Банки в России смогут поручать сторонним ИТ-компаниям хранить и обрабатывать персональные данные клиентов, включая сведения, защищённые банковской тайной. Речь может идти не только о фамилии и паспортных данных, но и об информации о счетах, вкладах и денежных операциях. Отдельное согласие клиента для такой передачи не потребуется, если банк соблюдает установленные законом условия.
14 октября 2026 года Госдума приняла во втором и третьем чтениях законопроект № 404786-8. Документ устанавливает правила привлечения внешних ИТ-подрядчиков финансовыми организациями. Однако на 15 октября закон ещё не вступил в силу. После одобрения Советом Федерации, подписания президентом и официального опубликования должен пройти один год. До этого действуют прежние требования.
Главное для клиента. Новый закон не разрешает банкам свободно продавать историю покупок и переводов рекламным компаниям. Финансовые организации получат специальное право поручать обработку закрытых сведений проверенным исполнителям для работы банковских систем. Ответственность банка перед клиентом при этом сохраняется.
Что изменится после принятия закона
Было. Банки могли привлекать сторонние компании для разработки приложений, технической поддержки и обработки персональных данных. Но сведения о счетах, остатках, переводах и вкладах защищены банковской тайной, поэтому передавать их подрядчикам разрешалось только при наличии законных оснований.
Станет. После вступления нового закона в силу банки смогут передавать защищённые сведения допущенным ИТ-подрядчикам без отдельного согласия клиентов. Компании смогут хранить и обрабатывать информацию для выполнения банковских задач, но не получат права использовать её в собственных целях.
Какие данные могут обрабатывать подрядчики до и после вступления закона в силу:
| Вид информации | До изменений | После вступления закона в силу |
|---|---|---|
| ФИО, телефон, паспортные данные | Обработка подрядчиком возможна при законном основании и соблюдении требований № 152-ФЗ. | Можно поручать обработку в рамках нового специального порядка без отдельного согласия клиента. |
| Номера счетов и остатки денег | Передача ограничена режимом банковской тайны и действующими исключениями. | Подрядчик сможет обрабатывать сведения при соблюдении новых требований. |
| История переводов и покупок | Свободная передача подрядчикам не допускается. Нужны законные основания. | Возможна обработка в системах допущенного исполнителя. |
| Информация о вкладах и кредитных операциях | Действуют ограничения банковской тайны и персональных данных. | Может обрабатываться подрядчиком на предусмотренных законом условиях. |
| Технические сведения о работе приложения | Подрядчики могут получать необходимые сведения с соблюдением действующих правил. | Сохраняется возможность обработки. Для защищённых данных действует новый порядок. |
| Государственная тайна | Регулируется специальным законодательством. | Из нового разрешения исключена. |
Таблица показывает правовые возможности, а не обязательный перечень передаваемых сведений. Конкретный состав данных зависит от задач подрядчика, договора и установленных ограничений. Новый закон не означает, что каждая обслуживающая компания автоматически получит полную историю операций всех клиентов банка.
Кому банк сможет передавать данные и как защитят банковскую тайну
Круг компаний, которым разрешат работать с закрытой банковской информацией, ограничен. По принятой Госдумой редакции банки смогут привлекать:
- Аккредитованные российские ИТ-компании. Организации, которые соответствуют установленным требованиям и официально получили государственную аккредитацию.
- Банки с универсальной лицензией. Более 50% голосов в таких организациях должны прямо или косвенно контролировать государство, российские регионы, муниципалитеты или граждане РФ без другого гражданства.
Для страховых компаний, микрофинансовых организаций, негосударственных пенсионных фондов, бюро кредитных историй и некоторых других участников финансового рынка предусмотрены собственные перечни допустимых исполнителей.
Основное правило требует размещать информационные системы подрядчика на территории России. Предусмотрено узкое исключение для российских банков с универсальной лицензией, подконтрольных иностранным банкам. При соблюдении дополнительных условий они смогут поручать обработку данных иностранному банку после согласования с Банком России, ФСБ и Росфинмониторингом. Общего разрешения хранить банковскую тайну в любых зарубежных облачных сервисах документ не даёт.
Как банк должен проверить подрядчика. До начала работы финансовая организация уведомляет Банк России и прикладывает заключение об операционном аудите исполнителя, проведённом организацией с необходимой лицензией ФСТЭК и (или) ФСБ. Если регулятор не запретил привлекать компанию, передавать данные можно по истечении 60 дней после уведомления.
