La Duma Estatal ha aprobado un proyecto de ley que permitirá a los bancos y otras organizaciones financieras transferir el trabajo con datos confidenciales a empresas de TI de terceros. Los contratistas podrán procesar secretos bancarios, datos personales de clientes y otra información cerrada, incluso utilizando servicios en la nube. No se requerirá el consentimiento individual de cada cliente para dicha transferencia. La ley entrará en vigor un año después de su publicación oficial.

Las reglas se aplican no solo a los bancos, sino también a las compañías de seguros, los fondos de pensiones no estatales y las oficinas de historial crediticio. Sin embargo, la transferencia de datos no se permitirá a cualquier contratista, sino solo a empresas de TI acreditadas y bancos con participación estatal que tengan una licencia universal.

Para las filiales de bancos extranjeros, se prevé una regla separada: podrán encargar el procesamiento de datos a una organización de crédito extranjera. Esto requerirá la aprobación del Banco Central, el FSB y Rosfinmonitoring, así como el cumplimiento de una serie de condiciones, señala Ilya Shalenkov, socio de Kept.

Antes de transferir los datos, el banco debe notificar al Banco Central y proporcionar una conclusión basada en los resultados de la verificación de seguridad del contratista. Dicha auditoría debe ser realizada por una organización con licencia de FSTEC o FSB. La información podrá transferirse 60 días después de la notificación, si el regulador no prohíbe la transferencia durante ese tiempo. Los servidores del contratista deben estar ubicados en Russia, y la propia empresa debe someterse a una auditoría anual. Además, según Shalenkov, deberá informar sobre incidentes de ciberseguridad en un plazo de dos horas.

Olga Blednova, experta en transformación digital del sector financiero, cree que la ley consolida a nivel legislativo una práctica que los bancos ya utilizan: la contratación de proveedores de TI y servicios en la nube. Anteriormente, la transferencia de secretos bancarios a empresas de terceros estaba limitada, por lo que algunas de estas soluciones, según ella, tenían que utilizarse en un entorno de incertidumbre legal.

El secreto bancario seguirá siendo información de acceso restringido, y los ejecutores deberán cumplir con los requisitos establecidos para la protección de datos.