ИТ-аутсорсинг финансовых организаций: что меняется для персональных данных

Аннотация

УДК 342.9

Проанализирован законопроект № 404786-8, принятый Государственной Думой 14 октября 2026 года во втором и третьем чтениях. Сопоставлены его нормы с частью 3 статьи 6 Федерального закона «О персональных данных», Федеральным законом «Об информации, информационных технологиях и о защите информации» и Перечнем сведений конфиденциального характера. Установлено, что законопроект регулирует ИТ-аутсорсинг финансовых организаций и законное раскрытие банковской и иной отраслевой тайны и не изменяет закон о персональных данных. Выявлено, что для персональных данных новыми оказываются закрытый круг исполнителей, размещение систем в России и надзор Банка России. Зафиксировано, что на 18 октября 2026 года законопроект не одобрен Советом Федерации и не подписан.

Ключевые слова: персональные данные, поручение обработки, банковская тайна, ИТ-аутсорсинг, облачные услуги, Банк России, информация ограниченного доступа, сведения конфиденциального характера, хостинг, оператор, банкинг, провайдер, госконтроль.

Abstract

Abstract. Bill No. 404786-8, adopted by the State Duma on 14 October 2026 in the second and third readings, was analysed. Its provisions were compared with part 3 of article 6 of the Federal Law on Personal Data, the Federal Law on Information, Information Technologies and the Protection of Information, and the List of Confidential Information. It was established that the bill regulates IT outsourcing by financial organisations and the lawful disclosure of banking and other professional secrecy, and does not amend the personal data statute. It was found that the new constraints for personal data are a closed circle of contractors, the placement of systems in Russia, and supervision by the Bank of Russia. It was recorded that, as of 18 October 2026, the bill had not been approved by the Federation Council and had not been signed.

Keywords: personal data, processing entrustment, banking secrecy, IT outsourcing, cloud services, Bank of Russia, restricted information, confidential information, hosting, operator, banking, provider, state supervision.

Введение

Представим директора по ИТ регионального банка. Утром он открывает новостную ленту. Его банк давно держит часть систем у ИТ-подрядчика: на чужих серверах работают обработка данных клиентов, отчётность, часть сервисов для обслуживания. В ленте он читает, что Государственная Дума разрешила банкам передавать персональные данные клиентов сторонним ИТ-компаниям и согласия клиентов для этого больше не потребуется. Первая мысль понятна: если это разрешили только сейчас, значит, всё это время банк работал незаконно?

Заголовки в день принятия действительно звучали одинаково. «Фонтанка» написала: «разрешат передавать персональные данные клиентов сторонним IT-компаниям» (fontanka.ru, 14 октября 2026 года). «Парламентская газета» уточнила: «согласия клиентов на передачу персональных данных не потребуется» (pnp.ru). Первоисточник большинства пересказов – «Интерфакс»: «Согласие клиентов на передачу их персональных данных исполнителю не требуется, однако договор с исполнителем должен отвечать требованиям закона о персональных данных» (interfax.ru).

Из таких формулировок складывается впечатление, что раньше банк не мог отдать данные клиента подрядчику без согласия, а теперь сможет. Для персональных данных это не так. Поручить обработку другому лицу на основании договора оператор вправе и сейчас. Часть 3 статьи 6 Федерального закона «О персональных данных» (152-ФЗ) называет четыре самостоятельных основания поручения: согласие субъекта, указание федерального закона, договор и акт органа. Подробно эта конструкция разобрана в статье «Поручение обработки персональных данных: правовая конструкция части 3 статьи 6 Федерального закона «О персональных данных». Её вывод: договор с обработчиком – самостоятельное и достаточное основание для поручения, даже при отсутствии согласия субъекта. Принятый текст этот вывод подтверждает.

Получается, с персональными данными у нашего директора всё было в порядке и раньше. Вопрос был в другом – в банковской тайне. Именно её законопроект и меняет.

1. Что принятый законопроект говорит о персональных данных

Законопроект большой: в нём четырнадцать статей. Тринадцать из них вносят изменения в отраслевые законы финансового рынка – о банках, о страховом деле, о рынке ценных бумаг, о негосударственных пенсионных фондах (НПФ), о противодействии отмыванию доходов и финансированию терроризма (ПОД/ФТ), об инвестиционных фондах, о Банке России, о валютном контроле, о кредитных историях, о микрофинансовых организациях, о клиринге, о национальной платёжной системе и об организованных торгах. Последняя статья посвящена вступлению в силу. Закона о персональных данных среди изменяемых нет, он упоминается только в отсылках.

