Банки смогут передавать данные клиентов внешним обработчикам без отдельного согласия

Президент подписал закон, который устанавливает для банков и других финансовых организаций правила передачи конфиденциальных сведений на внешнюю обработку. Отдельного согласия клиентов на поручение обработки персональных данных не потребуется. При этом получателей информации обяжут её защищать, а банк сохранит ответственность за разглашение переданных сведений (федеральный закон от 02.11.2026 № 350-ФЗ).

Кому доверят данные

Закон разрешает банкам поручать внешним организациям хранение и обработку информации ограниченного доступа, включая банковскую тайну — сведения об операциях, счетах и вкладах клиентов.

Привлекать к этой работе смогут аккредитованные ИТ-компании, а также банки с универсальной лицензией, отвечающие установленным требованиям к российскому контролю. По общему правилу информационные системы и их компоненты, используемые для обработки, должны находиться в России.

Перед началом такой работы банк должен уведомить ЦБ и представить результаты проверки привлечённой организации. Передать обработку можно будет по истечении 60 дней после направления уведомления, если регулятор не запретит привлечение выбранного исполнителя.

Аналогичные правила предусмотрены для страховщиков, НПФ, МФО, бюро кредитных историй, профессиональных участников рынка ценных бумаг и ряда других организаций финансового рынка.

Согласие не спросят, но защиту потребуют

Отдельное согласие клиента на поручение обработки его персональных данных не понадобится, если договор с исполнителем соответствует требованиям закона о персональных данных. При этом обработчик сможет выполнять только те действия с информацией, на которые имеет право сама финансовая организация.

Исполнителей обяжут ежегодно проходить операционный аудит, включающий проверку защиты информации и надёжности работы. О выявленных инцидентах безопасности и нарушениях операционной надёжности они должны будут сообщать банку в течение двух часов.

За разглашение переданных сведений ответственность по законодательству будут нести и банк, и привлечённая организация. То есть передача обработки на сторону не позволит банку снять с себя ответственность за сохранность банковской тайны.

Отдельный порядок предусмотрен для российских банков под иностранным контролем: поручить обработку иностранному банку можно будет по согласованию с ЦБ, ФСБ и Росфинмониторингом.

Когда вступит в силу

Закон вступит в силу через год после официального опубликования. Уже действующие договоры потребуется привести в соответствие с новыми требованиями в течение 180 дней после вступления закона в силу.