Совет Федерации 28 октября одобрил закон, регулирующий передачу банковской тайны и другой конфиденциальной информации на обработку сторонним IT-подрядчикам. По сравнению с первоначальной редакцией законопроект существенно ужесточили: доступ к данным смогут получать только определённые категории аккредитованных компаний и финансовых организаций.
Кредитные организации смогут привлекать аккредитованные IT-компании и банки с универсальной лицензией, соответствующие требованиям российского контроля. В частности, более половины голосов в допустимых организациях должны прямо или косвенно контролироваться государством, российскими муниципалитетами либо гражданами России без второго гражданства. Для небанковских финансовых организаций установлен собственный перечень разрешённых исполнителей.
Информационные системы подрядчиков должны находиться на территории России. Банк или другая финансовая организация обязаны заранее уведомить Центробанк и предоставить заключение об операционном аудите исполнителя, проведённом организацией с необходимой лицензией ФСТЭК или ФСБ. Если регулятор не запретит передачу, обработку данных можно начать через 60 дней после уведомления.
Закон предусматривает обязанности по информационной безопасности. Подрядчик должен ежегодно проходить операционный аудит, иметь ответственных за безопасность сотрудников и уведомлять заказчика о выявленных инцидентах в течение двух часов. За нарушение требований Банк России сможет запретить использование информационных систем исполнителя на срок до шести месяцев.
Согласие клиента на такую передачу персональных данных в предусмотренных законом случаях не требуется, но договор с подрядчиком должен соответствовать законодательству о персональных данных. Для банков под контролем иностранных кредитных организаций предусмотрен отдельный порядок привлечения зарубежного головного банка — с согласованием Центробанка, ФСБ и Росфинмониторинга.
Закон распространяется не только на банки, но и на страховщиков, негосударственные пенсионные фонды, микрофинансовые организации и другие финансовые структуры. Он должен вступить в силу через год после официального опубликования. Уже действующие договоры потребуется привести в соответствие с новыми требованиями в течение 180 дней после вступления закона в силу.