Новый закон разрешит страховщикам передавать клиентские данные на аутсорсинг

Президент Владимир Путин 2 ноября 2026 года подписал Федеральный закон № 350-ФЗ. Документ меняет правила, по которым финансовые организации могут передавать внешним исполнителям информацию ограниченного доступа, включая персональные данные клиентов. Для рынка это означает появление формальной основы для аутсорсинга ИТ-процессов, но только при соблюдении детальных требований к подрядчикам и защите сведений.

Страхование, банки, кредиты, ипотека, лизинг и инвестиции все активнее используют цифровые сервисы. Поэтому новые нормы важны не только для страховщиков, но и для всей финансовой инфраструктуры, в которой обработка клиентской информации требует контролируемого подхода.

Какие права получают страховщики

Федеральный закон № 350-ФЗ позволяет финансовым организациям поручать обработку информации ограниченного доступа сторонним организациям без получения согласия клиентов. Это касается и персональных данных. Условие одно: договор с подрядчиком должен соответствовать требованиям закона о персональных данных, установленным для поручения обработки.

Для страхового рынка документ дополняет закон об организации страхового дела статьей 6.3. Возможность пользоваться аутсорсингом получили страховые организации, общества взаимного страхования, саморегулируемые организации, объединяющие страховщиков, и профессиональное объединение страховщиков.

При работе с цифровыми рисками участникам рынка особенно важно оценивать меры защиты данных и ответственность исполнителей. Отдельным инструментом управления такими рисками может стать Киберстрахование.

Кому страховщики смогут поручить обработку данных

Перечень потенциальных подрядчиков для страховщиков оказался шире, чем аналогичный список для банков. Страховые организации смогут привлекать аккредитованные ИТ-компании, банки с универсальной лицензией и некредитные финансовые организации. В их число входят субъекты страхового дела, кроме иностранных страховщиков, а также негосударственные пенсионные фонды.

Банки и финансовые организации, которым передаются данные, должны находиться под контролем государства, регионов, муниципалитетов или граждан России без иного гражданства. Им должно принадлежать более 50% голосов. При этом банки, согласно тексту закона, вправе обращаться только к аккредитованным ИТ-компаниям и российским банкам с универсальной лицензией.

Еще одно обязательное требование — информационные системы исполнителя должны размещаться в России. Такой подход затрагивает все сегменты финансового рынка, где востребованы страхование, кредиты, ипотека, лизинг и инвестиции.

Как будет организована процедура

До передачи данных страховщик должен уведомить ЦБ и приложить заключение операционного аудита подрядчика. Сам аудит проводит организация, имеющая лицензию ФСТЭК и (или) ФСБ. Передача информации допускается через 60 дней после направления уведомления, если регулятор не ввел запрет.

Подрядчик обязан ежегодно проходить операционный аудит и направлять его результаты заказчику и в ЦБ. Кроме того, он ежеквартально отчитывается о показателях защиты информации и сообщает об инцидентах в течение двух часов с момента их выявления.

Если договор прекращается, подрядчик должен предупредить об этом за шесть месяцев. Руководитель подрядчика не может иметь судимости за экономические преступления или преступления в сфере компьютерной информации. Сама компания не должна числиться в перечнях лиц, причастных к экстремизму или терроризму.

Какие требования еще определит регулятор

Конкретный порядок привлечения подрядчиков установит ЦБ. Правила для некредитных финансовых организаций регулятор утвердит по согласованию с ФСБ, ФСТЭК, Минцифры и Росфинмониторингом. В документе, в частности, закрепят виды организаций, имеющих право использовать аутсорсинг, а также виды информации, доступной для передачи.

Следовательно, практический доступ страховщиков к новой модели будет зависеть от этого документа ЦБ. Для компаний, работающих в финансовом секторе, страхование операционных и имущественных рисков остается частью комплексного подхода наряду с контролем ИТ-процессов.

Хранение информации об операциях

Закон также устанавливает новую обязанность. Страховщики, за исключением страховых медицинских организаций, работающих только в ОМС, страховые брокеры и общества взаимного страхования должны хранить сведения об операциях в информационных системах не менее пяти лет.

Сведения, собранные в рамках противодействия отмыванию доходов, страховщики смогут хранить в системах банков, других страховщиков, брокеров или аккредитованных ИТ-компаний. Норма важна для организаций, чья деятельность связана с такими направлениями, как страхование, банки, кредиты, ипотека, лизинг и инвестиции.

Когда закон начнет действовать

Закон вступит в силу через год после официального опубликования, то есть в ноябре 2027 года. Финансовые организации, уже передавшие данные подрядчикам, получат 180 дней после вступления закона в силу для приведения договоров в соответствие с новыми требованиями.

Для прохождения операционного аудита подрядчикам отводится год. Участникам рынка следует заранее оценить действующие договорные конструкции, размещение информационных систем и готовность контрагентов к регулярному контролю.

История законопроекта и последствия для рынка

Законопроект № 404786-8 находился в Госдуме около трех лет. Комитет по финансовому рынку значительно изменил его: первоначальная версия допускала аутсорсинг и облачные услуги без ограничений, предусмотренных в итоговом законе. Госдума приняла закон 14 октября 2026 года, а Совет Федерации одобрил его 28 октября.

Для страховщиков, входящих в банковские и страховые группы, закон формирует правовую основу для создания централизованной ИТ-инфраструктуры внутри группы. Клиентские данные можно будет обрабатывать в системах материнского банка либо другого страховщика группы, если он находится под российским контролем.

Остальным участникам рынка придется выбирать среди аккредитованных ИТ-компаний, готовых ежегодно проходить аудит. Организациям из смежных финансовых сегментов, включая МФО и КПК, также стоит учитывать изменения в требованиях к обработке информации и оценивать Страхование МФО и КПК как один из способов защиты профильных рисков.

Новые правила делают аутсорсинг более формализованным: они открывают возможности для оптимизации процессов, но одновременно закрепляют требования к аудиту, срокам уведомления и защите клиентских данных. Страхование в этой системе сохраняет ключевую роль финансовой защиты наряду с ответственным управлением рисками.