IT-аутсорсинг в финансовом секторе: новый закон о передаче персональных данных и банковской тайны
14 октября 2026 года Государственная Дума Российской Федерации приняла во втором и третьем чтениях законопроект № 404786-8 «О внесении изменений в отдельные законодательные акты Российской Федерации в части совершенствования правовых основ для аутсорсинга информационных технологий и использования облачных услуг финансовыми организациями». Документ снял многолетние правовые неопределённости и прямо разрешил банкам и другим участникам финансового рынка передавать на обработку (включая хранение) информацию ограниченного доступа — персональные данные клиентов и сведения, составляющие банковскую тайну — сторонним IT-компаниям.
28 октября 2026 года закон был одобрен Советом Федерации. Он вступает в силу по истечении одного года после официального опубликования. Финансовые организации, уже работающие с внешними подрядчиками, обязаны в течение 180 дней после вступления закона в силу привести договоры в соответствие с новыми требованиями.
Закон касается не только банков. Его действие распространяется на страховые организации, микрофинансовые организации (МФО), негосударственные пенсионные фонды (НПФ), бюро кредитных историй, депозитарии, регистраторов, клиринговые организации, организаторов торговли и ряд других участников финансового рынка.
Почему этот закон понадобился
До принятия закона банки и другие финансовые организации фактически использовали IT-аутсорсинг и облачные решения, но юридическая база оставалась размытой. Передача сведений, составляющих банковскую тайну, стороннему лицу без чёткого законодательного основания могла трактоваться как нарушение. Это создавало риски для всех сторон: финансовых организаций, IT-подрядчиков и клиентов.
Законопроект был внесён ещё в июле 2023 года группой депутатов и сенаторов во главе с председателем Комитета Госдумы по финансовому рынку Анатолием Аксаковым. В первом чтении он прошёл в ноябре 2023 года. Ко второму чтению документ существенно переработали: вместо широкого разрешения ввели жёсткие фильтры по получателям данных, локализации, уведомлению регулятора и ответственности.
Результат — сбалансированный механизм: финансовый сектор получает возможность легально использовать современные IT-решения и облака, а государство сохраняет контроль над чувствительной информацией.
Ключевые положения закона
Кому можно передавать данные
Передавать информацию ограниченного доступа разрешено только двум категориям исполнителей:
1. Аккредитованным IT-компаниям (аккредитация Минцифры России).
2. Банкам с универсальной лицензией, в которых более 50 % голосующих акций (долей) прямо или косвенно контролируют:
- Российская Федерация,
- субъекты РФ,
- муниципальные образования,
- граждане Российской Федерации, не имеющие гражданства другого государства.
Информационные системы и компоненты, используемые для обработки, должны принадлежать исполнителю на законном основании и находиться на территории Российской Федерации.
Для дочерних структур иностранных банков предусмотрено исключение: они могут поручать обработку данных иностранному банку-материнской компании, но только при наличии разрешения Банка России, ФСБ и Росфинмониторинга. Иностранный банк должен работать не менее трёх лет, между регуляторами должно быть соглашение об обмене информацией, а передача не должна создавать угроз российской банковской системе.
Согласие клиентов не требуется
Отдельное согласие субъекта персональных данных на передачу обработки исполнителю не нужно. Договор с IT-компанией или банком-исполнителем должен соответствовать требованиям Федерального закона № 152-ФЗ «О персональных данных». Это важный практический момент: финансовые организации смогут масштабировать IT-инфраструктуру без массового сбора новых согласий.
Уведомление Банка России и право запрета
Перед привлечением исполнителя финансовая организация обязана уведомить Банк России и приложить заключение об операционном (или ином предусмотренном) аудите исполнителя. Аудит проводят организации, имеющие лицензию ФСТЭК России или ФСБ России.
Передавать данные можно через 60 дней после уведомления, если регулятор за это время не запретит привлечение. Банк России по согласованию с ФСБ, ФСТЭК, Минцифры и Росфинмониторингом устанавливает порядок привлечения аутсорсеров и взаимодействия с ними.
Ответственность
За разглашение информации ограниченного доступа ответственность несут как финансовая организация, так и исполнитель. Это солидарный (или совместный) характер ответственности усиливает мотивацию IT-компаний соблюдать требования безопасности.
Переходный период
- Закон вступает в силу через 1 год после официального опубликования.
- Существующие договоры нужно привести в соответствие в течение 180 дней после вступления в силу.
- Исполнители должны будут пройти операционный аудит в установленные сроки.
