Постановление Правления Национального Банка Республики Казахстан от 28 ноября 2019 года № 217 «Об утверждении Правил предоставления микрокредитов электронным способом» (с изменениями и дополнениями по состоянию на 01.10.2024 г.)

Постановление Правления Национального Банка Республики Казахстан от 28 ноября 2019 года № 217
Об утверждении Правил предоставления микрокредитов электронным способом

(с изменениями и дополнениями по состоянию на 01.10.2024 г.)

Преамбула изложена в редакции постановления Правления Агентства РК по регулированию и развитию финансового рынка от 30.10.23 г. № 81 (введены в действие с 18 ноября 2023 г.) (см. стар. ред.)

В соответствии с Законом Республики Казахстан «О микрофинансовой деятельности» Правление Национального Банка Республики Казахстан ПОСТАНОВЛЯЕТ:

1. Утвердить прилагаемые Правила предоставления микрокредитов электронным способом.

2. Департаменту методологии и регулирования финансовых организаций в установленном законодательством Республики Казахстан порядке обеспечить:

1) совместно с Юридическим департаментом государственную регистрацию настоящего постановления в Министерстве юстиции Республики Казахстан;

2) размещение настоящего постановления на официальном интернет-ресурсе Национального Банка Республики Казахстан после его официального опубликования;

3) в течение десяти рабочих дней после государственной регистрации настоящего постановления представление в Юридический департамент сведений об исполнении мероприятий, предусмотренных подпунктом 2) настоящего пункта и пунктом 3 настоящего постановления.

3. Департаменту внешних коммуникаций - пресс-службе Национального Банка обеспечить в течение десяти календарных дней после государственной регистрации настоящего постановления направление его копии на официальное опубликование в периодические печатные издания.

4. Контроль за исполнением настоящего постановления возложить на заместителя Председателя Национального Банка Республики Казахстан Смолякова О.А.

5. Настоящее постановление вводится в действие с 1 января 2020 года и подлежит официальному опубликованию.

Правила изложены в редакции постановления Правления Агентства РК по регулированию и развитию финансового рынка от 30.10.23 г. № 81 (введены в действие с 18 ноября 2023 г.) (см. стар. ред.)

Утверждены постановлением

Правления Национального Банка

Республики Казахстан

от 28 ноября 2019 года № 217

Правила предоставления микрокредитов электронным способом

Глава 1. Общие положения

1. Настоящие Правила предоставления микрокредитов электронным способом (далее - Правила) разработаны в соответствии с пунктом 3-1 статьи 3 Закона Республики Казахстан «О микрофинансовой деятельности» (далее - Закон) и определяют порядок предоставления микрокредитов электронным способом.

В пункт 2 внесены изменения в соответствии с постановлением Правления Агентства РК по регулированию и развитию финансового рынка от 16.08.24 г. № 58 (введено в действие со 2 сентября 2024 г.) (см. стар. ред.)

2. В Правилах используются понятия, предусмотренные Законом, а также следующие понятия:

1) автоматизированная информационная система - информационная система микрокредитования, автоматизирующая предоставление микрокредитов электронным способом в организации, осуществляющей микрофинансовую деятельность;

2) аутентификация - процедура проверки подлинности клиента, электронных сообщений и иных документов, в том числе электронных копий документов, необходимых для предоставления микрокредита, а также определяющих клиента и содержание его волеизъявления;

3) задолженность - сумма долга по микрокредиту, включая суммы остатка основного долга, начисленное, но не уплаченное вознаграждение, неустойку (штрафы, пени), предусмотренные договором о предоставлении микрокредита, заключенным с заемщиком;

4) биометрическая идентификация - комплекс мер, идентифицирующих личность на основании физиологических и биологических неизменных признаков;

5) одноразовый пароль - пароль, действительный только для одного сеанса аутентификации субъектов получения услуг в электронной форме;

6) исключен в соответствии с постановлением Правления Агентства РК по регулированию и развитию финансового рынка от 16.08.24 г. № 58 (введено в действие со 2 сентября 2024 г.) (см. стар. ред.)

