Статья 4.
Статью 15 Федерального закона от 7 мая 1998 года № 75-ФЗ «О негосударственных пенсионных фондах» (Собрание законодательства Российской Федерации, 1998, № 19, ст. 2071; 2013, № 19, ст. 2326; № 30, ст. 4084; № 52, ст. 6975; 2014, № 30, ст. 4219; 2023, № 29, ст. 5317) дополнить частями седьмой - шестнадцатой следующего содержания:
«Фонд в соответствии с порядком и требованиями, которые установлены Банком России на основании статьи 76.4-5 Федерального закона от 10 июля 2002 года № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)», вправе поручить по истечении 60 дней, следующих за днем направления уведомления в Банк России в соответствии с частью восьмой настоящей статьи, при отсутствии решения Банка России, принятого на основании пункта 1 части четвертой статьи 76.4-5 Федерального закона от 10 июля 2002 года № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)», организации, указанной в части девятой настоящей статьи (далее для целей настоящей статьи - привлекаемая организация), с учетом ограничений, установленных законодательством Российской Федерации, осуществление сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения информации ограниченного доступа, указанной в настоящей статье (за исключением сведений, отнесенных к государственной тайне), с использованием информационных систем и их компонентов, принадлежащих на законном основании привлекаемым организациям и находящихся на территории Российской Федерации, на основании заключенного в соответствии с гражданским законодательством с привлекаемой организацией договора. Фонд вправе поручить привлекаемой организации осуществление сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения персональных данных в соответствии с настоящей частью без согласия субъектов персональных данных при условии соответствия договора, предусмотренного настоящей частью, требованиям части 3 статьи 6 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных». Привлекаемая организация, которой фонд поручил осуществлять указанные в настоящей части действия с информацией ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), осуществляет с такой информацией только те действия, которые соответствуют правам и обязанностям данного фонда при обработке такой информации.
Фонд обязан уведомить Банк России о намерении поручить привлекаемой организации осуществление указанных в части седьмой настоящей статьи действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) до такого поручения. К уведомлению, указанному в настоящей части, прилагаются заключение и (или) отчет организации, которая имеет лицензии федерального органа исполнительной власти, уполномоченного в области противодействия техническим разведкам и технической защиты информации, и (или) федерального органа исполнительной власти, уполномоченного в области обеспечения безопасности, полученные в порядке, предусмотренном законодательством Российской Федерации, и соответствует требованиям, установленным на основании пункта 2 части первой статьи 76.4-5 Федерального закона от 10 июля 2002 года № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)», а также в соответствии с требованиями, установленными на основании статьи 76.4-5 Федерального закона от 10 июля 2002 года № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)», проводит операционный аудит привлекаемой организации, включая оценку соответствия привлекаемой организации установленным на основании пункта 1 части первой статьи 76.4-5 Федерального закона от 10 июля 2002 года № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)» требованиям к обеспечению защиты информации и требованиям к операционной надежности (далее для целей настоящей статьи - проверяющая организация). Указанное уведомление направляется в форме электронного документа, подписывается усиленной квалифицированной электронной подписью уполномоченного лица и должно содержать следующие сведения:
наименование, адрес фонда;
фамилии, имена, отчества (при наличии), номера контактных телефонов, адреса электронной почты работников привлекаемой организации, которые осуществляют функции по обеспечению информационной безопасности привлекаемой организации, а также специальных должностных лиц привлекаемой организации, ответственных за обеспечение сохранности информации ограниченного доступа;
наименование привлекаемой организации, которой планируется поручить осуществление указанных в части седьмой настоящей статьи действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне);
сведения, подтверждающие соответствие привлекаемой организации требованиям, установленным статьей 76.4-5 Федерального закона от 10 июля 2002 года № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)», и соответствие проверяющей организации требованиям, установленным на основании статьи 76.4-5 Федерального закона от 10 июля 2002 года № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)».
