Важное изменение для финансовой сферы: новый закон о передаче данных
Владимир Путин подписал законопроект, который открывает новые возможности (и ставит определенные рамки) для банков и финансовых структур. Теперь они получили право передавать конфиденциальную информацию, включая банковскую тайну и персональные данные клиентов, на обработку в сторонние организации. Как сообщает «Интерфакс», это событие может существенно повлиять на рынок IT-услуг в секторе финансов.
Что изменилось по сравнению с первым вариантом?
Изначально документ планировал снять почти все ограничения на аутсорсинг, позволяя хранить данные в облаках без согласия клиентов. Однако финальная редакция стала более строгой и взвешенной.
Кому можно доверять данные?
Теперь круг получателей информации существенно сужен:
- Банки могут передавать данные только аккредитованным IT-компаниям или банкам с универсальной лицензией. При этом более 50% голосов в таких компаниях должны контролировать государство, регионы, муниципалитеты или граждане РФ без иного гражданства.
- Небанковские организации также могут привлекать аккредитованных IT-партнеров и других участников финансового рынка под российским контролем.
- Обязательное условие: информационные системы исполнителя должны физически находиться на территории России.
Процедура согласования
Перед тем как начать передачу данных, финансовая организация обязана уведомить ЦБ. К заявлению прикладывается заключение об операционном аудите от лицензированных специалистов ФСТЭК и/или ФСБ. Передача информации возможна только через 60 дней после уведомления, если регулятор не возразит.
Специальный режим для банков под иностранным контролем
Российские банки с универсальной лицензией, контролируемые иностранными структурами, смогут передавать данные (включая тайну) в иностранные банки. Для этого необходимо согласование ЦБ, ФСБ и Росфинмониторинга. Иностранный партнер должен вести деятельность не менее трех лет, иметь соглашение об обмене информацией с местным регулятором, а передача данных не должна угрожать стабильности системы РФ.
Права клиентов и обязанности исполнителей
Хорошие новости для пользователей: Отдельное согласие клиента на передачу данных исполнителю теперь не требуется.
Однако требования к партнерам стали очень жесткими:
- Договор должен соответствовать закону о персональных данных.
- Исполнитель обязан ежегодно проходить операционный аудит и сообщать результаты заказчику и в ЦБ.
- Об инцидентах информационной безопасности нужно уведомлять заказчика в течение двух часов с момента выявления.
- У компании должны быть специалисты по ИБ, а у руководителя - отсутствовать непогашенная судимость за экономические и компьютерные преступления.
- Исполнитель и его топ-менеджмент не должны числиться «блокируемыми лицами».
Ответственность
При нарушении установленных норм ЦБ имеет право запретить обработку информации с использованием систем нарушителя сроком до шести месяцев. Это серьезный рычаг давления, который призван повысить ответственность всех участников процесса.
Кого коснется закон?
Нормы распространяются на широкий спектр организаций: банки, страховщиков, НПФ, МФО, бюро кредитных историй, клиринговые организации, центральные контрагенты, организаторов торговли, специализированные депозитарии, операционные центры, а также депозитарии, регистраторов и трансфер-агентов.
Сроки вступления в силу
Закон начнет действовать через один год после официального опубликования. Тем, кто уже передает данные, придется привести свои договоры в соответствие с новыми требованиями в течение 180 дней со дня вступления закона в силу. Исполнителям потребуется провести операционный аудит в течение одного года.