Компания подключает CRM, передаёт бухгалтерию на аутсорсинг или открывает разработчику доступ к клиентской базе. Подрядчик помогает бизнесу, но одновременно получает возможность работать с персональными данными клиентов, работников или пользователей.
До предоставления доступа нужно определить, какие сведения необходимы исполнителю, что он будет с ними делать и как оформить отношения. Иногда требуется поручение обработки персональных данных, иногда — условия передачи самостоятельному оператору. Один пункт о конфиденциальности не решает все эти вопросы.
Юридическая практика «Софист» помогает проверить договорные условия, оформить обработку данных подрядчиками и согласовать документы с фактической работой компании.
Когда нужно проверить отношения с подрядчиком
Проверка особенно полезна, если:
- бухгалтерия или кадровый учёт передаются внешнему исполнителю;
- маркетинговое агентство работает в CRM и выгружает контакты;
- разработчик или техническая поддержка получают доступ к рабочим данным;
- колл-центр обрабатывает обращения и записи разговоров;
- облачный сервис хранит анкеты, документы или клиентскую базу;
- подрядчик привлекает других исполнителей или использует зарубежные сервисы;
- материалы клиентов загружаются в нейросети;
- договор заканчивается, а доступы и копии данных остаются у исполнителя.
Не обязательно отправлять отдельный файл с базой. Работа через учётную запись в вашей системе тоже может предполагать обработку: просмотр, поиск, изменение записей или выгрузку. Важно учитывать фактические операции, а не только способ передачи.
Например, агентству предоставили доступ к CRM для работы с заявками. В договоре указаны рекламные услуги, но не определено, вправе ли агентство выгружать контакты, передавать их своему колл-центру или сохранять после прекращения работы. Именно такие вопросы стоит решить заранее.
В какой роли подрядчик получает данные
Оператор определяет цели обработки, состав данных и действия с ними. Обработчик выполняет операции по его поручению. Самостоятельный оператор использует полученные сведения для собственных целей на соответствующем правовом основании.
Роль определяем по конкретному процессу. Название договора или сфера деятельности контрагента сами по себе не дают окончательного ответа.
| Ситуация | Что выяснить |
|---|---|
| Бухгалтерия на аутсорсинге ведёт учёт по заданию компании | Какие операции поручены, какие данные передаются и как оформлены обязанности исполнителя |
| Подрядчик предоставляет программу для установки в инфраструктуре заказчика | Участвует ли он в обработке, получает ли доступ при поддержке или только предоставляет право использования |
| Облачный сервис хранит данные и обеспечивает работу системы | Какие функции выполняет провайдер, где находятся базы и какие условия регулируют обработку |
| Контрагент получает сведения для собственных обязанностей или самостоятельной услуги | На каком основании происходит передача и какие обязанности возникают у получателя как оператора |
Один контрагент может совмещать роли. Например, сервис обрабатывает загруженную клиентом базу по поручению, а сведения о представителях клиента использует для исполнения собственного договора. Эти процессы нужно различать.
В обзоре документов нельзя ограничиваться отметкой «это обработчик». Следующий вопрос — соответствует ли фактическая работа этому описанию. Если исполнитель использует клиентскую базу для собственной рекламы или обучения своих моделей, такую деятельность нельзя автоматически оправдать поручением заказчика.
Пять вопросов до передачи данных
1. Какие сведения действительно нужны
Определите категории людей, перечень данных и задачу. Для обзвона по записи может быть достаточно имени, телефона и времени посещения. Полная история покупок, паспортные копии или кадровые документы не должны передаваться просто потому, что их удобно выгрузить вместе.
Для разработки и тестирования сначала оцените возможность использовать вымышленные примеры или надлежащим образом обезличенные материалы. Это позволяет уменьшить доступ к рабочим данным.
2. Какие операции выполняет исполнитель
Просмотр, хранение, изменение, рассылка и уничтожение — разные действия. Формулировка «обработка любыми способами» не объясняет границы поручения.
Зафиксируйте операции, которые необходимы для услуги. Если подрядчику разрешён доступ для поддержки, это не должно автоматически означать разрешение выгрузить всю базу на личный компьютер.
