У банка есть действующий договор с аккредитованной ИТ-компанией. В её системе хранятся сведения об операциях клиентов, а договор предусматривает только ежемесячную доступность сервиса и общую оговорку о конфиденциальности. По Федеральному закону от 2 ноября 2026 года № 350-ФЗ такую конструкцию придётся проверить на соответствие новым условиям обработки информации ограниченного доступа.
Закон вступает в силу 3 ноября 2027 года. Для договоров, подпадающих под переходные положения, есть отдельные сроки на приведение условий в соответствие и проведение операционного аудита. Ошибка в классификации проекта может привести к тому, что банк начнёт считать 180 дней там, где речь идёт о новом поручении и предварительном уведомлении Банка России.
Какие договоры попадают в работу
Статья 1 Закона № 350-ФЗ дополняет статью 26 Закона о банках и вводит статьи 30.2 и 30.3. В статье 30.2 урегулировано поручение привлекаемой организации обработки информации ограниченного доступа, кроме государственной тайны, с использованием законно принадлежащих ей систем и компонентов на территории России. В случаях и порядке этой статьи банк сможет передавать сведения, составляющие банковскую тайну.
Надпись «сопровождение» или «облако» в предмете договора не отвечает на вопрос о применимости нормы. Начните с карты операций. Где размещена основная система, куда уходит резервная копия, кто извлекает данные при сбое и что видит техническая поддержка? По каждому компоненту нужно определить, кому он принадлежит на законном основании, где находится и какие операции выполняет подрядчик.
Состав привлекаемых организаций определён законом. Это аккредитованные ИТ-организации и банки с универсальной лицензией под указанным в статье российским контролем. Для второй категории важна структура контроля. Для первой одного свидетельства об аккредитации недостаточно: проверяются также требования к организации, её руководителю, работникам и порядку взаимодействия с банком.
Для отношений с иностранным банком предусмотрена статья 30.3 с самостоятельным набором условий. Из части 13 статьи 30.2 следуют и исключения из сферы её частей 1-10 для ряда отношений по законодательству о национальной платёжной системе. Если один контрагент одновременно сопровождает банковский архив и выполняет функции участника платёжной инфраструктуры, анализ лучше вести по потокам данных и отдельным договорам.
Что меняется для действующего договора
До вступления поправок в силу банк проверяет основание передачи по действующему законодательству, включая требования к банковской тайне и персональным данным. Подготовленное соглашение о будущем режиме само по себе не даёт права расширить доступ подрядчика раньше срока.
После вступления поправок в силу статья 30.2 задаёт специальный порядок поручения и условия договора. Для отношений, уже существовавших к этому моменту и подпадающих под часть 2 статьи 14 Закона № 350-ФЗ, предусмотрено 180 дней со дня вступления закона в силу на приведение договора в соответствие. Часть 3 статьи 14 даёт привлекаемой организации отдельный год на операционный аудит и направление его результатов.
| Ситуация | Действие | Кто отвечает |
|---|---|---|
| Действующий договор подпадает под часть 2 статьи 14 | Привести условия в соответствие в течение 180 дней | Банк обеспечивает обновление договора |
| Подрядчик обрабатывал данные по подпадающему под переходные положения договору | Провести аудит в течение года и направить результаты по части 3 статьи 14 | Привлекаемая организация |
| Банк запускает новое поручение по статье 30.2 | Направить уведомление с результатами аудита и соблюдать 60-дневный период | Банк |
Применимость переходного порядка проверяют по содержанию поручения, данному до вступления закона в силу, и правам на задействованные системы. Подписанный заранее рамочный договор без самого поручения обработки не подтверждает применимость переходного срока. Смена исполнителя, добавление нового контура или передача другой категории данных тоже требуют отдельной квалификации. Нельзя считать проект прежним только потому, что дополнительное соглашение подписано к старому номеру договора.
Что требуется до нового поручения
Банк направляет электронное уведомление, подписанное усиленной квалифицированной электронной подписью уполномоченного лица. К нему прилагается заключение и (или) отчёт проверяющей организации. Нужно проверить лицензии и соответствие проверяющей организации требованиям, установленным на основании статьи 57.5-3 Закона о Банке России.
При отсутствии предусмотренного законом препятствующего решения Банка России поручение возможно по истечении 60 дней, следующих за днём направления уведомления. Поэтому дата отправки, окончание периода ожидания и дата открытия доступа должны отдельно фиксироваться в плане перехода. Получение технического подтверждения о доставке уведомления не означает, что реальную обработку можно начать сразу.
В договоре полезно закрепить, кто передаёт данные для уведомления и аудита, кто проверяет соблюдение условий запуска и каким документом стороны подтверждают готовность. Тестовый контур тоже проверяется по фактическим данным. Если в него загружена копия клиентской базы, название «тест» не меняет характера операций с ней.
Четыре условия, которые нужно переписать предметно
Часть 9 статьи 30.2 предусматривает договорные условия об отчётности, инцидентах, ответственности и уведомлении о расторжении. Если оставить их на уровне ссылок на закон, у технических команд не будет понятного порядка действий.
