Государственная Дума в среду приняла во втором и третьем чтениях законопроект № 404786-8, разрешающий банкам и другим финансовым организациям передавать ограниченную информацию, включая банковскую тайну и персональные данные клиентов, сторонним организациям для обработки. Документ прошёл длительный путь согласований: он был внесён в нижнюю палату парламента в июле 2023 года группой депутатов и сенаторов, а первое чтение состоялось в ноябре 2023 года. Ко второму чтению текст был существенно переработан Комитетом Госдумы по финансовому рынку, что превратило изначально либеральный сценарий в жёстко регулируемую модель ИТ-аутсорсинга.
От снятия ограничений к контролируемому периметру
В первоначальной версии законопроект снимал ограничения на ИТ-аутсорсинг для финансовых организаций, позволяя им передавать хранение и обработку информации — включая данные, составляющие банковскую тайну, — ИТ-аутсорсерам и облачным провайдерам без получения согласия клиента. Однако ко второму чтению документ был существенно скорректирован. Вместо широкой либерализации рынка облачных услуг для финансового сектора парламентарии закрепили модель, при которой передача данных допускается только в отношении ограниченного круга поставщиков, соответствующих требованиям по аккредитации, структуре собственности и локализации информационных систем.
Кому можно передавать данные
Согласно принятому закону, кредитные организации вправе передавать данные для обработки только двум категориям контрагентов:
- аккредитованным ИТ-компаниям, включённым в соответствующий реестр Минцифры;
- банкам, имеющим универсальную лицензию, в которых государство, регионы, муниципалитеты или граждане РФ (не имеющие иного гражданства) прямо или косвенно контролируют более 50% голосующих прав.
Небанковские финансовые организации могут привлекать аккредитованные ИТ-компании, а также иных участников финансового рынка, находящихся под российским контролем. Конкретный перечень допустимых поставщиков зависит от вида деятельности клиента. При этом информационные системы провайдера должны быть размещены на территории Российской Федерации — требование о локализации данных остаётся базовым условием.
Уведомительный порядок и 60-дневный период ожидания
Финансовые организации обязаны заблаговременно уведомить Банк России о намерении привлечь сервис-провайдера. К уведомлению должен прилагаться отчёт об операционном аудите в отношении поставщика, проведённом организацией, имеющей лицензию ФСТЭК и/или ФСБ. Передача данных может начаться через 60 дней после подачи уведомления, если в течение этого срока Центральный банк не запретит привлечение данного провайдера. Таким образом, регулятор получает полноценное право вето и двухмесячный период для оценки рисков.
Исключение для иностранных банков
Отдельный блок принятого закона касается трансграничного аутсорсинга. Российским банкам, имеющим универсальную лицензию и контролируемым иностранными банками, будет разрешено передавать данные для обработки — включая сведения, составляющие банковскую тайну, — иностранному банку с использованием его информационных систем. Однако такая схема требует одновременного одобрения со стороны:
- Банка России;
- ФСБ;
- Росфинмониторинга.
К иностранному банку предъявляются дополнительные требования: он должен осуществлять банковскую деятельность не менее трёх лет, а Банк России должен иметь соглашение об информационном обмене с регулятором страны фактического базирования иностранного банка. Кроме того, передача данных не должна создавать угрозу стабильности банковской системы РФ. Это узкое исключение, ориентированное на дочерние структуры иностранных банков, работающие в России, но не отменяющее общего запрета на неконтролируемый экспорт банковских данных.
Персональные данные: согласие клиента не требуется
Один из наиболее чувствительных аспектов закона — отказ от обязательного получения согласия клиента на передачу его персональных данных провайдеру. Согласно принятому тексту, согласие клиента не требуется, однако договор с провайдером должен соответствовать требованиям законодательства о персональных данных (152-ФЗ). Это означает, что закон формирует самостоятельное правовое основание для обработки данных третьей стороной, не отменяя при этом обязанности оператора обеспечивать конфиденциальность и безопасность.
Аудит и инциденты информационной безопасности
Принятый закон устанавливает для провайдеров дополнительные обязательства:
- ежегодный операционный аудит с предоставлением результатов как клиенту, так и Банку России;
- уведомление клиента о любых инцидентах информационной безопасности в течение двух часов с момента их обнаружения.
Столь сжатый срок реагирования на инциденты ИБ фактически приближает требования к финансовому сектору к стандартам, применяемым в критической информационной инфраструктуре. Провайдеры, не способные обеспечить круглосуточный мониторинг и оперативное оповещение, рискуют потерять доступ к банковскому сегменту.
Рыночный контекст и значение
Принятие законопроекта № 404786-8 легализует ИТ-аутсорсинг и облачные сервисы в финансовом секторе, который традиционно относился к числу наиболее консервативных с точки зрения передачи данных на сторону. Банки получают возможность оптимизировать ИТ-инфраструктуру, снизить капитальные затраты на строительство собственных ЦОДов и ускорить цифровую трансформацию. Однако жёсткие требования к аккредитации, структуре собственности и локализации информационных систем могут ограничить круг реальных поставщиков несколькими крупными игроками, что создаёт риски концентрации на рынке облачных услуг для финансовых организаций.
Для иностранных банков, работающих в России через дочерние структуры, закон сохраняет возможность трансграничной передачи данных, но только при наличии одобрения трёх регуляторов и действующего соглашения об информационном обмене с зарубежным надзорным органом. Это делает данную схему скорее исключением, чем правилом.
Что дальше
После третьего чтения законопроект направляется на рассмотрение в Совет Федерации, а затем — на подпись президенту. В случае одобрения документ вступит в силу после официального опубликования, если в нём не будет предусмотрен иной порядок. Участникам финансового рынка и ИТ-отрасли предстоит адаптироваться к новым требованиям: банкам — выстраивать процессы уведомления ЦБ и аудита провайдеров, а поставщикам услуг — подтверждать соответствие аккредитации, локализации и двухчасовому стандарту оповещения об инцидентах.