Дополнительно предусмотрены следующие меры:
- Ежегодный аудит. Подрядчик регулярно проверяет свою операционную надёжность и передаёт результаты банку и регулятору.
- Контроль защиты. Договор предусматривает регулярные отчёты о соблюдении показателей информационной безопасности и устойчивости систем.
- Сообщение об инцидентах. Исполнитель должен сообщить финансовой организации о выявленном инциденте информационной безопасности в течение двух часов.
- Ответственные сотрудники. У подрядчика должны быть специалисты, отвечающие за защиту информации, а к руководству предъявляются дополнительные требования.
- Надзор Банка России. При нарушениях регулятор сможет запретить обработку информации в системах исполнителя на срок до шести месяцев.
Закон предусматривает переходный период. После вступления новых правил в силу финансовым организациям дадут 180 дней на приведение ранее заключённых договоров в соответствие с требованиями, а исполнителям предусмотрен год на проведение необходимого операционного аудита.
Можно ли запретить банку передавать персональные данные третьим лицам
Полностью запретить законную обработку банковских данных через подрядчика одним заявлением не получится. Законопроект предусматривает передачу сведений без отдельного согласия клиентов. Если банк соблюдает установленные условия, отсутствие согласия не препятствует такой работе.
Однако клиент сохраняет права, предусмотренные законом № 152-ФЗ. Можно запросить сведения об обработке своих персональных данных, потребовать исправить ошибки, отозвать ранее выданное согласие или оспорить незаконные действия банка.
Отзыв согласия не обязывает банк немедленно удалить всю историю клиента. Финансовые организации должны хранить определённые сведения для исполнения договоров и требований законодательства. Статья 9 закона № 152-ФЗ разрешает продолжить обработку без согласия, если существуют предусмотренные законом основания.
Как узнать, кому банк передаёт данные
Статья 14 закона № 152-ФЗ позволяет запросить сведения о лицах, имеющих доступ к персональным данным или получающих их по договору либо на основании федерального закона. Банк должен предоставить доступную по закону информацию, хотя право на получение внутренних технических журналов и всей документации подрядчиков из этой нормы не следует.
Действуйте по простой схеме:
Официальное приложение или сайт банка → раздел обращений или контакты ответственного за персональные данные → письменный запрос → регистрация обращения → получение ответа.
В запросе можно использовать следующую формулировку:
«Прошу на основании статьи 14 Федерального закона № 152-ФЗ предоставить сведения о третьих лицах, которые обрабатывают мои персональные данные по поручению банка или имеют к ним доступ. Прошу указать наименования организаций, цели и правовые основания обработки, категории передаваемых сведений и сроки их хранения, если такая информация подлежит предоставлению по закону».
По статье 14 ответ на запрос о персональных данных должен поступить в течение 10 рабочих дней. Банк вправе продлить срок не более чем на пять рабочих дней, направив мотивированное уведомление. Для иных обращений клиентов действует общий порядок, по которому финансовые организации обычно отвечают в течение 15 рабочих дней.
Если ответ неполный или банк отказывает без понятного законного основания, попросите письменно обосновать отказ. Жалобу по вопросам персональных данных можно направить в Роскомнадзор, а по действиям банка в Банк России.
| Ситуация | Кто отвечает и что делать |
|---|---|
| Утечка у ИТ-подрядчика | Перед клиентом отвечает банк как оператор персональных данных. Подрядчик отвечает перед банком и за собственные нарушения закона. |
| Причинён ущерб | Можно потребовать возмещения доказанных убытков и компенсации морального вреда при наличии законных оснований. |
| Подозрение на утечку | Сохраните доказательства, проверьте операции, смените скомпрометированный пароль и завершите неизвестные сеансы. |
| Раскрыты данные карты | Свяжитесь с банком через официальный канал и при необходимости заблокируйте карту. |
| Пропали деньги | Немедленно сообщите банку о незаконной операции и подайте заявление на её оспаривание. |
| Банк не реагирует | Подайте жалобу в Роскомнадзор или Банк России. При признаках мошенничества обратитесь в полицию. |
Само появление данных в открытом доступе не доказывает вину конкретного банка. Не переходите по подозрительным ссылкам и не отправляйте документы неизвестным лицам.
