Банки получат право передавать данные клиентов без их согласия ограниченному кругу исполнителей

Владимир Путин подписал Федеральный закон № 350-ФЗ от 2 ноября 2026 года, который регулирует передачу финансовыми организациями закрытой информации на обработку сторонним исполнителям – аккредитованным IT-компаниям, а также другим участникам финансового рынка под российским контролем. Документ охватывает банковскую тайну и персональные данные, при этом отдельного согласия клиентов на такую обработку не потребуется при соблюдении установленных условий.

Закон не отменяет конфиденциальность сведений о счетах, вкладах и операциях. Подрядчики и их сотрудники несут ответственность за разглашение банковской тайны, включая возмещение ущерба, а действия исполнителя с полученной информацией ограничены правами и обязанностями самого банка. Договор на обработку персональных данных должен соответствовать требованиям закона № 152-ФЗ.

Для банков круг исполнителей ограничен аккредитованными ИТ-компаниями и банками с универсальной лицензией под российским контролем. 

Более 50% голосов в таких организациях прямо или косвенно контролируют государство, регионы, муниципалитеты либо граждане России без другого гражданства. Информационные системы для обработки данных размещаются на территории страны.

Перед началом работы с подрядчиком финансовая организация направляет уведомление в Банк России и прикладывает заключение об операционном аудите, проведенном организацией с лицензией ФСТЭК или ФСБ. 

Передача данных начинается после истечения 60 дней со дня уведомления, если за это время регулятор не запретил привлечение исполнителя. Затем подрядчик ежегодно проходит внешний аудит, а при выявлении инцидента информационной безопасности сообщает заказчику о случившемся в течение двух часов. Нарушение требований служит основанием для запрета обработки информации в системах исполнителя на срок до шести месяцев.

Отдельный порядок предусмотрен для российских банков с универсальной лицензией, подконтрольных иностранным банкам. Передача данных материнской структуре требует согласования ЦБ, ФСБ и Росфинмониторинга. Среди условий также указаны не менее трех лет банковской деятельности иностранного банка и соглашение об обмене информацией между ЦБ и регулятором страны его фактического нахождения.

Регулирование затрагивает и другие сегменты финансового рынка, включая страхование, НПФ, микрофинансирование, бюро кредитных историй, депозитарии и регистраторов. После вступления закона в силу организации, уже передающие сведения подрядчикам, получат 180 дней на обновление договоров, а действующие исполнители пройдут операционный аудит в течение года.

Банк России связывает новые требования с защитой от кибератак через инфраструктуру поставщиков и снижением риска утечек на стороне подрядчиков. Эта цель отражена и в англоязычном разъяснении регулятора от 28 октября 2026 года.

Ранее стало известно, что российским сервисам разрешили зарубежные серверы, а ЦОДы обязали резервировать 10% под госнужды.

Источник: Интерфакс