Статья 3.
Главу 2 Федерального закона от 22 апреля 1996 года № 39-ФЗ «О рынке ценных бумаг» (Собрание законодательства Российской Федерации, 1996, № 17, ст. 1918) дополнить статьей 10.2-3 следующего содержания:
«Статья 10.2-3. Взаимодействие профессиональных участников рынка ценных бумаг и организаций, привлекаемых к обработке информации ограниченного доступа
1. Профессиональные участники рынка ценных бумаг, указанные в статьях 7, 8 и 8.1 настоящего Федерального закона, в соответствии с порядком и требованиями, которые установлены Банком России на основании статьи 76.4-5 Федерального закона от 10 июля 2002 года № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)», вправе поручить по истечении 60 дней, следующих за днем направления уведомления в Банк России в соответствии с пунктом 2 настоящей статьи, при отсутствии решения Банка России, принятого на основании пункта 1 части четвертой статьи 76.4-5 Федерального закона от 10 июля 2002 года № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)», организации, указанной в пункте 3 настоящей статьи (далее для целей настоящей статьи - привлекаемая организация), с учетом ограничений, установленных законодательством Российской Федерации, осуществление сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения информации ограниченного доступа, указанной в подпункте 3 пункта 5 статьи 8.1 и статье 8.6 настоящего Федерального закона (за исключением сведений, отнесенных к государственной тайне), с использованием информационных систем и их компонентов, принадлежащих на законном основании привлекаемой организации, находящихся на территории Российской Федерации, на основании заключенного в соответствии с гражданским законодательством с привлекаемой организацией договора. Профессиональные участники рынка ценных бумаг, указанные в статьях 7, 8 и 8.1 настоящего Федерального закона, вправе поручить привлекаемой организации осуществление сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения персональных данных в соответствии с настоящим пунктом без согласия субъектов персональных данных при условии соответствия договора, предусмотренного настоящим пунктом, требованиям части 3 статьи 6 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных». Привлекаемая организация, которой профессиональный участник рынка ценных бумаг, указанный в статьях 7, 8 и 8.1 настоящего Федерального закона, поручил осуществлять указанные в настоящем пункте действия с информацией ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), осуществляет с такой информацией только те действия, которые соответствуют правам и обязанностям данного профессионального участника рынка ценных бумаг при обработке такой информации.
2. Профессиональные участники рынка ценных бумаг, указанные в статьях 7, 8 и 8.1 настоящего Федерального закона, обязаны уведомить Банк России о намерении поручить привлекаемой организации осуществление указанных в пункте 1 настоящей статьи действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) до такого поручения. К уведомлению, указанному в настоящем пункте, прилагаются заключение и (или) отчет организации, которая имеет лицензии федерального органа исполнительной власти, уполномоченного в области противодействия техническим разведкам и технической защиты информации, и (или) федерального органа исполнительной власти, уполномоченного в области обеспечения безопасности, полученные в порядке, предусмотренном законодательством Российской Федерации, и соответствует требованиям, установленным на основании пункта 2 части первой статьи 76.4-5 Федерального закона от 10 июля 2002 года № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)», а также в соответствии с требованиями, установленными на основании статьи 76.4-5 Федерального закона от 10 июля 2002 года № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)», проводит операционный аудит привлекаемой организации, включая оценку соответствия привлекаемой организации установленным на основании пункта 1 части первой статьи 76.4-5 Федерального закона от 10 июля 2002 года № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)» требованиям к обеспечению защиты информации и требованиям к операционной надежности (далее для целей настоящей статьи - проверяющая организация). Указанное уведомление направляется в форме электронного документа, подписывается усиленной квалифицированной электронной подписью уполномоченного лица и должно содержать следующие сведения:
1) наименование, адрес профессионального участника рынка ценных бумаг, указанного в статьях 7, 8 и 8.1 настоящего Федерального закона;
2) фамилии, имена, отчества (при наличии), номера контактных телефонов, адреса электронной почты работников привлекаемой организации, которые осуществляют функции по обеспечению информационной безопасности привлекаемой организации, а также специальных должностных лиц привлекаемой организации, ответственных за обеспечение сохранности информации ограниченного доступа;
3) наименование привлекаемой организации, которой планируется поручить осуществление указанных в пункте 1 настоящей статьи действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне);
4) сведения, подтверждающие соответствие привлекаемой организации требованиям, установленным статьей 76.4-5 Федерального закона от 10 июля 2002 года № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)», и соответствие проверяющей организации требованиям, установленным на основании статьи 76.4-5 Федерального закона от 10 июля 2002 года № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)».
