Госдума 14 октября 2026 года приняла во втором и третьем чтениях закон, регулирующий передачу обработки и хранения данных финансовых организаций сторонним исполнителям. Новые правила позволят привлекать к этой работе IT-компании и банки с универсальной лицензией. Им можно будет передавать сведения ограниченного доступа, кроме информации, составляющей государственную тайну.
Исполнители должны находиться под российским контролем — Российской Федерации, её субъекта, муниципального образования либо гражданина России. Для обработки переданных данных они обязаны использовать информационные системы и их компоненты, которые законно им принадлежат и размещены на территории России. Договор с подрядчиком должен соответствовать законодательству о персональных данных.
Прежде чем передать обработку или хранение информации подрядчику, финансовая организация должна уведомить Банк России. Регулятор сможет запретить привлечение конкретного исполнителя. Подрядчики обязаны защищать полученные сведения от несанкционированного доступа. За разглашение информации ответственность будут нести как исполнитель, так и финансовая организация, передавшая данные.
Порядок привлечения подрядчиков и взаимодействия с ними Банк России установит по согласованию с ФСБ, ФСТЭК, Минцифры и Росфинмониторингом. Исключение предусмотрено для банков с универсальной лицензией, находящихся под контролем иностранных банков. Они смогут передавать обработку и хранение информации зарубежным организациям при согласовании с Банком России, ФСБ и Росфинмониторингом.