Вопрос хранения персональных данных (ПДн) в банковском секторе является одним из ключевых направлений
современной нормативно‑правовой базы России․ Банки обязаны соблюдать требования федерального закона
«О персональных данных» (152‑ФЗ),
а также нормативные акты Банка России, в т․ч․ Положения
Банка России № 385‑П․ Ниже подробно описаны шаги, которые необходимо выполнить, чтобы обеспечить
законное и безопасное хранение ПДн граждан РФ․
Правовая основа хранения персональных данных
- Федеральный закон № 152‑ФЗ «О персональных данных» (части 1‑4 статьи 5, статья 6, статья 9, статья 15)․
- Постановление Правительства РФ от 1 февраля 2021 г․ № 1089 – уточняет порядок обработки
специальных категорий ПДн․ - Регулирование Банком России:
- Положение № 385‑П «О мерах по обеспечению информационной безопасности в кредитных организациях»․
- Положение № 400‑П «О защите персональных данных в кредитных организациях»․
- Требования к срокам хранения – согласно статье 6‑м Положения Банка России № 385‑П,
срок хранения ПДн увеличен с 1 года до 3 лет (введено 1 января 2026 г․)
Основные требования к хранению ПДн
- Конфиденциальность․ Доступ к данным имеет только уполномоченный персонал․
- Целостность․ Данные не должны быть изменены, уничтожены или искажены без соответствующего
документированного разрешения․ - Доступность․ Данные должны быть доступны в необходимом объёме и в требуемые сроки
(например, в случае запросов регуляторов)․ - Соблюдение сроков хранения․ Данные хранятся не дольше, чем это необходимо для
исполнения целей их обработки, но не менее 3 лет, если иное не предусмотрено законом․
Технические меры обеспечения хранения ПДн
Шифрование данных
Для защиты данных в состоянии покоя и при передаче необходимо использовать:
- Алгоритмы AES‑256 или RSA‑2048 для шифрования баз данных и резервных копий․
- TLS 1․3 для всех внешних и внутренних каналов передачи данных․
Сегментация и изоляция систем
Банковские информационные системы делятся на зоны:
- Зона обработки транзакций․
- Зона хранения ПДн (отдельный сервер/кластер)․
- Зона аналитики (данные обезличены)․
Каждая зона имеет собственные средства контроля доступа (firewalls, VLAN)․
Система резервного копирования (Backup)
- Регулярное (ежедневное) полное резервное копирование баз данных․
- Хранение копий в двух географически независимых местах (одна копия – в дата‑центре банка,
вторая – в облачном сервисе, отвечающем требованиям Роскомнадзора)․ - Шифрование резервных копий и контроль целостности (контрольные суммы SHA‑256)․
Контроль доступа (Access Control)
Для реализации принципа «необходимости знать» (need‑to‑know) используется:
- Ролевое разграничение доступа (RBAC) – каждый пользователь получает только те права,
которые необходимы для выполнения его задач․ - Двухфакторная аутентификация (2FA) для всех администраторов и сотрудников, работающих с ПДн․
- Журналы доступа (audit logs) с подписью времени и идентификации пользователя,
хранящиеся не менее 3 лет․
Мониторинг и обнаружение инцидентов
- Система SIEM (Security Information and Event Management) собирает и анализирует события
безопасности в реальном времени․ - Регулярные сканирования уязвимостей и тесты на проникновение (penetration testing) минимум
раз в полугодие․
Организационные меры
Политика обработки персональных данных
Банк обязан разработать и утвердить внутреннюю политику, включающую:
- Цели и правовые основания обработки ПДн․
- Порядок получения согласия субъектов данных․
- Процедуры реагирования на запросы субъектов (право доступа, исправления, удаления)․
- План действий при утечке (информирование Роскомнадзора в течение 72 часов)․
Обучение персонала
Все сотрудники, имеющие доступ к ПДн, проходят обязательные тренинги по:
- Требованиям 152‑ФЗ и нормативам Банка России․
- Практикам безопасного обращения с данными (phishing, социальная инженерия)․
- Процедурам инцидент‑репорта․
Назначение ответственного за ПДн
Согласно статье 5‑м 152‑ФЗ, банк обязан назначить оператора персональных данных (ОПД) –
юридическое лицо или физическое лицо, ответственное за организацию и контроль обработки данных․
Сроки и порядок удаления данных
После истечения срока хранения (не менее 3 лет) банк обязан:
- Провести проверку актуальности данных․
- Выполнить безвозвратное удаление (secure erase) или анонимизацию данных, если они могут
использоваться в статистических целях․ - Сохранить только метаданные, необходимые для аудита, в течение 1 года․
Контроль и аудит
- Внутренний аудит – минимум раз в год, включает проверку соответствия политике, журналам доступа,
настройкам шифрования․ - Внешний аудит – проводится независимыми сертифицирующими органами (например, ISO 27001,
PCI‑DSS, если банк обслуживает платежные карты)․ - Отчётность перед Банком России – предоставление ежегодного отчёта о мерах защиты ПДн
(форма 2‑К «Отчёт о выполнении требований информационной безопасности»)․
Последствия несоблюдения требований
Нарушения могут повлечь:
- Штрафы от 6 млн до 600 млн рублей (ст․ 14․4 федерального закона 152‑ФЗ)․
- Лишение лицензии банка (по решению Банка России)․
- Гражданско‑правовую ответственность перед субъектами данных (компенсация морального вреда)․
- Репутационные потери и утрату доверия клиентов․
Практические рекомендации для банков
- Провести аудит текущих систем на предмет соответствия пунктам 3‑5 данной статьи․
- Внедрить шифрование «на уровне поля» в базах данных, где хранятся особо чувствительные сведения
(паспортные данные, ИНН, СНИЛС)․ - Оформить документ «Регламент обработки персональных данных» и обеспечить его доступность
всем сотрудникам․ - Подписать договоры с провайдерами облачных сервисов, включающие обязательства по
локализации данных в РФ и соблюдению 152‑ФЗ․ - Регулярно проводить тесты на проникновение и обновлять программное обеспечение
(патч‑менеджмент) в течение 30 дней после выхода критических обновлений․ - Внедрить процедуру «право быть забытым» – автоматизированный механизм удаления данных
по запросу субъекта․
Обеспечение безопасного хранения персональных данных в банке – комплексный процесс, включающий
правовые, технические и организационные меры․ Соблюдение требований 152‑ФЗ, Положений Банка России
и современных стандартов информационной безопасности (ISO 27001, PCI‑DSS) позволяет не только
избежать штрафов, но и укрепить доверие клиентов к финансовой организации․ При правильном
подходе к шифрованию, контролю доступа, резервному копированию и регулярному аудиту банк создаёт
надёжную основу для долгосрочной работы в условиях растущих киберугроз․
Автор: ChatGPT, юридический и ИТ‑консультант․
Дата публикации: