Документ, принятый еще в ноябре 2023 года в первом чтении, разрешает финансовым организациям делегировать обработку конфиденциальных данных сторонним IT-компаниям и провайдерам облачных услуг без согласия клиентов.

Строгие требования предъявляются к получателям данных. Российские банки с универсальной лицензией могут передавать информацию только аккредитованным IT-организациям или банкам, где более 50% контроля принадлежит государству или российским гражданам без второго гражданства. Прочие финансовые учреждения вправе привлекать исключительно аккредитованные IT-компании и участников финансового рынка под российским управлением.

Важное условие – размещение серверов на территории России. Перед передачей данных финансовые организации обязаны уведомить Банк России о планах сотрудничества с IT-компаниями. Потенциальные подрядчики должны пройти обязательный аудит у организаций, имеющих лицензии ФСТЭК или ФСБ.

Особые правила действуют для банков с иностранным участием. Такие кредитные организации могут передавать данные зарубежным банкам, но только после согласования с ЦБ, ФСБ и Росфинмониторингом. При этом иностранный банк должен иметь трехлетний опыт работы, а российский регулятор – соглашение об информационном обмене с надзорным органом страны, где находится банк-получатель. Передача данных не должна угрожать стабильности банковской системы.

Ответственность за сохранность информации полностью ложится на исполнителя. Он обязан обеспечить защиту данных от несанкционированного доступа и несет ответственность в случае их утечки.