Закон открывает страховщикам аутсорсинг клиентских данных

Президент Владимир Путин 2 ноября 2026 года подписал Федеральный закон № 350-ФЗ. Он разрешает финансовым организациям передавать сторонним организациям на обработку информацию ограниченного доступа, в том числе персональные данные клиентов. Для страхового рынка закон дополняет закон об организации страхового дела статьей 6.3. Право получили страховые организации, общества взаимного страхования, саморегулируемые организации, объединяющие страховщиков, и профессиональное объединение страховщиков. Согласие клиентов не требуется, если договор с подрядчиком отвечает требованиям закона о персональных данных к поручению обработки.

Кому можно передавать данные

Для страховщиков круг подрядчиков шире, чем для банков. В него входят аккредитованные ИТ-компании, банки с универсальной лицензией, а также некредитные финансовые организации, в том числе субъекты страхового дела (кроме иностранных страховщиков) и негосударственные пенсионные фонды. Банки и финансовые организации должны находиться под контролем государства, регионов, муниципалитетов или граждан России без иного гражданства, то есть им должно принадлежать более 50% голосов. Банки, по тексту закона, могут привлекать только аккредитованные ИТ-компании и российские банки с универсальной лицензией. Информационные системы исполнителя должны находиться в России.

Процедура

Страховщик заранее уведомляет ЦБ и прикладывает заключение операционного аудита подрядчика. Аудит проводит организация с лицензией ФСТЭК и (или) ФСБ. Передавать данные можно через 60 дней после уведомления, если регулятор ее не запретил. Подрядчик ежегодно проходит операционный аудит и направляет результаты заказчику и в ЦБ, ежеквартально отчитывается о показателях защиты информации и сообщает об инцидентах в течение двух часов с момента их выявления. О расторжении договора подрядчик должен предупредить за шесть месяцев. Руководитель подрядчика не может иметь судимости за экономические преступления или преступления в сфере компьютерной информации, а сама компания не должна быть в перечнях причастных к экстремизму или терроризму.

Конкретные правила задаст ЦБ. Порядок привлечения подрядчиков для некредитных финансовых организаций регулятор утвердит по согласованию с ФСБ, ФСТЭК, Минцифры и Росфинмониторингом. В нем, в частности, будут определены виды организаций, которые вправе пользоваться аутсорсингом, и виды информации, которую можно передавать. Практический доступ страховщиков к новой схеме зависит от этого документа.

Закон вводит и новую обязанность: страховщики (кроме страховых медицинских организаций, работающих только в ОМС), страховые брокеры и общества взаимного страхования должны хранить сведения об операциях в информационных системах не менее пяти лет. Кроме того, сведения, собранные в рамках противодействия отмыванию доходов, страховщики смогут хранить в системах банков, других страховщиков, брокеров или аккредитованных ИТ-компаний.

Сроки

Закон вступит в силу через год после официального опубликования, то есть в ноябре 2027 года. Финансовым организациям, которые уже передали данные подрядчикам, дается 180 дней после вступления закона в силу, чтобы привести договоры в соответствие с новыми требованиями. Подрядчики должны пройти операционный аудит в течение года.

Законопроект № 404786-8 пролежал в Госдуме около трех лет. Комитет по финансовому рынку существенно его переработал: первая редакция разрешала аутсорсинг и облачные услуги без нынешних ограничений. Госдума приняла закон 14 октября 2026 года, Совет Федерации одобрил его 28 октября.

Что это значит для рынка

Для страховщиков из банковских и страховых групп закон создает правовую основу для централизованной ИТ-инфраструктуры внутри группы: данные можно обрабатывать в системах материнского банка или другого страховщика группы, если он под российским контролем. Остальным придется выбирать среди аккредитованных ИТ-компаний, которые готовы ежегодно проходить аудит.