Поручение обработки персональных данных: что включить в договор
- Когда возникает поручение обработки
- Кто за что отвечает
- Матрица обязательных условий
- Как описать предмет, данные и цель
- Безопасность, контроль и подтверждение мер
- Инциденты и запросы субъектов
- Субподрядчики и завершение обработки
- Чем поручение отличается от согласия и передачи самостоятельному оператору
- Чек-лист перед подписанием
- Вопросы и ответы
Когда возникает поручение обработки
Организация остаётся оператором, если сама определяет, зачем обрабатывать персональные данные, какие сведения нужны и какие действия с ними выполняются. Если часть этих действий фактически делает подрядчик — например, хранит клиентскую базу, отправляет сообщения по заданному списку или поддерживает CRM, — отношения нужно проверить на признаки поручения.
Ориентируйтесь не на название услуги, а на фактическую роль сторон:
- заказчик определил цель обработки и состав данных;
- подрядчик действует в пределах задания заказчика;
- подрядчик не использует полученные данные для собственной независимой цели;
- заказчик может установить требования, запросить подтверждение мер и потребовать прекратить обработку.
Если получатель сам определяет новую цель и способ использования данных, он может быть самостоятельным оператором в отношении этой обработки. Фраза «действует по поручению» не изменит реальную модель.
Кто за что отвечает
По части 5 статьи 6 закона № 152-ФЗ оператор отвечает перед субъектом за действия лица, которому поручил обработку, а это лицо отвечает перед оператором. Поэтому поручение — не способ передать весь риск подрядчику. Оператору нужно обоснованно выбрать исполнителя, поставить проверяемые требования и контролировать их выполнение.
Актуальный состав обязательных условий закреплён в статье 6 Федерального закона № 152-ФЗ. Перед подписанием договора сверяйте редакцию нормы и особенности своей отрасли.
Важно: договор с подрядчиком не заменяет законное основание обработки данных самим оператором. Если для конкретной операции требуется согласие субъекта, договор поручения сам по себе такого согласия не создаёт.
Матрица обязательных условий
| Условие | Что зафиксировать | Слабая формулировка |
|---|---|---|
| Перечень данных | Конкретные поля или однородные категории: ФИО, телефон, адрес электронной почты, история заказов | «Персональные данные пользователей» без границ |
| Категории субъектов | Клиенты, работники, кандидаты, представители контрагентов — только относящиеся к услуге | «Физические лица» |
| Операции | Сбор, запись, хранение, уточнение, извлечение, использование, предоставление доступа, удаление — что реально выполняется | «Обработка любыми способами» |
| Цель | Конкретный результат услуги: работа CRM, отправка сервисных сообщений, техническая поддержка | «Исполнение договора» без описания процесса |
| Конфиденциальность | Круг допущенных лиц, режим доступа, обязательство не раскрывать данные | Общая ссылка на конфиденциальность всей информации |
| Меры и безопасность | Обязанность принимать предусмотренные законом меры и обеспечивать безопасность данных | «Исполнитель обеспечивает надёжную защиту» |
| Подтверждение | Какие документы и сведения подрядчик даёт по запросу, в какой срок и по какому каналу | Право заказчика «проверять» без процедуры |
| Инциденты | Что считается событием, кому, как и в какой срок сообщить, какие сведения приложить | Уведомление «в разумный срок» |
Не копируйте перечень операций из закона целиком, если сервис выполняет только часть действий. Избыточное поручение размывает границы и мешает понять, что подрядчику действительно разрешено.
Как описать предмет, данные и цель
Начните с карты потока данных. Для каждого этапа ответьте: откуда подрядчик получает сведения, где они находятся, кто имеет доступ, что возвращается оператору и что остаётся после завершения услуги.
Цель: техническая отправка сервисных сообщений клиентам оператора.
Субъекты: клиенты, запросившие услугу или имеющие иное подтверждённое основание для сообщения.
Данные: имя, адрес электронной почты, язык сообщения, идентификатор заказа.
Операции: получение от оператора, запись, систематизация, хранение в течение согласованного срока, использование для отправки и удаление.
Ограничение: исполнитель не использует адреса для собственной рекламы и не объединяет их с независимой базой.
Такое описание не является готовым пунктом для любого договора: состав полей и основание отправки нужно проверить для конкретного процесса. Его польза в другом — видны границы поручения и запрещённое самостоятельное использование.
Безопасность, контроль и подтверждение мер
В поручении устанавливают обязанность соблюдать конфиденциальность, требования к организации обработки и обеспечивать безопасность в соответствии со статьёй 19 закона № 152-ФЗ. Практическая часть договора должна позволять оператору не только получить обещание, но и проверить его.
- Определите роли и минимально необходимый доступ сотрудников подрядчика.
- Зафиксируйте порядок выдачи, пересмотра и прекращения доступа.
- Опишите допустимые места хранения и передачи данных.
