Передача персональных данных клиентов банков ИТ-компаниям: условия

Госдума приняла законопроект об информационном аутсорсинге сразу во втором и третьем чтениях. Теперь кредитные организации могут передавать на обработку сторонним ИТ-компаниям сведения ограниченного доступа — те, что содержат персональные данные клиентов или банковскую тайну. Раньше такие сведения обрабатывались только внутри банка.

Как устроена передача данных на аутсорсинг

Банк может заключить договор с ИТ-компанией или с другим банком, у которого есть универсальная лицензия. Условие: более 50% такого банка-исполнителя должно принадлежать государству, региону, муниципалитету или гражданину России без иного гражданства. Информационные системы исполнителя обязаны находиться в России.

Процедура не автоматическая. Прежде чем привлечь аутсорсера, банк должен уведомить Банк России о своём намерении. К уведомлению прикладывается заключение ФСБ или ФСТЭК — оно подтверждает, что выбранный исполнитель прошёл аудит и соответствует требованиям безопасности. Без этих документов передача данных невозможна.

Механика напоминает недавние изменения в других сферах: например, блокировка немаркированных звонков банков с 15 октября тоже потребовала от кредитных организаций дополнительных согласований и технической подготовки. Только там речь шла о звонках, а здесь — о массивах чувствительной информации.

Кого коснётся новый порядок

В первую очередь — сами банки, которые захотят снизить расходы на ИТ-инфраструктуру. Передача данных на сторону позволяет не держать собственные вычислительные мощности и не нанимать большой штат для обработки. Но воспользоваться этим смогут не все: круг исполнителей ограничен ИТ-компаниями и банками с универсальной лицензией, где доля государства или российского гражданина превышает 50%.

Для клиентов это означает, что их персональные данные и сведения, составляющие банковскую тайну, могут оказаться в контуре сторонней организации. Прямого запрета на такую передачу закон не вводит, но обставляет её условиями. Если банк решит привлечь аутсорсера, клиент не сможет этому воспрепятствовать — согласие на обработку данных обычно даётся заранее при заключении договора.

Есть и исключения. Передача возможна только тем исполнителям, чьи системы находятся в России. Это отсекает зарубежные облачные сервисы и иностранные компании. Кроме того, без заключения ФСБ или ФСТЭК сделка не состоится, что создаёт дополнительный барьер для небольших банков, у которых может не хватать ресурсов на такой аудит.

Обязанности банка при передаче данных клиентов

Специальных действий от вас закон не требует. Но полезно понимать, что происходит с вашими данными. Если банк передаёт их на аутсорсинг, он обязан уведомить ЦБ, а значит, информация об этом появится в надзорной отчётности. Публично банки не всегда раскрывают такие детали, поэтому стоит внимательнее читать обновления в договорах и уведомлениях от кредитной организации.

Отдельно напомним: тема защиты данных и контроля за финансовыми операциями в последнее время поднимается часто. Ранее мы разбирали, как ФССП завалила банки запросами: нагрузка выросла в 48 раз — это ещё один пример того, как внешние структуры влияют на работу с клиентской информацией. В обоих случаях банк остаётся ответственным за сохранность данных, даже если обработка идёт на стороне.

Новый порядок вступит в силу после официального опубликования закона. Точные сроки вступления в силу в фактуре не указаны. Следить за разъяснениями ЦБ и ФСТЭК стоит тем, кто работает в банковском ИТ-секторе или пользуется услугами небольших кредитных организаций — им адаптироваться будет сложнее.