Защита персональных данных в банке: принципы и ответственность

Оборотные штрафы за утечки достигают 500 млн рублей, что могут сильно ударить по бюджету финансовой организации. Мы расскажем, кто отвечает за защиту персональных данных в банке, какие меры защиты обязательны и какие санкции ждут за нарушения. 

Кто отвечает за защиту персональных данных клиентов в банке

Первичная ответственность лежит на банке как на операторе персональных данных (ст. 19 Федерального закона № 152-ФЗ). Именно банк определяет цели обработки и обязан обеспечить безопасность данных клиентов.

Банк России осуществляет надзор и устанавливает обязательные требования к защите персональных данных в банке. Ключевой документ — Положение № 851-П от 30.01.2025, которое предписывает меры защиты информации при банковской деятельности и противодействии переводам без согласия клиента. Также действуют Условия по защите информации от 21.01.2026 для обмена электронными сообщениями с платежной системой ЦБ.

Меры защиты персональных данных в банке

Защита данных в банке строится на сочетании организационных, технических и криптографических мер, закрепленных в ГОСТ Р 57580.1-2017 и Положении ЦБ № 851-П.

Организационные меры:

• Назначение администратора информационной безопасности (АИБ) и администратора ключевой системы — лиц, ответственных за администрирование средств защиты и управление криптографическими ключами.
• Внедрение непрерывного цикла управления PDCA (Plan-Do-Check-Act) для постоянного мониторинга, анализа и актуализации защитных мер — регулятор требует перехода от формального соответствия к динамичной системе управления рисками.

Технические меры:

• Идентификация и аутентификация пользователей, в том числе многофакторная, с обязательной блокировкой учетных записей после ряда неудачных попыток доступа.
• Применение средств криптографической защиты информации (СКЗИ) класса не ниже КС3 для обеспечения конфиденциальности электронных сообщений.

Также обязательно уведомление Банка России обо всех инцидентах и предоставление сведений о принятых мерах, проведенных мероприятиях по реагированию.

Изменения 2026 года в финансовом секторе

Помимо общих требований к защите ПДн, в 2026 году финансовый сектор столкнулся с рядом специфических нововведений, которые напрямую затрагивают операторов персональных данных в этой сфере.

• Утверждены отраслевые особенности категорирования объектов КИИ в банковской сфере и иных сферах финансового рынка. Постановление Правительства РФ от 06.02.2026 № 92 ввело порядок установления соответствия объектов КИИ критериям значимости и показатели значений для присвоения им категорий (I, II, III) именно в финансовом секторе.
• Введены новые требования к техническим средствам и ПО для значимых карточных платежных систем. Банк России опубликовал новый документ взамен действовавших с 2020 года подходов. Требования охватывают аппаратные модули безопасности (HSM-модули), платежные устройства с терминальным ядром, банкоматы и платежные карты.
• ЦБ РФ предложил обязать операторов перевода денежных средств проводить сертификацию ПО и приложений при каждом изменении исходного кода. Эта инициатива, озвученная в конце апреля 2026 года, может затронуть все финансовые организации, разрабатывающие или модифицирующие собственное программное обеспечение.
• Подготовлен закрытый рэнкинг крупных банков по уязвимости перед дропперами. Банк России сформировал и разослал участникам рынка антирэнкинг на основе данных об объемах переводов и количестве дропперов в клиентской базе. Регулятор рассматривает возможность его открытой публикации для повышения мотивации банков к борьбе с мошенничеством.

Ответственность за необеспечение защиты персональных данных в банке

Банк как оператора ПДн могут привлечь за любое нарушение ФЗ №152-ФЗ, но самые серьезные штрафы предусмотрены за утечку (ст. 13.11 КоАП РФ):

Банки с 2025 года выступают за смягчение санкций, предлагая за повторную утечку фиксированный штраф в 15-30 млн рублей, однако пока действуют прежние нормы.