7) личный кабинет - многофункциональный защищенный сервис автоматизированной информационной системы, обеспечивающий взаимодействие между организацией, осуществляющей микрофинансовую деятельность, и клиентом;

8) клиент - физическое или юридическое лицо, заключившее с организацией, осуществляющей микрофинансовую деятельность, договор о предоставлении микрокредита или подавшее (намеревающееся подать) заявление на получение микрокредита;

9) идентификация клиента - процедура предоставления клиентом своих идентификационных данных с целью проведения дальнейшей его аутентификации;

10) мобильное приложение - программный продукт, используемый на абонентском устройстве сотовой связи и предоставляющий доступ к личному кабинету посредством услуг сотовой связи или интернета;

11) идентификатор - уникальный цифровой, буквенный или содержащий иные символы код, присваиваемый клиенту для входа в личный кабинет;

12) центр обмена идентификационными данными (ЦОИД) - операционный центр межбанковской системы переводов денег, обеспечивающий взаимодействие с финансовыми организациями по обмену данными клиентов из доступных источников для проведения процедур идентификации клиентов;

13) смарт-карта - пластиковая карта со встроенной микросхемой;

14) терминал - электронно-механическое устройство, предназначенное для осуществления операций, связанных с предоставлением микрокредитов;

15) токен - устройство, предназначенное для обеспечения информационной безопасности пользователя, а также для идентификации его владельца, безопасного удаленного доступа к информационным ресурсам;

16) уполномоченный орган - государственный орган, осуществляющий государственное регулирование, контроль и надзор финансового рынка и финансовых организаций;

17) веб-портал «электронного правительства» - информационная система, представляющая собой единое окно доступа ко всей консолидированной правительственной информации, включая нормативную правовую базу, и к государственным услугам, услугам по выдаче технических условий на подключение к сетям субъектов естественных монополий и услугам субъектов квазигосударственного сектора, оказываемым в электронной форме.

Глава 2. Предоставление микрокредитов электронным способом

3. Операции, связанные с предоставлением микрокредитов электронным способом, осуществляются с использованием автоматизированной информационной системы, соответствующей требованиям главы 3 настоящих Правил, в личном кабинете клиента на интернет-ресурсе, в мобильном приложении и (или) терминалах организации, осуществляющей микрофинансовую деятельность.

4. За 10 (десять) рабочих дней до открытия интернет-ресурса, мобильного приложения и (или) терминала, посредством которых осуществляется предоставление микрокредитов электронным способом, организация, осуществляющая микрофинансовую деятельность, уведомляет об этом уполномоченный орган.

Уведомление, направляемое в уполномоченный орган, содержит:

1) наименование интернет-ресурса, мобильного приложения и (или) место нахождения терминала организации, осуществляющей микрофинансовую деятельность;

2) перечень услуг (операций), которые возможно предоставлять посредством интернет-ресурса, мобильного приложения и (или) терминала организации, осуществляющей микрофинансовую деятельность;

3) информацию о наличии у организации, осуществляющей микрофинансовую деятельность, утвержденных процедур безопасности и защиты информации от несанкционированного доступа при предоставлении услуг посредством интернет-ресурса, мобильного приложения и (или) терминала, с приложением подтверждающих документов.

5. При изменении информации, содержащейся в уведомлении, указанном в пункте 4 Правил, организация, осуществляющая микрофинансовую деятельность, за 10 (десять) рабочих дней до осуществления таких изменений уведомляет об этом уполномоченный орган.

Пункт 6 изложен в редакции постановления Правления Агентства РК по регулированию и развитию финансового рынка от 16.08.24 г. № 58 (введено в действие со 2 сентября 2024 г.) (см. стар. ред.); постановления Правления Агентства РК по регулированию и развитию финансового рынка от 27.09.24 г. № 77 (введено в действие с 1 октября 2024 г., действует до 1 января 2025 г.) (см. стар. ред.)

