Российские банки

Банковские данные у ИТ-подрядчика: что предлагают разрешить и какие права остаются у клиента

Интернет · 7 минут чтения

Российским банкам предлагают установить специальный порядок передачи обработки защищенной информации внешним ИТ-исполнителям. Для клиента главный вопрос звучит проще: кто, кроме самого банка, сможет работать со сведениями о его счете, покупках и переводах и удастся ли этому возразить?

Повод для обсуждения появился 8 октября 2026 года. Профильный комитет Госдумы подготовил ко второму чтению переработанный законопроект № 404786-8. По сообщению «Интерфакса», рассмотрение во втором и третьем чтениях намечено на 14 октября. На 9 октября это законопроект, а не вступившее в силу разрешение передавать любые клиентские сведения кому угодно.

Смысл инициативы заключается в том, чтобы определить, кто может обслуживать информационные системы финансовых организаций и на каких условиях получать необходимый для этого доступ. Однако для человека граница между технической обработкой и использованием сведений в чужих интересах остается принципиальной.

📌 Что известно о подготовленной редакции

«Интерфакс» сообщает, что проект предусматривает обработку банковской тайны и персональных данных уполномоченными исполнителями без отдельного согласия клиента. Круг подрядчиков предполагается ограничить аккредитованными ИТ-компаниями и банками с универсальной лицензией, отвечающими установленным требованиям к российскому контролю.

Среди условий названы предварительное уведомление Банка России, проверка исполнителя и возможность регулятора запретить передачу обработки. Основной режим предполагает работу с данными в России. Для отдельных банков с иностранным контролем описана специальная процедура согласования зарубежной обработки. Следовательно, утверждение о безусловном запрете любых исключений тоже было бы неточным.

Предлагаемый срок начала действия основных положений - через год после официального опубликования принятого закона. Пока нет окончательного текста и публикации, календарную дату запуска нового режима назвать нельзя.

🔐 Что входит в банковскую тайну

Банковская тайна защищает не только остаток на счете. Статья 857 Гражданского кодекса относит к ней сведения о банковском счете и вкладе, операциях по счету и клиенте. Дополнительные правила раскрытия информации установлены статьей 26 закона «О банках и банковской деятельности».

В повседневной жизни это данные о том, откуда приходят деньги, кому человек переводит средства и как пользуется банковскими продуктами. Совокупность операций может многое рассказать о работе, семейных обстоятельствах и привычках владельца счета. Поэтому даже технический доступ к такой информации требует правового основания и защиты.

Персональные данные и банковская тайна пересекаются, но не совпадают полностью. Имя, телефон и паспортные сведения позволяют определить человека. Информация о движении денег дополнительно охраняется специальными банковскими правилами. Если один массив подпадает под оба режима, наличие основания для обработки персональных данных само по себе не отменяет ограничений банковской тайны.

Отсюда возникает сложность, которую пытаются урегулировать: банк может нуждаться в услугах внешней технологической компании, но обычного договора на обслуживание серверов недостаточно, чтобы автоматически снять все ограничения на доступ к клиентской информации.

🖥️ Зачем банку вообще внешний исполнитель

Работа банка состоит из множества технических процессов: хранение документов, резервное копирование, сопровождение программ, защита от компьютерных атак, обработка обращений, обеспечение работоспособности приложений. Часть операций организация может выполнять сама, часть - поручать другим компаниям.

Представим два разных случая. В первом подрядчик обеспечивает хранение зашифрованных резервных копий. Во втором его сотрудникам нужен доступ к рабочей системе, чтобы найти причину ошибочного расчета. Это разные по риску ситуации, хотя обе можно назвать ИТ-аутсорсингом.

Наличие внешней компании не делает систему автоматически ни опасной, ни надежной. Имеет значение, какие сведения доступны, кому выданы права, фиксируются ли действия сотрудников, можно ли выгрузить весь массив и как быстро доступ отключается после завершения работ.

Поэтому содержательный вопрос для клиента - не только название подрядчика. Не менее важны цель обработки и ее объем. Для восстановления программы могут потребоваться технические журналы с ограниченным набором полей. Для рекламного предложения сведения о банковских операциях используются уже с другой целью. Одно не должно незаметно превращаться в другое.

🧾 Отдельное согласие: когда оно нужно и что означает его отсутствие

Распространенное заблуждение состоит в том, что любые действия с персональными данными возможны исключительно после отдельной подписи человека. Статья 6 закона № 152-ФЗ предусматривает разные основания обработки. Среди них есть не только согласие, но и предусмотренные законом обязанности, а также исполнение договора при соблюдении установленных условий.

Поэтому отсутствие нового окна с галочкой еще не доказывает нарушение. Но и фраза «это нужно банку» сама по себе не дает неограниченных полномочий.

