Договор поручения на обработку персональных данных: обязательные условия, структура и частые ошибки

Что такое договор поручения на обработку персональных данных и когда он нужен

Закон делит участников на две роли. Оператор сам решает, зачем он обрабатывает данные, какие именно и что с ними делает. Обработчик (лицо, которому поручена обработка) работает по заданию оператора и в его интересах. По ч. 3 ст. 6 Закона № 152-ФЗ оператор может поручить обработку другому лицу на основании договора, и закон прямо перечисляет, что этот договор должен содержать.

Договор поручения обычно заключают, когда вы передаёте данные:

• внешней бухгалтерии или кадровому аутсорсеру, который ведёт зарплату и кадровый учёт;
• CRM-системе, облачному сервису, хостинг-провайдеру;
• колл-центру, который обзванивает ваших клиентов;
• сервису рассылок или маркетинговому агентству;
• курьерской службе, которая доставляет заказы по вашим адресам.

Договор поручения не нужен, если с данными работают ваши собственные сотрудники: они действуют от имени оператора, и их доступ оформляют внутренними документами. Не нужен он и тогда, когда вы передаёте данные другому самостоятельному оператору, который обрабатывает их в своих целях и на своём правовом основании. Например, так бывает при передаче сведений в банк для зарплатного проекта или государственным органам по требованию закона.

Подрядчик фактически становится самостоятельным оператором, если он:

• сам решает, какие данные собирать и зачем;
• использует полученную базу в своих интересах, например для собственных рассылок или аналитики;
• объединяет ваши данные с данными других клиентов и продолжает их обрабатывать после окончания договора.

Под словами «договор на обработку персональных данных» люди понимают разное: договор поручения с подрядчиком, договор с самим гражданином, по которому обрабатываются его данные, или вообще согласие на обработку. Прежде чем искать текст, определите, кому вы передаёте данные и кто решает, зачем их обрабатывать. От этого зависит, какой документ вам нужен.

Договор поручения и согласие на обработку: в чём разница

Договор и согласие на обработку персональных данных часто путают, хотя это разные документы с разными сторонами. Согласие даёт сам гражданин, это его волеизъявление по ст. 9 Закона № 152-ФЗ. Договор поручения заключают оператор и обработчик, а гражданин в нём не участвует.

Закон разрешает поручать обработку с согласия субъекта, если иное не предусмотрено федеральным законом. Отдельное согласие на поручение не нужно, когда у самой обработки другое основание: например, данные нужны, чтобы исполнить договор с гражданином, или их обработку требует закон. Если же основание — только согласие, в нём стоит прямо указать, что данные могут передаваться подрядчикам. Лучше назвать их или хотя бы описать категории (бухгалтерия, служба доставки, облачный сервис) и цели передачи.

Обработчик сам не обязан получать согласие субъекта (ч. 4 ст. 6 Закона № 152-ФЗ): за то, чтобы у обработки было законное основание, отвечает оператор. Если вы заключили договор с самим гражданином, например оказываете ему услуги, такой договор может дать вам право обрабатывать его данные, но договором поручения он не становится.

Обязательные условия договора поручения по закону

Часть 3 ст. 6 Закона № 152-ФЗ задаёт минимальное содержание, без которого договор поручения на обработку персональных данных не соответствует закону. Разберём эти условия по группам.

Состав данных, действия и цели

В договоре должны быть указаны перечень персональных данных, которые получает обработчик, перечень действий с ними (сбор, запись, хранение, уточнение, передача, удаление и т. д.) и цели обработки. Формулировки должны быть конкретными: «ФИО, телефон и адрес доставки покупателей интернет-магазина для доставки заказов», а не «персональные данные клиентов».

Конфиденциальность и меры защиты

Обработчик обязан соблюдать конфиденциальность данных и обеспечивать их безопасность. Договор должен устанавливать требования к защите по ст. 19 Закона № 152-ФЗ. Речь о правовых, организационных и технических мерах против неправомерного доступа, изменения, удаления и распространения данных. Удобно перечислить конкретные меры в приложении, чтобы обе стороны понимали, что именно проверять.