Вопросы и ответы
Может ли банк передать всю историю моих переводов без согласия?
После вступления нового закона в силу обработку сведений об операциях можно будет поручать допущенным подрядчикам без отдельного согласия клиента. Но передаваемый объём должен соответствовать законным целям и требованиям защиты данных. Закон не обязывает банки передавать подрядчикам полную историю каждого клиента.
Когда начнут действовать новые правила передачи банковских данных?
Закон должен вступить в силу через год после официального опубликования. На 15 октября 2026 года Госдума приняла документ, но остальные этапы законодательной процедуры ещё необходимы. Точная дата начала действия зависит от даты публикации подписанного закона.
Может ли банк продать мои персональные данные рекламной компании?
Новый закон не предоставляет банкам общего права продавать клиентские сведения для рекламы. Обработка данных для продвижения товаров и услуг регулируется отдельными требованиями, включая правила о согласии граждан. Разрешение на работу с техническим подрядчиком не означает разрешения на коммерческую продажу базы клиентов.
Узнает ли сотрудник сторонней компании, сколько денег у меня на счёте?
Потенциально подрядчик может обрабатывать сведения об остатках, если они необходимы для порученной работы. Но право компании обрабатывать информацию не означает, что каждый сотрудник должен видеть её в открытом виде. Фактический доступ определяется задачами, настройками информационных систем и мерами защиты.
Может ли банк хранить банковские данные на зарубежных серверах?
По общему правилу нового закона системы подрядчиков должны находиться в России. Для отдельных российских банков, подконтрольных иностранным банкам, предусмотрена специальная процедура передачи информации иностранному банку с согласованием российских ведомств. Свободно выбирать любой зарубежный сервер нельзя.
Можно ли отозвать согласие и запретить передачу данных подрядчику?
Согласие можно отозвать, однако банк вправе продолжить обработку сведений, если для неё существует другое законное основание. Новый порядок как раз предусматривает определённые случаи работы с подрядчиками без отдельного согласия. Отзыв необязательного рекламного согласия и запрет обработки данных для обслуживания банковского счёта имеют разные правовые последствия.
Должен ли банк сообщить название компании, которая получила мои данные?
Клиент вправе запросить предусмотренные статьёй 14 закона № 152-ФЗ сведения о лицах, имеющих доступ к персональным данным или получающих их по договору либо на основании закона. Банк обязан рассмотреть запрос и предоставить сведения с учётом установленных законом ограничений.
Кто компенсирует ущерб, если данные украдут у ИТ-подрядчика?
По общему правилу закона о персональных данных перед клиентом за действия исполнителя, которому банк поручил обработку, отвечает банк как оператор. Подрядчик несёт ответственность перед банком, а за собственные нарушения может отвечать и непосредственно по закону. Для получения компенсации учитываются обстоятельства утечки, нарушение прав, характер вреда и необходимые доказательства.
Распространяется ли закон на микрозаймы, страховки и кредитные истории?
Да. Новые правила охватывают не только банки, но и микрофинансовые организации, страховщиков, негосударственные пенсионные фонды, бюро кредитных историй и ряд других организаций финансового рынка. Допустимый круг подрядчиков и дополнительные условия различаются в зависимости от вида организации.
Нужно ли закрывать банковский счёт, чтобы защитить свои данные?
Закрытие счёта не гарантирует немедленного удаления персональных данных или истории операций. Банк может быть обязан хранить документы после прекращения отношений с клиентом. Полезнее запросить сведения о подрядчиках, проверить необязательные согласия и при обнаружении нарушений обратиться к регулятору.
Вывод
Законопроект № 404786-8 создаёт специальный порядок, при котором банки смогут передавать обработку банковской тайны сторонним ИТ-компаниям без отдельного согласия клиентов. К исполнителям предъявят требования по аккредитации, размещению систем, аудиту и защите информации. Банк России получит дополнительные надзорные полномочия. Клиенты сохранят право узнавать, кто обрабатывает их персональные данные, оспаривать незаконные действия и требовать защиты нарушенных прав.
Материал носит информационный характер. При обращениях с банковскими сведениями следует соблюдать законодательство РФ, не раскрывать чужие персональные данные и пользоваться официальными каналами связи. При споре об утечке или возмещении ущерба правовую оценку необходимо проводить с учётом конкретных обстоятельств и действующей редакции закона.
