Просин Олег
Банкам хотят разрешить отдавать данные клиентов IT-подрядчикам без согласия и почему это касается любого бизнеса, который работает с аутсорсом и облаками
В октябре 2026 года Госдума приняла во 2-м и 3-м чтениях законопроект № 404786-8. Если он пройдёт Совет Федерации и будет подписан, банки и финансовые организации смогут передавать данные клиентов аккредитованным IT-компаниям без отдельного согласия клиента. С оговорками: серверы только в России, схему согласуют с ЦБ, ФСБ и Росфинмониторингом, а ответственность перед клиентом остаётся на банке.
Пока это не действующий закон, а принятый парламентом проект, и говорить о нём корректно в сослагательном: не «разрешили», а «хотят разрешить, если проект вступит в силу». Но для бизнеса здесь важна не судьба банков, а правило, которое эта новость подсвечивает.
Главное, что стоит вынести: «без согласия» не значит «без обязательств»
Многие читают такие новости так: «значит, можно передавать данные куда угодно без бумаг». Это опасное упрощение. Даже когда согласие клиента не требуется, передача данных подрядчику подчиняется отдельному правилу, и оно действует для всех операторов, не только для банков.
Передача данных подрядчику = поручение обработки (ч. 3 ст. 6 152-ФЗ)
Как только вы отдаёте персональные данные стороннему исполнителю, вы оформляете поручение обработки. Это касается почти каждого бизнеса:
- облачный хостинг и инфраструктура, где лежит ваша база;
- CRM и сервисы автоматизации;
- бухгалтерия и расчёт зарплаты на аутсорсе;
- сервисы рассылок, чатов, аналитики;
- колл-центр и поддержка на подряде.
По части 3 статьи 6 закона о персональных данных на такую передачу нужен договор поручения обработки. В нём фиксируют, какие данные и зачем передаются, что обработчик обязан соблюдать те же требования по защите, и что он действует только по вашему поручению. Ключевой момент: ответственность перед человеком остаётся на вас, на операторе. Подрядчик «накосячил» с данными, а отвечаете перед клиентом и регулятором вы.
🇷🇺 И ещё одно правило рядом: локализация (ч. 5 ст. 18)
Обратите внимание, что даже в «разрешающем» законопроекте серверы прописаны только в России. Это не случайность: данные россиян должны записываться и обрабатываться на серверах в РФ. Поэтому вопрос «а где физически лежат данные моих клиентов» это не паранойя, а прямая обязанность оператора, особенно когда вы пользуетесь зарубежными облаками и сервисами.
Что это значит для бизнеса
Сложите два правила вместе. Передали данные подрядчику без договора поручения это нарушение, даже если согласие клиента в вашем случае не требовалось. Храните данные там, где не контролируете географию серверов тоже вопрос. И «мы же маленькие, нас это не касается» не будет являться защитным заклинанием если вами заинтересуются.
Проверьте себя
- Составьте список всех, кому вы передаёте персональные данные: хостинг, CRM, бухгалтерия, рассылки, аналитика, поддержка.
- По каждому проверьте, есть ли договор поручения обработки с нужными условиями, а не просто обычный договор на услуги.
- Выясните, где физически находятся серверы сервисов, которыми вы пользуетесь.
- Загляните, что реально уходит с вашего сайта: часто данные утекают в сторонние сервисы, о которых владелец даже не помнит.
Последний пункт обычно и становится сюрпризом. Сканер ScanBase показывает, каким сторонним сервисам ваш сайт уже передаёт данные, включая «теневые» подключения, которые вы не ставили сознательно. А генератор документов /docgen помогает оформить договор поручения обработки под конкретного подрядчика, чтобы передача данных была закрыта не на словах, а документом.