IT-аутсорсинг в финансах: с 2027 года банки смогут передавать данные без согласия клиентов

2 ноября 2026 года был подписан Федеральный закон № 350-ФЗ, который впервые на законодательном уровне легализует передачу финансовыми организациями информации, составляющей банковскую тайну, внешним IT-подрядчикам без получения согласия клиентов. Закон вступает в силу 3 ноября 2027 года. Разбираем, кто получит доступ к данным, как будет осуществляться надзор со стороны Центрального банка и какие практические последствия это имеет для граждан и участников рынка.

Закон существенно ограничил круг потенциальных исполнителей. Передача данных допускается только аккредитованным IT-компаниям или банкам с универсальной лицензией, находящимся под контролем государства, регионов, муниципалитетов или граждан РФ, не имеющих иностранного гражданства. Информационные системы исполнителя должны физически размещаться на территории России.

Ключевой момент: согласие клиентов на такую передачу не требуется. Достаточно, чтобы финансовая организация уведомила Банк России о привлечении подрядчика. Это означает, что персональные данные и сведения о счетах могут быть переданы внешней организации без прямого одобрения клиента.

Финансовая организация обязана заблаговременно уведомить Банк России о намерении привлечь аутсорсера, приложив заключение об операционном аудите. Передача данных возможна по истечении 60 дней после уведомления, если регулятор не наложит запрет.

Поставщик услуг обязан ежегодно проводить внешний аудит с привлечением организаций, имеющих лицензию ФСБ или ФСТЭК России. Кроме того, он должен сообщать заказчику об инцидентах информационной безопасности в течение двух часов с момента выявления, а также ежеквартально информировать банк о соблюдении целевых показателей защиты информации.

Банк России вправе рекомендовать повторный аудит с другой проверяющей организацией, а при нарушениях — запретить обработку данных в системах конкретного исполнителя на срок до шести месяцев.

Принципиальное положение: аутсорсинговые компании несут ответственность за разглашение информации наряду с финансовыми организациями. При утечке данных клиент теоретически может предъявить претензии как банку, так и подрядчику.

Однако на практике бремя доказывания и реальная защита прав потребителя зависят от эффективности механизмов аудита и надзора. Клиентам финансовых организаций рекомендуется внимательно отслеживать уведомления об изменении условий обслуживания — хотя прямого согласия на передачу данных закон не требует, факт смены обработчика может иметь значение при возникновении споров.

Закон вступает в силу 3 ноября 2027 года. Финансовые организации, уже работающие с аутсорсерами, обязаны привести договоры в соответствие с новыми требованиями до 30 апреля 2028 года включительно. Операционный аудит должен быть проведён и направлен в Банк России до 2 ноября 2028 года.

Для клиентов банков, страховых компаний, НПФ и МФО: ваши данные с высокой вероятностью будут обрабатываться внешним подрядчиком. Прямого запрета или требования получать ваше согласие закон не устанавливает — это следствие выбранной модели регулирования, где безопасность обеспечивается через аккредитацию и надзор, а не через индивидуальное согласие.

Для руководителей финансовых организаций и IT-компаний: уже сейчас стоит оценить соответствие требованиям к инфраструктуре (серверы в РФ), аккредитации и готовности к ежегодному внешнему аудиту. Просрочка с приведением договоров в соответствие после ноября 2027 года создаёт регуляторные риски.