Отсылка везде устроена одинаково. Для банков она стоит в новой ст. 30.2 Закона о банках:

«Кредитная организация вправе поручить привлекаемой организации осуществление сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения персональных данных в соответствии с настоящей частью без согласия субъектов персональных данных при условии соответствия договора, предусмотренного настоящей частью, требованиям части 3 статьи 6 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных».

Слова «без согласия» в этой норме новой возможности не дают. Это то самое «иное, предусмотренное федеральным законом», которое ч. 3 ст. 6 допускает с самого начала, и в той же фразе законопроект прямо отсылает к ней. Исполнитель по-прежнему действует в пределах прав заказчика: он «осуществляет с такой информацией только те действия, которые соответствуют правам и обязанностям данной кредитной организации». Распределение ролей прежнее: заказчик остаётся оператором, исполнитель – обработчиком.

2. Почему раньше мешала банковская тайна

У нашего директора по ИТ остаётся вопрос: если персональные данные можно было поручить подрядчику и раньше, откуда сомнения? Ответ в ст. 26 Закона о банках. Она устроена как закрытый перечень: кредитная организация гарантирует тайну об операциях, счетах и вкладах, а справки выдаёт клиенту, судам, налоговым органам, следствию и другим прямо названным адресатам. ИТ-подрядчика среди них нет.

Поэтому раньше вопрос решала банковская тайна. Персональные данные отдать подрядчику по договору было можно – это позволяла ч. 3 ст. 6 152-ФЗ. А сведения об операциях и счетах – нет. Выходит, риск в схеме нашего директора был только в одном: подрядчик видел сведения, составляющие банковскую тайну.

Законопроект добавляет в ст. 26 три части: «Кредитная организация в случаях и порядке, которые предусмотрены статьей 30.2 настоящего Федерального закона, вправе передавать организации, указанной в части четвертой статьи 30.2 настоящего Федерального закона (далее – привлекаемая организация), сведения, содержащие банковскую тайну. Привлекаемая организация и ее работники обязаны хранить тайну об операциях, о счетах и вкладах клиентов и корреспондентов кредитной организации». Такая же конструкция появилась для страховой, пенсионной и иных отраслевых тайн. Это и есть предмет законопроекта. Персональные данные в нём – тема попутная.

3. Кому можно поручить и на каких условиях

Выбор подрядчика при этом сужается, поскольку раскрывать тайну исполнителю финансовая организация может только на условиях законопроекта.

Прежде всего законопроект ограничивает круг исполнителей. Привлекаемой организацией может быть только аккредитованная ИТ-компания или банк с универсальной лицензией, который находится под контролем государства, субъекта, муниципалитета или граждан России без иного гражданства. Контроль законопроект понимает как право «прямо или косвенно распоряжаться более чем 50 процентами» голосов (ч. 4 ст. 30.2 Закона о банках). В небанковских отраслях к этому кругу добавлены такие же подконтрольные некредитные финансовые организации.

Следующее условие касается инфраструктуры. Системы исполнителя должны принадлежать ему «на законном основании» и находиться «на территории Российской Федерации».

Ещё одно условие – допуск через Банк России. До поручения заказчик уведомляет Банк России и прикладывает заключение об операционном аудите исполнителя. Операционный аудит исполнитель обязан проводить ежегодно, а заключение для Банка России готовит организация с лицензией ФСТЭК России на техническую защиту конфиденциальной информации и (или) лицензией ФСБ России в области шифровальных средств. Поручить обработку можно «по истечении 60 дней, следующих за днем направления уведомления», если Банк России не запретит.

И наконец, исполнитель постоянно отчитывается. Договор обязан предусматривать ежеквартальную отчётность о защите информации и операционной надёжности, а также сообщения об инцидентах «в течение двух часов с момента их выявления». Кроме того, к самому исполнителю законопроект предъявляет двенадцать требований: от отсутствия судимости руководителя за экономические и компьютерные преступления до того, что исполнитель не должен быть «блокируемым лицом».

4. Что придётся записать в договор

Помимо отчётности, в договоре должны быть и другие условия ст. 30.2. Исполнитель предупреждает о расторжении «не позднее шести месяцев» и хранит информацию до её возврата заказчику. Сама кредитная организация обязана «хранить с использованием информационных систем и их компонентов сведения о совершенных клиентами операциях (сделках) не менее пяти лет». Из-за этих условий договор получится подробнее: заказчику и исполнителю заранее нужно договориться о порядке выхода, возврате информации и о том, где и как будут храниться сведения об операциях после расторжения. Ежегодный операционный аудит исполнитель проходит сам (ч. 9 ст. 30.2 Закона о банках), а кто за него платит, законопроект не говорит, так что это новая статья расходов, которая, скорее всего, попадёт в цену договора.