6. Для регистрации в личном кабинете клиент - физическое лицо вводит (прикрепляет) следующие данные:

фамилию, имя, отчество (при его наличии), указанные в документе, удостоверяющем личность, за исключением свидетельства о рождении;

индивидуальный идентификационный номер;

номер и срок действия документа, удостоверяющего личность, за исключением свидетельства о рождении;

абонентский номер устройства сотовой связи;

фотография лица в анфас на светлом фоне, с нейтральным выражением лица и закрытым ртом.

Для регистрации в личном кабинете клиент - юридическое лицо вводит (прикрепляет) следующие данные (документы в сканированном виде):

приказ о назначении руководителя исполнительного органа юридического лица или доверенность, подтверждающая полномочия лица, уполномоченного подписывать договор о предоставлении микрокредита;

фамилию, имя, отчество (при его наличии), указанные в документе, удостоверяющем личность, за исключением свидетельства о рождении, лица, уполномоченного подписывать договор о предоставлении микрокредита;

бизнес идентификационный номер клиента - юридического лица;

индивидуальный идентификационный номер лица, уполномоченного подписывать договор о предоставлении микрокредита;

номер и срок действия документа, удостоверяющего личность, за исключением свидетельства о рождении, лица, уполномоченного подписывать договор о предоставлении микрокредита;

абонентский номер устройства сотовой связи клиента - юридического лица;

фотография клиента в анфас на светлом фоне, с нейтральным выражением лица и закрытым ртом, уполномоченного подписывать договор о предоставлении микрокредита.

Организация, осуществляющая микрофинансовую деятельность, для подтверждения регистрации клиента осуществляет сверку данных, предоставленных:

клиентом - физическим лицом: фамилию, имя, отчество (при его наличии), индивидуальный идентификационный номер и фотографию клиента;

клиентом - юридическим лицом: фамилию, имя, отчество (при его наличии) и фотографию лица, указанные в документе, удостоверяющим личность, за исключением свидетельства о рождении, лица, уполномоченного подписывать договор о предоставлении микрокредита.

При регистрации клиента в личном кабинете применяется биометрическая идентификация посредством использования услуг ЦОИД или по биометрическим данным, полученным посредством устройств организации, осуществляющей микрофинансовую деятельность и (или) электронная цифровая подпись клиента, представленная аккредитованным удостоверяющим центром Республики Казахстан.

При регистрации клиента-физического лица, зарегистрированного в качестве индивидуального предпринимателя, применение электронной цифровой подписи не требуется.

После регистрации клиента в личном кабинете последующий допуск клиента к личному кабинету осуществляется путем генерации и (или) ввода паролей или с использованием не менее одного из аутентификационных признаков (токенов, смарт-карт, одноразовых паролей).

Внесение изменений в данные об абонентском номере устройства сотовой связи клиента или реквизитов банковского счета (за исключением предоставления микрокредитов посредством терминалов), осуществляется в личном кабинете клиента с применением биометрической идентификации посредством использования услуг ЦОИД или с использованием биометрических данных клиента, полученных при регистрации клиента посредством устройств организации, осуществляющей микрофинансовую деятельность и (или) электронной цифровой подписи клиента, представленной аккредитованным удостоверяющим центром Республики Казахстан.

В личном кабинете не подлежат изменению данные об индивидуальном идентификационном номере или бизнес-идентификационном номере клиента.

Пункт 7 изложен в редакции постановления Правления Агентства РК по регулированию и развитию финансового рынка от 16.08.24 г. № 58 (введено в действие со 2 сентября 2024 г.) (см. стар. ред.)

