Передавать данные можно будет исключительно аккредитованным IT-компаниям и банкам с универсальной лицензией, в уставном капитале которых более 50% голосов прямо или косвенно контролирует государство, муниципалитет или граждане России. Иные участники финансового рынка также имеют право привлекать аккредитованные IT-фирмы или другие финансовые организации при условии, что серверы с обрабатываемой информацией физически расположены на территории России.
Законопроект предусматривает специальный порядок для российских банков с универсальной лицензией, которые контролируют иностранные структуры. Они получат возможность поручить обработку данных своей материнской иностранной компании, но только при условии получения согласования от Центробанка, ФСБ и Росфинмониторинга. Такое разрешение выдается в том случае, если иностранный банк ведет деятельность не менее трех лет, у ЦБ заключено соглашение об обмене информацией с регулятором страны его нахождения, а сама передача данных не создает угроз российской банковской системе.
Исполнитель, то есть IT-компания или банк-партнер, несет полную юридическую ответственность за обеспечение защиты полученных данных, включая контроль за отсутствием несанкционированного доступа, и будет обязан возместить ущерб в случае их разглашения.