Для оператора персональных данных всё это значит, что подрядчик, который обрабатывает данные финансовой организации на своей инфраструктуре, теперь подходит, только если входит в круг привлекаемых организаций и выполняет условия законопроекта. Договор поручения по ч. 3 ст. 6 по-прежнему нужен, а к нему добавляются отраслевые требования. Договор поручения и полный перечень подрядчиков финансовая организация готовит сама. В конструкторе на генератор152фз.рф можно обновить комплект локальных актов: политику обработки персональных данных, согласия и другие документы. Указать в нём сразу всех хостеров и подрядчиков пока нельзя, поэтому перечень лиц, которым поручена обработка, в готовых документах стоит сверить и дополнить. Для этого в составе комплекта документов в каждом тарифе вы найдёте инструкцию и рекомендации для своего бизнеса.

5. Если исполнитель – иностранный материнский банк

Для банков, входящих в иностранные группы, законопроект предусматривает отдельный порядок. Статья 30.3 Закона о банках позволяет банку под контролем иностранного банка поручить обработку материнскому банку на его системах. Для этого нужно согласование Банка России, ФСБ и Росфинмониторинга. Иностранный банк должен работать «не менее трех лет», а между Банком России и надзором его страны должно действовать соглашение об обмене информацией. ФСБ может запретить поручение «в целях защиты основ конституционного строя… обеспечения обороны страны и безопасности государства».

Требования о системах в России здесь нет, но поручение даётся «с учетом ограничений, установленных законодательством Российской Федерации». Изъятий из ч. 5 ст. 18 и ст. 12 152-ФЗ законопроект не делает. Значит, первичные базы при сборе остаются в России, а передача за рубеж проходит по правилам трансграничной передачи. Согласование Банка России и ФСБ нужно в дополнение к этим правилам.

6. Как законопроект соотносится с законом об информации и Перечнем сведений конфиденциального характера

Изменений в Федеральный закон «Об информации, информационных технологиях и о защите информации» (149-ФЗ) законопроект не вносит и укладывается в его логику. Статья 9 149-ФЗ разрешает передавать профессиональную тайну третьим лицам в случаях, установленных федеральным законом, а по персональным данным отсылает к 152-ФЗ. Новые части ст. 26 Закона о банках как раз и есть такой случай для банковской тайны, а для персональных данных законопроект отсылает к ч. 3 ст. 6.

Роли при этом распределяются так. Финансовая организация остаётся обладателем информации, а исполнитель становится оператором информационной системы в смысле 149-ФЗ. Оператором персональных данных по 152-ФЗ остаётся заказчик. Обязанности по защите информации из ст. 16 149-ФЗ лежат на обоих. Пункт 7 части 4 той же статьи требует, чтобы базы данных информации, с использованием которых осуществляются сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение) и извлечение персональных данных граждан Российской Федерации, находились на территории Российской Федерации.

Указ Президента от 6 марта 1997 г. № 188 относит персональные данные и профессиональные тайны к сведениям конфиденциального характера. Порядок их передачи указ не определяет, это делают федеральные законы. Законопроект 404786-8 конфиденциальность не снимает: сведения остаются конфиденциальными и у исполнителя. Обладатель передаёт их сам, на основании закона и договора.

7. Кто отвечает за защиту информации

Требования к защите информации в значительной части исполняет привлекаемая организация. Заключение по её аудиту готовят лицензиаты ФСТЭК и (или) ФСБ, а требования к ней Банк России согласует с ФСБ, Минцифры России, Росфинмониторингом и «федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации». По Указу Президента Российской Федерации от 16 августа 2004 г. № 1085 (в ред. Указа от 25 ноября 2017 г. № 569) органом по обеспечению безопасности критической информационной инфраструктуры (КИИ) является ФСТЭК. Сам Банк России вправе в течение шестидесяти дней запретить привлечение исполнителя, а позже запретить обработку на срок до шести месяцев.

Ответственность при этом остаётся и на заказчике: при разглашении по ст. 30.2 отвечают и кредитная организация, и привлекаемая организация. За иностранный материнский банк российский банк отвечает целиком. Перед субъектом персональных данных по-прежнему отвечает оператор по ч. 5 ст. 6 152-ФЗ, а обязанности обладателя информации по ст. 16 149-ФЗ остаются при нём.