7. Личный кабинет должен предоставлять клиенту возможность осуществления следующих, но не ограничиваясь ими, действий:

1) подача клиентом заявления на получение микрокредита;

2) просмотр сведений об организации, осуществляющей микрофинансовую деятельность (юридический и (или) фактический адрес, контактные телефоны, факс, адрес электронной почты и другие сведения), сведений о первом руководителе (фамилия, имя, отчество (при его наличии) организации, осуществляющей микрофинансовую деятельность;

3) просмотр договора (договоров) клиента о предоставлении микрокредита (до и после заключения договора);

4) просмотр информации о ходе и результатах рассмотрения заявления клиента на получение микрокредита;

5) просмотр информации о сумме текущей задолженности клиента по микрокредиту (микрокредитам), предстоящих и фактических платежах клиента, в том числе о сумме основного долга, вознаграждения, неустойки (штрафов, пени);

6) просмотр информации о способах погашения микрокредита клиентом;

7) обмен письмами (сообщениями) между клиентом и организацией, осуществляющей микрофинансовую деятельность.

Пункт 8 изложен в редакции постановления Правления Агентства РК по регулированию и развитию финансового рынка от 29.03.24 г. № 17 (введено в действие с 13 апреля 2024 г.) (см. стар. ред.)

8. До предоставления микрокредита электронным способом организация, осуществляющая микрофинансовую деятельность:

1) осуществляет надлежащую проверку клиента в соответствии с законодательством Республики Казахстан в сфере противодействия легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма и внутренними документами;

2) ознакамливает клиента с правилами предоставления микрокредитов;

3) предоставляет клиенту полную и достоверную информацию о платежах и переводах, связанных с получением, обслуживанием и погашением (возвратом) микрокредита;

4) предоставляет клиенту для ознакомления и выбора метода погашения микрокредита проекты графиков погашения, рассчитанных различными методами (методом дифференцированных платежей, аннуитетных платежей или методом, рассчитанным в соответствии с правилами предоставления микрокредитов);

5) информирует клиента о его правах и обязанностях, связанных с получением микрокредита;

6) запрашивает у клиента способ предоставления микрокредита (посредством выдачи клиенту наличных денег через терминал или кассу, или перевода микрокредита на банковский счет (платежную карточку) клиента или банковский счет юридического лица, с которым у организации, осуществляющей микрофинансовую деятельность, заключен договор, предусматривающий оплату за приобретаемый товар или выполненные работы, услуги заемщиком);

7) запрашивает реквизиты банковского счета (IBAN) и (или) реквизиты платежной карточки клиента, в случае предоставления микрокредита на банковский счет (платежную карточку) клиента;

8) осуществляет проверку на наличие в кредитном отчете информации об установлении клиентом добровольного отказа от получения микрокредита.

Пункт 9 изложен в редакции постановления Правления Агентства РК по регулированию и развитию финансового рынка от 16.08.24 г. № 58 (введено в действие со 2 сентября 2024 г.) (см. стар. ред.); постановления Правления Агентства РК по регулированию и развитию финансового рынка от 27.09.24 г. № 77 (введено в действие с 1 октября 2024 г., действует до 1 января 2025 г.) (см. стар. ред.)

9. Заключение договора о предоставлении микрокредита, внесение изменений и дополнений в договор о предоставлении микрокредита электронным способом между организацией, осуществляющей микрофинансовую деятельность, и клиентом осуществляется с применением биометрической идентификации посредством использования услуг ЦОИД или с использованием биометрических данных клиента, полученных при регистрации клиента посредством устройств организации, осуществляющей микрофинансовую деятельность и (или) электронной цифровой подписи клиента, представленной аккредитованным удостоверяющим центром Республики Казахстан.

При заключении с клиентом-физическим лицом, зарегистрированным в качестве индивидуального предпринимателя договора о предоставлении микрокредита, связанного с осуществлением предпринимательской деятельности, а также при внесении изменений и дополнений в него, применение электронной цифровой подписи не требуется.

Предоставление микрокредита электронным способом осуществляется путем перевода денег с банковского счета организации, осуществляющей микрофинансовую деятельность, на банковский счет (платежную карточку) клиента, а также посредством выдачи клиенту наличных денег через терминал или кассу и (или) перевода микрокредита по заявлению заемщика на банковский счет юридического лица, с которым у организации, осуществляющей микрофинансовую деятельность, заключен договор, предусматривающий оплату за приобретаемый товар или выполненные работы, услуги заемщиком.

