- При передаче ПД подрядчикам требуется договор поручения по ст. 6 ФЗ-152
- В договоре фиксируются цели обработки, меры защиты и ответственность сторон
- Отсутствие договора с подрядчиком или облачным сервисом — нарушение ФЗ-152
- Обработчик не вправе использовать ПД вне целей, указанных оператором
- Особое внимание следует уделять SaaS-сервисам и трансграничной передаче данных
Когда нужен договор поручения
Согласно ст. 6 ФЗ-152, если оператор передаёт обработку персональных данных другому лицу, отношения должны оформляться договором поручения.
Иначе говоря, если подрядчик получает доступ к персональным данным и работает с ними по вашему заданию — нужен отдельный договор или соответствующий раздел в основном договоре.
Типовые ситуации
Договор поручения обычно требуется при:
- аутсорсинге бухгалтерии;
- HR и кадровом сопровождении;
- использовании CRM и SaaS;
- email-рассылках;
- облачном хранении данных;
- передаче данных колл-центру;
- работе с маркетинговыми агентствами;
- IT-поддержке и администрировании серверов.
Если подрядчик получил доступ к персональным данным без оформленного поручения, это может рассматриваться как нарушение требований ФЗ-152.
Кто такой обработчик ПД
Обработчик — это лицо или организация, которые обрабатывают персональные данные по поручению оператора.
Важно понимать:
- обработчик не становится владельцем данных;
- обработчик ограничен целями договора;
- оператор сохраняет контроль над обработкой.
Многие компании считают, что публичная оферта SaaS-сервиса автоматически закрывает требования ФЗ-152. На практике необходимо проверить, содержит ли оферта условия обработки персональных данных.
Кто такой обработчик ПД
Обработчик — это лицо или организация, которые обрабатывают персональные данные по поручению оператора.
Без отдельного согласования с оператором обработчик не вправе:
- передавать персональные данные третьим лицам;
- использовать данные в собственных целях, не предусмотренных договором;
- привлекать субподрядчика к обработке без уведомления оператора;
- хранить данные дольше срока, установленного договором;
- изменять цели или способы обработки, согласованные сторонами.
Многие компании считают, что публичная оферта SaaS-сервиса автоматически закрывает требования ФЗ-152. На практике необходимо проверить, содержит ли оферта условия обработки персональных данных, и что обработчик не выходит за рамки указанных в ней целей.
Подробный разбор обязательных пунктов договора поручения, субподрядчиков, локализации и образец текста — в статье «Шаблон DPA с подрядчиком». Здесь — про то, когда возникает обязанность заключить такой договор и что обработчик обязан соблюдать по умолчанию.
SaaS и облачные сервисы как обработчики
Каждый SaaS-сервис, который получает доступ к персональным данным клиентов, — отдельный обработчик со своими рисками.
CRM — отдельно разобрана в статье про настройку CRM по ФЗ-152, включая локализацию и разграничение доступа.
Сервисы email и SMS-рассылок — получают базу контактов целиком, часто с историей переписки. Проверяйте, хранит ли сервис данные в РФ и есть ли в его оферте условия обработки ПД.
Облачные диски и хранилища — даже если используются только для бэкапов, файлы с персональными данными внутри уже делают сервис обработчиком. Шифрование на стороне клиента снижает риск, но не отменяет необходимость договора.
Аналитические платформы — передают данные о поведении пользователей, иногда привязанные к email или телефону через интеграции. Требуют отдельной оценки, особенно зарубежные сервисы.
Перед подключением любого нового сервиса проверьте: где размещаются серверы, есть ли трансграничная передача, предусмотрены ли меры защиты, и описана ли обработка ПД в публичной оферте или в отдельном DPA.
Трансграничная передача данных
Если подрядчик или облачный сервис обрабатывает данные за пределами РФ, необходимо учитывать требования ФЗ-152 о трансграничной передаче данных.
Даже российский интерфейс сервиса не гарантирует хранение данных в РФ. Важно проверять фактическую инфраструктуру и условия обработки.
Практические рекомендации
Для минимизации рисков:
- оформляйте поручение письменно;
- прикладывайте перечень категорий ПД;
- фиксируйте сроки хранения;
- прописывайте порядок удаления данных;
- закрепляйте ответственность за инциденты;
- проводите аудит подрядчиков.
- Цели и категории ПД указаны в договореобязательно
- Определён порядок передачи и уничтожения данныхобязательно
- Есть обязательство соблюдать конфиденциальность
- Прописаны меры защиты персональных данных
- Есть порядок уведомления об инцидентах
- Определены условия возврата или удаления ПД
- Проверена трансграничная передача данных