3. Где находятся базы и сервисы
Уточните инфраструктуру, резервное копирование, рабочие хранилища, журналы и внешние программы. Российская регистрация подрядчика не подтверждает, что все используемые системы расположены в России.
4. Кто ещё получает доступ
Сотрудники подрядчика, самозанятые специалисты, облачный провайдер и сервис рассылок могут образовывать цепочку участников. Нужно понимать, какие данные получает каждый и кто вправе менять эту цепочку.
5. Чем подтверждаются ответы
Запросите договорные условия обработки, сведения об инфраструктуре и применяемых мерах, порядок доступа и удаления. При поручении закон предусматривает предоставление оператору документов и информации о выполнении установленных требований, в том числе до начала обработки.
Объём проверки должен соответствовать задаче. Запрос подтверждающих документов, юридическая проверка договора и технический аудит безопасности — разные виды работы.
Нужны ли согласие и отдельное поручение
Часть 3 статьи 6 Закона № 152-ФЗ предусматривает возможность поручить обработку другому лицу с согласия субъекта, если иное не предусмотрено федеральным законом. Поэтому договор между заказчиком и исполнителем сам по себе не заменяет проверку оснований поручения.
Нужно выяснить, на каком основании компания обрабатывает сведения и вправе ли поручить соответствующие действия конкретному лицу. Нельзя автоматически считать, что наличие договора с клиентом разрешает любую передачу его данных любому подрядчику.
Если требуется согласие, проверяем его содержание и способ получения. Одна подпись не означает разрешения на любые новые цели. Подробнее об основаниях — в статье о согласии на обработку персональных данных.
Сам обработчик не обязан заново получать согласие субъекта для исполнения надлежащего поручения — это предусмотрено частью 4 статьи 6. Но если он использует сведения в самостоятельных целях, основания такой обработки нужно оценивать отдельно.
Как оформить поручение
Условия можно закрепить в основном договоре, приложении или дополнительном соглашении. Отдельный документ с названием «Договор поручения» не является единственным вариантом.
Важно, чтобы условия были согласованы сторонами, относились к нужной услуге и охватывали фактическую обработку. Приложение не должно разрешать операции, которые основной договор запрещает, или ссылаться на отсутствующие документы.
NDA защищает конфиденциальность, но не заменяет условия поручения. Договорные задачи рассматриваем вместе с подготовкой и проверкой договоров для бизнеса.
Что конкретизировать в договоре
Законодательный минимум поручения установлен частью 3 статьи 6 Закона № 152-ФЗ. Он включает данные, операции, цели, конфиденциальность, требования к локализации и организационным мерам, подтверждение соблюдения требований, безопасность и уведомление оператора об установленных законом инцидентах.
Дополнительно нужно определить, как стороны выполняют эти обязанности на практике.
| Условие | Что конкретизировать |
|---|---|
| Данные и цели | Чьи сведения обрабатываются, какие поля нужны и для выполнения какой задачи |
| Разрешённые операции | Что исполнитель вправе делать и какие действия выходят за пределы поручения |
| Доступ и защита | Порядок допуска сотрудников, требования к системам и меры, соответствующие обработке |
| Подтверждающие документы | Что предоставляется по запросу, в какие сроки и кто отвечает за взаимодействие |
| Другие исполнители | Допустимость привлечения, порядок согласования и требования к участникам цепочки |
| Изменение инфраструктуры | Как сообщают о новых сервисах, размещении баз или зарубежном доступе |
| Инциденты и обращения | Контакты, сроки сообщений, состав сведений и содействие расследованию или исполнению запроса |
| Завершение обработки | Возврат информации, прекращение доступа, копии, сроки уничтожения и подтверждение результата |
| Ответственность | Нарушения, последствия, договорные санкции и порядок предъявления требований |
Не каждый пункт таблицы является самостоятельным обязательным реквизитом по одной норме закона. Здесь объединены законодательные требования и договорные механизмы, помогающие их выполнять.
Например, обязанность сообщить об инциденте предусмотрена законом. Конкретный канал связи, резервный контакт и короткий срок первого сообщения необходимо согласовать так, чтобы стороны могли реально ими пользоваться.
