Передача ПДн другому оператору: основание, журнал и граница с поручением
Банк для кредита, страховая, франчайзи, покупатель клиентской базы, другой работодатель при переводе персонала: получатель обрабатывает данные в своих целях и сам является оператором. Это не облачная CRM и не зарплатный аутсорс, где подрядчик делает то, что вы ему указали. Путать режимы опасно: в поручении вы остаётесь ответственным за цели, при передаче оператору вы отдаёте данные человеку, который сам решает, зачем они ему. Ниже граница, основание и журнал.
Оговорка. Статья не юридическая консультация. Различие режимов сверено по статье 6 152-ФЗ (общие условия обработки и поручение в части 3) и статье 7 (конфиденциальность); проверяйте действующую редакцию: текст 152-ФЗ. Договоры и согласия согласуйте с юристом. Структура соответствует области передачи иным операторам в методике контроля Группы Сбер (источник); это методика для крупных компаний, мы пересказываем её своими словами.
Поручение или передача
| Вопрос | Поручение подрядчику | Передача оператору |
|---|---|---|
| Чьи цели? | Ваши; подрядчик действует по указанию | Получателя; он сам определяет цели |
| Документ | Договор поручения с условиями части 3 статьи 6: поручение обработки | Основание передачи (согласие, закон, договор, стороной которого является субъект) плюс фиксация факта |
| Кто отвечает перед субъектом за цели получателя? | Вы как оператор, давший поручение | Получатель как самостоятельный оператор; вы отвечаете за правомерность самой передачи |
Серая зона: «партнёр поможет нам и себе». Разделите два потока в договоре: что он делает по вашему поручению и что забирает для себя. Второй поток — эта статья.
Что требует норма
| Мера | Срок / условие | Что сделать |
|---|---|---|
| Правовое основание передачи | До отправки | Пункт части 1 статьи 6: согласие, договор с субъектом, прямое требование закона и другие случаи из статьи — не «нам так удобно» |
| Конфиденциальность | Постоянно | Статья 7: не раскрывать данные третьим лицам без основания |
| Сообщение субъекту, если он не источник | До начала обработки у вас и с учётом передачи | ПДн не от субъекта; в сообщении укажите предполагаемых пользователей |
| Работники | До передачи третьим лицам | Отдельные правила ТК: ПДн работников |
| Иностранный получатель | До передачи за границу | трансграничная передача |
Согласие, если оно основание, должно быть конкретным на этого получателя и эту цель, а не «мы можем делиться с партнёрами»: требования к согласию. Отзыв согласия не всегда останавливает обработку у получателя, если у него появилось своё законное основание — это решает юрист по ситуации, не оператор «по привычке».
Журнал передач
date,subject_cat,data_fields,recipient,recipient_inn,purpose,basis,informed,channel
2026-10-14,клиент,ФИО телефон,ООО Получатель,7700000000,страхование,согласие 2026-10-01,да,шифрованный файлПоля минимальные: дата, чьи данные (категория, не выгрузка ФИО в почту), какие поля, кто получатель, зачем, основание, уведомлён ли субъект, канал. Канал не «файл в мессенджер»: передавайте так, чтобы посторонний не прочитал по дороге. Облако получателя проверьте отдельно: ПДн в облаке.
Не храните в журнале сами массивы данных: это ещё одна копия. Храните метаданные передачи.
Диагностика
| Симптом | Причина и что делать |
|---|---|
| В договоре с партнёром только «соблюдаем 152-ФЗ» | Не ясно, поручение это или передача. Разведите цели и документы |
| Клиентскую базу продали вместе с ООО | Смена оператора не отменяет основания. Проверьте договоры и согласия, сообщите субъектам. Штрафы: обзор |
| Менеджер выгрузил Excel «партнёру на сегодня» | Нет журнала и нет основания. Отзовите файл, зафиксируйте инцидент |
| Путают с трансграничной передачей | Другой оператор в РФ — эта статья. Сервер за рубежом — ещё и статья 12 |
Где это в модели зрелости
Материал относится к регуляторике ПДн и к направлению «Безопасность данных» (хаб: безопасность данных, самопроверка: оператор ПДн, карта: карта зрелости). Поручение подрядчику на сайте уже разобрано. Гигиена передачи — отдельное основание, журнал и понятный получатель, а не «все партнёры в одном NDA».
Как проверить
- Есть перечень получателей-операторов (не путать с реестром подрядчиков по поручению).
- По последним пяти передачам в журнале заполнены основание и канал.
- В шаблоне согласия, если оно нужно, назван получатель, а не «третьи лица».
- Договоры с партнёрами явно говорят, где поручение, а где передача для их целей.
- Выгрузка клиентской базы в мессенджер за квартал либо отсутствует, либо оформлена как инцидент.
Как делают в международной практике
В GDPR передача другому контролёру тоже требует основания статьи 6 у передающего; получатель — самостоятельный контролёр со своими обязанностями. Совместный контролёр (статья 26 GDPR) — отдельная конструкция, которой в 152-ФЗ нет: не копируйте её в договор вместо поручения или передачи. Это не российский закон. Текст: gdpr-info.eu.
Источники
- Федеральный закон от 27.07.2006 № 152-ФЗ, статьи 6, 7, 18: КонсультантПлюс.
- Методика осуществления контроля соблюдения фокусными компаниями законодательства РФ в области персональных данных, Группа Сбер: sberbank.ru.
