Путин подписал закон, разрешающий финорганизациям передавать сторонним IT-компаниям данные ограниченного доступа, включая банковскую тайну и персональные данные клиентов, без их согласия

Главное:

• Кому разрешено передавать данные:
  – Кредитные организации – аккредитованным IT-компаниям и банкам с универсальной лицензией, более 50% голосов в которых контролируют государство, регионы, муниципалитеты или граждане РФ без иного гражданства.
  – Небанковские финансовые организации – аккредитованным IT-компаниям и другим участникам финансового рынка под российским контролем.
  – Информсистемы исполнителя должны находиться на территории РФ.

• Процедура: финансовая организация обязана заранее уведомить ЦБ, приложив заключение операционного аудита исполнителя (аудит проводится организацией с лицензией ФСТЭК и/или ФСБ). Передача возможна через 60 дней после уведомления, если ЦБ не запретит.

• Иностранные банки: российские банки с универсальной лицензией под контролем иностранных банков могут передавать данные (включая банковскую тайну) иностранному банку с согласованием ЦБ, ФСБ и Росфинмониторинга. Требования: иностранный банк работает не менее 3 лет, у ЦБ есть соглашение об обмене информацией с его регулятором, передача не угрожает стабильности банковской системы РФ.

• Согласие клиентов на передачу персональных данных не требуется, но договор должен соответствовать закону о персональных данных.

• Требования к исполнителю:
  – Ежегодный операционный аудит с направлением результатов заказчику и в ЦБ.
  – Уведомление заказчика об инцидентах ИБ в течение 2 часов с момента выявления.
  – Наличие сотрудников, отвечающих за ИБ.
  – У руководителя нет непогашенной судимости за экономические и компьютерные преступления.
  – Исполнитель и руководитель не являются «блокируемыми лицами».

• Надзор: при нарушении требований ЦБ вправе запретить обработку данных с использованием систем исполнителя на срок до 6 месяцев.

• Кого касается: банки, страховщики, НПФ, МФО, бюро кредитных историй, клиринговые организации, центральные контрагенты, организаторы торговли, спецдепозитарии, операционные центры (не кредитные организации), депозитарии, регистраторы, трансфер-агенты.

• Сроки: закон вступает в силу через 1 год после официального опубликования. Действующие договоры должны быть приведены в соответствие в течение 180 дней после вступления в силу; исполнители должны провести операционный аудит в течение года.