Владимир Путин 2 ноября подписал закон № 350-ФЗ, который вводит регулируемый порядок передачи банковской тайны, персональных данных и другой информации ограниченного доступа внешним ИТ-подрядчикам. Получать отдельное согласие клиента на такую передачу финансовой организации не потребуется.
Сейчас новое правило еще не действует: закон вступит в силу через год после официального опубликования. Его требования распространятся не только на банки, но и на страховые компании, негосударственные пенсионные фонды, микрофинансовые организации, бюро кредитных историй, депозитарии и регистраторов.
Передавать данные разрешат не любому поставщику. Исполнителями смогут стать аккредитованные ИТ-компании, а также определенные банки с универсальной лицензией. Серверы подрядчика должны находиться в России, а договор с ним должен соответствовать законодательству о персональных данных.
Читайте также
Перед началом работы финансовая организация должна будет уведомить Банк России и приложить заключение об операционном аудите, проведенном организацией с лицензией ФСБ или ФСТЭК. Если регулятор не возразит, передачу данных можно будет начать через 60 дней.
ИТ-подрядчикам придется ежегодно проходить внешний аудит. Об инциденте информационной безопасности исполнитель должен сообщить финансовой организации в течение двух часов. Банк России при нарушениях сможет запретить обработку данных в системах поставщика на срок до шести месяцев.
Финансовые организации смогут передавать конфиденциальные данные аккредитованным ИТ-подрядчикам без отдельного согласия клиента, а подрядчики будут отвечать за их разглашение.
Организациям, которые к моменту вступления закона в силу уже используют таких поставщиков, дадут 180 дней на приведение договоров в соответствие с новыми требованиями.