Государственная Дума в рамках второго и третьего чтений одобрила новый законопроект, который существенно меняет правила работы с конфиденциальной информацией в финансовом секторе. Согласно принятому документу, банковские и иные финансовые структуры получили право передавать ограниченный доступ к сведениям, включая персональные данные граждан и банковскую тайну, компаниям, предоставляющим облачные решения и услуги IT-аутсорсинга. Примечательно, что для проведения такой обработки согласие клиентов теперь не потребуется. Первоначальное одобрение этого документа в первом чтении состоялось еще в ноябре 2023 года.
Регламент передачи данных устанавливает жесткие рамки для контрагентов. В частности, банки, обладающие универсальной лицензией, могут доверять обработку информации только тем IT-организациям, которые прошли государственную аккредитацию и находятся под прямым или опосредованным контролем российских граждан или государства (в доле не менее 50%). Для прочих участников финансового рынка условия также предполагают привлечение аккредитованных IT-поставщиков или партнеров, находящихся под российским управлением. Важным техническим требованием остается локализация: все серверные мощности должны физически располагаться на территории России.
Процесс взаимодействия с внешними исполнителями требует прозрачности перед регулятором. Финансовые институты обязаны заблаговентно информировать Банк России о планах по привлечению сторонних IT-компаний. Со своей стороны, такие исполнители должны подтвердить свою надежность, пройдя аудит через организации, имеющие лицензии ФСТЭК и/или ФСБ.
Законопроект предусматривает исключения и для банков с универсальной лицензией, чьи активы контролируются иностранными структурами. Им разрешено делегировать обработку сведений зарубежным банкам, но только при условии получения одобрения от целого ряда ведомств: ЦБ, ФСБ и Росфинмониторинга. Для реализации такой схемы иностранный банк должен вести деятельность минимум три года, а у российского Центробанка должно быть действующее соглашение об обмене данными с регулятором соответствующей страны. При этом ключевым условием остается отсутствие рисков для устойчивости всей банковской системы.
На исполнителя возлагается полная ответственность за сохранность полученной информации. Компания обязана не только гарантировать защиту данных, но и оперативно выявлять любые попытки несанкционированного доступа. В случае утечки или разглашения сведений исполнитель будет нести юридическую ответственность.
Данная инициатива стала продолжением дискуссий, начавшихся летом 2023 года. Тогда в Госдуму поступил законопроект, наделяющий силовые ведомства — включая МВД, ФСБ, ФСО, Службу внешней разведки и Минобороны — правом удаленного доступа к базам данных для корректировки или удаления информации о своих сотрудниках, являющихся клиентами банков. Стоит отметить, что представители банковского сектора ранее выражали протест против предоставления силовым структурам прямого доступа к своим информационным системам.