8. Когда это начнёт действовать

По законопроекту закон вступит в силу «по истечении одного года после дня его официального опубликования» (ч. 1 ст. 14). По новым правилам договоры с уже привлечёнными исполнителями нужно привести в соответствие в течение ста восьмидесяти дней, а операционный аудит исполнители должны пройти в течение года. Сейчас законопроект ещё не одобрен Советом Федерации и не подписан, поэтому дату отсчёта назвать нельзя. Чтобы в дальнейшем избежать спешки в заключении дополнительных соглашений к действующим договорам, организациям придётся отслеживать факт подписания закона и с этого момента стараться заключать новые договоры по новым правилам заранее. Года до вступления закона в силу должно хватить, чтобы перейти на новые договоры без корректировки текущих. Такой подход должен помочь не только обеспечить плановость управленческих решений, но и спланировать финансово-хозяйственную деятельность организации с учётом новых возможностей.

9. Что было и что стало на рынке: облака для персональных данных и удостоверяющие центры

С похожими правилами участники рынка уже сталкивались – в облачных услугах и у удостоверяющих центров.

Начнём с облаков. Директору по ИТ, который уже переносил системы с персональными данными к облачному провайдеру, распределение ответственности в такой схеме знакомо. Отдельного закона для облачных услуг нет. Требования к защите задают постановление Правительства Российской Федерации от 1 ноября 2012 г. № 1119 и приказ ФСТЭК России от 18 февраля 2013 г. № 21, а провайдеры по собственному решению аттестуют инфраструктуру и указывают, для какого уровня защищённости она подходит. Заказчик получает готовую часть мер защиты, но оператором остаётся он. По ч. 5 ст. 6 152-ФЗ за действия обработчика перед субъектом отвечает оператор, а обработчик отвечает перед оператором. Поэтому аттестат провайдера не освобождает заказчика от собственной модели угроз, от определения уровня защищённости своей системы и от тех мер, которые провайдер на себя не берёт.

Законопроект 404786-8 это распределение ролей сохраняет: финансовая организация отвечает за результат, исполнитель – за свою часть работы. Меняется другое – порядок, по которому исполнитель попадает к заказчику. Аттестацию облака провайдер проходит сам, чтобы показать заказчикам готовность инфраструктуры. Стать привлекаемой организацией по своему желанию нельзя: исполнитель должен входить в круг, который определил законопроект, а до начала работы финансовая организация уведомляет Банк России, и у Банка России есть шестьдесят дней, чтобы запретить привлечение.

Что это значит для директора по ИТ на практике? Если подрядчик получает сведения, составляющие банковскую тайну, выбирать его только по аттестату и цене уже нельзя. Сначала нужно проверить, может ли он вообще быть привлекаемой организацией, и только потом сравнивать меры защиты и условия договора.

Ещё один похожий пример – удостоверяющие центры электронной подписи. Их рынок государство перестроило Федеральным законом от 27 декабря 2019 г. № 476-ФЗ, который изменил 63-ФЗ «Об электронной подписи». Минимальный размер собственных средств аккредитованного центра вырос с семи миллионов до одного миллиарда рублей, а при филиалах или представительствах не менее чем в трёх четвертях субъектов – до пятисот миллионов. Финансовое обеспечение ответственности перед третьими лицами тоже выросло. Центру понадобилась лицензия на деятельность в области шифровальных (криптографических) средств, которую выдаёт ФСБ, срок аккредитации сократился с пяти до трёх лет, а решение об аккредитации теперь принимает правительственная комиссия.

Часть работы закон передал государственным удостоверяющим центрам. Квалифицированные сертификаты руководителей юридических лиц и индивидуальных предпринимателей теперь выдаёт удостоверяющий центр ФНС России, об этом ведомство сообщает на своём официальном сайте. Аккредитованных центров после реформы немного: по докладам Минцифры о правоприменительной практике в сфере электронной подписи, на конец 2022 года под контролем министерства было сорок два аккредитованных центра, на конец 2025 года – сорок шесть. Подробнее о реформе – в статье «Электронная подпись в салоне сотовой связи и удостоверяющие центры».

И с удостоверяющими центрами, и с привлекаемыми организациями государство заранее отбирает участников рынка и предъявляет к ним высокие требования. Разница в том, с кем и как они работают. Удостоверяющий центр выдаёт публичный сертификат любому заявителю, и подпись затем признают все участники электронного взаимодействия. Привлекаемая организация работает по договору с конкретной финансовой организацией и под надзором Банка России, который может запретить привлечение конкретного исполнителя. Поэтому статус привлекаемой организации не служит общим допуском на рынок: каждое новое поручение проходит через уведомление Банка России.

