Поручение обработки персональных данных: что включить в договор
Поручение обработки персональных данных нужно, когда оператор передаёт другому лицу конкретные операции со своими данными и сохраняет контроль над целями обработки. В договоре недостаточно общей фразы о соблюдении закона № 152-ФЗ: необходимо определить данные, действия, цели, конфиденциальность, безопасность, подтверждение мер и порядок сообщения об инцидентах.
- Когда возникает поручение обработки
- Кто за что отвечает
- Матрица обязательных условий
- Как описать предмет, данные и цель
- Безопасность, контроль и подтверждение мер
- Инциденты и запросы субъектов
- Субподрядчики и завершение обработки
- Чем поручение отличается от согласия и передачи самостоятельному оператору
- Чек-лист перед подписанием
- Вопросы и ответы
Когда возникает поручение обработки
Организация остаётся оператором, если сама определяет, зачем обрабатывать персональные данные, какие сведения нужны и какие действия с ними выполняются. Если часть этих действий фактически делает подрядчик — например, хранит клиентскую базу, отправляет сообщения по заданному списку или поддерживает CRM, — отношения нужно проверить на признаки поручения.
Ориентируйтесь не на название услуги, а на фактическую роль сторон:
- заказчик определил цель обработки и состав данных;
- подрядчик действует в пределах задания заказчика;
- подрядчик не использует полученные данные для собственной независимой цели;
- заказчик может установить требования, запросить подтверждение мер и потребовать прекратить обработку.
Если получатель сам определяет новую цель и способ использования данных, он может быть самостоятельным оператором в отношении этой обработки. Фраза «действует по поручению» не изменит реальную модель.
Кто за что отвечает
По части 5 статьи 6 закона № 152-ФЗ оператор отвечает перед субъектом за действия лица, которому поручил обработку, а это лицо отвечает перед оператором. Поэтому поручение — не способ передать весь риск подрядчику. Оператору нужно обоснованно выбрать исполнителя, поставить проверяемые требования и контролировать их выполнение.
Актуальный состав обязательных условий закреплён в статье 6 Федерального закона № 152-ФЗ. Перед подписанием договора сверяйте редакцию нормы и особенности своей отрасли.
Важно: договор с подрядчиком не заменяет законное основание обработки данных самим оператором. Если для конкретной операции требуется согласие субъекта, договор поручения сам по себе такого согласия не создаёт.
Матрица обязательных условий
| Условие | Что зафиксировать | Слабая формулировка |
|---|---|---|
| Перечень данных | Конкретные поля или однородные категории: ФИО, телефон, адрес электронной почты, история заказов | «Персональные данные пользователей» без границ |
| Категории субъектов | Клиенты, работники, кандидаты, представители контрагентов — только относящиеся к услуге | «Физические лица» |
| Операции | Сбор, запись, хранение, уточнение, извлечение, использование, предоставление доступа, удаление — что реально выполняется | «Обработка любыми способами» |
| Цель | Конкретный результат услуги: работа CRM, отправка сервисных сообщений, техническая поддержка | «Исполнение договора» без описания процесса |
| Конфиденциальность | Круг допущенных лиц, режим доступа, обязательство не раскрывать данные | Общая ссылка на конфиденциальность всей информации |
| Меры и безопасность | Обязанность принимать предусмотренные законом меры и обеспечивать безопасность данных | «Исполнитель обеспечивает надёжную защиту» |
| Подтверждение | Какие документы и сведения подрядчик даёт по запросу, в какой срок и по какому каналу | Право заказчика «проверять» без процедуры |
| Инциденты | Что считается событием, кому, как и в какой срок сообщить, какие сведения приложить | Уведомление «в разумный срок» |
Не копируйте перечень операций из закона целиком, если сервис выполняет только часть действий. Избыточное поручение размывает границы и мешает понять, что подрядчику действительно разрешено.
Как описать предмет, данные и цель
Начните с карты потока данных. Для каждого этапа ответьте: откуда подрядчик получает сведения, где они находятся, кто имеет доступ, что возвращается оператору и что остаётся после завершения услуги.
Цель: техническая отправка сервисных сообщений клиентам оператора.
Субъекты: клиенты, запросившие услугу или имеющие иное подтверждённое основание для сообщения.
Данные: имя, адрес электронной почты, язык сообщения, идентификатор заказа.
Операции: получение от оператора, запись, систематизация, хранение в течение согласованного срока, использование для отправки и удаление.
Ограничение: исполнитель не использует адреса для собственной рекламы и не объединяет их с независимой базой.
Такое описание не является готовым пунктом для любого договора: состав полей и основание отправки нужно проверить для конкретного процесса. Его польза в другом — видны границы поручения и запрещённое самостоятельное использование.
Безопасность, контроль и подтверждение мер
В поручении устанавливают обязанность соблюдать конфиденциальность, требования к организации обработки и обеспечивать безопасность в соответствии со статьёй 19 закона № 152-ФЗ. Практическая часть договора должна позволять оператору не только получить обещание, но и проверить его.
- Определите роли и минимально необходимый доступ сотрудников подрядчика.
- Зафиксируйте порядок выдачи, пересмотра и прекращения доступа.
- Опишите допустимые места хранения и передачи данных.
- Установите ведение журналов событий и срок их доступности, если это соответствует риску процесса.
- Перечислите подтверждения, которые можно запросить до начала и во время обработки: локальные документы, описание мер, результаты проверки, сведения об устранении замечаний.
- Укажите срок ответа на запрос оператора. Он должен быть короче срока, за который самому оператору необходимо выполнить законную обязанность.
Не требуйте от подрядчика раскрывать в договоре секретные технические детали. Важно согласовать достаточные доказательства и процедуру контроля, а не создать публичную инструкцию по обходу защиты.
Инциденты и запросы субъектов
Подрядчик должен быстро передать оператору сведения, необходимые для оценки события и выполнения обязанностей. В договоре полезно установить более короткий внутренний срок, чем внешний срок оператора: иначе время уйдёт до того, как оператор вообще узнает об инциденте.
Минимальная карточка сообщения может включать:
- дату и время обнаружения;
- систему и затронутый процесс;
- предполагаемые категории субъектов и данных;
- характер неправомерного доступа, предоставления или иной проблемы;
- принятые меры по локализации;
- контакт ответственного и время следующего обновления.
Отдельно договоритесь, что подрядчик делает при обращении субъекта: самостоятельно не обещает результат за оператора, сохраняет запрос, немедленно передаёт его назначенному контакту и помогает извлечь, уточнить, заблокировать или удалить относящиеся к запросу данные.
Субподрядчики и завершение обработки
Если исполнитель привлекает облачную инфраструктуру или другого обработчика, оператору нужно понимать цепочку. Установите, требуется ли предварительное согласование, какие сведения подрядчик сообщает и обязан ли перенести на субподрядчика не менее строгие ограничения.
На завершение договора предусмотрите один из проверяемых сценариев:
- данные и согласованный экспорт переданы оператору;
- рабочие копии удалены или обезличены в установленный срок;
- доступы закрыты;
- порядок обращения с резервными копиями описан отдельно;
- исполнитель прислал подтверждение завершения;
- обязанность конфиденциальности продолжает действовать после прекращения договора.
Фраза «уничтожить все данные в день расторжения» может быть технически невыполнимой для резервных копий. Лучше согласовать реалистичный цикл удаления, запрет восстановления данных в рабочий контур и исключения, которые прямо требуются законом.
Чем поручение отличается от согласия и передачи самостоятельному оператору
| Документ или модель | Что регулирует | Ключевой вопрос |
|---|---|---|
| Согласие субъекта | Волю субъекта на конкретную обработку, когда согласие является нужным основанием | Есть ли у оператора законное основание? |
| Поручение обработки | Действия другого лица в целях и границах, заданных оператором | Как исполнитель обрабатывает данные оператора? |
| Самостоятельная обработка получателем | Процесс, для которого получатель сам определяет цель и существенные параметры | Не появился ли второй оператор со своим основанием и обязанностями? |
Одна ситуация может требовать нескольких документов, но они не подменяют друг друга. Согласие субъекта с упоминанием подрядчика не заменяет поручение, а договор поручения не исправляет отсутствие основания у оператора.
Проверьте также общую систему документов: положение об обработке персональных данных работников и, когда это применимо, уведомление Роскомнадзора. Если нужно выстроить роли, документы и контроль целиком, это входит в программу «Защита персональных данных: минимизируем риски».
От одного договора — к целостной системе защиты персональных данных
На программе «Защита персональных данных: минимизируем риски» разбирают роли, документы и организацию обработки в единой системе. Преподаватель — Конюхова Евгения; итоговый документ — удостоверение о повышении квалификации.
Чек-лист перед подписанием
Сначала определите реальную роль подрядчика, затем зафиксируйте категории субъектов, данные, операции и цель. Проверьте конфиденциальность, безопасность, доказательства мер, инциденты, субподрядчиков и завершение обработки. Самая частая ошибка — назвать документ поручением, но оставить исполнителю неограниченные данные и неопределённые цели.
Вопросы и ответы
- Можно ли оформить поручение отдельным приложением к договору?
Да. Обязательные условия могут находиться в основном договоре, приложении или ином связанном документе, если их действие, приоритет и связь с услугой определены однозначно.
- Нужно ли получать отдельное согласие на каждого подрядчика?
Это зависит от основания обработки, содержания уже полученного согласия и применимых норм. Поручение регулирует отношения оператора с исполнителем, но не заменяет анализ основания обработки данных субъекта.
- Облачный сервис всегда является лицом, обрабатывающим данные по поручению?
Не автоматически. Нужно проверить, какие данные получает сервис, чьи цели реализует и использует ли сведения для собственных независимых задач. Одна компания может быть исполнителем в одном процессе и самостоятельным оператором в другом.
- Достаточно ли пункта о соблюдении закона № 152-ФЗ?
Нет. Статья 6 требует определить конкретные данные, операции и цели, а также обязанности по конфиденциальности, мерам, безопасности, подтверждению соблюдения и уведомлению об инцидентах.