Информационное письмо Банка России: при передаче МФО бизнес-процессов на аутсорсинг возникает риск утечки перс. данных. Кредиторам необходимо принимать меры по предотвращению инцидентов
СРО «МиР» доводит до членов объединения позицию Банка России касающуюся мер, которые необходимо предпринимать МФО для предотвращения утечки персональных данных клиентов при передаче отдельных бизнес-процессов на аутсорсинг. Ниже приведен полный текст письма регулятора №44-3-3/2427 в саморегулируемую организацию, полученного 8 июля 2021 года.
«Департамент микрофинансового рынка (далее – Департамент) в рамках осуществления надзора за микрофинансовыми организациями в соответствии со статьей 76.1 Федерального закона от 10.07.2002 № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)» обращает внимание на следующее.
На основании информации, имеющейся в распоряжении Департамента, существенная часть микрофинансовых организаций (далее – МФО), осуществляющих деятельность на территории Российской Федерации, производит передачу ряда функций внешним исполнителям (аутсорсинг) с целью повышения эффективности бизнеса.
При этом возникают условия, которые могут привести к утечке персональных данных клиентов МФО, сведений об операциях заемщиков МФО и иных сведений, устанавливаемых МФО, что, в свою очередь, влечет нарушение требований пункта 4 части 2 статьи 9 Федерального закона от 02.07.2010 № 151-ФЗ «О микрофинансовой деятельности и микрофинансовых организациях», а также статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».
В связи с изложенным, Департамент просит довести до сведения МФО, являющихся членами саморегулируемых организаций, информацию о:
1. Необходимости усиленного контроля за материалами, содержащими данные клиентов МФО, в случае передачи функционала, связанного с использованием таких материалов, иным физическим и (или) юридическим лицам.
2. Недопустимости возникновения ситуаций, в ходе которых материалы, содержащие персональные данные клиентов МФО, могут быть переданы третьим лицам без получения согласия на это со стороны субъекта персональных данных.
Поделиться: