Новые законодательные нормы, принятые Государственной Думой во втором и третьем чтениях, создают правовую базу для передачи конфиденциальной информации финансовыми институтами подрядчикам. Теперь банки и иные кредитные организации получили право делегировать обработку данных, составляющих банковскую тайну и персональную информацию клиентов, компаниям, специализирующимся на облачных технологиях и IT-аутсорсинге, не запрашивая при этом предварительного одобрения у самих держателей этих сведений. Путь этого законопроекта начался еще в ноябре 2023 года, когда документ был одобрен в первом чтении.
Регулирование процесса передачи сведений устанавливает жесткие критерией для исполнителей. В частности, банки, обладающие универсальной лицензией, могут сотрудничать только с аккредитованными IT-компаниями или финансовыми структурами, где доля государственного участия или доля российских граждан, не имеющих иного подданства, превышает 50%. Для остальных участников финансового рынка круг партнеров шире: они могут привлекать любые аккредитованные IT-организации и субъектов рынка, находящихся под российским контролем. Важным техническим условием является обязательное размещение серверов на территории Российской Федерации.
Процедура взаимодействия подразумевает строгий надзор со стороны регулятора. Финансовые институты обязаны заблаговременно информировать Банк России о планах по привлечению внешних IT-подрядчиков. При этом сами исполнители обязаны подтвердить свою надежность через аудит, проводимый структурами, имеющими лицензии ФСБ или ФСТЭК.
Законопроект также предусматривает исключения для банков с универсальной лицензией, которые находятся под управлением иностранных структур. При условии согласования с ЦБ, ФСБ и Росфинмониторингом, такие организации могут передавать данные иностранным банкам. Однако для этого необходимо, чтобы иностранный контрагент вел деятельность не менее трех лет, а у Банка России было действующее соглашение об обмене данными с регулятором соответствующего государства. Главным приоритетом остается сохранение устойчивости всей банковской системы.
На исполнителей возлагается полная ответственность за сохранность информации. Компании-подрядчики обязаны не только защищать полученные сведения, но и оперативно выявлять любые попытки несанкционированного доступа. В случае утечки или разглашения данных компания будет нести юридическую ответственность.
Данная инициатива следует за дискуссиями лета 2023 года, когда в Госдуму был внесен проект, наделяющий силовые ведомства — включая МВД, ФСБ, ФСО, Службу внешней разведки и Минобороны — правом удаленного доступа к базам данных для корректировки сведений о своих сотрудниках. Стоит отметить, что представители банковского сектора ранее выражали протест против предоставления силовикам прямого доступа к своим информационным системам.