Отчётность и уведомление об инцидентах

По запросу оператора обработчик обязан в течение срока поручения предоставлять документы и другую информацию, которые подтверждают, что он выполняет требования закона и договора. Ещё одно обязательное условие: обработчик сообщает оператору об инцидентах, то есть о неправомерной или случайной передаче данных, их утечке. Это важно, потому что о таких случаях оператор сам должен уведомить Роскомнадзор в сжатые сроки, установленные ч. 3.1 ст. 21 закона.

Если в договоре нет хотя бы одного обязательного условия, Роскомнадзор может посчитать поручение незаконным. Тогда передача данных подрядчику выглядит как передача третьему лицу без надлежащего основания, а отвечать за это будет оператор.

Условия, которые стоит добавить сверх обязательного минимума

Закон задаёт только минимум. На практике споры и проблемы на проверках чаще всего возникают из-за того, что не прописано в договоре. Поэтому полезно добавить:

• Субпоручение. Обработчик привлекает субподрядчиков только с письменного согласия оператора и на тех же условиях, а за их действия отвечает сам.
• Место хранения. Данные граждан РФ записывают и хранят в базах данных на территории России. Это требование ч. 5 ст. 18 Закона № 152-ФЗ, и обработчик должен его соблюдать.
• Трансграничная передача. Её запрещают или оговаривают порядок, ведь у оператора есть свои обязанности перед Роскомнадзором при передаче данных за рубеж.
• Срок и судьба данных. Указывают срок поручения и обязанность обработчика вернуть или уничтожить данные после его окончания, подтвердив это актом.
• Порядок действий при инцидентах. Прописывают конкретный срок, в который обработчик сообщает об утечке, каналы связи и сведения, которые он передаёт оператору. Здесь же — как стороны действуют, когда гражданин или Роскомнадзор присылает запрос.
• Проверки и ответственность. Закрепляют право оператора проверять обработчика, порядок возмещения убытков и штрафов, которые оператор понёс по вине обработчика.

В какой форме оформить поручение

Закон не требует отдельного документа. Поручение можно оформить тремя способами:

Облачные и SaaS-сервисы обычно включают поручение в оферту или отдельное соглашение об обработке данных. Добиться от сервиса своей редакции этих условий вам, скорее всего, не удастся, поэтому до того, как их принять, проверьте: где сервис хранит данные, кого привлекает в качестве субподрядчиков, как он сообщает об инцидентах и что делает с данными после того, как вы откажетесь от сервиса.

Свяжите поручение с основным договором: срок поручения не должен быть короче срока услуг, при расторжении основного договора поручение должно прекращаться, а для споров стоит указать, какие условия приоритетны. Проверьте и свои внутренние документы: политику обработки персональных данных, перечень обработчиков, согласия. Цели и состав данных в них должны совпадать с договором.

Из каких разделов обычно состоит образец договора поручения

Образец договора на обработку персональных данных, который вы найдёте в интернете или получите от контрагента, обычно состоит из следующих разделов:

1. Предмет договора: что именно оператор поручает обработчику и на каком законном основании.
2. Перечень персональных данных, категории субъектов, действия и цели. Их часто выносят в приложение.
3. Права и обязанности оператора и обработчика.
4. Меры защиты и требования к безопасности.
5. Порядок действий при инцидентах и запросах субъектов.
6. Срок действия, прекращение, возврат или уничтожение данных, ответственность сторон.

Любой готовый договор поручения на обработку персональных данных — образец из интернета или от контрагента — составлен не под вашу ситуацию. В нём чужие категории данных, чужие цели и чужие подрядчики. Если вы подпишете его без доработки, перечень данных разойдётся с тем, что вы реально передаёте, а цели — с вашим согласием и политикой. Используйте шаблон как список того, что нужно проверить, а не как готовый документ.

Частые ошибки в договорах на обработку персональных данных

• «Любые персональные данные». Общая формулировка вместо конкретного перечня не выполняет требование закона.
• Цели не совпадают. В договоре одни цели, а в согласии и политике оператора другие, поэтому обработка выходит за пределы основания.
• Нет согласия на поручение. Обработка держится только на согласии субъекта, а передачу подрядчикам в нём не упомянули.
• Данные хранятся за рубежом или у субподрядчиков. Обработчик пользуется иностранным сервером или передаёт данные дальше, а оператор об этом не знает.
• Нет мер защиты и порядка уведомления об утечке. Оператор узнаёт об инциденте последним и не успевает уведомить Роскомнадзор.
• Неверно определена роль. Договор поручения заключили, хотя подрядчик сам решает, что делать с данными, то есть фактически он самостоятельный оператор.

