Статья 10.
Статью 9 Федерального закона от 2 июля 2010 года № 151-ФЗ «О микрофинансовой деятельности и микрофинансовых организациях» (Собрание законодательства Российской Федерации, 2010, № 27, ст. 3435; 2013, № 30, ст. 4084; № 51, ст. 6695; 2015, № 29, ст. 4357; 2016, № 1, ст. 27; 2018, № 53, ст. 8440; 2019, № 31, ст. 4430; 2020, № 29, ст. 4506; 2021, № 24, ст. 4210; № 50, ст. 8405; 2025, № 7, ст. 541; № 14, ст. 1574; № 52, ст. 8332; 2026, № 32, ст. 4529) дополнить частями 15 - 23 следующего содержания:
«15. Микрофинансовая организация в соответствии с порядком и требованиями, которые установлены Банком России на основании статьи 76.4-5 Федерального закона от 10 июля 2002 года № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)», вправе поручить по истечении 60 дней, следующих за днем направления уведомления в Банк России в соответствии с частью 16 настоящей статьи, при отсутствии решения Банка России, принятого на основании пункта 1 части четвертой статьи 76.4-5 Федерального закона от 10 июля 2002 года № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)», организации, указанной в части 17 настоящей статьи (далее для целей настоящей статьи - привлекаемая организация), с учетом ограничений, установленных законодательством Российской Федерации, осуществление сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения информации ограниченного доступа, в том числе сведений о заемщиках и об их операциях (за исключением сведений, отнесенных к государственной тайне), с использованием информационных систем и их компонентов, принадлежащих на законном основании привлекаемым организациям и находящихся на территории Российской Федерации, на основании заключенного в соответствии с гражданским законодательством с привлекаемой организацией договора. Микрофинансовая организация вправе поручить привлекаемой организации осуществление сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения персональных данных в соответствии с настоящей частью без согласия субъектов персональных данных при условии соответствия договора, предусмотренного настоящей частью, требованиям части 3 статьи 6 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных». Привлекаемая организация, которой микрофинансовая организация поручила осуществлять указанные в настоящей части действия с информацией ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), осуществляет с такой информацией только те действия, которые соответствуют правам и обязанностям данной микрофинансовой организации при обработке такой информации.
16. Микрофинансовая организация обязана уведомить Банк России о намерении поручить привлекаемой организации осуществление указанных в части 15 настоящей статьи действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) до такого поручения. К уведомлению, указанному в настоящей части, прилагаются заключение и (или) отчет организации, которая имеет лицензии федерального органа исполнительной власти, уполномоченного в области противодействия техническим разведкам и технической защиты информации, и (или) федерального органа исполнительной власти, уполномоченного в области обеспечения безопасности, полученные в порядке, предусмотренном законодательством Российской Федерации, и соответствует требованиям, установленным на основании пункта 2 части первой статьи 76.4-5 Федерального закона от 10 июля 2002 года № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)», а также в соответствии с требованиями, установленными на основании статьи 76.4-5 Федерального закона от 10 июля 2002 года № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)», проводит операционный аудит привлекаемой организации, включая оценку соответствия привлекаемой организации установленным на основании пункта 1 части первой статьи 76.4-5 Федерального закона от 10 июля 2002 года № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)» требованиям к обеспечению защиты информации и требованиям к операционной надежности (далее для целей настоящей статьи - проверяющая организация). Указанное уведомление направляется в форме электронного документа, подписывается усиленной квалифицированной электронной подписью уполномоченного лица и должно содержать следующие сведения:
1) наименование, адрес микрофинансовой организации;
2) фамилии, имена, отчества (при наличии), номера контактных телефонов, адреса электронной почты работников привлекаемой организации, которые осуществляют функции по обеспечению информационной безопасности привлекаемой организации, а также специальных должностных лиц привлекаемой организации, ответственных за обеспечение сохранности информации ограниченного доступа;
3) наименование привлекаемой организации, которой планируется поручить осуществление указанных в части 15 настоящей статьи действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне);
4) сведения, подтверждающие соответствие привлекаемой организации требованиям, установленным статьей 76.4-5 Федерального закона от 10 июля 2002 года № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)», и соответствие проверяющей организации требованиям, установленным на основании статьи 76.4-5 Федерального закона от 10 июля 2002 года № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)».