Перевод микрокредита по заявлению заемщика на банковский счет юридического лица, с которым у организации, осуществляющей микрофинансовую деятельность, заключен договор, предусматривающий оплату за приобретаемый товар или выполненные работы, услуги заемщиком, осуществляется с применением биометрической идентификации посредством использования услуг ЦОИД или с использованием биометрических данных клиента, полученных при регистрации клиента посредством устройств организации, осуществляющей микрофинансовую деятельность.

Предоставление заемщику микрокредита через кассу осуществляется путем проведения визуальной идентификации клиента, получающего наличные деньги, с документом, удостоверяющим его личность (за исключением свидетельства о рождении) либо данными, подтверждающими (идентифицирующими) личность клиента, полученными посредством сервиса цифровых документов, а также предоставления доверенности, подтверждающей полномочия лица, уполномоченного на получение денег, в случае предоставления микрокредита клиенту - юридическому лицу.

Пункт 10 изложен в редакции постановления Правления Агентства РК по регулированию и развитию финансового рынка от 29.03.24 г. № 17 (введено в действие с 13 апреля 2024 г.) (см. стар. ред.)

10. Организация, осуществляющая микрофинансовую деятельность, отказывает в предоставлении клиенту микрокредита по основаниям, предусмотренным законодательством Республики Казахстан в сфере противодействия легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма, а также при установлении клиентом добровольного отказа от получения микрокредита.

11. Предоставление микрокредитов электронным способом осуществляется в соответствии с внутренними документами организации, осуществляющей микрофинансовую деятельность, предусматривающими выявление искажений и (или) изменений в содержании электронных документов, на основании которых клиенту предоставлен микрокредит электронным способом, а также защиту от несанкционированного доступа к информации, составляющей тайну предоставления микрокредита, и целостность данной информации, включая защиту предоставляемых клиентом идентификационных и аутентификационных данных от повторного несанкционированного использования при получении микрокредита.

12. По запросу клиента организация, осуществляющая микрофинансовую деятельность, предоставляет ему подтверждение об отправке и (или) получении электронных документов, подтверждающих предоставление (получение) микрокредита электронным способом, в порядке и сроки, предусмотренные договором о предоставлении микрокредита.

13. В случае обнаружения несанкционированного доступа к информации, составляющей тайну предоставления микрокредита, ее несанкционированного изменения, осуществления несанкционированных действий со стороны третьих лиц либо иных незаконных (мошеннических) действий с микрокредитами, организация, осуществляющая микрофинансовую деятельность, в течение двух рабочих дней принимает меры для устранения причин и последствий таких действий, а также в течение одного рабочего дня информирует об этом клиента и уполномоченный орган.

В случае внесения лицом, осуществляющим досудебное расследование в соответствии со статьей 200 Уголовно-процессуального кодекса Республики Казахстан (далее - УПК РК), в организацию, осуществляющую микрофинансовую деятельность, представления о принятии мер по устранению обстоятельств, способствовавших совершению уголовного правонарушения в отношении пострадавших, либо постановления о признания заемщика организации, осуществляющей микрофинансовую деятельность, потерпевшим в соответствии со статьей 71 УПК РК, организация, осуществляющая микрофинансовую деятельность, не позднее 3 (трех) рабочих дней с даты получения представления либо постановления:

приостанавливает начисление вознаграждения по такому микрокредиту;

приостанавливает взыскание задолженности и претензионно-исковую работу по микрокредиту;

приостанавливает направление в кредитные бюро информации о наличии задолженности клиента по микрокредиту;

направляет письменное уведомление клиенту о приостановлении начисления вознаграждения по микрокредиту, взыскания задолженности и проведения претензионно-исковой работы по клиенту.

В случае отмены уполномоченным на то лицом или органом представления либо постановления, на основании которого приостановлено начисление вознаграждения по микрокредиту, взыскание задолженности и проведение претензионно-исковой работы, организация, осуществляющая микрофинансовую деятельность, вправе доначислить вознаграждение за пользование микрокредитом за период приостановления начисления вознаграждения, и возобновить взыскание задолженности и претензионно-исковую работу по клиенту.

