Банки смогут передавать данные клиентов без согласия: что изменится для россиян

Российским банкам и другим финансовым организациям разрешат передавать обработку определённых данных клиентов аккредитованным ИТ-компаниям и поставщикам облачных сервисов. 

Речь идёт в том числе о персональных данных, банковской тайне и другой конфиденциальной информации. Дополнительное согласие клиента на такую обработку, согласно новым правилам, не потребуется.

Как сообщает DEITA.RU, Госдума одобрила соответствующие законодательные изменения. Они должны установить правовые условия для использования финансовым сектором облачных технологий и услуг ИТ-аутсорсинга.

Какие данные банки смогут передавать

Новые правила позволят финансовым организациям привлекать внешних исполнителей для хранения и обработки информации, которая раньше требовала особого режима работы. К ней относятся:

• персональные данные клиентов;
• сведения, составляющие банковскую тайну;
• другая конфиденциальная информация, обрабатываемая финансовыми организациями.

При этом передавать данные можно будет не любой компании. Привлекать разрешат только организации, соответствующие установленным требованиям, в том числе аккредитованные ИТ-компании. В предусмотренных законом случаях к обработке смогут привлекаться банки с государственным участием и универсальной лицензией.

Нужно ли будет согласие клиентов

Согласно описанию новых норм, отдельное согласие клиента на передачу информации для обработки привлечённым исполнителем не потребуется.

Однако это не означает, что финансовые организации смогут распоряжаться данными без ограничений. Для передачи информации предусмотрены специальные требования, а деятельность подрядчиков будет регулироваться законом и контролироваться соответствующими органами.

Таким образом, изменения касаются прежде всего того, кто и на каких условиях сможет хранить и обрабатывать финансовую информацию, а не отмены требований к её защите.

Где будут храниться данные россиян

Одно из ключевых требований — размещение серверов на территории России. Кроме того, компании, которые будут обрабатывать информацию финансовых организаций, должны будут проходить ежегодный аудит и оперативно сообщать об инцидентах.

Для отдельных случаев передачи ограниченной информации предусмотрена процедура уведомления Банка России. Финансовая организация должна будет сообщить регулятору о привлечении исполнителя и предоставить заключение по результатам операционного аудита его деятельности.

Передача данных станет возможной через 60 дней после уведомления, если Центробанк за это время не введёт запрет.

Эти требования призваны обеспечить контроль за обработкой информации и снизить риски, связанные с использованием внешней ИТ-инфраструктуры.

Смогут ли данные передавать за границу

В законодательных изменениях предусмотрены и специальные условия для иностранных дочерних структур российских банков. Они смогут передавать данные зарубежным кредитным организациям только при соблюдении установленных требований и после согласования с уполномоченными ведомствами, включая Банк России, ФСБ и Росфинмониторинг.

Возможность такой передачи будет зависеть от выполнения предусмотренных законом условий и наличия необходимых межрегуляторных соглашений. Поэтому новые правила не означают, что любые клиентские данные можно будет свободно отправлять за рубеж.

Когда начнут действовать новые правила

По информации DEITA.RU, закон должен вступить в силу через год после официального опубликования. До этого финансовым организациям предстоит учитывать новые требования при подготовке к использованию внешних ИТ-сервисов.

Участники рынка рассчитывают, что изменения упростят внедрение облачных решений и позволят банкам быстрее подключать технологических подрядчиков. Это может расширить возможности для развития цифровых сервисов и оптимизации расходов.

Ранее финансовые организации уже использовали облачные технологии и услуги внешних исполнителей, однако сталкивались с правовыми ограничениями. Новые нормы должны установить более чёткие правила такой работы.

Для клиентов главное изменение заключается в том, что их данные смогут обрабатывать не только сами финансовые организации, но и соответствующие требованиям внешние компании. При этом требования к месту хранения информации, аудиту и контролю со стороны регулятора сохраняются.