10. Как это устроено за рубежом: ЕС, США и Азия

Директор по ИТ, чей банк входит в международную группу или работает с зарубежными партнёрами, захочет понять, насколько новые правила расходятся с теми, что действуют у партнёров. Сравним по трём вопросам: кто регулирует ИТ-аутсорсинг финансовых организаций, кто проверяет исполнителей и нужно ли держать системы и данные в стране. Подробнее разберём Европейский союз и США: для международных групп важнее всего, как российские правила сочетаются именно с их требованиями. Азию, где регуляторы чаще требуют хранить данные внутри страны, рассмотрим кратко.

Европейский союз

В ЕС ИТ-аутсорсинг финансовых организаций регулирует Регламент (ЕС) 2022/2554 о цифровой операционной устойчивости финансового сектора – DORA. Он применяется с 17 января 2025 года (ст. 64). Исходная мысль у него та же, что у нашего законопроекта: за риски поставщика отвечает финансовая организация. Она ведёт реестр всех договоров с поставщиками ИКТ-услуг (ст. 28) и сообщает регулятору о крупных инцидентах (ст. 19). Ещё раньше Руководство EBA по аутсорсингу 2019 года (EBA/GL/2019/02) обязало банки уведомлять надзор о передаче критичных функций.

DORA прямо перечисляет, что должно быть в договоре с поставщиком (ст. 30): где оказываются услуги и обрабатываются данные, как данные возвращаются при прекращении работы поставщика или расторжении договора, какие сроки уведомления о расторжении, как поставщик помогает при инцидентах и сотрудничает с регулятором. Для российского директора по ИТ этот список знаком: о выходе из договора, возврате информации и отчётности ему придётся договариваться и по ст. 30.2 Закона о банках. Значит, у группы с европейским участием часть договорной работы можно вести по общему шаблону.

Проверяет поставщика прежде всего сама финансовая организация. Для крупнейших поставщиков, которых признали критичными для финансового сектора, DORA добавляет прямой надзор. За каждым таким поставщиком закрепляется один из европейских надзорных органов – EBA, EIOPA или ESMA – в роли ведущего регулятора (Lead Overseer, ст. 31(1)(b)). Выбирают того, кто надзирает за сектором, на который приходится наибольшая доля активов клиентов этого поставщика.

Требования держать системы и данные в ЕС в регламенте нет, и сказано это прямо: он «не устанавливает обязанности по локализации данных» (п. 82 преамбулы, перевод редакции). Руководство EBA требует оценить, где поставщик хранит и обрабатывает данные, но размещение за пределами ЕС не запрещает. Персональные данные регулирует общий регламент о защите данных – Регламент (ЕС) 2016/679 (GDPR). По его ст. 28 обработчик работает по договору и указаниям контролёра. Это ближе всего к нашей ч. 3 ст. 6 152-ФЗ.

США

В США отдельного закона об ИТ-аутсорсинге банков нет. Банковские регуляторы – Федеральная резервная система, FDIC и OCC – действуют через общее Межведомственное руководство по управлению рисками отношений с третьими лицами (Interagency Guidance on Third-Party Relationships: Risk Management), опубликованное в Federal Register 9 июня 2023 года. Оно описывает весь цикл работы с поставщиком: планирование, проверку перед выбором, договор, наблюдение за исполнением и выход. Обязательных условий договора, как в ст. 30.2 нашего законопроекта, руководство не устанавливает. Оно называет вопросы, которые банк решает сам с учётом рисков, – от права на аудит до порядка прекращения отношений. Защиту клиентской информации задаёт закон Грэмма – Лича – Блайли (GLBA): по 15 U.S.C. § 6801 регуляторы устанавливают для финансовых организаций стандарты административной, технической и физической защиты сведений о клиентах.

Поставщика проверяет банк, но у регуляторов есть и собственное право. По закону о банковских сервисных компаниях (Bank Service Company Act, 12 U.S.C. § 1867(c)) услуги, которые банк получает по договору, подлежат регулированию и проверке так же, как если бы банк выполнял их сам. О таком договоре банк уведомляет регулятора в течение тридцати дней после его заключения или начала оказания услуг. Это похоже на российское уведомление Банка России, с той разницей, что американский регулятор узнаёт о договоре уже после его заключения. А требования держать финансовые данные в стране нет ни в руководстве, ни в GLBA.

Коротко об Азии

В Китае Национальное управление финансового регулирования (NFRA) мерами по управлению безопасностью данных банков и страховых организаций от 27 декабря 2024 года включило поручение обработки данных в управление ИТ-аутсорсингом. Передать подрядчику ответственность за ИТ и за безопасность данных нельзя, как и стратегическое управление ИТ, управление ИТ-рисками и внутренний ИТ-аудит. Важные данные и персональную информацию, собранные в Китае, за рубеж передают после оценки безопасности. В сфере Народного банка Китая с 30 июня 2025 года действуют его собственные меры по безопасности данных. Исполнителя проверяет заказчик, а регулятор проверяет заказчика.