На основании вступившего в законную силу приговора суда, в котором установлен факт неполучения клиентом микрокредита, организация, осуществляющая микрофинансовую деятельность, в течении 15 (пятнадцати) рабочих дней:

принимает решение о списании задолженности клиента по данному микрокредиту;

вносит корректировки в кредитную историю клиента в кредитных бюро путем направления информации об отсутствии задолженности по данному микрокредиту и количестве просроченных дней по нему;

осуществляет возврат клиенту сумм задолженности по данному микрокредиту, ранее взысканных организацией, осуществляющей микрофинансовую деятельность, либо погашенных клиентом самостоятельно.

Списание задолженности клиента по микрокредиту, согласно настоящему пункту Правил, не лишает организацию, осуществляющую микрофинансовую деятельность, права требовать с клиента возмещения задолженности по выданному ему микрокредиту, оформленному мошенническим способом при наличии вины самого клиента, установленной судом.

Глава 3. Требования к автоматизированной информационной системе

14. Автоматизированная информационная система включает:

1) программное обеспечение серверов веб-приложений (далее - веб-приложение);

2) программное обеспечение для мобильных устройств (далее - мобильное приложение);

3) программное обеспечение серверов программных интерфейсов (далее - серверное ППО).

15. Разработка и (или) доработка автоматизированной информационной системы осуществляется организацией, осуществляющей микрофинансовую деятельность, в соответствии с внутренним документом, регламентирующим порядок разработки и (или) доработки, этапы разработки и их участников.

16. В случае, если разработка и (или) доработка автоматизированной информационной системы передана сторонней организации и (или) третьему лицу, организация, осуществляющая микрофинансовую деятельность, обеспечивает исполнение сторонней организацией и(или) третьим лицом требований настоящей главы и внутренних документов, отвечают за состояние безопасности автоматизированной информационной системы.

17. Хранение исходных кодов автоматизированной информационной системы, разрабатываемых в организации, осуществляющей микрофинансовую деятельность, осуществляется в специализированных системах управления репозиториями кода, размещаемых в периметре защиты организации, осуществляющей микрофинансовую деятельность, с обеспечением резервного копирования.

18. Независимо от принятого в организации, осуществляющей микрофинансовую деятельность, подхода к разработке и (или) доработке автоматизированной информационной системы, обязательным этапом является тестирование безопасности, в ходе которого осуществляются, как минимум, следующие мероприятия:

1) статический анализ исходного кода;

2) анализ компонентов и (или)сторонних библиотек.

19. Статический анализ исходного кода автоматизированной информационной системы, проводится с использованием сканера статического анализа исходных кодов, поддерживающего анализ всех используемых языков программирования в проверяемом программном обеспечении, в функции которого входит выявление следующих уязвимостей, но не ограничиваясь:

1) наличие механизмов, допускающих инъекции вредоносного кода;

2) использование уязвимых операторов и функций языков программирования;

3) использование слабых и уязвимых криптографических алгоритмов;

4) использование кода, вызывающего при определенных условиях отказ в обслуживании или существенное замедление работы приложения;

5) наличие механизмов обхода систем защиты приложения;

6) использование в коде секретов в открытом виде;

7) нарушение шаблонов и практик обеспечения безопасности приложения.

20. Анализ компонентов и (или) сторонних библиотек автоматизированной информационной системы, проводится с целью выявления известных уязвимостей, присущих используемой версии компонента и(или) сторонней библиотеки, а также отслеживания зависимостей между компонентами и (или) сторонними библиотеками и их версиями.

21. Организация, осуществляющая микрофинансовую деятельность, обеспечивает реализацию корректирующих мер по устранению выявленных уязвимостей в порядке, определенном внутренним документом, при этом критичные уязвимости устраняются до ввода в эксплуатацию автоматизированной информационной системы и (или) ее новых версий.

