Договор и оферта как основание обработки ПДн: пределы

Договор с клиентом — самое удобное основание обработки данных: не нужно отдельного согласия, достаточно исполнять сделку. Но у этого основания есть границы, и именно за них организации чаще всего выходят: добавляют в оферту «согласие на всё», собирают данные, не нужные для исполнения, или допускают условия, которые закон запрещает. Ниже границы основания по пункту 5 части 1 статьи 6, правила составления условий и проверка договорных текстов.

Оговорка. Статья не юридическая консультация. Требования сверены по тексту статей 5, 6 и 9 152-ФЗ в редакции с изменениями закона от 14.07.2022 № 266-ФЗ (база «Гарант»); закон меняется, проверяйте действующую редакцию: 152-ФЗ. Структура соответствует разделу о правовых основаниях обработки в методике контроля Группы Сбер (источник); мы пересказываем её своими словами. Тексты договоров согласуйте с юристом.

Что говорит закон

Обработка допускается, если она необходима для исполнения договора, стороной которого, выгодоприобретателем или поручителем по которому является субъект, а также для заключения договора по инициативе субъекта или договора, по которому он будет выгодоприобретателем или поручителем (пункт 5 части 1 статьи 6). Закон добавляет два ограничения. Заключаемый с субъектом договор не может содержать:

положения, ограничивающие права и свободы субъекта;
положения, устанавливающие случаи обработки данных несовершеннолетних, если иное не предусмотрено законодательством;
положения, допускающие в качестве условия заключения договора бездействие субъекта.

Принципы статьи 5 действуют и здесь: данные соответствуют заявленным целям и не избыточны, цели определены заранее.

Когда договор работает как основание

Ситуация	Вывод
Нужно доставить заказ: имя, адрес, телефон	Договор достаточное основание; данные необходимы для исполнения
Оформление абонемента, подписки, трудового договора	Основание договор; для работников действуют требования ТК РФ: ПДн работников
Клиент оставил заявку на расчёт (инициатива заключить договор)	Основание заключение договора по инициативе субъекта: данные только для подготовки предложения
Анализ покупок для персональных рекомендаций	Не необходимо для исполнения договора; нужно другое основание, как правило согласие
Реклама и рассылки	Не основание договора: нужно предварительное согласие: рассылки и ПДн
Передача данных партнёрам для их целей	Не охватывается договором с клиентом без отдельного основания и информирования
Сбор избыточных данных при регистрации (дата рождения, паспорт «на всякий случай»)	Не необходимо для исполнения: избыточность нарушает статью 5

Практическое правило: для каждой цели спросите «без этих данных договор исполнить нельзя?». Если можно, основание «договор» к ним не относится.

Договор и согласие: как разделить

В договоре или оферте остаются только данные, необходимые для исполнения, и ссылка на политику.
Всё остальное (маркетинг, аналитика, передача партнёрам, кадровый резерв) оформляется отдельными согласиями или иным основанием: согласие на обработку ПДн.
Согласие не должно быть условием заключения договора, если для исполнения оно не нужно: нельзя связывать услугу с согласием на рекламу.
Не используйте формулу «подписывая договор, вы даёте согласие на обработку любых данных в любых целях»: она не соответствует требованиям к конкретности и отдельному оформлению.

Недопустимые и рискованные условия

Формулировка	Проблема	Как исправить
«Продолжение пользования сайтом означает согласие с политикой и обработкой данных»	Бездействие как условие и согласие через молчание; нет отдельного оформления	Отдельное действие (чекбокс) для согласия там, где оно нужно; для договора — явный акцепт
«Заказчик отказывается от права требовать удаления данных»	Ограничение прав субъекта	Удалить условие
«Оператор вправе передавать данные любым третьим лицам»	Нет конкретности, нарушена цель	Перечень категорий получателей и целей
«Данные хранятся бессрочно»	Нарушение принципа ограниченного хранения	Срок или условие прекращения: уничтожение ПДн
Сбор данных родителей или детей без основания	Данные несовершеннолетних и третьих лиц требуют отдельной оценки	Определить основание и согласие законных представителей
Политика приравнена к оферте	Политика — информационный документ, а не основание обработки	Не называть политику основанием; ссылаться на неё как на описание обработки

Оферта на сайте

Публичная оферта и политика — разные документы; ссылка на политику должна быть на странице оформления заказа: сайт и ПДн.
Для принятия оферты нужно действие (оплата, оформление заказа), которое понятно пользователю как заключение договора.
Цели и данные, указанные в оферте, совпадают с политикой, уведомлением оператора и фактическими процессами: уведомление об обработке ПДн.
Для доказательства основания сохраняйте версии оферты, дату принятия и данные заказа: бремя доказывания лежит на операторе.

Подрядчики по договору

Если исполнение договора требует передачи данных исполнителю (доставка, платёжный сервис, облачная платформа), он получает данные по поручению или как самостоятельный оператор: поручение обработки. В договоре с клиентом укажите категории получателей.

Проверка текста договора

Выпишите все данные, которые вы собираете по договору, и пометьте, для чего каждое необходимо.
Проверьте, нет ли условий, ограничивающих права субъекта или считающих бездействие согласием.
Отделите условия договора от согласий и от информирования.
Сверьте с политикой, уведомлением оператора и согласиями.
Убедитесь, что есть ссылка на политику, срок хранения и описание получателей данных.

Диагностика

Симптом	Причина и что делать
В оферте длинный абзац «согласия на обработку»	Согласие смешано с договором. Вынесите его в отдельный текст и отдельное действие
Анкета при регистрации просит данные, не нужные для услуги	Нет минимизации. Оставьте обязательные поля, остальные сделайте необязательными или уберите
Не получается объяснить, на каком основании обрабатываются данные в CRM	Нет реестра процессов и оснований. Составьте перечень: цель, данные, основание: CRM и ПДн
Клиент требует удалить данные, а договор ещё действует	Часть данных необходима для исполнения. Объясните основание хранения, удалите остальное

Где это в моделях

Материал продолжает раздел «Регуляторика ПДн» и относится к направлению «Безопасность данных» (материалы направления, самопроверка оператора ПДн, карта зрелости). Правовые основания, включая договор и инициативу заключить договор, — крупнейший блок требований в методике Группы Сбер.

Как проверить

Для каждого процесса указано основание; договор используется только для данных, необходимых для его исполнения.
В тексте договоров и оферт нет условий, ограничивающих права субъекта или считающих бездействие согласием.
Согласия на рекламу и прочие цели оформлены отдельно.
Тексты соответствуют политике, уведомлению и фактическим данным; версии оферты сохраняются.

Источники

Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», статьи 5, 6, 9: КонсультантПлюс, Гарант. Проверяйте действующую редакцию.
Методика осуществления контроля соблюдения фокусными компаниями законодательства РФ в области персональных данных, Группа Сбер: sberbank.ru.