В Индии ИТ-аутсорсинг регулирует Резервный банк Индии: в 2023 году он утвердил правила об ИТ-аутсорсинге (Master Direction on Outsourcing of IT Services), они применяются с 1 октября 2023 года. Поставщика проверяет банк, но в договоре должно быть закреплено право регулятора проверять поставщика и его субподрядчиков. О киберинциденте банк сообщает регулятору в течение шести часов с момента, когда его выявил поставщик. Данные платёжных систем по циркуляру от 6 апреля 2018 года хранятся только в Индии, а правила 2023 года требуют закреплять в договоре хранение данных в Индии в соответствии с действующими требованиями регулятора.

В Японии надзор ведёт Агентство финансовых услуг (FSA), отраслевые стандарты безопасности информационных систем задаёт FISC. Требования хранить персональные данные в стране японский Акт о защите персональной информации (APPI) не содержит: его ст. 28 не запрещает передачу персональных данных за рубеж, а ставит для неё условия – согласие субъекта, передачу в страну, которую Комиссия по защите персональной информации признала обеспечивающей равноценную защиту, или передачу получателю, который выстроил систему мер, равноценных японским.

Азиатский подход не выглядит исключением. Регуляторы, которые требуют хранить данные в стране и сами проверяют заказчика, действуют на очень большом рынке: по данным Всемирного банка за 2024 год, в Китае и Индии вместе живут почти три миллиарда человек.

11. Россия по тем же трём вопросам

Теперь ответим на те же вопросы для России. Регулирует Банк России: он устанавливает порядок привлечения и требования к исполнителям по согласованию с ФСБ, органом по безопасности КИИ (ФСТЭК), Минцифры и Росфинмониторингом (ст. 57.5-3 86-ФЗ в редакции законопроекта). Главное отличие от ЕС и США в том, что круг возможных исполнителей законопроект определяет заранее.

Исполнитель ежегодно проходит операционный аудит. Заключение для Банка России готовит организация с лицензией ФСТЭК и (или) ФСБ. Банк России в течение шестидесяти дней после уведомления вправе запретить привлечение исполнителя, а позже запретить обработку на срок до шести месяцев. Американский регулятор узнаёт о договоре после его заключения, европейский видит его в реестре договоров, а российский получает уведомление до начала работы и может её не допустить.

На третий вопрос ответ однозначный: системы исполнителя должны находиться в России. Исполнителем может быть только аккредитованная ИТ-компания или банк с универсальной лицензией, в котором более 50 процентов голосов контролируют государство или граждане России без иного гражданства. Исключение – иностранный материнский банк (ст. 30.3 Закона о банках). Поручение ему согласуют Банк России, ФСБ и Росфинмониторинг, а ФСБ может его запретить по соображениям безопасности.

12. К какой модели ближе российский законопроект

По первым двум вопросам законопроект ближе к модели DORA и американского руководства. Есть уведомление регулятора, аудит исполнителя и сообщения об инцидентах, у надзора есть право запрета, а ответственность заказчика сохраняется. По третьему вопросу, а также по требованию к контролю собственника он ближе к модели Индии и Китая. В DORA требований к гражданству собственников нет. Больше всего на это похоже правило ст. 31(12) DORA, только обязанность в нём лежит на финансовой организации: критичным ИКТ-поставщиком из третьей страны она может пользоваться, только если он в течение двенадцати месяцев после признания критичным создал дочернюю компанию в ЕС.

На интеграцию с ЕС и США законопроект влияет в две стороны. Сходство процедур облегчает диалог регуляторов и аудиторов и позволяет международным группам выстраивать общие внутренние процессы: реестр договоров, требования к выходу из договора, порядок сообщений об инцидентах. Требование держать системы в России и критерий контроля собственника не позволяют российской финансовой организации работать на общей облачной платформе группы, если та не соответствует требованиям законопроекта. У группы остаются два понятных варианта: вынести российскую часть систем на инфраструктуру привлекаемой организации в России или поручить обработку материнскому банку по ст. 30.3 с согласованиями. Передача данных за рубеж по-прежнему идёт по ст. 12 152-ФЗ. Россия не входит в список стран, признанных Еврокомиссией обеспечивающими адекватную защиту по ст. 45 GDPR, и законопроект этого не меняет.