Кто и за что отвечает

По ч. 5 ст. 6 Закона № 152-ФЗ перед гражданином за действия обработчика отвечает оператор, а обработчик отвечает перед оператором. Если подрядчик допустил утечку, гражданин предъявляет претензии вашей компании, а не ему.

Административная ответственность за нарушения в сфере персональных данных установлена ст. 13.11 КоАП РФ. Под неё могут попасть и оператор, и обработчик, если он сам нарушил требования. Договор поручения не освобождает оператора от ответственности: он показывает, что оператор передал данные законно и потребовал их защищать.

Условия о возмещении убытков позволяют оператору потом взыскать с обработчика то, что он понёс по его вине: компенсации гражданам, расходы на устранение последствий. Без таких условий доказывать размер и основание убытков сложнее.

На проверке Роскомнадзор обычно смотрит, есть ли договоры с подрядчиками, которые получают данные, есть ли в них обязательные условия, совпадают ли цели с политикой и согласиями и где фактически хранятся данные.

Когда стоит обратиться к юристу

Разобраться в простой схеме можно самостоятельно. Помощь юриста особенно полезна, если:

• у вас несколько подрядчиков, есть субподрядчики или иностранные сервисы;
• вы обрабатываете специальные категории или биометрические данные;
• контрагент прислал свой договор, и нужно понять, какие риски он переносит на вашу сторону;
• нужно согласовать договор поручения с согласиями, политикой обработки и другими внутренними документами.

Опишите свою ситуацию и кому вы передаёте данные в Telegram, WhatsApp или MAX: юрист по теме оценит схему и скажет, какой документ вам нужен. Услуга платная, стоимость и сроки мы согласуем до начала работы.

Читайте также: как проходит согласование договора.

Частые вопросы

Нужен ли договор поручения, если подрядчик просто хранит данные на своём сервере?

Как правило, да. Хранение тоже относится к обработке персональных данных, поэтому хостинг-провайдер или облачный сервис, который хранит вашу базу, считается обработчиком. Проверьте, есть ли условия поручения в его оферте или соглашении.

Нужно ли согласие субъекта, чтобы поручить обработку его данных другому лицу?

Закон разрешает поручать обработку с согласия субъекта, если иное не предусмотрено федеральным законом. Если у обработки есть другое основание, например исполнение договора с гражданином или требование закона, отдельное согласие на поручение обычно не нужно. Если основание только согласие, в нём стоит упомянуть передачу данных подрядчикам.

Можно ли включить поручение на обработку в основной договор оказания услуг?

Да, отдельный документ закон не требует. Главное, чтобы в разделе были все обязательные условия ч. 3 ст. 6 Закона № 152-ФЗ, а не одна общая фраза о конфиденциальности.

Чем договор поручения отличается от согласия на обработку персональных данных?

Согласие даёт сам гражданин, и это основание для обработки. Договор поручения заключают оператор и подрядчик: он позволяет передать обработку другому лицу и устанавливает обязанности этого лица по защите данных.

Кто отвечает перед гражданином, если обработчик допустил утечку?

Перед гражданином отвечает оператор, а обработчик отвечает перед оператором (ч. 5 ст. 6 Закона № 152-ФЗ). Поэтому в договоре стоит прописать, как обработчик возмещает убытки.

Можно ли использовать готовый образец договора поручения?

Как основу — да, но без доработки подписывать его не стоит. Перечень данных, цели, действия, место хранения и субподрядчики должны соответствовать вашей реальной схеме, а также вашим согласиям и политике.

Нужен ли договор поручения с ИП или самозанятым, который ведёт бухгалтерию?

Да, если он работает с данными ваших сотрудников или клиентов по вашему заданию. Статус исполнителя на это не влияет: важно, что он обрабатывает данные в ваших интересах, а не как ваш работник.