IT-аутсорсинг в банках: кто ответит за утечку данных и что будет с договором, если ЦБ запретит работу подрядчика?

В предыдущем посте я рассказала о новых правилах IT-аутсорсинга на финансовом рынке, предусмотренных законом. Но есть еще одна сторона этих изменений, не менее интересная для IT-компаний, - договорные риски.

Представим ситуацию. IT-компания обслуживает информационные системы банка, имеет доступ к банковской тайне и персональным данным клиентов. Произошел инцидент, часть информации раскрыта, банк понес расходы и предъявил требования подрядчику.

Кто и за что будет отвечать?

Закон прямо предусматривает обязанность поставщиков услуг и их должностных лиц сохранять банковскую тайну, а за ее разглашение - ответственность, включая возмещение причиненного ущерба.

Но это не означает, что любые расходы банка автоматически можно взыскать с IT-компании. По общим правилам ГК РФ необходимо учитывать основание ответственности, нарушение обязательства, причинную связь и размер убытков. А также то, какие обязанности по защите информации приняла на себя каждая сторона.

Например, подрядчик отвечает за безопасность своей инфраструктуры, но банк самостоятельно управляет правами доступа отдельных пользователей. Если инцидент произошел из-за ошибочных действий сотрудников банка, вопрос об ответственности исполнителя уже не так очевиден.

Поэтому особенно опасны договоры, в которых подрядчик отвечает за любые инциденты и все их последствия независимо от причин возникновения.

Еще один момент - обязанность оперативно сообщать об инцидентах. Само уведомление не решает проблему. Важно определить, кто расследует происшествие, обеспечивает сохранность доказательств, устраняет последствия и взаимодействует с регулятором. Иначе после инцидента стороны могут потратить больше времени на выяснение, кто что должен делать, чем на устранение самой проблемы.

Не менее интересная ситуация с операционным аудитом и проверками.

Закон предусматривает ежегодный аудит подрядчика и передачу его результатов финансовой организации и Банку России. Но обязательный аудит и право банка проводить собственные проверки - не одно и то же.

Если в договоре написать, что заказчик вправе в любое время проверять соблюдение всех требований информационной безопасности, последствия для исполнителя могут оказаться весьма неприятными. Особенно если подрядчик одновременно обслуживает несколько финансовых организаций.

Один банк требует предоставить документы, другой - организовать проверку инфраструктуры, третий - провести дополнительное тестирование. И все это в рамках уже согласованной стоимости услуг.

Поэтому в договоре необходимо разграничить обязательные проверки и дополнительные контрольные мероприятия, определить их предмет, порядок проведения, объем предоставляемой информации и распределение расходов.

Причем право на проверку не должно превращаться в право бесконтрольного доступа ко всей инфраструктуре IT-компании, особенно если она используется для обслуживания других клиентов.

Но самый серьезный риск, на мой взгляд, связан с полномочиями Банка России.

Закон предусматривает возможность запрета обработки информации с использованием систем подрядчика при наличии установленных оснований.

Представим, что IT-компания несколько лет обслуживает банк. Под конкретный проект закуплено оборудование, сформирована команда, разработаны специальные решения. И вдруг дальнейшая обработка данных с использованием ее систем оказывается запрещена.

Что будет с договором?

Сам по себе запрет регулятора не означает автоматического прекращения договора или освобождения сторон от всех обязательств. Но продолжать запрещенную обработку информации нельзя.

Банку необходимо обеспечить непрерывность своих процессов, а подрядчику - решить, что делать с обязательствами, которые он больше не может исполнять в прежнем порядке.

И здесь значение приобретают условия, о которых при заключении обычного договора IT-аутсорсинга стороны иногда даже не задумываются.

Кто организует перенос данных к другому исполнителю? В какие сроки? За чей счет? Что происходит с оплатой уже выполненных работ и услуг? Кто несет расходы на временную инфраструктуру?

И главное - кто отвечает за последствия запрета, если он возник из-за нарушений подрядчика, а кто - если причины находятся на стороне банка?

Это принципиально разные ситуации. В первом случае у заказчика могут возникнуть основания для предъявления требований к исполнителю. Во втором - перекладывать все последствия на подрядчика было бы как минимум спорно.

При этом даже если запрет вызван обстоятельствами, за которые не отвечает ни одна из сторон, вопрос о судьбе договора и взаимных расчетах все равно придется решать.

Именно поэтому условия о приостановлении услуг, досрочном прекращении договора, передаче данных и распределении расходов становятся не формальностью, а существенным инструментом управления рисками.

Здесь важно не смешивать два вопроса: соблюдение обязательных требований Банка России и гражданско-правовые последствия нарушения договора. Стороны не могут договором отменить требования регулятора. Но могут заранее определить свои обязанности, порядок взаимодействия и имущественные последствия различных ситуаций в пределах, допускаемых законом.

На мой взгляд, главный риск для IT-компаний заключается в том, что банки будут стремиться максимально переложить на подрядчиков последствия любых нарушений, инцидентов и регуляторных ограничений. При этом далеко не всеми обстоятельствами, способными привести к таким последствиям, управляет сам подрядчик.

И особенно уязвимыми могут оказаться небольшие IT-компании, которые заинтересованы в крупном заказчике и готовы согласовать практически любые предложенные им условия.

Но высокая стоимость контракта еще не означает, что он выгоден, если потенциальная ответственность исполнителя несопоставима с размером вознаграждения и объемом его реальных полномочий.

А вы бы согласились на договор, по которому отвечаете за непрерывность работы банковских систем и последствия регуляторных запретов, но не можете самостоятельно контролировать все обстоятельства, от которых они зависят?

Если эта публикация вас вдохновила и вы хотите поддержать автора — не стесняйтесь нажать на кнопку