Если подрядчик привлекает других исполнителей
Нужно проверить не только основной договор, но и последующую цепочку обработки. Подрядчик может хранить базу у облачного провайдера, передавать обращения внешней поддержке и пользоваться отдельным сервисом рассылок.
В письме от 14.07.2023 № 08ВМ-59834 Роскомнадзор связывает привлечение субобработчика с предусмотренным в поручении правом и согласием субъекта. Эту позицию учитываем при оформлении цепочки и проверке применимых оснований.
Практически в договоре стоит определить, кто привлекается, для каких операций, как согласуется новый участник и какие обязанности на него возлагаются. Основной исполнитель должен обеспечивать исполнение принятых обязательств во всей согласованной цепочке.
Общая фраза «вправе привлекать любых третьих лиц» не даёт заказчику достаточного понимания, кто работает с его данными. Особенно если состав участников и страны обработки меняются без уведомления.
Зарубежные сервисы и доступ из-за границы
Локализация и трансграничная передача — самостоятельные вопросы. Условие «исполнитель соблюдает законодательство РФ» не объясняет, где собираются данные и кому они направляются дальше.
Проверьте иностранные облака, техническую поддержку, аналитику, распознавание речи и ИИ-сервисы. В том числе выясните, доступна ли база специалистам из других государств. Правовую оценку проводим по фактическому маршруту и получателям, а не только по адресу основного сервера.
Если происходит трансграничная передача, применяются требования статьи 12, включая отдельное уведомление и получение предусмотренных сведений о получателе до его подачи. Договор с провайдером и его стандартный DPA нужно сопоставить с российскими требованиями: название документа само по себе соответствие не подтверждает.
Для проектов с нейросетями дополнительно рассматриваем использование зарубежного ИИ по 152-ФЗ и предварительное обезличивание данных.
Как действовать при инциденте или обращении человека
При установленном частью 3.1 статьи 21 инциденте оператор должен уведомить РКН в течение 24 часов и сообщить результаты внутреннего расследования в течение 72 часов. Срок связан с выявлением инцидента оператором, уполномоченным органом или иным заинтересованным лицом. Это не последовательные интервалы «24 часа, затем ещё 72».
Поэтому подрядчик должен оперативно сообщить о событии, даже если расследование ещё не завершено. В договоре можно согласовать немедленное информирование с предельным коротким сроком первого сообщения. Это договорное условие, а не универсальный установленный законом срок для всех исполнителей.
В первом сообщении полезно предусмотреть время обнаружения, затронутые системы и данные, известный масштаб, принятые меры и контакт ответственного. Затем — дополнение сведений, сохранение журналов и участие в расследовании.
Отдельно определите, как подрядчик передаёт обращения субъектов и выполняет поручения об уточнении, блокировании или уничтожении. Обязанности должны исполняться в пределах применимых сроков, поэтому пересылка обращения «когда сотрудник вернётся из отпуска» не подходит.
Кто отвечает за нарушение
По части 5 статьи 6 оператор несёт ответственность перед субъектом за действия обработчика, а обработчик — перед оператором. Для поручения иностранному лицу часть 6 устанавливает ответственность перед субъектом и оператора, и обработчика.
При этом требования человека, административная ответственность и расчёты между контрагентами — разные вопросы. Условие договора о возмещении убытков не освобождает компанию от её собственных обязанностей перед субъектами и регулятором.
В договоре важно определить конкретные нарушения, санкции, порядок подтверждения обстоятельств и предъявления требований. Взыскание уплаченного административного штрафа с контрагента нельзя обещать автоматически: потребуется отдельная оценка оснований и обстоятельств.
Как завершить работу с данными
Прекращение договора — повод проверить все системы, в которых остаётся информация. Закрытие основной учётной записи не удаляет выгрузки, локальные файлы, журналы и резервные архивы.
В порядке завершения работы определите:
- Какие сведения, в каком формате и по какому каналу возвращаются заказчику.
- Когда прекращаются доступы и отзываются ключи.
- Какие рабочие, временные и тестовые копии уничтожаются.
- Как обрабатываются резервные копии с учётом применимых сроков и законного порядка уничтожения.
- Какие документы подтверждают выполнение и как можно проверить результат.
