Государственная Дума в рамках второго и третьего чтений одобрила законопроект, который существенно меняет правила работы с конфиденциальной информацией в финансовом секторе. Согласно новому закону, банковские и иные кредитные организации получили право делегировать обработку сведений ограниченного доступа, включая персональные данные и банковскую тайну, сторонним поставщикам облачных сервисов и IT-аутсорсинга без получения прямого разрешения от самих клиентов. Первое чтение данного документа завершилось еще в ноябре 2023 года.
Новые правила устанавливают жесткие рамки для выбора контрагентов. Передавать сведения разрешено только тем IT-компаниям, которые имеют официальную аккредитацию, а также банкам, обладающим универсальной лицензией. При этом ключевым критерием является принадлежность бизнеса к отечественному капиталу: доля участия государства или российских граждан, не имеющих иного подданства, в таких структурах должна составлять более 50%. Для прочих участников финансового рынка доступ к услугам IT-аутсорсинга также возможен, но только через компании, находящиеся под российским контролем. Важным техническим требованием является обязательное размещение всех серверов исключительно на территории Российской Федерации.
Процедура взаимодействия подразумевает строгий надзор со стороны регулятора. Финансовые институты обязаны заблаговременно информировать Банк России о планах по привлечению внешних IT-подрядчиков. В свою очередь, сами исполнители должны подтвердить свою надежность, пройдя аудит, проводимый структурами ФСТЭК или ФСБ.
Законопроект предусматривает и исключения для банков с универсальной лицензией, чья деятельность связана с иностранным капиталом. В определенных случаях, после получения одобрения от Центрального банка, ФСБ и Росфинмониторинга, такие организации могут передавать данные иностранному банку. Однако для этого необходимо, чтобы зарубежный финансовый институт вел деятельность не менее трех лет, а у Банка России было действующее соглашение об обмене данными с регулятором соответствующей страны. При этом реализация таких операций не должна создавать рисков для устойчивости всей банковской системы.
На исполнителя возлагается полная ответственность за сохранность информации. Компания-подрядчик обязана не только гарантировать защиту данных, но и осуществлять непрерывный мониторинг на предмет предотвращения несанкционированного доступа. В случае утечки или разглашения сведений исполнитель будет нести юридическую ответственность.
Данная инициатива стала продолжением дискуссий, начавшихся летом 2023 года. Тогда в Государственную Думу был внесен другой законопроект, расширяющий возможности Минобороны, ФСБ, ФСО, Службы внешней разведки и МВД по удаленному доступу к информационным системам. Целью того документа было предоставление силовым ведомствам права редактировать или удалять сведения о своих сотрудниках в базах данных финансовых организаций. Стоит отметить, что в ходе обсуждения банковское сообщество выразило протест против предоставления силовикам прямого доступа к своим базам данных.
