Госдума одобрила правила ИТ-аутсорсинга для банков
Финансовые организации смогут передавать закрытые данные подрядчикам. Для этого потребуется уведомить ЦБ и проверить исполнителя.
Госдума приняла во втором и третьем чтениях проект Федерального закона № 404786-8 об информационном аутсорсинге на финансовом рынке. Банки и другие финансовые организации смогут поручать внешним исполнителям обработку информации ограниченного доступа, в том числе банковской тайны и персональных данных клиентов. Передавать сведения, составляющие государственную тайну, нельзя.
Подрядчику можно будет поручить сбор, запись, систематизацию, хранение, обновление, использование и передачу данных. Для банков круг исполнителей ограничат аккредитованными ИТ-компаниями и банками с универсальной лицензией. Более 50% голосов в таких банках должны прямо или косвенно контролировать государство, регионы, муниципалитеты либо граждане РФ без другого гражданства. Для небанковских финансовых организаций перечень допустимых исполнителей будет зависеть от вида их деятельности.
Системы и компоненты, с помощью которых подрядчик обрабатывает информацию, должны принадлежать ему на законных основаниях и находиться в России. Договор должен отвечать требованиям законодательства о персональных данных. Отдельное согласие клиента на передачу его персональных данных исполнителю, согласно проекту, не потребуется.
До начала работы с подрядчиком финансовая организация должна будет уведомить Банк России и приложить заключение об операционном аудите исполнителя. Аудит проводит организация с лицензией ФСТЭК России и (или) ФСБ России. Если в течение 60 дней после уведомления ЦБ не запретит привлечение исполнителя, ему можно будет передать обработку данных.
Исполнитель должен ежегодно проходить операционный аудит и направлять его результаты заказчику и Банку России. Договор также должен предусматривать ежеквартальное информирование банка о соблюдении целевых показателей защиты информации и операционной надежности. Об обнаруженном инциденте информационной безопасности подрядчик обязан сообщить заказчику в течение двух часов.
Отдельное исключение предусмотрено для российских банков с универсальной лицензией, находящихся под контролем иностранных банков. Они смогут поручать обработку данных иностранному банку после согласования с Банком России, ФСБ России и Росфинмониторингом. Проект устанавливает и дополнительные условия, в частности требования к сроку работы иностранного банка и обмену информацией между регуляторами.
Если исполнитель нарушит установленные требования, Банк России сможет запретить обработку информации с использованием его систем на срок до шести месяцев. Новые правила затронут не только банки, но и страховщиков, НПФ, МФО, бюро кредитных историй и других участников финансового рынка.
Согласно проекту, закон вступит в силу через год после официального опубликования. После этого у финансовых организаций будет 180 календарных дней, чтобы привести действующие договоры в соответствие с новыми требованиями. Исполнители должны будут в течение года провести операционный аудит и направить его результаты заказчику и Банку России.
А. Селютин, юрист.