Для оценки конкретной ситуации необходимо установить:

какие именно данные обрабатываются;
ради какой цели это происходит;
на какое основание ссылается организация;
кому поручена обработка;
соответствует ли фактическое использование заявленной цели.

Если клиент отзывает согласие, результат зависит от основания обработки. Например, отзыв не уничтожает предусмотренную законом обязанность хранить определенные документы. Нельзя обещать, что одно заявление немедленно удалит всю историю обслуживания из банковских систем.

Вместе с тем договор с банком не означает согласия на любые будущие способы использования информации. Техническое обслуживание счета и передача данных для несвязанной рекламы должны оцениваться по своим основаниям, а не объединяться формулировкой о «работе с клиентом».

⚖️ Кто отвечает, если данные утекли

Действующая статья 6 закона о персональных данных предусматривает ответственность оператора перед субъектом данных за действия лица, которому поручена обработка. Сам исполнитель отвечает перед оператором. Таким образом, появление подрядчика не позволяет банку просто отправить клиента разбираться с неизвестной ИТ-компанией.

Гражданский кодекс отдельно предусматривает право требовать возмещения убытков при разглашении банком сведений, составляющих банковскую тайну. При этом конкретные требования и доказательства зависят от обстоятельств: какие сведения раскрыты, каким образом возник ущерб, чьи действия его вызвали.

Нужно различать несколько событий. Посторонний мог получить доступ к файлу. Данные могли оказаться опубликованы. Мошенник мог воспользоваться ими, чтобы убедить человека перевести деньги. Это связанные, но юридически и технически разные эпизоды. Одного сообщения о предполагаемой утечке недостаточно для вывода, что со всех счетов уже можно списывать средства.

Практический смысл правил об ответственности заключается в сохранении понятного адресата претензии. Банк остается организацией, с которой у клиента заключен договор и которая должна объяснить основания обработки и принятые меры.

✉️ Что можно спросить у банка уже сейчас

Статья 14 закона № 152-ФЗ дает человеку право получать информацию об обработке его персональных данных с учетом предусмотренных законом ограничений. В перечень входят цели, основания, способы обработки, сведения об операторе, а также название и адрес лица, которому обработка поручена, если она поручена или планируется.

Запрос лучше делать предметным. Например: какие мои данные переданы для обработки внешним исполнителям, с какой целью, на каком правовом основании и кому именно? Такой вопрос полезнее требования «запретить всем все», из которого трудно понять, какую операцию оспаривает заявитель.

Обращение стоит направлять через официальный канал банка и сохранять номер регистрации. В ответе необходимо искать конкретику: название организации, цель и основание обработки. Общая ссылка на заботу о качестве сервиса не объясняет, зачем понадобился определенный массив сведений.

Если ответ вызывает обоснованные сомнения, закон предусматривает возможность обращения в Роскомнадзор или суд. Вопросы банковского обслуживания также можно адресовать Банку России в пределах его компетенции. Для спора о возмещении ущерба могут понадобиться документы и индивидуальная правовая оценка.

🚨 Как не попасть на мошенников из-за новости о передаче данных

Любое громкое изменение банковских правил удобно для поддельных звонков и сообщений. Предложение «срочно отозвать согласие», перейдя по присланной ссылке, само по себе не является официальной процедурой банка.

Особенно подозрительны просьбы сообщить код подтверждения, установить приложение удаленного доступа, перевести средства на другой счет или назвать реквизиты карты для «защиты банковской тайны». Обсуждаемый законопроект не создает оснований для таких действий.

Проверять сообщения следует в приложении банка или по номеру, который уже известен клиенту из официальных документов. Номер из поступившего сообщения может вести к его отправителю, даже если текст выглядит убедительно.

Если доступ к счету действительно вызывает опасения, сначала нужно связаться с банком и ограничить риск подозрительных операций. Переписка о правовых основаниях обработки не заменяет срочную защиту денег.

❓ Что изменилось для клиента на 9 октября

Новых действий, обязательных для всех владельцев счетов именно из-за этой новости, не объявлено. Законопроект еще проходит парламентскую процедуру. Открывать новый счет, отзывать все согласия или менять банк исключительно на основании заголовка о передаче данных причин нет.

Для оценки будущего режима решающими будут окончательный круг исполнителей, пределы допуска к сведениям, контроль Банка России и правила ответственности. До принятия и опубликования закона его обсуждение следует отличать от действующих обязанностей банков и клиентов.

Главный практический ориентир остается прежним: у обработки должна быть определенная законная цель, у клиента - возможность получить понятное объяснение, а у организации, работающей с его данными, - ответственность за их защиту.