Когда компания передаёт обработку персональных данных третьему лицу — облачному провайдеру, колл-центру, аутсорсеру HR-функции или IT-подрядчику, — возникает отдельный правовой режим. Оператор не освобождается от ответственности перед субъектами данных: он остаётся ответственным за действия подрядчика перед Роскомнадзором и перед самими субъектами. Договор поручения обработки — не формальность, а инструмент распределения рисков.
Правовая рамка: что требует закон
Основа — Федеральный закон № 152-ФЗ «О персональных данных». Ключевая норма: оператор вправе поручить обработку персональных данных другому лицу только с согласия субъекта, если иное не установлено федеральным законом. При этом договор с подрядчиком должен содержать конкретный перечень обязательных условий — их нужно свериться с действующей редакцией закона, поскольку состав обязательных пунктов уточнялся поправками.
Ключевые принципы, которые обязан соблюдать подрядчик:
- обработка только в целях, указанных оператором;
- конфиденциальность персональных данных;
- соблюдение мер по защите данных в соответствии с требованиями 152-ФЗ и подзаконных актов ФСТЭК и ФСБ;
- уведомление оператора о нарушениях безопасности.
Важно: ответственность перед субъектом данных несёт оператор. Подрядчик несёт ответственность перед оператором в рамках договора. Это означает, что слабый договор — прямой риск для оператора.
Пошаговый алгоритм заключения договора
Шаг 1. Определите правовое основание передачи
Прежде чем составлять договор, ответьте на вопрос: есть ли у вас право передавать эти данные? Проверьте:
- содержит ли согласие субъекта указание на возможность поручения обработки третьим лицам;
- если согласие не требуется по закону — зафиксируйте это основание в договоре и внутреннем регламенте.
Отсутствие правового основания не «лечится» хорошим договором с подрядчиком.
Шаг 2. Составьте перечень передаваемых данных и целей
Договор должен содержать исчерпывающий перечень:
- категорий персональных данных (ФИО, контакты, платёжные данные и т. д.);
- субъектов (клиенты, сотрудники, пользователи);
- действий, которые вправе совершать подрядчик (хранение, систематизация, передача и т. д.);
- целей обработки — строго в рамках тех, что заявлены в политике оператора.
Размытые формулировки типа «обработка в целях исполнения договора» — источник споров и претензий регулятора.
Шаг 3. Зафиксируйте обязательства подрядчика по защите данных
Подрядчик обязан принять организационные и технические меры. В договоре укажите:
- требования к уровню защиты (соотносите с уровнями защищённости, установленными постановлением Правительства);
- обязанность разработать и поддерживать внутренние регламенты;
- требование о назначении ответственного за организацию обработки ПД;
- порядок и сроки уведомления оператора об инцидентах — с момента обнаружения.
Шаг 4. Установите запрет на субпоручение или порядок его согласования
По умолчанию подрядчик не вправе передавать данные субподрядчикам без согласия оператора. Если цепочка субпоручения допускается, пропишите:
- необходимость письменного согласования каждого субподрядчика;
- распространение всех обязательств по защите данных на субподрядчиков;
- ответственность основного подрядчика за действия субподрядчиков перед оператором.
Шаг 5. Определите трансграничную передачу данных
Если подрядчик хранит данные на серверах за рубежом или передаёт их иностранным аффилированным лицам — возникает трансграничная передача. Порядок её осуществления регулируется 152-ФЗ отдельно. Уточните актуальную редакцию нормы о трансграничной передаче: требования к уведомлению Роскомнадзора и оценке уровня защиты в стране назначения менялись.
Шаг 6. Пропишите ответственность и порядок проверки подрядчика
- установите право оператора проводить аудиты или запрашивать документацию;
- зафиксируйте штрафные санкции за нарушение конфиденциальности и несоблюдение мер защиты;
- предусмотрите право расторгнуть договор и потребовать уничтожения данных при нарушении.
