Нововведение направлено на регулирование использования внешних IT-сервисов, облачных платформ и специализированных подрядчиков в финансовом секторе. При этом доступ к клиентской информации будет предоставляться не произвольным компаниям, а исполнителям, соответствующим установленным требованиям безопасности и допуска.
Какие сведения банки смогут передавать подрядчикам
В рамках нового порядка финансовые организации смогут поручать сторонним исполнителям хранение и обработку различных категорий защищённой информации. В зависимости от поставленных задач это могут быть персональные данные клиентов, сведения о счетах, вкладах и денежных операциях, а также другие данные ограниченного доступа.Речь идёт прежде всего о технической обработке информации для обеспечения работы банковских систем и цифровых сервисов. Само разрешение на привлечение подрядчика не означает, что тот сможет использовать полученные сведения по собственному усмотрению или передавать их другим компаниям без законных оснований.
Отдельное согласие клиента на передачу данных в рамках предусмотренного законом механизма не потребуется. Однако финансовая организация должна будет соблюдать требования к обработке персональных данных и обеспечению конфиденциальности.
Какие компании получат доступ к информации
Для привлечения внешних исполнителей предусмотрены специальные условия. Банки смогут обращаться к аккредитованным IT-компаниям, а также к банкам с универсальной лицензией, отвечающим установленным критериям российского контроля.Информационные системы подрядчиков по общему правилу должны размещаться на территории России. Для отдельных российских банков, находящихся под контролем иностранных финансовых организаций, предусмотрена специальная процедура передачи данных иностранному банку.
В таком случае потребуются согласования с Банком России, ФСБ и Росфинмониторингом. Также должны выполняться дополнительные условия, связанные с деятельностью иностранного банка, взаимодействием регуляторов и оценкой возможных рисков для российской финансовой системы.
Таким образом, новый механизм не предполагает свободного размещения любых банковских данных в зарубежных облачных сервисах.
Как планируют контролировать безопасность данных
Перед привлечением подрядчика финансовая организация должна будет уведомить Банк России о своих намерениях и предоставить необходимые документы, включая заключение по результатам операционного аудита исполнителя.Если регулятор не запретит привлечение компании в течение установленного срока, обработка данных сможет начаться после прохождения предусмотренной процедуры. В частности, законом предусмотрен 60-дневный период после направления уведомления.
К подрядчикам также предъявляются требования в сфере информационной безопасности. Они должны организовать защиту полученных сведений, обеспечить необходимый внутренний контроль и регулярно проходить операционный аудит. О выявленных инцидентах информационной безопасности потребуется сообщать заказчику в установленный срок.
При несоблюдении правил Банк России сможет ограничить работу исполнителя с защищённой информацией, в том числе запретить соответствующую обработку на срок до шести месяцев.
Означает ли это отмену банковской тайны
Нет. Банковская тайна продолжит действовать, а сведения о счетах, вкладах и операциях клиентов останутся информацией ограниченного доступа.Основное изменение заключается в том, что финансовые организации получат более чётко регламентированную возможность поручать обработку таких сведений специализированным внешним исполнителям. Это позволит расширить использование облачных технологий и сторонних IT-решений без необходимости получать отдельное согласие каждого клиента на каждую такую передачу, если соблюдены требования нового порядка.
При этом доступ подрядчика к информации должен быть связан с порученными ему задачами. Разрешение на техническую обработку данных не равнозначно праву свободно распоряжаться ими или раскрывать их посторонним лицам.
Для клиентов ключевым вопросом останется соблюдение правил информационной безопасности и предотвращение утечек. Сам факт привлечения внешней IT-компании ещё не означает нарушения закона, но обработка данных с отступлением от установленных требований может повлечь ответственность.
Когда начнут действовать новые правила
По состоянию на 25 октября 2026 года Госдума уже приняла законопроект во втором и третьем чтениях, однако это само по себе не означает, что новые нормы уже вступили в силу.Предусмотрено, что закон начнёт действовать через год после официального опубликования. До этого момента применяются действующие правовые нормы. После вступления изменений в силу финансовым организациям, которые уже передают информацию сторонним исполнителям, предоставят переходный период для приведения договоров в соответствие с новыми требованиями.
Таким образом, инициатива призвана упростить использование внешней IT-инфраструктуры финансовыми организациями, сохранив при этом специальные правила обращения с конфиденциальными сведениями клиентов. Для банков это означает дополнительные возможности цифровизации, а для пользователей — необходимость внимательнее относиться к вопросам защиты персональных и финансовых данных.