22. Организация, осуществляющая микрофинансовую деятельность, обеспечивает хранение и доступ в оперативном режиме ко всем версиям исходных кодов автоматизированной информационной системы и результатов тестирования безопасности, которые были введены в эксплуатацию в течение последних 3 (трёх) лет.

23. Обмен данными между клиентской и серверной сторонами автоматизированной информационной системы шифруется с использованием версии протокола шифрования Transport Layer Security (Транспорт Лэйер Секьюрити) не ниже 1.2.

24. Веб-приложение обеспечивает:

1) однозначность идентификации принадлежности веб-приложения организации, осуществляющей микрофинансовую деятельность (доменное имя, логотипы, корпоративные цвета);

2) запрет на сохранение в памяти браузера авторизационных данных;

3) маскирование вводимых секретов;

4) информирование на странице авторизации клиента о мерах обеспечения кибергигиены, которым рекомендуется следовать при использовании веб-приложения;

5) обработку ошибок и исключений безопасным способом, не допуская отображение в интерфейсе клиента конфиденциальных данных, предоставляя минимально достаточную информацию об ошибке.

25. Мобильное приложение обеспечивает:

1) однозначность идентификации принадлежности мобильного приложения организации, осуществляющей микрофинансовую деятельность, (данные в официальном магазине приложений, логотипы, корпоративные цвета);

2) блокировку функционала по предоставлению микрокредитов электронным способом организации, осуществляющей микрофинансовую деятельность, в случае обнаружения признаков нарушения целостности и (или) обхода защитных механизмов операционной системы, обнаружения процессов удаленного управления;

3) уведомление клиента о наличии обновлений мобильного приложения;

4) возможность принудительной установки обновлений мобильного приложения или блокировки функционала мобильного приложения до их установки в случаях необходимости устранения критичных уязвимостей;

5) хранение конфиденциальных данных в защищенном контейнере мобильного приложения или хранилище системных учетных данных;

6) исключение кэширования конфиденциальных данных;

7) исключение из резервных копий мобильного приложения конфиденциальных данных;

8) информирование клиента о действенных методах обеспечения кибергигиены, которым рекомендуется следовать при использовании мобильного приложения;

9) информирование клиента о событиях авторизации под его учетной записью, изменения и (или) восстановления пароля, изменения, зарегистрированного организацией, осуществляющей микрофинансовую деятельность, номера мобильного телефона;

10) в ходе осуществления операций с денежными средствами - передачу в серверное ППО организации, осуществляющей микрофинансовую деятельность, геолокационных данных мобильного устройства при наличии разрешения от клиента, либо передачу информации об отсутствии такого разрешения.

26. Организация, осуществляющая микрофинансовую деятельность, обеспечивает на своей стороне:

1) обработку ошибок и исключений безопасным способом, не допуская в ответе раскрытия конфиденциальных данных, предоставляя минимально достаточную информацию для диагностики проблемы;

2) идентификацию и аутентификацию мобильных приложений и связанных с ними устройств;

3) проверку данных на валидность для предотвращения атак с подделкой запросов и инъекций.

27. Доступ к информации в автоматизированной информационной системе предоставляется работникам организации, осуществляющей микрофинансовую деятельность, в объеме, необходимом для исполнения их функциональных обязанностей.

28. Доступ к автоматизированной информационной системе осуществляется путем идентификации и аутентификации работников организации, осуществляющей микрофинансовую деятельность.

29. В автоматизированной информационной системе применяются функции по управлению учетными записями и паролями, а также блокировке учетных записей пользователей, определяемые внутренним документом организации, осуществляющей микрофинансовую деятельность.

30. Автоматизированная информационная система обеспечивается технической поддержкой, в состав которой входят услуги по предоставлению обновлений автоматизированной информационной системы, в том числе обновлений безопасности.

31. Автоматизированная информационная система обеспечивает резервное хранение данных, файлов и настроек, которое обеспечивает восстановление ее работоспособной копии.

32. В организации, осуществляющей микрофинансовую деятельность, обеспечивается ведение и неизменность аудиторского следа автоматизированной информационной системы, как на организационном, так и на техническом уровне.

