Поручение обработки ПДн подрядчику: что должно быть в договоре
Бухгалтерия на аутсорсе, облачная CRM, колл-центр, хостинг, служба рассылок: во всех этих случаях подрядчик работает с чужими персональными данными, а отвечаете перед субъектом вы. Закон требует оформить такую передачу как поручение обработки и прописать в нём обязательные условия. Ниже перечень условий по статье 6 152-ФЗ, шаблон раздела договора, порядок контроля подрядчика и чек-лист.
Оговорка. Статья не юридическая консультация, договоры согласуйте с юристом. Условия сверены по тексту статьи 6 152-ФЗ в редакции с изменениями закона от 14.07.2022 № 266-ФЗ; закон меняется, проверяйте действующую редакцию: текст закона. Структура проверки соответствует разделу о поручении обработки в методике контроля Группы Сбер (источник); это методика для крупных компаний, мы пересказываем её своими словами.
Когда это поручение, а когда передача
| Ситуация | Режим |
|---|---|
| Подрядчик обрабатывает данные ваших субъектов по вашим целям и вашим указаниям (хостинг, облачный сервис, бухгалтерия, рассылка) | Поручение обработки (статья 6, часть 3) |
| Получатель обрабатывает данные в своих целях как самостоятельный оператор (например, передача банку, страховой, органам) | Передача между операторами со своим основанием; требования к правомерности и безопасности передачи |
Если сомневаетесь, спросите: чьи цели обработки и кто определяет состав данных? Если ваши, то это поручение.
Что требует закон
По части 3 статьи 6 оператор вправе поручить обработку другому лицу с согласия субъекта (если иное не предусмотрено законом) на основании договора или акта государственного органа. В поручении должны быть:
| Условие | Как записать |
|---|---|
| Перечень персональных данных | Конкретный список категорий и состава данных (не «любые данные») |
| Перечень действий (операций) с данными | Что подрядчик вправе делать: хранить, систематизировать, передавать, удалять и т.д. |
| Цели обработки | Для чего именно подрядчик обрабатывает данные |
| Конфиденциальность и обязанности по статьям 18 (часть 5) и 18.1 | Обязанность соблюдать конфиденциальность и меры, которые закон возлагает на оператора |
| Подтверждение мер по запросу | Обязанность предоставлять по запросу оператора в течение срока поручения, в том числе до начала обработки, документы и информацию о принятых мерах |
| Безопасность данных | Обязанность обеспечивать безопасность при обработке и требования к защите по статье 19 |
| Уведомление об утечках | Требование уведомлять оператора о случаях, предусмотренных частью 3.1 статьи 21 (неправомерная или случайная передача данных, повлёкшая нарушение прав субъектов) |
Сроки уведомления регулятора после утечки идут от момента выявления вами (24 и 72 часа): как уведомить Роскомнадзор. Поэтому в договоре подрядчику задают собственный, более короткий срок сообщения вам.
Ответственность
- Если вы поручаете обработку другому лицу, перед субъектом за его действия отвечаете вы; подрядчик отвечает перед вами (часть 5 статьи 6).
- Если подрядчик — иностранное физическое или юридическое лицо, перед субъектом отвечают оператор и подрядчик (часть 6 статьи 6).
- Согласие субъекта на обработку подрядчиком получает оператор; подрядчик отдельное согласие получать не обязан (часть 4 статьи 6).
Шаблон раздела договора
Раздел адаптируйте под конкретный договор и согласуйте с юристом. Заменяйте значения в верхнем регистре:
Поручение обработки персональных данных
1. Заказчик поручает, а Исполнитель обязуется обрабатывать персональные данные
субъектов ПДн: КАТЕГОРИИ_СУБЪЕКТОВ.
2. Перечень персональных данных: ПЕРЕЧЕНЬ.
3. Перечень действий с персональными данными: ДЕЙСТВИЯ.
4. Цели обработки: ЦЕЛИ.
