Требования к защите платёжной информации расширили на новых участников
С 17 декабря 2022 года положение о защите платёжной информации распространили на дополнительные категории. В их числе поставщики платёжных приложений.
Что произошло
Постановлением от 8 декабря 2022 года № 2250 Правительство расширило круг участников, на которых распространяется положение о защите информации в платёжной системе. Изменение вступило в силу 17 декабря.
К существовавшим адресатам добавили операторов услуг информационного обмена, поставщиков платёжных приложений и операторов электронных платформ. Положение затрагивает информацию о средствах и методах безопасности, персональные данные и другую информацию, подлежащую обязательной защите по закону.
Что это значит для бизнеса
Для технологической компании важна её роль в платёжной цепочке. Участник может не быть банком, но относиться к новой категории адресатов требований. Поэтому отсутствие банковской лицензии само по себе не отвечает на вопрос о применении положения.
В то же время не любой сайт с кнопкой оплаты является оператором электронной платформы в смысле платёжного законодательства. Правовой статус устанавливается по функциям и соответствующим определениям. Требования нужно сопоставлять с тем, что компания действительно делает и к каким данным имеет доступ.
Как использовать этот вывод
Опишите путь платёжной информации: кто передаёт сведения, предоставляет приложение, обрабатывает данные и обеспечивает инфраструктуру. Для каждого участника укажите роль и договорные обязанности по защите.
После определения статуса проверьте применимые требования и фактические меры безопасности. Согласование ответственности с партнёром полезно, но не заменяет собственные обязанности, если компания сама относится к адресатам положения.