, негосударственные пенсионные фонды, микрофинансовые организации, бюро кредитных историй, депозитарии, регистраторы и клиринговые организации.

Банки смогут отдавать данные только аккредитованным ИТ-компаниям и банкам с универсальной лицензией, где больше 50% голосов прямо или косвенно контролируют государство, регионы, муниципалитеты или граждане России без другого гражданства. Остальным финансовым организациям разрешат привлекать аккредитованные ИТ-компании и других участников рынка под российским контролем. Банк с универсальной лицензией, который контролирует иностранный банк, сможет передавать данные материнскому банку только с согласия ЦБ, ФСБ и Росфинмониторинга.

Какие требования к подрядчикам

• Информационные системы исполнителя должны находиться в России.
• Раз в год исполнитель проходит операционный аудит и отправляет результаты заказчику и в ЦБ.
• Об инцидентах информационной безопасности подрядчик сообщает заказчику в течение двух часов после их выявления.
• У руководителя исполнителя не должно быть непогашенной судимости за экономические и компьютерные преступления.

О намерении привлечь подрядчика финансовая организация заранее уведомляет ЦБ и прикладывает заключение операционного аудита от организации с лицензией ФСТЭК или ФСБ. Передавать данные можно через 60 дней, если регулятор не запретит. За нарушения ЦБ вправе запретить обработку информации в системах исполнителя на срок до шести месяцев. Тем, кто уже работает с подрядчиками, дадут 180 дней после вступления закона в силу, чтобы переписать договоры.