Шаг 7. Урегулируйте порядок возврата или уничтожения данных
По окончании договора подрядчик обязан уничтожить или вернуть персональные данные. В договоре закрепите:
- срок исполнения этой обязанности;
- форму подтверждения (акт об уничтожении);
- последствия нарушения срока.
Типичные ошибки практики
- Использование шаблонного NDA вместо договора поручения обработки. Соглашение о конфиденциальности не подменяет договор по 152-ФЗ: оно не устанавливает требований к защите данных и не распределяет ответственность перед регулятором.
- Отсутствие перечня конкретных действий подрядчика. Если в договоре написано «обработка ПД», но не раскрыты конкретные операции, подрядчик формально вправе совершать любые действия — хранить, передавать, анализировать.
- Игнорирование вопроса о субподрядчиках. На практике облачные провайдеры и аутсорсеры используют субпровайдеров. Без прямого запрета или порядка согласования цепочка становится непрозрачной.
- Отсутствие механизма реагирования на инциденты. Без прописанного срока уведомления и порядка взаимодействия оператор узнаёт об утечке с опозданием и нарушает собственную обязанность по уведомлению Роскомнадзора.
- Формальное уничтожение данных после окончания договора. Акт об уничтожении не запрашивается, данные фактически остаются у подрядчика — это нарушение принципа ограничения срока хранения.
- Несоответствие договора согласию субъекта. Субъект дал согласие на передачу данных конкретному подрядчику, а оператор сменил подрядчика без обновления согласия.
Практический чек-лист
Перед подписанием договора с подрядчиком проверьте каждый пункт:
- [ ] Есть правовое основание для передачи данных подрядчику (согласие или норма закона).
- [ ] В договоре исчерпывающий перечень категорий данных и субъектов.
- [ ] Цели обработки у подрядчика совпадают с целями, заявленными оператором.
- [ ] Перечислены конкретные действия (операции), которые вправе совершать подрядчик.
- [ ] Установлены требования к организационным и техническим мерам защиты.
- [ ] Урегулирован вопрос субподрядчиков: запрет или порядок согласования.
- [ ] Прописан порядок уведомления об инцидентах (срок, форма, ответственное лицо).
- [ ] Установлено право оператора на аудит подрядчика.
- [ ] Определён порядок возврата или уничтожения данных с подтверждением.
- [ ] Трансграничная передача либо исключена, либо урегулирована в соответствии с актуальными требованиями 152-ФЗ.
- [ ] Зафиксирована ответственность подрядчика перед оператором: санкции и право расторжения.
Применение LegalTech в работе с договорами поручения
Автоматизация помогает снизить операционные риски:
- Шаблонизация с параметрами. Системы управления контрактами позволяют создать мастер-шаблон договора поручения, в котором подтягиваются нужные блоки в зависимости от типа подрядчика (облако, колл-центр, HR-аутсорсер) и категорий данных.
- Автоматическая проверка на обязательные условия. Чек-листы условий договора по 152-ФЗ можно заложить в систему контракт-менеджмента — она будет сигнализировать об отсутствии обязательного пункта до подписания.
- Реестр подрядчиков и сроков. LegalTech-инструменты позволяют вести актуальный реестр всех обработчиков данных с датами окончания договоров и статусом уничтожения данных — это критично для аудита Роскомнадзора.
- Интеграция с реестром согласий. Связка договора поручения с базой согласий субъектов позволяет быстро проверить, покрывает ли согласие конкретного субъекта передачу данных именно этому подрядчику.
Вывод
Договор поручения обработки персональных данных — рабочий инструмент управления регуляторным и гражданско-правовым риском. Его качество напрямую определяет, сможет ли оператор защититься при проверке Роскомнадзора или инциденте с утечкой данных. Алгоритм небезопасно сокращать: каждый пропущенный шаг — потенциальный повод для предписания или иска.
Источники для проверки
- Официальное опубликование правовых актов: https://pravo.gov.ru
- Верховный Суд Российской Федерации: https://vsrf.ru
- Картотека арбитражных дел: https://kad.arbitr.ru
Материал носит информационный характер. Перед применением проверьте актуальную редакцию норм и релевантную судебную практику.