14 октября Госдума приняла во втором и третьем чтениях законопроект, который меняет правила работы банков с персональными данными клиентов. До сих пор сведения о счетах, остатках, вкладах и переводах были частью банковской тайны, и передать их сторонней компании можно было только при наличии законного основания. Теперь банк сможет поручать обработку этих данных аккредитованным ИТ-подрядчикам, причем отдельное согласие клиента для этого не потребуется. Разберемся, что именно разрешено, кому и может ли человек узнать кто имеет доступ к его даннымmmmmm.
Банковские системы давно не пишутся внутри банка целиком. Мобильные приложения, антифрод, скоринг, процессинг и аналитика в значительной части выполняются сторонними разработчиками. Но для отладки приложения, обучения модели или разбора инцидента подрядчику нужны реальные данные, а не обезличенная выгрузка. Раньше этот разрыв закрывали согласиями клиентов или серыми юридическими конструкциями, которые не всегда выдерживали проверку. Новый закон легализует практику, которая фактически уже существовала, но ставит ее в рамки: доступ получают не любые желающие, а проверенный круг компаний, работающих по договору и под надзором.
Круг исполнителей ограничен жестко, и это главное в документе. Банки смогут привлекать две категории. Первая - аккредитованные российские ИТ-компании, то есть организации, которые соответствуют установленным требованиям и официально получили государственную аккредитацию. Вторая - банки с универсальной лицензией, где более 50% голосов прямо или косвенно контролируют государство, российские регионы, муниципалитеты или граждане РФ без другого гражданства. Для страховых компаний, микрофинансовых организаций, негосударственных пенсионных фондов и бюро кредитных историй предусмотрены собственные перечни, так что единого окна для всех участников рынка не будет.
Отсюда и первое техническое требование: информационные системы подрядчика должны размещаться в России. Исключение сделано незначительное - для российских банков с универсальной лицензией, подконтрольных иностранным банкам. Они смогут поручать обработку иностранному банку, но только после согласования с Банком России, ФСБ и Росфинмониторингом. Общего разрешения хранить банковскую тайну в любых зарубежных облачных сервисах документ не дает, поэтому разговоры о вывозе данных за границу к этому закону отношения не имеют.
Процедура прописана пошагово. До начала работы банк уведомляет Банк России и прикладывает заключение об операционном аудите исполнителя, проведенном организацией с лицензией ФСТЭК и (или) ФСБ. Передавать данные можно по истечении 60 дней после уведомления, если за это время регулятор не запретил привлекать компанию.
Дальше включается постоянный контроль. Подрядчик ежегодно проверяет свою операционную надежность и передает результаты банку и регулятору, отчитывается по показателям информационной безопасности и устойчивости систем, а об инциденте обязан сообщить в течение двух часов. У него должны быть сотрудники, отвечающие за защиту информации, а к руководству предъявляются дополнительные требования. Если нарушения обнаружатся, Банк России сможет запретить обработку данных в системах исполнителя на срок до шести месяцев. На приведение уже заключенных договоров в соответствие с новыми правилами финансистам дают 180 дней, исполнителям на операционный аудит - год.
Разница между «до» и «после» неодинакова: где-то меняется только процедура, а где-то появляется принципиально новая возможность.
Запретить законную обработку одним заявлением не получится: законопроект прямо допускает передачу сведений без отдельного согласия, и если банк соблюдает условия, отсутствие согласия этому не мешает. Но без прав клиент не остается. Он может запросить сведения об обработке, потребовать исправить ошибки, отозвать ранее выданное согласие, оспорить незаконные действия банка.
Важная оговорка: отзыв согласия не обязывает банк немедленно удалить всю историю. Часть сведений финансовая организация обязана хранить для исполнения договоров и требований закона, и в этих случаях обработка продолжается на законном основании. То есть отзыв работает как ограничитель, а не как выключатель.
Здесь у клиента есть законный инструмент. Статья 14 закона № 152-ФЗ позволяет запросить сведения о лицах, которые получают персональные данные по договору или имеют к ним доступ. Банк обязан предоставить информацию, доступную по закону, хотя внутренние технические журналы и всю документацию подрядчиков он раскрывать не должен.
Порядок действий простой: приложение или сайт банка, раздел обращений либо контакты ответственного за персональные данные, письменный запрос, регистрация обращения, ответ. В запросе достаточно сослаться на соответствующую статью закона о персональных данных и попросить указать наименования организаций, цели и правовые основания обработки, категории передаваемых сведений и сроки хранения.
Ответ на такой запрос должен поступить в течение 10 рабочих дней, продлить срок банк вправе не более чем на пять рабочих дней с мотивированным уведомлением. Для обычных обращений действует общий порядок - как правило, 15 рабочих дней. Если ответ неполный или отказ ничем не обоснован, попросите объяснить причину письменно, а жалобу направьте в Роскомнадзор по вопросам персональных данных или в Банк России по действиям банка.
Отвечает перед клиентом банк как оператор персональных данных, а подрядчик отвечает перед банком и за собственные нарушения. Искать виноватого в переписке с айтишниками не придется, достаточно обратиться в свой банк: при доказанном ущербе можно требовать возмещения убытков и компенсации морального вреда. При подозрении на утечку сохраните доказательства, проверьте операции, смените пароль и завершите неизвестные сеансы. Если раскрыты данные карты - блокируйте ее через официальный канал банка, если пропали деньги - сразу сообщайте о незаконной операции и подавайте заявление на оспаривание. Отдельно стоит помнить, что само появление данных в открытом доступе вину конкретного банка не доказывает, а переход по подозрительным ссылкам и отправка документов незнакомцам - как раз то, чем чаще всего и собирают информацию для будущих баз.
14 октября 2026 года законопроект принят во втором и третьем чтениях, но на 15 октября закон еще не вступил в силу. После одобрения Советом Федерации, подписания президентом и официального опубликования должен пройти год. До этого действуют прежние требования. Отсрочка не формальность: за год банкам предстоит перестроить договоры, а подрядчикам пройти аудит и подготовить системы, и именно в этот период станет понятно, кто останется в числе допущенных исполнителей.
Главное, что стоит запомнить: закон не разрешает банкам продавать историю покупок и переводов рекламным компаниям. Речь о праве поручить обработку закрытых сведений проверенным исполнителям для работы банковских систем, и не более того. Ответственность банка перед клиентом сохраняется в полном объеме. Контекст при этом важен: банки уже возвращали критическую инфраструктуру с внешнего подряда под свой контроль, а злоумышленников, как фиксировали специалисты, интересуют уязвимости банковских систем. Новые правила — попытка не открыть данные, а встроить существующую практику в контролируемые рамки.
Самые читаемые