Под привлекаемыми организациями понимаются организации, осуществляющие деятельность в области информационных технологий, аккредитованные в порядке, установленном законодательством Российской Федерации, а также банки с универсальной лицензией, некредитные финансовые организации - юридические лица, которые указаны в пункте 1 (за исключением профессиональных участников рынка ценных бумаг, указанных в статьях 4.1 и 6.1 Федерального закона от 22 апреля 1996 года № 39-ФЗ «О рынке ценных бумаг») и пунктах 8 и 9 (за исключением иностранных страховых организаций) части первой статьи 76.1 Федерального закона от 10 июля 2002 года № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)», которые находятся под контролем Российской Федерации, и (или) субъекта Российской Федерации, и (или) муниципального образования, и (или) гражданина Российской Федерации, не имеющего гражданства другого государства, и (или) контролируемых ими совместно или по отдельности лиц. Для целей настоящей статьи под контролем понимается возможность определять решения, принимаемые банками с универсальной лицензией, некредитными финансовыми организациями - юридическими лицами, указанными в настоящей части, в силу наличия права прямо или косвенно распоряжаться более чем пятьюдесятью процентами общего количества голосов, приходящихся на голосующие акции (доли), составляющие уставный капитал данных банков с универсальной лицензией, некредитных финансовых организаций - юридических лиц.
Привлекаемая организация и ее работники в соответствии с порядком и требованиями, которые установлены Банком России на основании статьи 76.4-5 Федерального закона от 10 июля 2002 года № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)», обязаны обеспечить защиту полученной в соответствии с настоящим Федеральным законом и другими федеральными законами от фонда информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), в том числе контроль за отсутствием несанкционированного доступа к указанной информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), и в случае ее разглашения несут ответственность в соответствии с законодательством Российской Федерации и договором, заключенным в соответствии с гражданским законодательством между привлекаемой организацией и фондом.
Привлекаемая организация в соответствии с требованиями, установленными на основании статьи 76.4-5 Федерального закона от 10 июля 2002 года № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)», осуществляет внутренний контроль и ежегодно проводит операционный аудит, включая оценку соответствия привлекаемой организации установленным на основании пункта 1 части первой статьи 76.4-5 Федерального закона от 10 июля 2002 года № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)» требованиям к обеспечению защиты информации и требованиям к операционной надежности, с привлечением проверяющей организации. Подготовленные по результатам проведения операционного аудита привлекаемой организации заключение и (или) отчет проверяющей организации направляются в фонд, который поручил привлекаемой организации в соответствии с частью седьмой настоящей статьи осуществление действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), привлекаемую организацию, а также в Банк России.
Привлекаемая организация обязана уведомить фонд, который поручил привлекаемой организации в соответствии с частью седьмой настоящей статьи осуществление действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), о намерении расторгнуть договор, предусмотренный частью седьмой настоящей статьи, не позднее шести месяцев до предполагаемой даты расторжения этого договора и обеспечить сохранность информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) до момента ее передачи указанному фонду. Фонд, который в соответствии с частью седьмой настоящей статьи поручил привлекаемой организации осуществление действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), до предполагаемой даты расторжения договора, предусмотренного частью седьмой настоящей статьи, обязан принять от привлекаемой организации ранее переданную ей указанным фондом информацию ограниченного доступа (за исключением сведений, отнесенных к государственной тайне).
Договором, указанным в части седьмой настоящей статьи, должны быть предусмотрены:
порядок направления привлекаемой организацией в фонд на ежеквартальной основе информации о соблюдении целевых показателей оказания услуг привлекаемой организацией в части обеспечения защиты информации и операционной надежности, а также состав такой информации;
формы и порядок направления привлекаемой организацией в фонд информации об инцидентах, связанных с нарушением требований к обеспечению защиты информации, инцидентах, связанных с нарушением требований к операционной надежности, которые произошли в период деятельности привлекаемой организации, осуществляемой на основании указанного договора, в течение двух часов с момента их выявления привлекаемой организацией;
ответственность привлекаемой организации и ее работников за разглашение полученной от фонда в соответствии с настоящим Федеральным законом и другими федеральными законами информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне);
порядок направления уведомления, предусмотренного частью двенадцатой настоящей статьи.
В случае разглашения привлекаемой организацией и (или) ее работниками информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), полученной от фонда в соответствии с настоящим Федеральным законом и другими федеральными законами, фонд и привлекаемая организация несут ответственность в соответствии с законодательством Российской Федерации.
Требования частей седьмой - четырнадцатой настоящей статьи не распространяются на случаи передачи информации, предусмотренные частями пятой и шестой настоящей статьи.
Фонд обязан хранить с использованием информационных систем и их компонентов сведения о совершенных операциях (сделках) в части осуществления деятельности по негосударственному пенсионному обеспечению и формированию долгосрочных сбережений в течение не менее пяти лет с момента их совершения.».