Госдума во втором и третьем чтениях приняла законопроект, который разрешает банкам и другим финансовым организациям передавать сторонним компаниям на обработку сведения ограниченного доступа, включая банковскую тайну и персональные данные клиентов.

Документ внесен в Госдуму в июле 2023 года и принят в первом чтении в ноябре. Изначально он расширял возможности IT-аутсорсинга для финорганизаций, но ко второму чтению был переработан комитетом Госдумы по финансовому рынку.

Согласно закону, банки смогут передавать данные только аккредитованным IT-компаниям и банкам с универсальной лицензией, находящимся под контролем государства или граждан России без иного гражданства. Небанковские организации смогут привлекать аккредитованные IT-компании и других участников рынка под российским контролем, чьи системы находятся в России.

Финорганизациям придется заранее уведомлять ЦБ о привлечении исполнителя и прикладывать заключение об операционном аудите. Передавать данные можно будет через 60 дней после уведомления, если регулятор не запретит это.

Банки с универсальной лицензией под контролем иностранных банков смогут передавать данные иностранному банку, но только с согласия ЦБ, ФСБ и Росфинмониторинга. Для этого иностранный банк должен работать не менее трех лет, а у ЦБ должно быть соглашение об обмене информацией с регулятором его страны.

Отдельное согласие клиентов не потребуется, но договор банка с исполнителем должен соответствовать закону о персональных данных. Исполнители обязаны ежегодно проходить аудит и сообщать заказчику и ЦБ об инцидентах кибербезопасности в течение двух часов. При нарушениях ЦБ сможет запретить обработку информации на срок до шести месяцев.

Нормы распространяются на банки, страховщиков, НПФ, МФО, бюро кредитных историй, клиринговые организации, центральных контрагентов, организаторов торговли, специализированные депозитарии, операционные центры, депозитарии, регистраторов и трансфер-агентов.

Закон вступит в силу через год после официального опубликования. Уже работающие с подрядчиками организации должны будут за 180 дней привести договоры в соответствие, а исполнители — в течение года провести операционный аудит.

Источник: Интерфакс