Банки смогут передавать данные клиентов в облако без их согласия
Банки, страховщики, негосударственные пенсионные фонды и бюро кредитных историй смогут передавать банковскую тайну, персональные данные клиентов и другую конфиденциальную информацию поставщикам ИТ-аутсорсинга и облачных услуг. Дополнительное согласие клиента на это не потребуется — соответствующий закон опубликован 4 ноября.
Привлекать разрешено не любых подрядчиков, а только аккредитованные ИТ-компании и банки с госучастием и универсальной лицензией. Перечень действий с банковской тайной и персональными данными, которые можно передать третьему лицу, должен соответствовать правам и обязанностям самой финансовой организации.
Если банк привлечёт стороннюю организацию к обработке информации ограниченного доступа, он должен уведомить ЦБ и приложить заключение об операционном аудите исполнителя от организации с лицензией ФСТЭК или ФСБ. Передача данных станет возможна только через 60 дней, если регулятор её не запретит.
К исполнителям предъявляются отдельные требования: серверы должны находиться в России, компания обязана ежегодно проходить аудит и сообщать об инцидентах в кибербезопасности в течение двух часов. Ответственность за сохранность данных будет нести каждый, кто имеет к ним доступ.
Банковская тайна останется информацией ограниченного доступа, но её обработку можно передать внешнему исполнителю без согласия клиента при соблюдении требований: договор с клиентом должен соответствовать закону о персональных данных. Для контроля исполнителей предусмотрены аудит, требования к информационной безопасности, уведомление об инцидентах и право ЦБ запретить обработку при нарушениях.