Госдума разрешила банкам передавать данные клиентов сторонним организациям

УрБК, Москва, 15.10.2026. Госдума в третьем и окончательном чтении одобрила законопроект, который меняет правила передачи банками и другими финансовыми компаниями чувствительной информации сторонним подрядчикам — в том числе данных, составляющих банковскую тайну и персональные сведения клиентов.

Документ, внесенный летом 2023 года группой депутатов и сенаторов, прошел первое чтение в ноябре того же года. Ко второму чтению проект серьезно переработали в комитете по финансовому рынку: из него убрали идею полностью снимать ограничения на IT‑аутсорсинг без согласия клиентов, зато прописали жесткие требования к подрядчикам и контролю со стороны регулятора.

Теперь передавать данные на обработку можно будет только строго определенным исполнителям. Для банков это аккредитованные IT‑компании либо банки с универсальной лицензией, где более половины голосов прямо или косвенно контролируют государство, регионы, муниципалитеты или граждане России без второго гражданства. Небанковские финансовые организации смогут привлекать аккредитованные IT‑фирмы и других участников рынка под российским контролем. При этом все информационные системы подрядчика обязаны находиться в России.

Перед тем как начать работу с подрядчиком, финансовая организация должна заранее сообщить об этом Центробанку. К уведомлению нужно приложить заключение об операционном аудите исполнителя — его проводит компания с лицензией ФСТЭК или ФСБ. Передавать данные разрешат только через 60 дней после отправки уведомления, если за это время ЦБ не запретит привлечение подрядчика.

Отдельное правило ввели для российских банков под контролем иностранных структур: они смогут поручать обработку данных иностранному банку, но только при согласовании с ЦБ, ФСБ и Росфинмониторингом. У иностранного банка должен быть опыт работы не менее трех лет, а у ЦБ — соглашение об обмене информацией с регулятором страны, где этот банк фактически работает. Кроме того, передача данных не должна угрожать стабильности российской банковской системы.

Клиентов уведомлять и спрашивать согласия на передачу их персональных данных не придется, но договор с подрядчиком обязан соответствовать закону о персональных данных. Сам исполнитель должен каждый год проходить операционный аудит и отправлять результаты заказчику и в ЦБ. О любых инцидентах в сфере информационной безопасности подрядчик обязан сообщать заказчику в течение двух часов с момента обнаружения.

Среди требований к подрядчику — наличие специалистов по информационной безопасности, отсутствие у руководителя непогашенной судимости за экономические и компьютерные преступления, а также статус «неблокируемого лица» по закону о специальных экономических мерах. Если подрядчик нарушит установленные правила, ЦБ сможет запретить ему обрабатывать информацию с помощью своих систем — на срок до шести месяцев.

Закон начнет действовать через год после официального опубликования. Тем компаниям, которые уже передали данные на обработку, дадут 180 дней на то, чтобы привести договоры в соответствие с новыми правилами. Подрядчикам предстоит в течение года провести операционный аудит.