Госдума одобрила правила передачи банковских данных ИТ-подрядчикам

Государственная дума 14 октября приняла во втором и третьем чтениях законопроект № 404786-8 об обработке финансовых данных сторонними организациями. Правила затрагивают банковскую тайну и персональные данные клиентов.

Документ разрешает передачу данных без отдельного согласия клиентов, но договор с исполнителем должен соответствовать закону о персональных данных. Это возможность поручить обработку информации, а не разрешение на её произвольное раскрытие.

Для кредитных организаций круг исполнителей ограничен аккредитованными ИТ-компаниями и банками с универсальной лицензией под российским контролем. Более половины голосов должны прямо или косвенно принадлежать государству, регионам, муниципалитетам либо гражданам России без другого гражданства. Для небанковских финансовых организаций допустимые подрядчики определяются с учётом вида деятельности.

По общему правилу информационные системы исполнителя должны находиться в России. Заказчик заранее уведомляет Банк России и прикладывает заключение операционного аудита, проведённого организацией с лицензией ФСТЭК и/или ФСБ. Передачу можно начать спустя 60 дней, если регулятор не запретит привлечение подрядчика.

Отдельный порядок предусмотрен для российских банков с универсальной лицензией, контролируемых иностранными банками. Обработка в системе иностранного банка требует согласования Банка России, ФСБ и Росфинмониторинга. Зарубежный банк должен работать не менее трёх лет, а его регулятор — иметь соглашение об обмене информацией с Банком России.

Исполнитель обязан ежегодно проходить операционный аудит и передавать результаты заказчику и регулятору. О выявленном инциденте информационной безопасности он должен сообщить заказчику в течение двух часов. Требуются ответственные за безопасность сотрудники и отсутствие у руководителя непогашенной судимости за экономические и компьютерные преступления.

Подрядчик и его руководитель не должны быть блокируемыми лицами по закону о специальных экономических мерах. При нарушениях Банк России сможет запретить обработку с использованием систем исполнителя на срок до шести месяцев. Правила охватывают банки, страховщиков, НПФ, МФО и других перечисленных в документе участников финансового рынка.

Вступление в силу предусмотрено через год после официального опубликования закона. Для уже действующих договоров установлен срок приведения в соответствие — 180 дней после вступления в силу, для проведения аудита исполнителями — год. Принятие проекта Думой не означает немедленного начала действия этих правил.