Заключение

Так работал ли наш директор по ИТ незаконно? По персональным данным – нет. Нового основания для них не появилось: поручение по договору было возможно и раньше, а законопроект прямо к нему отсылает. Новое – законное раскрытие банковской и иной отраслевой тайны исполнителю, его собственная обязанность хранить тайну и надзорный режим Банка России. Главный практический результат – правовая ясность. До сих пор работа финансовых организаций с внешними ИТ-провайдерами упиралась в банковскую тайну, а законопроект даёт ей понятный порядок.

Но порядок этот строгий, и схему заранее стоит проверить обеим сторонам: и финансовой организации, и подрядчику, который хочет с ней работать. Что именно проверить – в списке ниже. Для компаний, которые уже аттестуют облака для персональных данных, это понятное направление развития.

1. Кто из подрядчиков обрабатывает данные на своей инфраструктуре и видит сведения, составляющие банковскую или иную отраслевую тайну.
2. Входит ли подрядчик в круг привлекаемых организаций: аккредитованная ИТ-компания или банк с универсальной лицензией под контролем российских лиц.
3. Находятся ли системы подрядчика в России и принадлежат ли ему на законном основании.
4. Есть ли в договоре условия ст. 30.2: отчётность, сообщения об инцидентах, предупреждение о расторжении, возврат информации, хранение сведений об операциях, а также договор поручения по ч. 3 ст. 6 152-ФЗ.
5. Учтены ли в планах и цене договора уведомление Банка России, шестьдесят дней ожидания и ежегодный операционный аудит исполнителя.

По процедуре законопроект тяготеет к европейской и американской моделям, по сути – к индийской и китайской. Надзор, аудит и инциденты устроены по западному образцу, а допуск к рынку зависит от того, где стоит инфраструктура и кто владеет исполнителем. Интеграцию это не исключает. Механизм ст. 30.3 и близость процедур DORA оставляют международным группам возможность работать по понятным правилам. Насколько широкой она будет, покажут требования Банка России.

Как законопроект повлияет на рынок, текст не предрешает. Он может снять неопределённость вокруг ИТ-аутсорсинга финансовых организаций и дать работу тем, кто готов соответствовать требованиям. При этом входной порог высок: аккредитация для ИТ-компаний, а для банков с универсальной лицензией – контроль российских лиц более 50 процентов, системы в России, ежегодный аудит, уведомление Банка России и шестьдесят дней ожидания, отчётность. Опыт удостоверяющих центров показывает, что такие условия ведут к укрупнению. Насколько сильным оно окажется здесь, во многом зависит от требований Банка России, которые ещё не изданы. То же касается информационной безопасности. Защиту информации в основном будут обеспечивать привлекаемые организации под контролем Банка России, ФСБ и ФСТЭК, но ответственность законопроект оставляет и на финансовой организации. Поэтому полностью передать подрядчику заботу о защите не получится, и это правильно. Законопроект не связывает вид лицензии с предметом аудита, но на практике выбор аудитора, скорее всего, будет зависеть от того, какие средства защиты информации (СЗИ) и средства криптографической защиты информации (СКЗИ) применяются на объекте: если есть СКЗИ – нужен лицензиат ФСБ, если только СЗИ – достаточно лицензиата ФСТЭК. Точнее скажут требования Банка России к аудиторам.