3. Под привлекаемыми организациями понимаются организации, осуществляющие деятельность в области информационных технологий, аккредитованные в порядке, установленном законодательством Российской Федерации, а также банки с универсальной лицензией, некредитные финансовые организации - юридические лица, которые указаны в пункте 1 (за исключением профессиональных участников рынка ценных бумаг, указанных в статьях 4.1 и 6.1 настоящего Федерального закона) и пунктах 8 и 9 (за исключением иностранных страховых организаций) части первой статьи 76.1 Федерального закона от 10 июля 2002 года № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)», которые находятся под контролем Российской Федерации, и (или) субъекта Российской Федерации, и (или) муниципального образования, и (или) гражданина Российской Федерации, не имеющего гражданства другого государства, и (или) контролируемых ими совместно или по отдельности лиц. Для целей настоящей статьи под контролем понимается возможность определять решения, принимаемые банками с универсальной лицензией, некредитными финансовыми организациями - юридическими лицами, указанными в настоящем пункте, в силу наличия права прямо или косвенно распоряжаться более чем 50 процентами общего количества голосов, приходящихся на голосующие акции (доли), составляющие уставный капитал данных банков с универсальной лицензией, некредитных финансовых организаций - юридических лиц.
4. Привлекаемая организация и ее работники в соответствии с порядком и требованиями, которые установлены Банком России на основании статьи 76.4-5 Федерального закона от 10 июля 2002 года № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)», обязаны обеспечить защиту полученной от профессиональных участников рынка ценных бумаг, указанных в статьях 7, 8 и 8.1 настоящего Федерального закона, в соответствии с настоящим Федеральным законом и другими федеральными законами информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), в том числе контроль за отсутствием несанкционированного доступа к информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), и в случае ее разглашения несут ответственность в соответствии с законодательством Российской Федерации и договором, заключенным в соответствии с гражданским законодательством между привлекаемой организацией и профессиональным участником рынка ценных бумаг, указанным в статьях 7, 8 и 8.1 настоящего Федерального закона.
5. Привлекаемая организация в соответствии с требованиями, установленными на основании статьи 76.4-5 Федерального закона от 10 июля 2002 года № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)», осуществляет внутренний контроль и ежегодно проводит операционный аудит, включая оценку соответствия привлекаемой организации установленным на основании пункта 1 части первой статьи 76.4-5 Федерального закона от 10 июля 2002 года № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)» требованиям к обеспечению защиты информации и требованиям к операционной надежности, с привлечением проверяющей организации. Подготовленные по результатам проведения операционного аудита привлекаемой организации заключение и (или) отчет проверяющей организации направляются профессиональному участнику рынка ценных бумаг, который поручил привлекаемой организации в соответствии с пунктом 1 настоящей статьи осуществление действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), в привлекаемую организацию, а также в Банк России.
6. Привлекаемая организация обязана уведомить профессионального участника рынка ценных бумаг, который в соответствии с пунктом 1 настоящей статьи поручил привлекаемой организации осуществление действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), о намерении расторгнуть договор, предусмотренный пунктом 1 настоящей статьи, не позднее шести месяцев до предполагаемой даты расторжения этого договора и обеспечить сохранность информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) до момента ее передачи такому профессиональному участнику рынка ценных бумаг. Профессиональный участник рынка ценных бумаг, который в соответствии с пунктом 1 настоящей статьи поручил привлекаемой организации осуществление действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), до предполагаемой даты расторжения договора, предусмотренного пунктом 1 настоящей статьи, обязан принять от привлекаемой организации ранее переданную ей указанным профессиональным участником рынка ценных бумаг информацию ограниченного доступа (за исключением сведений, отнесенных к государственной тайне).
7. Договором, указанным в пункте 1 настоящей статьи, должны быть предусмотрены:
1) порядок направления привлекаемой организацией профессиональному участнику рынка ценных бумаг, указанному в статьях 7, 8 и 8.1 настоящего Федерального закона, на ежеквартальной основе информации о соблюдении целевых показателей оказания услуг привлекаемой организацией в части обеспечения защиты информации и операционной надежности, а также состав такой информации;
2) формы и порядок направления привлекаемой организацией профессиональному участнику рынка ценных бумаг, указанному в статьях 7, 8 и 8.1 настоящего Федерального закона, информации об инцидентах, связанных с нарушением требований к обеспечению защиты информации, инцидентах, связанных с нарушением требований к операционной надежности, которые произошли в период деятельности привлекаемой организации, осуществляемой на основании указанного договора, в течение двух часов с момента их выявления привлекаемой организацией;
3) ответственность привлекаемой организации и ее работников за разглашение полученной от профессиональных участников рынка ценных бумаг, указанных в статьях 7, 8 и 8.1 настоящего Федерального закона, в соответствии с настоящим Федеральным законом и другими федеральными законами информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне);
4) порядок направления уведомления, предусмотренного пунктом 6 настоящей статьи.
8. В случае разглашения привлекаемой организацией и (или) ее работниками информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), полученной от профессиональных участников рынка ценных бумаг, указанных в статьях 7, 8 и 8.1 настоящего Федерального закона, в соответствии с настоящим Федеральным законом и другими федеральными законами, профессиональные участники рынка ценных бумаг, указанные в статьях 7, 8 и 8.1 настоящего Федерального закона, и привлекаемая организация несут ответственность в соответствии с законодательством Российской Федерации.
9. Профессиональные участники рынка ценных бумаг (за исключением профессиональных участников рынка ценных бумаг, осуществляющих деятельность исключительно по инвестиционному консультированию) обязаны хранить с использованием информационных систем и их компонентов сведения о совершенных их клиентами операциях (сделках) в течение не менее пяти лет с момента их совершения.».