Госдума приняла законопроект, отправляющий банковскую тайну и ПД граждан России на аутсортинг айтишникам и иностранным банкам

Госдума приняла во втором и третьем чтениях законопроект, который разрешает банкам и другим финансовым организациям передавать на обработку сторонним организациям информацию ограниченного доступа, в том числе банковскую тайну и персональные данные клиентов.

В первом чтении этот документ был принят еще в ноябре 2023 года. В первоначальной редакции законопроект снимал ограничения на IT-аутсорсинг для финансовых организаций и позволял им поручать поставщикам IT-аутсорсинга и облачных услуг хранение и иную обработку своей информации, включая банковскую тайну, без согласия клиентов. Ко второму чтению документ был существенно переработан комитетом Госдумы по финансовому рынку.

Согласно принятому закону, кредитные организации смогут передавать данные на обработку только аккредитованным IT-компаниям и банкам с универсальной лицензией, более 50% голосов в которых прямо или косвенно контролируют государство, регионы, муниципалитеты или граждане РФ, не имеющие другого гражданства. Небанковские финансовые организации смогут привлекать аккредитованные IT-компании, а также других участников финансового рынка под российским контролем. Круг допустимых исполнителей зависит от вида деятельности заказчика. Информационные системы исполнителя должны находиться на территории РФ.

О намерении привлечь исполнителя финансовая организация обязана заранее уведомить ЦБ. К уведомлению прикладывается заключение об операционном аудите исполнителя, проведенном организацией с лицензией ФСТЭК и (или) ФСБ. Передавать данные можно будет по истечении 60 дней после направления уведомления, если ЦБ за это время не запретит привлечение исполнителя.

Российские банки с универсальной лицензией, находящиеся под контролем иностранных банков, смогут поручать обработку данных, в том числе составляющих банковскую тайну, иностранному банку с использованием его информационных систем. Для этого потребуется согласование ЦБ, ФСБ и Росфинмониторинга. Иностранный банк должен вести банковскую деятельность не менее трех лет, у ЦБ должно быть соглашение об обмене информацией с регулятором страны, где фактически находится этот банк, а передача данных не должна угрожать стабильности банковской системы.

Согласие клиентов на передачу их персональных данных исполнителю не требуется, однако договор с исполнителем должен отвечать требованиям закона о персональных данных. Исполнитель обязан ежегодно проходить операционный аудит и направлять его результаты заказчику и в ЦБ, а также сообщать заказчику об инцидентах информационной безопасности в течение двух часов с момента их выявления.

Регулирование распространяется на банки, страховщиков, НПФ, МФО, бюро кредитных историй, клиринговые организации и центральных контрагентов, организаторов торговли, специализированные депозитарии, операционные центры, не являющиеся кредитными организациями, а также на депозитарии, регистраторов и трансфер-агентов.

Закон вступает в силу по истечении одного года после дня его официального опубликования. Финансовые организации, которые уже передали данные на обработку сторонним организациям, должны будут в течение 180 дней со дня вступления закона в силу привести договоры в соответствие с новыми требованиями.

Отличная идея, как еще надежнее похерить защитить личные данные клиентов банков, сведения об их счетах, доходах и т.д. - отдать их обработку на откуп другим банкам, в том числе - иностранным. А также IT-конторам, в которых 50,1% голос косвенно контролируется гражданами РФ. Главное, чтобы ЦБ согласовал такого аутсорсера, ну а то, что он согласует, вызывает мало сомнений. И прямого согласия клиента банка на то, что его банковская тайна уплывет каким-то айтишникам, не требуется. Все наши ПД банки передадут на аутсорсинг без нас.

План надежный, как швейцарские часы. И как это банки раньше справлялись с обработкой ПД клиентов без официального аутсорсинга?