Поручение на обработку персональных данных: кому можно поручить, как оформить договор и кто несет ответственность

Что такое поручение на обработку ПДн по 152-ФЗ?

Поручение на обработку персональных данных — это передача оператором ПДн части своих функций по обработке ПДн другому лицу на основании договора. Получатель действует строго в рамках задания оператора и не определяет цели обработки самостоятельно.

Правовая основа закреплена в ч. 3 ст. 6 Федерального закона №152-ФЗ «О персональных данных». Закон различает три участника отношений: оператора ПДн, который собирает данные и определяет цели их обработки; лицо, осуществляющее обработку по поручению оператора (на практике его называют поручителем или обработчиком); и субъекта персональных данных.

Поручитель не приобретает самостоятельного статуса оператора. Он выполняет конкретные действия с данными: хранит, систематизирует, передает, но только в объеме и для целей, которые определил оператор в договоре поручения. Это принципиально отличает поручение от передачи ПДн другой организации, когда получатель начинает работать с данными в собственных интересах.

В чем разница между поручением обработки ПДн и передачей данных другому оператору?

Поручение и передача данных — это юридически разные конструкции с разными последствиями. 

При поручении подрядчик действует как исполнитель в интересах оператора: он обрабатывает ПДн строго по заданию, не имеет права использовать их для собственных нужд и несет ответственность перед оператором. Оператор при этом сохраняет контроль над данными. Работодатель, например, вправе поручить обработку ПДн работников бухгалтерской компании на аутсорсе, и это будет являться поручением в рамках Трудового кодекса и 152-ФЗ. 

При передаче данных другому оператору получатель начинает самостоятельно определять цели и способы обработки. Он становится полноправным оператором в отношении этих данных со всеми вытекающими обязанностями и ответственностью. Передача тех же данных сотрудника в страховую организацию для оформления ДМС — уже передача другому самостоятельному оператору, требующая письменного согласия работника. 

Кому оператор вправе поручить обработку персональных данных?

Закон не ограничивает круг лиц, которым можно поручить обработку. Поручителем может быть любое физическое или юридическое лицо, в том числе иностранное, но с существенной оговоркой об усиленной ответственности.

Единственное условие — наличие надлежащим образом оформленного договора поручения с обязательными условиями из ч. 3 ст. 6 152-ФЗ. Без такого договора любая передача данных подрядчику является незаконной обработкой ПДн.

Наиболее распространенные сценарии поручения в B2B-практике:

• Бухгалтерский и кадровый аутсорсинг. Внешняя компания обрабатывает Пдн сотрудников для начисления зарплаты и ведения кадрового учета.
• Облачные сервисы и CRM-системы. Данные клиентов хранятся информационных системах на серверах провайдера; если провайдер не определяет цели обработки, он действует как поручитель.
• Колл-центры и службы поддержки. Обрабатывают ПДн клиентов в интересах заказчика по утвержденному сценарию.
• СДО-платформы (системы дистанционного обучения). Хранят данные сотрудников, которые проходят корпоративное обучение; оператором остается работодатель.
• IT-интеграторы и разработчики. При выполнении работ получают доступ к базам данных клиентов заказчика.
• Маркетинговые агентства. Обрабатывают базы клиентов для проведения рассылок и рекламных кампаний по заданию оператора.

Особый случай — иностранный поручитель. Если оператор передает данные иностранному физическому или юридическому лицу, к стандартным требованиям добавляется ч. 6 ст. 6 152-ФЗ: за действия иностранного поручителя ответственность перед субъектом ПДн несут оба — и оператор, и сам иностранный поручитель. Это делает схему с иностранными подрядчиками более рискованной для оператора по сравнению с российскими.

Нужно ли согласие субъекта ПДн для поручения обработки?

По общему правилу — да. Ч. 3 ст. 6 152-ФЗ требует согласия субъекта персональных данных для передачи его ПДн на обработку третьему лицу. Но из этого правила есть исключения.

Согласие субъекта для поручения не требуется, если у оператора уже есть иное законное основание для обработки данных по ч. 1 ст. 6 152-ФЗ, которое распространяется и на поручение. Например:

• Оператор обрабатывает данные клиента на основании договора с ним (п. 5 ч. 1 ст. 6). Передача части функций аутсорсеру укладывается в это же основание.
• Оператор обрабатывает данные сотрудников на основании трудового законодательства (п. 2 ч. 1 ст. 6). Поручение кадровому аутсорсеру не требует дополнительного согласия.
• Оператор является государственным органом и действует в рамках своих полномочий (п. 4 ч. 1 ст. 6).

