Госдума легализовала аутсорсинг финансовых данных: что изменится
14 октября 2026 года Госдума приняла во втором и третьем чтениях законопроект № 404786-8. Документ снимает законодательные барьеры для IT-аутсорсинга в финансовом секторе: теперь банки, страховщики, НПФ, МФО и другие участники рынка смогут поручать сторонним организациям обработку информации ограниченного доступа — в том числе сведений, составляющих банковскую тайну, и персональных данных клиентов.
Что разрешает закон
Ключевая новация: отдельного согласия клиента на передачу данных сторонней организации не требуется. Однако договор с подрядчиком всё равно должен соответствовать требованиям Федерального закона «О персональных данных».
Кто может выступать исполнителем? Круг зависит от типа финансовой организации:
Кредитные организации — только аккредитованные IT-компании либо банки с универсальной лицензией, где более 50% голосов прямо или косвенно контролируются государством, регионами, муниципалитетами или гражданами РФ без двойного гражданства.
Небанковские финансовые организации — аккредитованные IT-компании, а также другие участники финансового рынка под российским контролем.
Российские банки с универсальной лицензией под контролем иностранных банков — могут поручать обработку иностранному банку, но для этого нужно согласование ЦБ, ФСБ и Росфинмониторинга. При этом иностранный банк должен вести деятельность не менее трёх лет, а ЦБ — иметь соглашение об обмене информацией с регулятором страны, где он находится. Передача данных не должна угрожать стабильности банковской системы.
Ещё одно важное условие: информационные системы исполнителя должны находиться на территории Российской Федерации.
Какие обязанности и контроль вводятся
Чтобы снизить риски, закон устанавливает ряд требований и процедур:
Финансовая организация обязана заранее уведомить Банк России о намерении привлечь стороннего исполнителя. К уведомлению нужно приложить заключение об операционном аудите исполнителя, проведённом организацией с лицензией ФСТЭК и (или) ФСБ.
Передавать данные можно будет по истечении 60 дней после направления уведомления, если ЦБ за это время не примет решение о запрете.
Исполнитель обязан ежегодно проходить операционный аудит и направлять его результаты заказчику и в ЦБ.
При выявлении инцидента информационной безопасности исполнитель должен сообщить заказчику в течение двух часов с момента его обнаружения.
У исполнителя должны быть сотрудники, отвечающие за информационную безопасность. У руководителя не должно быть непогашенной судимости за экономические и компьютерные преступления. Также исполнитель и его руководитель не должны являться «блокируемыми лицами» по закону о специальных экономических мерах.
За нарушения Банк России вправе запретить обработку информации с использованием систем исполнителя на срок до шести месяцев.
Данные, полученные в ходе обработки, нужно хранить не менее пяти лет.
Сроки и переходные положения
Закон вступает в силу по истечении одного года со дня его официального опубликования. Для действующих договоров предусмотрен переходный период: финансовые организации должны привести их в соответствие с новыми требованиями в течение 180 дней после вступления закона в силу. Исполнителям даётся один год на проведение первоначального операционного аудита.