Новые правила работы с конфиденциальной информацией получили законодательное одобку в Государственной Думе. Во втором и третьем чтениях депутаты утвердили законопроект, который наделяет банки и иные финансовые институты правом делегировать обработку ограниченных данных компаниям, предоставляющим облачные решения и услуги IT-аутсорсинга. Согласно принятому документу, передача банковской тайны и персональных сведений клиентов теперь может осуществляться без получения предварительного согласия владельцев этих данных. Первые этапы рассмотрения данного инициативного документа завершились еще в ноябре 2023 года.
Регламент устанавливает строгие критерии для контрагентов: передавать сведения разрешено только аккредитованным IT-организациям и банкам, обладающим универсальной лицензией, при условии, что доля государственного участия или контроля со стороны российских граждан (не имеющих иного гражданства) в них превышает 50%. Для прочих участников финансового сектора круг партнеров также ограничен аккредитованными IT-компаниями и структурами, находящимися под российским управлением. При этом критически важным условием является физическое размещение всех серверов на территории Российской Федерации.
Процедура взаимодействия финансовых структур с внешними исполнителями требует прозрачности перед регулятором. Банки обязаны заблаговременно информировать Банк России о планах по привлечению сторонних IT-ресурсов. В свою очередь, сами технологические компании должны подтвердить свою надежность через аудит, проводимый структурами, имеющими лицензии ФСТЭК или ФСБ.
Законодательство предусматривает исключения для банков с универсальной лицензией, в чьей структуре присутствуют иностранные владельцы. Им разрешено поручать обработку информации зарубежным финансовым организациям, но только после получения одобрения со стороны Центрального банка, ФСБ и Росфинмониторинга. Для такой передачи необходимо выполнение трех условий: иностранный банк должен работать на рынке не менее трех лет, между ЦБ и регулятором соответствующей страны должно действовать соглашение об обмене данными, а сам процесс не должен создавать рисков для устойчивости всей банковской системы.
На исполнителя возлагается полная ответственность за сохранность конфиденциальной информации. Компания обязана не только защищать полученные сведения, но и непрерывно отслеживать любые попытки несанкционированного доступа. В случае утечки или разглашения данных исполнитель будет нести юридическую ответственность.
Данная инициатива следует за событиями лета 2023 года, когда в Государственную Думу поступил проект, расширяющий полномочия силовых ведомств. В рамках того документа Минобороны, ФСБ, ФСО, Служба внешней разведки и МВД планировали получить возможность удаленного доступа к базам данных для корректировки или удаления информации о своих сотрудниках, являющихся клиентами банков. Стоит отметить, что представители банковского сообщества выражали протест против предоставления силовым структурам прямого доступа к своим базам данных.
