Меры защиты клиентских данных, которые можно показать регулятору и банку

Конкретного перечня программ или настроек в статье нет. Уровень мер определяется по состоянию техники, затратам, характеру обработки и риску для людей, прежде всего от случайного или незаконного уничтожения, потери, изменения и несанкционированного раскрытия данных (ст. 32(2)).

Что это значит для финтеха

• Шифрование KYC-архива, баз клиентов и резервных копий, управление ключами отдельно от данных.
• Доступы: минимальные права, MFA, журнал доступа к карточкам клиентов, отзыв прав при увольнении.
• Восстановление: копии, отделённые от основной сети и учётных записей, и проверка восстановления с записанным результатом.
• Проверка мер: регулярное тестирование и пересмотр, с датами и выводами.

Соблюдение одобренного кодекса поведения или сертификации по статьям 40 и 42 может служить одним из доказательств соответствия (ст. 32(3)). Это дополнение к самим мерам, их наличие всё равно проверяется.

Для холдинга с компаниями в нескольких юрисдикциях мы строим одну карту мер и отмечаем, какая мера закрывает какое требование. Сами меры совпадают; различаются документы и сроки уведомлений.

Хранение KYC-документов: GDPR и PDPA

GDPR разрешает хранить данные в форме, позволяющей идентифицировать человека, не дольше, чем нужно для цели обработки (ст. 5(1)(e)). Срок хранения KYC-документов задаёт законодательство о противодействии отмыванию денег той страны, где у вас лицензия. PDPA прямо требует прекратить хранение или обезличить данные, как только цель больше не достигается и хранение не нужно для юридических или деловых целей (ст. 25).

Мы настраиваем техническую сторону: где лежит архив, кто к нему имеет доступ, как удаляются записи по истечении срока и как это видно в журнале. Срок для каждой категории документов определяет ваш комплаенс; связь с требованиями ПОД/ФТ ведёт наша практика комплаенса.

У финтеха обработчиков много: KYC-провайдер, облачный хостинг, CRM, платёжный процессинг, служба поддержки. Мы проверяем, что каждый договор содержит обязательство о мерах безопасности, что поставщик может их показать и что в вашей документации меры описаны одинаково.

Описание мер (TOMs)

Один документ с описанием мер, привязанный к реальным настройкам, служит сразу нескольким целям: приложение к договорам обработки, раздел реестра, ответ на анкету банка и материал к лицензионной заявке. Мы пишем его по фактическим настройкам и обновляем после исправлений.

DPIA проводит контролёр, привлекая DPO, если он назначен. Мы готовим её техническую часть: описание систем и потоков данных, оценку рисков безопасности и меры, которые их снижают. Правовую часть, включая основания обработки и необходимость DPIA в вашем случае, оценивают DPO и юрист.

Перед запуском нового продукта, например онлайн-онбординга с проверкой лица, мы смотрим архитектуру: какие данные собираются, где хранятся, кто их видит и как удаляются. Если утечка всё же произошла, порядок действий описан на странице реагирование на инциденты.