Основные требования к IT-аутсорсингу в финансовом секторе
| Требование | Содержание | Кто контролирует |
|---|---|---|
| Получатель данных | Аккредитованная IT-компания или банк с универсальной лицензией под российским контролем (>50 %) | Минцифры, ЦБ |
| Локализация | Системы и данные только на территории РФ | ЦБ, ФСТЭК, ФСБ |
| Согласие клиента | Не требуется | - |
| Уведомление ЦБ | Обязательно + заключение аудита | Банк России |
| Срок после уведомления | 60 дней (если нет запрета) | Банк России |
| Ответственность | Солидарная финансовая организация + исполнитель | Суды, регуляторы |
| Аудит исполнителя | Операционный аудит (лицензиаты ФСТЭК/ФСБ) | ФСТЭК, ФСБ |
| Сфера действия | Банки, страховщики, МФО, НПФ, БКИ и др. | - |
Практические последствия для участников рынка
Для банков, МФО, страховщиков и НПФ
- Возможность легально выносить часть IT-инфраструктуры (включая критичные данные) на внешние платформы и в облака российских провайдеров.
- Снижение капитальных затрат на собственную инфраструктуру и повышение гибкости.
- Необходимость пересмотреть существующие договоры с IT-подрядчиками и провести due diligence по новым критериям.
- Обязанность выстроить процесс уведомления ЦБ и подготовки аудиторских заключений.
Рекомендуется уже сейчас провести аудит текущих контрактов на предмет соответствия будущим требованиям (локализация, аккредитация, права доступа, ответственность, порядок уведомления об инцидентах).
Для IT-компаний и облачных провайдеров
Открывается большой рынок финансового сектора. Чтобы войти в него, нужно:
- получить или подтвердить аккредитацию Минцифры;
- обеспечить полную локализацию инфраструктуры в России;
- быть готовым к регулярным аудитам со стороны лицензиатов ФСТЭК/ФСБ;
- выстроить процессы защиты информации ограниченного доступа и оперативного уведомления об инцидентах (в некоторых материалах упоминаются жёсткие сроки реакции);
- прописать в договорах с финансовыми организациями чёткие положения об ответственности, объёме обработки, правах доступа и порядке возврата/уничтожения данных.
IT-компаниям, работающим с персональными данными, особенно важно поддерживать полное соответствие 152-ФЗ. Юристы Solu помогают IT-компаниям закрывать требования по персональным данным «под ключ»: аудит процессов, пакет документов, уведомление Роскомнадзора, политики и согласия.
Для клиентов финансовых организаций
Банковская тайна и персональные данные остаются под защитой. Контроль усиливается за счёт ограничений круга исполнителей, локализации, уведомления регулятора и солидарной ответственности. При этом клиент не получает отдельного уведомления о каждом привлечении конкретного IT-подрядчика — закон прямо это допускает.
Связь с 152-ФЗ и другими нормами
Договор на аутсорсинг должен соответствовать требованиям закона о персональных данных. Это означает, что исполнитель становится обработчиком (или иным лицом, осуществляющим обработку по поручению оператора). Финансовая организация как оператор остаётся ответственной перед субъектами и регуляторами.
Полезные материалы по 152-ФЗ на сайте Solu:
- Соответствие 152-ФЗ под ключ
- Новости и практика по персональным данным
- Комплексное юридическое сопровождение IT-компаний
Также актуальны требования по реестру российского ПО и импортозамещению — многие аккредитованные IT-решения для финансового сектора будут иметь приоритет, если они включены в реестр Минцифры.
Риски и как их минимизировать
Основные риски для финансовых организаций:
- Выбор неаккредитованного или не соответствующего требованиям исполнителя.
- Неполное уведомление ЦБ или отсутствие надлежащего аудиторского заключения.
- Утечки или инциденты у подрядчика (солидарная ответственность).
- Несоответствие договоров новым нормам после переходного периода.
Рекомендации:
- Провести инвентаризацию всех IT-аутсорсинговых и облачных договоров.
- Проверить аккредитацию и локализацию потенциальных и действующих подрядчиков.
- Подготовить шаблоны договоров с учётом требований 152-ФЗ, банковской тайны и нового закона.
- Выстроить внутренний процесс уведомления Банка России.
- Заранее пройти (или потребовать от подрядчика) операционный аудит.
- Включить в договоры жёсткие SLA по безопасности, уведомлению об инцидентах и праву аудита.
IT-компаниям стоит начать подготовку к аккредитации и аудитам уже сейчас, а также обновить типовые договоры с финансовыми клиентами.
Выводы и перспективы
Закон № 404786-8 — важный шаг к легализации и регулированию IT-аутсорсинга в финансовом секторе. Он снимает правовую неопределённость, открывает возможности для технологических решений и одновременно устанавливает высокий уровень контроля со стороны государства.
В ближайший год (до вступления закона в силу) участникам рынка предстоит серьёзная подготовительная работа: аудиты, пересмотр договоров, получение необходимых заключений и выстраивание процессов взаимодействия с Банком России.
Юридическая компания Solu специализируется на IT-праве, 152-ФЗ, реестрах Минцифры и комплексном сопровождении технологических и финансовых компаний. Мы помогаем как финансовым организациям корректно выстроить отношения с IT-подрядчиками, так и IT-компаниям — подготовиться к работе с банками, МФО и страховщиками в рамках новых правил.
Опубликовано: 02.11.2026
Категория: Персональные данные