Поручение обработки персональных данных третьему лицу как оформить

Компания заключает договор с бухгалтерским аутсорсером, передаёт ему ведомости по сотрудникам и спокойно работает дальше. Через год к этому аутсорсеру приходит утечка, базу с фамилиями, окладами и номерами карт выкладывают в сеть. Субъекты данных идут не к аутсорсеру, а к работодателю, потому что именно он собирал их данные и именно он по закону отвечает перед ними. Часть 5 статьи 6 152-ФЗ сформулирована прямо. Если оператор поручает обработку другому лицу, ответственность перед субъектом за действия этого лица несёт оператор. Лицо, которое обрабатывает данные по поручению, отвечает уже перед оператором. Это значит, что грамотно составленное поручение защищает не только субъекта, но и сам бизнес, который иначе примет на себя чужую ошибку.

Передача данных подрядчику встречается чаще, чем кажется. Облачная CRM, сервис email-рассылок, кадровый аутсорс, колл-центр на стороне, разработчик, который чинит базу с реальными записями, курьерская служба со списком получателей. Во всех этих случаях данные физических лиц покидают периметр компании и попадают к тому, кто действует в её интересах. Закон называет это поручением оператора и подчиняет жёстким правилам.

Что прямо требует часть 3 статьи 6

Часть 3 статьи 6 152-ФЗ перечисляет набор условий, без которых поручение считается дефектным. Оператор вправе поручить обработку другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании договора с этим лицом. Договором может быть и государственный или муниципальный контракт, а для органов власти роль поручения выполняет соответствующий акт.

Лицо, которое обрабатывает данные по поручению, обязано соблюдать принципы и правила обработки, установленные законом, соблюдать конфиденциальность и принимать меры для выполнения обязанностей оператора. Сам текст поручения должен содержать конкретный перечень. В нём определяют перечень персональных данных, перечень действий или операций с этими данными, которые будет совершать подрядчик, и цели обработки. Отдельно закрепляют обязанность подрядчика соблюдать конфиденциальность.

Далее норма отсылает к другим статьям. В поручении устанавливают требования части 5 статьи 18 и статьи 18.1, то есть обязанности оператора по организации обработки. Часть 1 статьи 18.1 говорит, что оператор сам определяет состав и перечень мер, необходимых и достаточных для выполнения закона, и эти меры подрядчик обязан повторить применительно к переданным ему данным. Закрепляют обязанность по запросу оператора в течение всего срока действия поручения, в том числе до начала обработки, предоставлять документы и сведения, подтверждающие принятие мер и соблюдение требований. Прописывают обязанность обеспечивать безопасность данных при обработке и требования к защите по статье 19, включая правовые, организационные и технические меры от неправомерного доступа, уничтожения, изменения, копирования, распространения. Наконец, включают требование уведомлять оператора о случаях, предусмотренных частью 3.1 статьи 21, то есть об инцидентах с неправомерной или случайной передачей данных.

Часть 4 статьи 6 снимает с подрядчика одну заботу. Лицо, обрабатывающее данные по поручению, не обязано самостоятельно получать согласие субъекта. Согласие собирает оператор. Это удобно, но опасно для тех, кто думает, что подрядчик защищён от претензий. Часть 5 переводит весь риск на оператора, а часть 6 добавляет, что при поручении обработки иностранному лицу ответственность перед субъектом несут оба, и оператор, и сам подрядчик.

Согласие субъекта и его место

Ключевой момент, который чаще всего упускают. Поручение возможно с согласия субъекта, если иное не установлено федеральным законом. На практике это решают двумя путями. Либо в согласии на обработку прямо указывают, что оператор вправе поручать обработку третьим лицам с называнием категорий таких лиц, либо опираются на иное законное основание обработки из части 1 статьи 6. Например, обработка для исполнения договора, стороной которого является субъект, по пункту 5 части 1, когда без подрядчика договор объективно не исполнить. Подход надо фиксировать заранее, потому что добрать согласие после передачи данных уже сложно.

На что смотрит проверяющий

Роскомнадзор при проверке поручения проверяет не факт договора, а его наполнение. Инспектор открывает текст и ищет шесть обязательных блоков. Перечень данных. Перечень операций. Цели. Обязанность конфиденциальности. Отсылку к мерам по статьям 18.1 и 19. Обязанность предоставлять подтверждающие документы по запросу и уведомлять об инцидентах. Отсутствие любого из этих блоков превращает оформленное на бумаге поручение в нарушение порядка обработки.

Частые ошибки выглядят так. Поручение прячут одним абзацем внутри общего договора оказания услуг без перечня данных и операций. Пишут общую фразу про конфиденциальность вместо привязки к статьям 18.1 и 19. Забывают про право оператора требовать подтверждающие документы в любой момент срока. Не закрепляют уведомление об утечке, хотя именно через подрядчика чаще всего и происходит инцидент. Передают данные за рубеж без учёта части 6, по которой ответственность становится солидарной.

Конкретный пример

Интернет-магазин подключает внешний колл-центр для обзвона покупателей. Менеджеры колл-центра видят имя, телефон, состав заказа. Правильное поручение оформляют отдельным приложением к договору. В нём перечисляют данные, имя и телефон и сведения о заказе. Перечисляют операции, доступ, использование для звонка, фиксацию результата. Указывают цель, информирование о статусе заказа. Запрещают использовать данные для собственных рассылок колл-центра. Обязывают применять меры по статье 19, ограничить доступ операторов, вести журнал, уничтожить выгрузку после завершения обзвона. Дают магазину право запросить акт о принятых мерах и обязывают сообщить о любом инциденте в течение установленного срока. При утечке у магазина остаётся регрессное требование к колл-центру по части 5 статьи 6, а перед покупателями он отвечает сам, но с готовой доказательной базой о том, что меры были предписаны.

Частые вопросы

Нужно ли отдельное согласие на передачу данных подрядчику, если уже есть согласие на обработку. Если в согласии прямо предусмотрена возможность поручения третьим лицам, отдельный документ не нужен. Если такой оговорки нет, опираются либо на новое согласие, либо на иное основание из части 1 статьи 6, например исполнение договора с самим субъектом.

Кто платит штраф при утечке у подрядчика. Перед субъектом и регулятором отвечает оператор по части 5 статьи 6. Санкции за нарушения в области персональных данных установлены статьёй 13.11 КоАП. К подрядчику оператор предъявляет требования уже в рамках договора, и поэтому в поручении важно закрепить его обязанности и ответственность перед оператором.

Можно ли поручить обработку иностранной компании. Можно, но действует часть 6 статьи 6. Ответственность перед субъектом несут совместно и оператор, и иностранный подрядчик. Дополнительно учитывают требования закона о трансграничной передаче, поэтому такие конструкции собирают отдельно и осторожно.

Грамотное поручение это не формальность, а распределение риска. Помощь в составлении и аудите договоров поручения оказывает наша услуга по защите персональных данных, а обсудить конкретную схему передачи данных подрядчику можно через контакты.