Банкам в России разрешат передавать персональные данные клиентов сторонним организациям

Российским банкам (а также МФО, страховщикам, НПФ, брокерам и другим финансовым организациям) разрешат передавать персональные данные клиентов сторонним IT-компаниям. Соответствующий законопроект приняла 14 октября Государственная дума во втором и третьем (окончательном) чтении.

Законопроект № 404786-8, который еще в июле 2023 года внесла в палату группа депутатов и сенаторов, регулирует ИТ-аутсорсинг и использование облачных сервисов финансовыми организациями в России и существенно меняет правила работы финансовых структур с внешними подрядчиками, устраняя главные законодательные барьеры для передачи данных.

Основные положения документа:

• Передача данных без согласия клиентов: Финансовым организациям разрешено передавать обработку и хранение данных (включая банковскую тайну) внешним ИТ-провайдерам без согласия клиентов (но договор с подрядчиком должен строго соответствовать закону о персональных данных).

• Контроль и требования: Деятельность провайдеров контролируется Банком России, они обязаны проходить аудит. К ИТ-компаниям предъявляются требования по информационной безопасности, отсутствию судимостей у руководства и статуса «блокируемых лиц».

• Ответственность и сроки: За нарушения регулятор может запретить обработку данных на срок до 6 месяцев. Закон вступает в силу через год, на приведение договоров в соответствие отводится 180 дней.

На обработку смогут передавать данные только аккредитованным ИТ-компаниям и определённым банкам с универсальной лицензией. Информационные системы подрядчиков должны находиться в России.

Банки с универсальной лицензией смогут привлекать только те компании, где более 50% голосов прямо или косвенно контролируются государством или гражданами РФ без двойного гражданства.

Законопроект направлен на то, чтобы легализовать и четко регламентировать передачу банками и другими организациями своих IT-функций и данных сторонним провайдерам.