- Установите ведение журналов событий и срок их доступности, если это соответствует риску процесса.
- Перечислите подтверждения, которые можно запросить до начала и во время обработки: локальные документы, описание мер, результаты проверки, сведения об устранении замечаний.
- Укажите срок ответа на запрос оператора. Он должен быть короче срока, за который самому оператору необходимо выполнить законную обязанность.
Не требуйте от подрядчика раскрывать в договоре секретные технические детали. Важно согласовать достаточные доказательства и процедуру контроля, а не создать публичную инструкцию по обходу защиты.
Инциденты и запросы субъектов
Подрядчик должен быстро передать оператору сведения, необходимые для оценки события и выполнения обязанностей. В договоре полезно установить более короткий внутренний срок, чем внешний срок оператора: иначе время уйдёт до того, как оператор вообще узнает об инциденте.
Минимальная карточка сообщения может включать:
- дату и время обнаружения;
- систему и затронутый процесс;
- предполагаемые категории субъектов и данных;
- характер неправомерного доступа, предоставления или иной проблемы;
- принятые меры по локализации;
- контакт ответственного и время следующего обновления.
Отдельно договоритесь, что подрядчик делает при обращении субъекта: самостоятельно не обещает результат за оператора, сохраняет запрос, немедленно передаёт его назначенному контакту и помогает извлечь, уточнить, заблокировать или удалить относящиеся к запросу данные.
Субподрядчики и завершение обработки
Если исполнитель привлекает облачную инфраструктуру или другого обработчика, оператору нужно понимать цепочку. Установите, требуется ли предварительное согласование, какие сведения подрядчик сообщает и обязан ли перенести на субподрядчика не менее строгие ограничения.
Если данные или резервные копии могут оказаться за пределами России, до согласования субподрядчика нужно отдельно проверить трансграничную передачу персональных данных, её маршрут, страну назначения и необходимые уведомления.
На завершение договора предусмотрите один из проверяемых сценариев:
- данные и согласованный экспорт переданы оператору;
- рабочие копии удалены или обезличены в установленный срок;
- доступы закрыты;
- порядок обращения с резервными копиями описан отдельно;
- исполнитель прислал подтверждение завершения;
- обязанность конфиденциальности продолжает действовать после прекращения договора.
Фраза «уничтожить все данные в день расторжения» может быть технически невыполнимой для резервных копий. Лучше согласовать реалистичный цикл удаления, запрет восстановления данных в рабочий контур и исключения, которые прямо требуются законом.
Чем поручение отличается от согласия и передачи самостоятельному оператору
| Документ или модель | Что регулирует | Ключевой вопрос |
|---|---|---|
| Согласие субъекта | Волю субъекта на конкретную обработку, когда согласие является нужным основанием | Есть ли у оператора законное основание? |
| Поручение обработки | Действия другого лица в целях и границах, заданных оператором | Как исполнитель обрабатывает данные оператора? |
| Самостоятельная обработка получателем | Процесс, для которого получатель сам определяет цель и существенные параметры | Не появился ли второй оператор со своим основанием и обязанностями? |
Одна ситуация может требовать нескольких документов, но они не подменяют друг друга. Согласие субъекта с упоминанием подрядчика не заменяет поручение, а договор поручения не исправляет отсутствие основания у оператора.
Проверьте также общую систему документов: положение об обработке персональных данных работников и, когда это применимо, уведомление Роскомнадзора. Если нужно выстроить роли, документы и контроль целиком, это входит в программу «Защита персональных данных: минимизируем риски».
Чек-лист перед подписанием
Сначала определите реальную роль подрядчика, затем зафиксируйте категории субъектов, данные, операции и цель. Проверьте конфиденциальность, безопасность, доказательства мер, инциденты, субподрядчиков и завершение обработки. Самая частая ошибка — назвать документ поручением, но оставить исполнителю неограниченные данные и неопределённые цели.
Вопросы и ответы
- Можно ли оформить поручение отдельным приложением к договору?
Да. Обязательные условия могут находиться в основном договоре, приложении или ином связанном документе, если их действие, приоритет и связь с услугой определены однозначно.
- Нужно ли получать отдельное согласие на каждого подрядчика?
Это зависит от основания обработки, содержания уже полученного согласия и применимых норм. Поручение регулирует отношения оператора с исполнителем, но не заменяет анализ основания обработки данных субъекта.
- Облачный сервис всегда является лицом, обрабатывающим данные по поручению?
Не автоматически. Нужно проверить, какие данные получает сервис, чьи цели реализует и использует ли сведения для собственных независимых задач. Одна компания может быть исполнителем в одном процессе и самостоятельным оператором в другом.
- Достаточно ли пункта о соблюдении закона № 152-ФЗ?
Нет. Статья 6 требует определить конкретные данные, операции и цели, а также обязанности по конфиденциальности, мерам, безопасности, подтверждению соблюдения и уведомлению об инцидентах.