- Ежеквартальная отчётность. Согласуйте показатели защиты информации и операционной надёжности, способ их расчёта, состав отчёта и срок отправки после окончания квартала. Привяжите показатели к конкретным системам и источникам данных.
- Инциденты. Зафиксируйте двухчасовой срок с момента выявления подрядчиком, минимальное содержание первичного уведомления и резервный канал. Расследование может продолжаться дольше, поэтому первичное сообщение и последующие дополнения оформляются раздельно.
- Ответственность за разглашение. Опишите обязанности по допуску работников и охране сведений. Банк и подрядчик сохраняют ответственность по закону. Договор дополнительно распределяет обязанности и порядок возмещения доказанных убытков между сторонами.
- Уведомление о расторжении. Предусмотрите, как подрядчик уведомит банк не позднее шести месяцев до предполагаемой даты расторжения, и как стороны обеспечат сохранность и передачу данных. Приём банком должен состояться до предполагаемой даты прекращения договора.
У соглашения о неразглашении своя задача. Оно пригодится как основа для ограничений доступа, но отчётность, обработку и выход из сервиса нужно регулировать в договоре. См. образец соглашения о неразглашении между организациями.
Поручение на обработку персональных данных остаётся отдельным блоком
Для обработки персональных данных без согласия субъектов по статье 30.2 договор должен отвечать части 3 статьи 6 Закона № 152-ФЗ. Поэтому перечислите категории данных и субъектов, цели, операции, требования к конфиденциальности, безопасности и представлению подтверждающих документов. Предусмотрите уведомление банка о случаях, указанных в части 3.1 статьи 21 Закона № 152-ФЗ.
Сопоставьте эти условия с банковским уведомлением об инцидентах. Если один инцидент относится к обоим режимам, банк должен получить достаточно информации для выполнения собственных обязанностей. Нельзя откладывать первичное сообщение до установления всех последствий или до окончания внутреннего согласования у подрядчика.
При распределении ответственности полезно заранее определить, какие документы подтвердят факт нарушения, действия персонала и размер расходов. Это пригодится при самостоятельном требовании к подрядчику. См. разбор взыскания убытков после утечки данных.
Как сопоставить договор с реальной схемой доступа
Составьте карту операций на уровне систем, а не только подразделений. Например, основной архив находится на серверах провайдера в России, журнал событий выгружается в отдельную систему мониторинга, а резервная копия хранится в другом контуре. По каждому звену нужно установить владельца, основание владения, расположение, разрешённые действия и роли сотрудников. В договоре тогда будет видно, какая операция охватывается поручением и где появляется новый участник.
Договорную проверку удобно проводить в три прохода. Сначала юрист определяет применимые режимы данных и ограничения на передачу. Затем инженер подтверждает системы, места хранения и технические пути доступа. Наконец, банк и провайдер сверяют список операций с приложением и проверяют, можно ли подтвердить выполнение требований журналами, отчётами и актами. Если журнал содержит сведения ограниченного доступа, его обработка тоже должна быть учтена.
Вместе с картой сохраните документ, из которого следует дата поручения. Для старого договора это поможет обосновать применение переходных сроков. Для нового проекта отдельно сохраните подтверждение направления уведомления и документ о допуске к обработке. Такие доказательства позволяют отличить подписание договора от начала доступа и понять, к какой дате привязана обязанность.
Как проверить выход из договора до подписания
Одного обещания «вернуть базу» недостаточно для восстановления работы. Согласуйте формат экспорта, перечень архивов и журналов, состав контрольных данных и порядок проверки читаемости. Определите, что считается передачей, когда банк обязан принять данные, сколько времени отводится на исправление повреждённой выгрузки и как оформляется итоговый акт.
Не поручайте провайдеру автоматически уничтожить сведения в день уведомления. Закон требует обеспечить сохранность до передачи и принять их до предполагаемой даты расторжения. Договор должен учитывать обязательные сроки хранения, в том числе требование статьи 30.2 к банку хранить сведения о клиентских операциях не менее пяти лет с момента их совершения.
Для действующего договора подготовлен образец дополнительного соглашения по ИТ-аутсорсингу банка. Он предусматривает отчётность, действия при инциденте, аудит и процедуру передачи данных при прекращении договора.
Вывод для практики
Соберите реестр договоров и операций до вступления поправок в силу. Отдельно отметьте отношения, для которых применим переходный режим, проекты новых поручений и участки, где нужно пересмотреть саму архитектуру обработки. При согласовании допсоглашения проверьте, что исполнение четырёх обязательных условий можно подтвердить документами, а банк сможет получить и использовать данные до прекращения договора.
Источники
- Федеральный закон от 02.11.2026 № 350-ФЗ, официальное опубликование.
- Статья 1 Закона № 350-ФЗ, изменения в Закон о банках.
- Статья 6 Закона № 152-ФЗ, требования к поручению.
Подготовить проект допсоглашения в «Документах Про» можно по действующему договору, перечню операций и согласованным срокам. Для проекта используйте описание категорий данных и архитектуры без сведений о конкретных клиентах.