5. Исполнитель обязан соблюдать принципы и правила обработки ПДн, конфиденциальность
ПДн, требования части 5 статьи 18 и статьи 18.1 Федерального закона № 152-ФЗ.
6. Исполнитель обязан обеспечивать безопасность ПДн при их обработке и выполнять требования
к защите по статье 19 Федерального закона № 152-ФЗ: ПЕРЕЧЕНЬ_МЕР_ИЛИ_ПРИЛОЖЕНИЕ.
7. По запросу Заказчика, в том числе до начала обработки, Исполнитель в течение СРОК
предоставляет документы и информацию, подтверждающие принятые меры.
8. Исполнитель обязан уведомить Заказчика о случаях, предусмотренных частью 3.1 статьи 21
Федерального закона № 152-ФЗ, не позднее чем через ЧИСЛО часов с момента выявления,
указав: что произошло, предполагаемые причины и вред, принятые меры, контакт ответственного.
9. Исполнитель не передаёт ПДн третьим лицам и не привлекает субподрядчиков без
письменного согласия Заказчика; требования договора распространяются на субподрядчиков.
10. Места обработки и хранения ПДн: АДРЕСА_И_СТРАНЫ.
11. По окончании поручения или по требованию Заказчика Исполнитель уничтожает или
возвращает ПДн в срок СРОК и подтверждает это актом.
12. Ответственность сторон определяется законодательством и настоящим договором.Пункты 9–11 не перечислены в части 3 статьи 6 прямо, но они закрывают типовые пробелы: субподрядчики, места хранения и судьба данных по окончании. Конкретные формулировки утверждайте с юристом.
Контроль подрядчика
Подпись под договором не означает, что данные защищены. Проверяйте подрядчика до начала работ и затем регулярно:
- До начала. Запросите описание мер защиты, сведения о местах обработки (граница локализации баз данных по закону), наличие у подрядчика собственной политики и ответственного за ПДн.
- В ходе работы. Раз в год запрашивайте подтверждение мер: документы, отчёты о проверках, результаты тестов. Договор должен предусматривать это право.
- При инциденте. Убедитесь, что у вас есть контакт подрядчика и порядок обмена данными, проверьте его на учении: готовность к утечке.
- По завершении. Получите подтверждение уничтожения или возврата данных: уничтожение ПДн.
Все подрядчики с доступом к ПДн вносятся в реестр: у каждого указаны данные, цели, договор и дата последней проверки.
Диагностика
| Симптом | Причина и что делать |
|---|---|
| В договоре только фраза «стороны соблюдают 152-ФЗ» | Не выполнены требования части 3 статьи 6. Добавьте перечни, цели, защиту и уведомление об утечках |
| Подрядчик привлёк субподрядчика без вашего ведома | В договоре нет запрета. Добавьте обязанность согласовывать субподрядчиков и распространять требования на них |
| Подрядчик не отвечает на запрос подтверждений | Нет срока и права запроса в договоре. Добавьте обязанность и последствия невыполнения |
| Данные подрядчика находятся за границей | Проверьте требования о локализации и о трансграничной передаче; согласуйте с юристом |
Где это в моделях
Материал продолжает раздел «Регуляторика ПДн» и относится к направлению «Безопасность данных» (материалы направления, самопроверка оператора ПДн, карта зрелости). Поручение обработки — отдельная область контроля в методике Группы Сбер: проверяют и порядок, и фактическое включение условий в договоры.
Как проверить
- Реестр подрядчиков с доступом к ПДн составлен, по каждому есть договор с условиями поручения.
- В договорах указаны перечни данных и действий, цели, защита, срок уведомления об утечках и порядок уничтожения.
- В течение года хотя бы у одного критичного подрядчика запрошены подтверждения принятых мер.
- Запрещено привлечение субподрядчиков без вашего согласия.
Источники
- Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», статьи 6, 18.1, 19, 21: КонсультантПлюс, Гарант. Проверяйте действующую редакцию.
- Методика осуществления контроля соблюдения фокусными компаниями законодательства РФ в области персональных данных, Группа Сбер: sberbank.ru.