17. Под привлекаемыми организациями понимаются организации, осуществляющие деятельность в области информационных технологий, аккредитованные в порядке, установленном законодательством Российской Федерации, а также банки с универсальной лицензией, некредитные финансовые организации - юридические лица, которые указаны в пункте 1 (за исключением профессиональных участников рынка ценных бумаг, указанных в статьях 4.1 и 6.1 Федерального закона от 22 апреля 1996 года № 39-ФЗ «О рынке ценных бумаг»), пунктах 8 и 9 (за исключением иностранных страховых организаций) и пункте 11 части первой статьи 76.1 Федерального закона от 10 июля 2002 года № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)», которые находятся под контролем Российской Федерации, и (или) субъекта Российской Федерации, и (или) муниципального образования, и (или) гражданина Российской Федерации, не имеющего гражданства другого государства, и (или) контролируемых ими совместно или по отдельности лиц. Для целей настоящей статьи под контролем понимается возможность определять решения, принимаемые банками с универсальной лицензией, некредитными финансовыми организациями - юридическими лицами, указанными в настоящей части, в силу наличия права прямо или косвенно распоряжаться более чем пятьюдесятью процентами общего количества голосов, приходящихся на голосующие акции (доли), составляющие уставный капитал данных банков с универсальной лицензией, некредитных финансовых организаций - юридических лиц.
18. Привлекаемая организация и ее работники обязаны обеспечить защиту информации ограниченного доступа, полученной от микрофинансовой организации в соответствии с настоящим Федеральным законом и другими федеральными законами (за исключением сведений, отнесенных к государственной тайне), в соответствии с порядком и требованиями, которые установлены Банком России на основании статьи 76.4-5 Федерального закона от 10 июля 2002 года № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)», и в случае ее разглашения несут ответственность в соответствии с законодательством Российской Федерации и договором, заключенным в соответствии с гражданским законодательством между привлекаемой организацией и микрофинансовой организацией.
19. Привлекаемая организация в соответствии с требованиями, установленными на основании статьи 76.4-5 Федерального закона от 10 июля 2002 года № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)», осуществляет внутренний контроль и ежегодно проводит операционный аудит, включая оценку соответствия привлекаемой организации установленным на основании пункта 1 части первой статьи 76.4-5 Федерального закона от 10 июля 2002 года № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)» требованиям к обеспечению защиты информации и требованиям к операционной надежности, с привлечением проверяющей организации. Подготовленные по результатам проведения операционного аудита привлекаемой организации заключение и (или) отчет проверяющей организации направляются в микрофинансовую организацию, которая поручила привлекаемой организации в соответствии с частью 15 настоящей статьи осуществление действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), привлекаемую организацию, а также в Банк России.
20. Привлекаемая организация обязана уведомить микрофинансовую организацию, которая поручила привлекаемой организации в соответствии с частью 15 настоящей статьи осуществление действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), о намерении расторгнуть договор, предусмотренный частью 15 настоящей статьи, не позднее шести месяцев до предполагаемой даты расторжения этого договора и обеспечить сохранность такой информации до момента ее передачи такой микрофинансовой организации. Микрофинансовая организация, которая в соответствии с частью 15 настоящей статьи поручила привлекаемой организации осуществление действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), до предполагаемой даты расторжения договора, предусмотренного частью 15 настоящей статьи, обязана принять от привлекаемой организации ранее переданную ей указанной микрофинансовой организацией информацию ограниченного доступа.
21. Договором, указанным в части 15 настоящей статьи, должны быть предусмотрены:
1) порядок направления привлекаемой организацией в микрофинансовую организацию на ежеквартальной основе информации о соблюдении целевых показателей оказания услуг привлекаемой организацией в части обеспечения защиты информации и операционной надежности, а также состав такой информации;
2) формы и порядок направления привлекаемой организацией в микрофинансовую организацию информации об инцидентах, связанных с нарушением требований к обеспечению защиты информации, инцидентах, связанных с нарушением требований к операционной надежности, которые произошли в период деятельности привлекаемой организации, осуществляемой на основании указанного договора, в течение двух часов с момента их выявления привлекаемой организацией;
3) ответственность привлекаемой организации и ее работников за разглашение полученной от микрофинансовой организации в соответствии с настоящим Федеральным законом и другими федеральными законами информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне);
4) порядок направления уведомления, предусмотренного частью 20 настоящей статьи.
22. В случае разглашения привлекаемой организацией и (или) ее работниками информации ограниченного доступа, полученной от микрофинансовой организации в соответствии с настоящим Федеральным законом и другими федеральными законами (за исключением сведений, отнесенных к государственной тайне), микрофинансовая организация и привлекаемая организация несут ответственность в соответствии с законодательством Российской Федерации.
23. Микрофинансовая организация обязана хранить с использованием информационных систем и их компонентов сведения о совершенных ее клиентами операциях (сделках) не менее пяти лет с момента их совершения.».