33. Для защиты автоматизированной информационной системы используется лицензионное антивирусное программное обеспечение или системы, обеспечивающие целостность или контроль неизменности программной среды на рабочих станциях, ноутбуках и мобильных устройствах.

Пункт 34 изложен в редакции постановления Правления Агентства РК по регулированию и развитию финансового рынка от 16.08.24 г. № 58 (введено в действие со 2 сентября 2024 г.) (см. стар. ред.)

34. Организация, осуществляющая микрофинансовую деятельность, обеспечивает безопасное хранение электронных сообщений и иных документов, предоставленных клиенту и полученных от него, а также полученных в ходе биометрической идентификации клиента данных с соблюдением их целостности и конфиденциальности в течение не менее пяти лет после прекращения обязательств сторон по договору о предоставлении микрокредита.

Хранение электронных сообщений, данных и иных документов осуществляется в том формате, в котором они были сформированы, отправлены клиенту или получены от него.

Пункт 35 изложен в редакции постановления Правления Агентства РК по регулированию и развитию финансового рынка от 16.08.24 г. № 58 (введено в действие со 2 сентября 2024 г.) (см. стар. ред.)

35. При биометрической идентификации обеспечивается защита от использования статичного изображения или видеозаписи для подделки биометрических данных клиента путем проверки выполнения клиентом в ходе биометрической идентификации неповторяющихся последовательностей контрольных движений.

Правила дополнены пунктом 36 в соответствии с постановлением Правления Агентства РК по регулированию и развитию финансового рынка от 16.08.24 г. № 58 (введено в действие со 2 сентября 2024 г.)

36. В случае наличия у организации, осуществляющей микрофинансовую деятельность, информации о незаконном распространении персональных данных клиента микрофинансовая организация реализует дополнительные меры безопасности, включая, но не ограничиваясь:

1) повторную биометрическую идентификацию клиента;

2) проверку принадлежности клиенту его абонентского номера путем сверки индивидуального идентификационного номера клиента с индивидуальным идентификационным номером владельца абонентского номера в базе данных оператора мобильной связи или получения информации о принадлежности клиенту данного абонентского номера путем сверки индивидуального идентификационного номера клиента в базе номеров мобильных телефонов клиентов посредством веб-портала «электронного правительства»;

3) проверочный звонок на указанный клиентом абонентский номер устройства сотовой связи клиента с информированием клиента о похищении его персональных данных и рекомендацией по установлению клиентом добровольного отказа на оформление кредитов.

Правила дополнены пунктом 37 в соответствии с постановлением Правления Агентства РК по регулированию и развитию финансового рынка от 16.08.24 г. № 58 (введено в действие со 2 сентября 2024 г.)

37. В случае предоставления доступа третьим лицам к автоматизированной информационной системе или размещения серверных мощностей организации, осуществляющей микрофинансовую деятельность, в сторонних центрах обработки данных (использования внешних сервисов обработки и(или) хранения данных) организацией, осуществляющей микрофинансовую деятельность, предпринимаются следующие меры обеспечения информационной безопасности:

1) отражение в соответствующем соглашении, договоре с третьим лицом требований по защите автоматизированных информационных систем организации, осуществляющей микрофинансовую деятельность, и права проверки организацией, осуществляющей микрофинансовую деятельность исполнения таких требований, а также условий о возмещении ущерба, возникшего вследствие нарушения информационной безопасности и работоспособности автоматизированных информационных систем;

2) исключение возможности доступа третьих лиц к информации, передача которой третьим лицам не допускается в соответствии с гражданским, банковским законодательством Республики Казахстан, законодательством Республики Казахстан о микрофинансовой деятельности, законодательством Республики Казахстан о персональных данных и их защите. Для этих целей применяется метод хранения информации в зашифрованном виде с раскрытием информации на стороне организации, осуществляющей микрофинансовую деятельность. При этом ключ шифрования хранится в организации, осуществляющей микрофинансовую деятельность.