Госдума приняла закон о передаче данных клиентов
Госдума приняла во втором и третьем чтениях законопроект № 404786-8.
Правила и действия
Согласие клиентов на передачу персональных данных исполнителю не потребуется, но договор с ним должен соответствовать требованиям закона о персональных данных.
Кредитные организации смогут передавать данные на обработку только аккредитованным IT-компаниям и банкам с универсальной лицензией. Более 50% голосов в таких банках должны прямо или косвенно контролировать государство, регионы, муниципалитеты или граждане РФ без другого гражданства.
Финансовая организация сможет передать данные через 60 дней после направления уведомления, если ЦБ не запретит привлечь исполнителя.
Исполнитель будет обязан ежегодно проходить операционный аудит, направлять его результаты заказчику и в ЦБ, а также сообщать заказчику об инцидентах информационной безопасности в течение двух часов после их выявления.
При нарушении требований ЦБ сможет запретить обработку информации с использованием систем исполнителя на срок до шести месяцев.
Информационные системы исполнителя должны находиться на территории России.
Регулирование распространяется на банки, страховщиков, НПФ, МФО, бюро кредитных историй, клиринговые организации и центральных контрагентов. Оно также затронет организаторов торговли, специализированные депозитарии, операционные центры, депозитарии, регистраторов и трансфер-агентов.
Сроки и этапы
Закон вступит в силу через год после официального опубликования.
Финансовые организации, уже передавшие данные сторонним организациям, должны привести договоры в соответствие с новыми требованиями в течение 180 дней со дня вступления закона в силу.
Небанковские финансовые организации смогут привлекать аккредитованные IT-компании и других участников финансового рынка под российским контролем. Финансовая организация должна заранее уведомить ЦБ о намерении привлечь исполнителя и приложить заключение об операционном аудите.
Банки и другие финансовые организации смогут передавать определенным сторонним организациям на обработку информацию ограниченного доступа, включая банковскую тайну и персональные данные клиентов.