На практике согласие на передачу данных третьему лицу рекомендуется оформлять отдельным документом, с указанием наименования поручителя, цели передачи и категорий ПДн. Это снимает возможные вопросы при проверке и позволяет субъекту четко понимать, кому и для каких целей передаются его данные. 

Договор поручения на обработку ПДн: что должно быть включено по требованиям 152-ФЗ?

Ч. 3 ст. 6 152-ФЗ устанавливает исчерпывающий перечень обязательных условий договора поручения. Отсутствие любого из них делает договор ненадлежащим основанием для обработки данных.

Договор поручения на обработку ПДн может быть как самостоятельным документом, частью договора, так и дополнительным соглашением к основному договору оказания услуг или подряда. Форма не принципиальна, важно содержание.

На практике договор поручения нередко упускает последние два пункта, а именно предоставление документов и уведомление об утечке. Между тем именно они критически важны при проверке Роскомнадзора: регулятор запрашивает доказательства того, что оператор не просто передал данные подрядчику, но и контролирует соблюдение требований закона.

Образец договора поручения на обработку ПДн

Чтобы упростить подготовку договора, мы разработали шаблон, который учитывает все обязательные условия из ч. 3 ст. 6 152-ФЗ. 

  Скачать образец договора поручения на обработку ПДн

Важно понимать, что шаблон — это отправная точка. Перечень ПДн, состав операций и меры безопасности нужно адаптировать под конкретного подрядчика и характер передаваемых данных. Если поручитель иностранный, в договор дополнительно включаются условия, предусмотренные ч. 6 ст. 6 152-ФЗ. Для того, чтобы документ отражал реальные бизнес-процессы, мы рекомендуем обращаться к профильным юристам.

Кто несет ответственность при нарушении условий поручения обработки ПДн?

Ответственность при поручении распределяется по цепочке: поручитель отвечает перед оператором, а оператор — перед субъектом ПДн. Субъект всегда предъявляет претензии к оператору, а не к поручителю.

Это правило установлено ч. 5 ст. 6 152-ФЗ. Логика простая: субъект ПДн взаимодействовал с оператором (давал согласие, подписывал договор), а не с аутсорсером, о существовании которого он мог и не знать. Поэтому вся ответственность перед субъектом лежит на операторе.

Если подрядчик нарушил условия договора, например, слил базу данных, передал сведения третьим лицам или использовал их в своих целях, то оператор в результате отвечает перед субъектом и Роскомнадзором, а потом взыскивает ущерб с поручителя в порядке регресса. Именно поэтому в договоре поручения крайне важно прописывать штрафные санкции для поручителя за нарушение условий соглашения.

Особый режим при иностранном поручителе (ч. 6 ст. 6 152-ФЗ). Если поручителем выступает иностранное физическое или юридическое лицо, ответственность перед субъектом ПДн несут оба: и оператор, и иностранный поручитель. Это означает, что субъект вправе предъявить требования напрямую к иностранному подрядчику, а не только к российскому оператору. Норма введена в 2022 году ФЗ №266-ФЗ.

Размер административных штрафов для оператора за нарушения, связанные с обработкой ПДн, в том числе при ненадлежащем поручении:

• Ч. 1 ст. 13.11 КоАП РФ — незаконная обработка ПДн (включая ненадлежащее поручение): штраф для юридических лиц 150 000–300 000 рублей.
• Ч. 2 ст. 13.11 КоАП РФ — обработка без обязательного письменного согласия: 300 000–700 000 рублей для юридических лиц.
• Ч. 12–14 ст. 13.11 КоАП РФ — если ненадлежащее поручение повлекло утечку: от 3 000 000 до 15 000 000 рублей.

Заключение

Поручение на обработку персональных данных — это стандартная практика во всех сферах B2B-взаимодействия. Данные людей нередко оказываются у третьего лица: например, при аутсорсинге, использовании облачных сервисов, колл-центров и СДО-платформ. Закон это допускает, но отношения сторон при этом должны быть оформлены договором с обязательными условиями из ч. 3 ст. 6 152-ФЗ.

Отсутствие договора или его неполнота не снимают с оператора ответственности. Напротив, в случае инцидента именно оператор окажется в зоне максимального правового риска. 

Поделиться в социальных сетях:

Наталия Рагулина

Руководитель юридического отдела

8 лет опыта

более 300 выигранных дел

Автор статьи

125 публикаций на сайте

Подробнее о специалисте