Список литературы

1. Проект федерального закона № 404786-8 «О внесении изменений в отдельные законодательные акты Российской Федерации» (принят Государственной Думой 14.10.2026 во втором и третьем чтениях) // Система обеспечения законодательной деятельности. – URL: https://sozd.duma.gov.ru/bill/404786-8 (дата обращения: 18.10.2026).
2. Федеральный закон от 27 июля 2006 г. № 152-ФЗ «О персональных данных» // СПС «КонсультантПлюс».
3. Закон РФ от 2 декабря 1990 г. № 395-1 «О банках и банковской деятельности» // СПС «КонсультантПлюс».
4. Федеральный закон от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации» // СПС «КонсультантПлюс».
5. Федеральный закон от 10 июля 2002 г. № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)» // СПС «КонсультантПлюс».
6. Федеральный закон от 6 апреля 2011 г. № 63-ФЗ «Об электронной подписи» // СПС «КонсультантПлюс».
7. Федеральный закон от 27 декабря 2019 г. № 476-ФЗ // Официальный сайт Президента России. – URL: http://www.kremlin.ru/acts/bank/45033 (дата обращения: 18.10.2026).
8. Указ Президента РФ от 6 марта 1997 г. № 188 «Об утверждении Перечня сведений конфиденциального характера» // СПС «КонсультантПлюс».
9. Указ Президента РФ от 16 августа 2004 г. № 1085 «Вопросы Федеральной службы по техническому и экспортному контролю» (в ред. Указа от 25 ноября 2017 г. № 569) // СПС «КонсультантПлюс».
10. Постановление Правительства РФ от 1 ноября 2012 г. № 1119 «Об утверждении Требований к защите персональных данных при их обработке в информационных системах персональных данных» // СПС «КонсультантПлюс».
11. Приказ ФСТЭК России от 18 февраля 2013 г. № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных» // СПС «КонсультантПлюс».
12. Банки РФ смогут передавать данные клиентов на обработку IT-компаниям – Госдума приняла законопроект // Фонтанка.ру. – 2026. – 14 окт. – URL: https://www.fontanka.ru/2026/10/14/76701042/.
13. Какие законы Госдума приняла 14 октября // Парламентская газета. – 2026. – 14 окт. – URL: https://www.pnp.ru/politics/kakie-zakony-gosduma-prinyala-14-oktyabrya-2.html.
14. Согласие клиентов на передачу их персональных данных исполнителю не требуется // Интерфакс. – 2026. – 14 окт. – URL: https://www.interfax.ru/business/1122376.
15. Удостоверяющий центр ФНС России // Официальный сайт ФНС России. – URL: https://www.nalog.gov.ru/rn77/related_activities/ucfns/ (дата обращения: 18.10.2026).
16. Доклад Минцифры России о правоприменительной практике в сфере электронной подписи в 2022 году (приказ от 27 февраля 2023 г. № 168) // СПС «Гарант». – URL: https://base.garant.ru/406469849/.
17. Доклад Минцифры России о правоприменительной практике в сфере электронной подписи в 2025 году (приказ от 25 февраля 2026 г. № 142) // СПС «Гарант». – URL: https://base.garant.ru/413761784/.
18. Regulation (EU) 2022/2554 of the European Parliament and of the Council of 14 December 2022 on digital operational resilience for the financial sector (DORA) // EUR-Lex. – URL: https://eur-lex.europa.eu/eli/reg/2022/2554/oj (дата обращения: 18.10.2026).
19. EBA Guidelines on outsourcing arrangements (EBA/GL/2019/02) // European Banking Authority. – URL: https://www.eba.europa.eu/regulation-and-policy/internal-governance/guidelines-on-outsourcing-arrangements (дата обращения: 18.10.2026).
20. Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 (General Data Protection Regulation) // EUR-Lex. – URL: https://eur-lex.europa.eu/eli/reg/2016/679/oj (дата обращения: 18.10.2026).
21. Interagency Guidance on Third-Party Relationships: Risk Management // Federal Register. – 2023. – June 9. – URL: https://www.govinfo.gov/content/pkg/FR-2023-06-09/pdf/2023-12340.pdf (дата обращения: 18.10.2026).
22. 15 U.S.C. § 6801 // United States Code. – URL: https://www.govinfo.gov/content/pkg/USCODE-2023-title15/html/USCODE-2023-title15-chap94-subchapI-sec6801.htm (дата обращения: 18.10.2026).
23. 12 U.S.C. § 1867 // United States Code. – URL: https://www.govinfo.gov/content/pkg/USCODE-2023-title12/html/USCODE-2023-title12-chap18-sec1867.htm (дата обращения: 18.10.2026).
24. Меры NFRA по управлению безопасностью данных банков и страховых организаций от 27 декабря 2024 г. // Национальное управление финансового регулирования КНР. – URL: https://www.nfra.gov.cn/chinese/OFFICE/PDF/1192311.pdf (дата обращения: 18.10.2026).
25. Меры Народного банка Китая по безопасности данных // Народный банк Китая. – URL: https://www.pbc.gov.cn/zhengwugongkai/4081330/4406346/4406348/2025092319185580666/index.html (дата обращения: 18.10.2026).
26. Master Direction on Outsourcing of IT Services // Reserve Bank of India. – 2023. – URL: https://www.rbi.org.in/Scripts/BS_ViewMasDirections.aspx?id=12486 (дата обращения: 18.10.2026).
27. Storage of Payment System Data // Reserve Bank of India. – 2018. – April 6. – URL: https://www.rbi.org.in/Scripts/BS_ViewMasDirections.aspx?id=11244 (дата обращения: 18.10.2026).
28. Act on the Protection of Personal Information (Act No. 57 of 2003), art. 28, official translation // Japanese Law Translation. – URL: https://www.japaneselawtranslation.go.jp/en/laws/view/4241/en (дата обращения: 18.10.2026).
29. Population, total // World Bank. – URL: https://data.worldbank.org/indicator/SP.POP.TOTL (дата обращения: 18.10.2026).

Сведения об авторе

Афанасьев Александр Александрович, специалист по информационной безопасности, магистр управления персоналом, юрист, e-mail: info@генератор152фз.рф.