Путин подписал закон, разрешающий финорганизациям передавать сторонним IT-компаниям данные ограниченного доступа, включая банковскую тайну и персональные данные клиентов, без их согласия

Кому разрешено передавать данные:
– Кредитные организации – аккредитованным IT-компаниям и банкам с универсальной лицензией, более 50% голосов в которых контролируют государство, регионы, муниципалитеты или граждане РФ без иного гражданства.
– Небанковские финансовые организации – аккредитованным IT-компаниям и другим участникам финансового рынка под российским контролем.
– Информсистемы исполнителя должны находиться на территории РФ.

Процедура: финансовая организация обязана заранее уведомить ЦБ, приложив заключение операционного аудита исполнителя (аудит проводится организацией с лицензией ФСТЭК и/или ФСБ). Передача возможна через 60 дней после уведомления, если ЦБ не запретит.

Иностранные банки: российские банки с универсальной лицензией под контролем иностранных банков могут передавать данные (включая банковскую тайну) иностранному банку с согласованием ЦБ, ФСБ и Росфинмониторинга. Требования: иностранный банк работает не менее 3 лет, у ЦБ есть соглашение об обмене информацией с его регулятором, передача не угрожает стабильности банковской системы РФ.

Согласие клиентов на передачу персональных данных не требуется, но договор должен соответствовать закону о персональных данных.

Требования к исполнителю:
– Ежегодный операционный аудит с направлением результатов заказчику и в ЦБ.
– Уведомление заказчика об инцидентах ИБ в течение 2 часов с момента выявления.
– Наличие сотрудников, отвечающих за ИБ.
– У руководителя нет непогашенной судимости за экономические и компьютерные преступления.
– Исполнитель и руководитель не являются «блокируемыми лицами».

Надзор: при нарушении требований ЦБ вправе запретить обработку данных с использованием систем исполнителя на срок до 6 месяцев.

Кого касается: банки, страховщики, НПФ, МФО, бюро кредитных историй, клиринговые организации, центральные контрагенты, организаторы торговли, спецдепозитарии, операционные центры (не кредитные организации), депозитарии, регистраторы, трансфер-агенты.

Сроки: закон вступает в силу через 1 год после официального опубликования. Действующие договоры должны быть приведены в соответствие в течение 180 дней после вступления в силу; исполнители должны провести операционный аудит в течение года.