economnews
Госдума приняла закон, который разрешает банкам и другим финансовым организациям передавать сторонним компаниям информацию ограниченного доступа — включая банковскую тайну и персональные данные клиентов. О том, как новый закон отразиться на взаимоотношениях банк-клиент и каковы будут последствия этого решения агентству «Прайм» рассказала эксперт по стратегическому развитию и цифровой трансформации финансового сектора и ритейла Ольга Бледнова.
По ее словам, теперь подрядчики смогут хранить и обрабатывать персональные данные клиентов и сведения, составляющие банковскую тайну. К последним относится информация о счетах, вкладах и операциях — например, сколько денег находится на счете и какие переводы совершает клиент.
«Практический смысл изменений — создать понятный порядок использования банками IT-аутсорсинга и облачных сервисов. Банк сможет привлекать внешнюю инфраструктуру для хранения и обработки информации, вместо того чтобы обеспечивать все необходимые мощности самостоятельно«, — говорит Бледнова.
При этом передавать данные можно будет не любому подрядчику: для банков предусмотрены аккредитованные IT-компании и банки с универсальной лицензией, отвечающие требованиям к российскому контролю. По общему правилу информационные системы исполнителей должны находиться в России.
Отдельное согласие клиента на предусмотренную законом передачу персональных данных исполнителю не потребуется. Но договор должен соответствовать требованиям закона о персональных данных, а банк продолжит отвечать перед клиентом за действия привлеченного обработчика.
Эксперт отмечает, что для контроля за безопасностью финансовая организация должна будет заранее уведомить ЦБ о привлечении исполнителя и представить заключение операционного аудита. Передача станет возможна по истечении 60 дней, если регулятор не запретит привлечение подрядчика. Исполнитель будет обязан ежегодно проходить аудит и сообщать банку об инцидентах информационной безопасности в течение двух часов после их выявления.
Таким образом, банковская тайна останется тайной: расширяется круг лиц, допущенных к обработке, но сведения не станут общедоступными, а требования к их защите сохранятся. Передача обработки подрядчику не означает, что банк может переложить на него ответственность перед клиентом.
