Статья 9.
Статью 9 Федерального закона от 30 декабря 2004 года № 218-ФЗ «О кредитных историях» (Собрание законодательства Российской Федерации, 2005, № 1, ст. 44; 2014, № 26, ст. 3395; 2020, № 31, ст. 5061) дополнить частями 7 - 15 следующего содержания:
«7. Бюро кредитных историй в соответствии с порядком и требованиями, которые установлены Банком России на основании статьи 76.9-6-1 Федерального закона от 10 июля 2002 года № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)», вправе поручить по истечении 60 дней, следующих за днем направления уведомления в Банк России в соответствии с частью 8 настоящей статьи, при отсутствии решения Банка России, принятого на основании пункта 1 части четвертой статьи 76.9-6-1 Федерального закона от 10 июля 2002 года № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)», организации, указанной в части 9 настоящей статьи (далее для целей настоящей статьи - привлекаемая организация), с учетом ограничений, установленных законодательством Российской Федерации, осуществление сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) с использованием информационных систем и их компонентов, принадлежащих на законном основании привлекаемым организациям и находящихся на территории Российской Федерации, на основании заключенного в соответствии с гражданским законодательством с привлекаемой организацией договора. Бюро кредитных историй вправе поручить привлекаемой организации осуществление сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения персональных данных в соответствии с настоящей частью без согласия субъектов персональных данных при условии соответствия договора, предусмотренного настоящей частью, требованиям части 3 статьи 6 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных». Привлекаемая организация, которой бюро кредитных историй поручило осуществлять указанные в настоящей части действия с информацией ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), осуществляет с такой информацией только те действия, которые соответствуют правам и обязанностям данного бюро кредитных историй при обработке такой информации.
8. Бюро кредитных историй обязано уведомить Банк России о намерении поручить привлекаемой организации осуществление указанных в части 7 настоящей статьи действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) до такого поручения. К уведомлению, указанному в настоящей части, прилагаются заключение и (или) отчет организации, которая имеет лицензии федерального органа исполнительной власти, уполномоченного в области противодействия техническим разведкам и технической защиты информации, и (или) федерального органа исполнительной власти, уполномоченного в области обеспечения безопасности, полученные в порядке, предусмотренном законодательством Российской Федерации, и соответствует требованиям, установленным на основании пункта 2 части первой статьи 76.9-6-1 Федерального закона от 10 июля 2002 года № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)», а также в соответствии с требованиями, установленными на основании статьи 76.9-6-1 Федерального закона от 10 июля 2002 года № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)», проводит операционный аудит привлекаемой организации, включая оценку соответствия привлекаемой организации установленным на основании пункта 1 части первой статьи 76.9-6-1 Федерального закона от 10 июля 2002 года № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)» требованиям к обеспечению защиты информации и требованиям к операционной надежности (далее для целей настоящей статьи - проверяющая организация). Указанное уведомление направляется в форме электронного документа, подписывается усиленной квалифицированной электронной подписью уполномоченного лица и должно содержать следующие сведения:
1) наименование, адрес бюро кредитных историй;
2) фамилии, имена, отчества (при наличии), номера контактных телефонов, адреса электронной почты работников привлекаемой организации, которые осуществляют функции по обеспечению информационной безопасности привлекаемой организации, а также специальных должностных лиц привлекаемой организации, ответственных за обеспечение сохранности информации ограниченного доступа;
3) наименование привлекаемой организации, которой планируется поручить осуществление указанных в части 7 настоящей статьи действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне);
4) сведения, подтверждающие соответствие привлекаемой организации требованиям, установленным статьей 76.9-6-1 Федерального закона от 10 июля 2002 года № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)», и соответствие проверяющей организации требованиям, установленным на основании статьи 76.9-6-1 Федерального закона от 10 июля 2002 года № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)».
