14 октября Госдума приняла во втором и третьем чтениях законопроект № 404786-8 об ИТ-аутсорсинге на финансовом рынке. Карточка законопроекта в СОЗД фиксирует, что 15 октября принятый закон направили в Совет Федерации. Основные нормы начнут действовать через год после официального опубликования, если документ пройдёт оставшиеся стадии.

Принятый текст разрешает банкам и другим финансовым организациям поручать внешним исполнителям хранение и обработку информации ограниченного доступа, включая банковскую тайну и персональные данные, без отдельного согласия клиента. Для банков круг исполнителей ограничен аккредитованными российскими ИТ-компаниями и отвечающими требованиям банками с универсальной лицензией; информационные системы подрядчика должны находиться в России.

Финансовая организация заранее уведомляет Банк России и прикладывает заключение об операционном аудите. Через 60 дней она может начать передачу данных при отсутствии запрета регулятора. Подрядчик обязан ежегодно проходить аудит, ежеквартально отчитываться о показателях защиты и сообщать заказчику об инциденте в течение двух часов. За разглашение информации отвечают исполнитель и финансовая организация.

Законодатель подробно выстроил цепочку доступа, аудита и надзора. Денежное возмещение гражданину осталось за её пределами: принятый текст не вводит фиксированную выплату, компенсационный фонд или иной внесудебный механизм для пострадавших от утечки.

За утечку данных более 100 тысяч человек или более миллиона идентификаторов КоАП устанавливает для юридического лица штраф от 10 до 15 млн рублей. Повторное нарушение влечёт оборотный штраф от 1% до 3% выручки либо капитала кредитной организации — от 20 до 500 млн рублей. Эти административные штрафы поступают в бюджетную систему, а гражданин получает денежное возмещение по отдельному гражданскому требованию.

Статья 24 закона о персональных данных даёт человеку право на компенсацию морального вреда независимо от имущественного ущерба. Для выплаты он должен обратиться с иском. Верховный Суд возлагает на истца обязанность доказать нарушение его права и то, что ответчик причастен к этому нарушению. Гражданский кодекс, в свою очередь, обязывает причинителя вреда доказать отсутствие своей вины.

Так распределено бремя точнее: гражданин устанавливает сам факт нарушения и надлежащего ответчика, организация раскрывает доказательства исполнения требований безопасности. Однако путь к деньгам всё равно начинается с личного судебного дела человека, чьи сведения уже вышли из-под контроля профессиональных участников рынка.

Законодателю предстоит определить механизм, который превратит установленную утечку в выплату конкретному пострадавшему: фиксированную компенсацию, специальный фонд или упрощённый иск с обязанностью банка раскрыть журналы инцидента и результаты аудита. Нынешний текст оставляет эти гарантии за рамками реформы.

Присылайте дополнительную информацию по инструкции

©️ https://t.me/criminalru | ✒️ Для обращений