Банки смогут хранить данные клиентов на чужих серверах. Что станет с банковской тайной?

Банкам разрешат хранить данные клиентов на серверах аккредитованных ИТ-компанийКирилл Каштанов, Олег КапрановГосдума приняла законопроект, который регулирует взаимодействие банков и других финансовых организаций с поставщиками услуг аутсорсинга и облачных технологий. Последние могут привлекаться для работы с банковской тайной, персональными данными клиентов и другой конфиденциальной информацией. Получать дополнительное согласие от клиента на это не придется.

Законопроект, который рассматривали в первом чтении еще в 2023 году, должен вступить в силу по истечении года после дня его официального опубликования. Привлекать финансовые организации (не только банки, но и страховщики, негосударственные пенсионные фонды, бюро кредитных историй) смогут не любых подрядчиков, а только аккредитованные ИТ-компании и банки с государственным участием и с универсальной лицензией.

Для «дочек» иностранных банков предусмотрено исключение. Они смогут поручать обработку данных иностранной кредитной организации. Но для этого потребуется согласование ЦБ, ФСБ и Росфинмониторинга, а также выполнение условий о стаже иностранного банка и соглашение между регуляторами, отмечает партнер Kept, руководитель группы по оказанию услуг в области кибербезопасности Илья Шаленков.

Банковская тайна таковой быть не перестанет. К провайдерам будут жесткие требования

Перечень действий с банковской тайной и персональными данными, которые финансовая организация может передать на аутсорс третьему лицу, должен соответствовать ее правам и обязанностям.

Банк, если привлечет на аутсорс третье лицо для обработки информации ограниченного доступа, должен будет уведомить ЦБ, приложить заключение об операционном аудите исполнителя, проведенном организацией с лицензией ФСТЭК или ФСБ. Передача данных при этом будет возможна только через 60 дней, если регулятор ее не запретит.

В свою очередь для исполнителей в законе тоже предусмотрен ряд требований. Серверы должны находиться в России, компания обязана ежегодно проходить аудит и сообщать, по словам Шаленкова, об инцидентах в кибербезопасности в течение двух часов.

Источник: rg.ru