9. Под привлекаемыми организациями понимаются организации, осуществляющие деятельность в области информационных технологий, аккредитованные в порядке, установленном законодательством Российской Федерации, бюро кредитных историй, которые находятся под контролем Российской Федерации, и (или) субъекта Российской Федерации, и (или) муниципального образования, и (или) гражданина Российской Федерации, не имеющего гражданства другого государства, и (или) контролируемых ими совместно или по отдельности лиц. Для целей настоящей статьи под контролем понимается возможность определять решения, принимаемые бюро кредитных историй, указанными в настоящей части, в силу наличия права прямо или косвенно распоряжаться более чем пятьюдесятью процентами общего количества голосов, приходящихся на голосующие акции (доли), составляющие уставный капитал данных бюро кредитных историй.
10. Привлекаемая организация и ее работники обязаны обеспечить защиту информации ограниченного доступа, полученной от бюро кредитных историй в соответствии с настоящим Федеральным законом и другими федеральными законами (за исключением сведений, отнесенных к государственной тайне), и в случае ее разглашения несут ответственность в соответствии с законодательством Российской Федерации и договором, заключенным в соответствии с гражданским законодательством между привлекаемой организацией и бюро кредитных историй.
11. Привлекаемая организация в соответствии с требованиями, установленными на основании статьи 76.9-6-1 Федерального закона от 10 июля 2002 года № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)», осуществляет внутренний контроль и ежегодно проводит операционный аудит, включая оценку соответствия привлекаемой организации установленным на основании пункта 1 части первой статьи 76.9-6-1 Федерального закона от 10 июля 2002 года № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)» требованиям к обеспечению защиты информации, с привлечением проверяющей организации. Подготовленные по результатам проведения операционного аудита привлекаемой организации заключение и (или) отчет проверяющей организации направляются в бюро кредитных историй, которое поручило привлекаемой организации в соответствии с частью 7 настоящей статьи осуществление действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), привлекаемую организацию, а также в Банк России.
12. Привлекаемая организация обязана уведомить бюро кредитных историй, которое поручило привлекаемой организации в соответствии с частью 7 настоящей статьи осуществление действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), о намерении расторгнуть договор, предусмотренный частью 7 настоящей статьи, не позднее шести месяцев до предполагаемой даты расторжения этого договора и обеспечить сохранность такой информации до момента ее передачи указанному бюро кредитных историй. Бюро кредитных историй, которое в соответствии с частью 7 настоящей статьи поручило привлекаемой организации осуществление действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), до предполагаемой даты расторжения договора, предусмотренного частью 7 настоящей статьи, обязано принять от привлекаемой организации ранее переданную ей указанным бюро кредитных историй информацию ограниченного доступа.
13. Договором, указанным в части 7 настоящей статьи, должны быть предусмотрены:
1) порядок направления привлекаемой организацией в бюро кредитных историй на ежеквартальной основе информации о соблюдении целевых показателей оказания услуг привлекаемой организацией в части обеспечения защиты информации, а также состав такой информации;
2) формы и порядок направления привлекаемой организацией в бюро кредитных историй информации об инцидентах, связанных с нарушением требований к обеспечению защиты информации, которые произошли в период деятельности привлекаемой организации, осуществляемой на основании указанного договора, в течение двух часов с момента их выявления привлекаемой организацией;
3) ответственность привлекаемой организации и ее работников за разглашение полученной от бюро кредитных историй в соответствии с настоящим Федеральным законом и другими федеральными законами информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне);
4) порядок направления уведомления, предусмотренного частью 12 настоящей статьи.
14. В случае разглашения привлекаемой организацией и (или) ее работниками информации ограниченного доступа, полученной от бюро кредитных историй в соответствии с настоящим Федеральным законом и другими федеральными законами (за исключением сведений, отнесенных к государственной тайне), бюро кредитных историй и привлекаемая организация несут ответственность в соответствии с законодательством Российской Федерации.
15. Требования частей 7 - 14 настоящей статьи не распространяются на случаи заключения договоров, предусмотренные частью 3 настоящей статьи.».