Госдума разрешила банкам передавать банковскую тайну ИТ-подрядчикам без согласия клиентов

Госдума сразу во втором и третьем чтениях одобрила законопроект, который меняет правила обращения с банковской тайной. Теперь кредитные организации смогут передавать эти сведения, а также персональные данные клиентов, на обработку сторонним ИТ-компаниям и облачным провайдерам. Речь идёт именно о той информации, которая составляет банковскую тайну, и о персональных данных, уточняет РБК.

Раньше подобный аутсорсинг был практически невозможен без отдельных согласований и согласий. Раздать конфиденциальные сведения первому встречному дата-центру не получится. Документ вводит довольно жёсткие рамки: обработчиками могут выступать только аккредитованные ИТ-компании либо банки с универсальной лицензией, которые соответствуют требованиям российского контроля.

Все серверы должны физически находиться на территории России. Финансовая организация обязана заранее уведомить Центробанк о привлечении подрядчика. Самому исполнителю потребуется пройти аудит в организации, имеющей лицензию ФСТЭК и (или) ФСБ России.

Таким образом, на рынок допускаются лишь те, кто подтвердил способность работать с чувствительными данными. За защиту полученных сведений и за их разглашение предусмотрена ответственность. Это означает, что подрядчик не просто получает доступ, но и принимает на себя обязательства, сравнимые с банковскими.

Отдельный порядок прописан для российских банков, которые находятся под контролем зарубежных структур. Им передавать обработку иностранному банку можно будет только при согласовании с ЦБ, ФСБ и Росфинмониторингом и при соблюдении дополнительных условий. Главное, что меняется для клиента: спрашивать отдельное согласие на такую обработку законопроект не требует.

Банковская тайна формально остаётся тайной, просто работать с ней теперь смогут дополнительные участники — при условии, что они прошли все фильтры. По сути, личная финансовая информация может оказаться за пределами банковской инфраструктуры, но под многоуровневым надзором. Для граждан это означает, что их данные будут обрабатываться не только сотрудниками банка, но и внешними ИТ-специалистами, а уведомлять об этом каждого в отдельности не станут.

Законодатели, видимо, исходили из того, что современные банки всё равно активно пользуются облачными сервисами и внешними подрядчиками, и требовалось легализовать эту практику, одновременно прописав меры контроля. Теперь у регулятора появляется прямой рычаг в виде обязательного аудита и уведомлений.