Если подрядчик должен сохранять отдельные сведения на самостоятельном законном основании, нужно разграничить их с данными, которые он обрабатывал по поручению. Нельзя оставлять всю клиентскую базу на неопределённый срок под общей формулировкой «для защиты интересов».
Предусмотренные законом случаи уничтожения нужно оформлять с учётом требований РКН к подтверждению. Обещание «всё удалено» в переписке не всегда является достаточным документальным результатом.
Что делать, если у подрядчика только своя оферта
Крупный сервис может не согласиться подписывать приложение заказчика. Тогда сначала изучают его оферту, условия обработки, документы о безопасности и сведения о получателях.
Далее можно запросить недостающую информацию, предложить дополнение, ограничить состав данных или способ использования. Если условия не позволяют организовать требуемую обработку, рассматривают другое решение.
Не нужно считать собственную форму поручения обязательной для каждого контрагента. Но нельзя и подменять проверку ссылкой на известность бренда: условия сервиса должны позволять выполнить требования, применимые к вашей компании.
Какие услуги можно заказать в «Софисте»
Помогаем как заказчикам, передающим данные, так и исполнителям, которым предложили подписать поручение. Определяем роли сторон, проверяем основания и готовим условия под конкретные операции.
| Формат работы | Что получает клиент | Стоимость |
|---|---|---|
| Подготовка условий обработки подрядчиком | Поручение, раздел договора или дополнительное соглашение с учётом согласованной модели | От 15 000 рублей |
| Проверка готовых условий | Замечания, выявленные риски и рекомендации по необходимым изменениям | От 10 000 рублей |
| Пакет «Универсальный» | Комплекс документов по ПДн, включая документы для работы с подрядчиками, и инструкция по применению | 50 000 рублей |
| Аудит обработки при работе с подрядчиками | Анализ согласованных процессов, систем и договоров, выводы и рекомендации | После определения объёма |
Подготовка или проверка одного договора
Этот формат подходит, если нужно оформить конкретного исполнителя или проверить предложенные им условия. Изучаем задачу и необходимые сведения, определяем подходящую конструкцию и готовим согласованный результат.
Цены от 15 000 и от 10 000 рублей относятся к работе с условиями обработки персональных данных. Проверку всего договора во всех правовых аспектах, существенное редактирование и участие в переговорах согласуем отдельно. Учитываем число процессов, получателей, иностранные сервисы и объём материалов.
Подробнее о договорной работе — на странице «Договоры и юридические документы для бизнеса».
«Универсальный» — если нужно оформить работу компании в целом
В пакет за 50 000 рублей входят документы для работы с подрядчиками, а также оформление внутренних процедур по ПДн и пошаговая инструкция. Это вариант для компании, которой нужны не только условия одного договора, но и согласованные правила работы с персональными данными.
Индивидуальную проработку сложного договора, переговоры с контрагентом и анализ цепочки исполнителей определяем в составе работ отдельно. Полное содержание пакета представлено на странице услуг по персональным данным и 152-ФЗ.
Аудит — когда сначала нужно разобраться в процессах
Если систем и подрядчиков несколько, а фактическая обработка не описана, сначала полезно установить маршрут данных и состояние документов. Аудит не является обязательным дополнением к каждому договору: его необходимость и глубина зависят от задачи.
Для проверки обработки в приложении, сервисе или программе есть юридический аудит цифрового продукта — от 50 000 рублей. Аудит нескольких подразделений и процессов компании требует отдельного согласования.
Можно начать с консультации — 5 000 рублей за час работы. Изучение документов и подготовка рекомендаций учитываются в согласованном рабочем времени.
До начала фиксируем в договоре объём, результат, сроки и стоимость. Для первого разбора обычно достаточно описания услуги, договора, списка систем и примеров с вымышленными данными. Предоставление реальной клиентской базы не требуется. Соблюдаем согласованные условия конфиденциальности.
Опыт практики и пример работы
Практика «Софист» работает с 2016 года. Сопровождаем бизнес и НКО, IT-проекты и стартапы, работаем с крупными предприятиями Татарстана и клиентами из других регионов. Работу ведёт Василий Кустов.
В проекте ИИ-стартапа мы анализировали использование зарубежного AI-сервиса, предложили подход с предварительным обезличиванием, подготовили локальный акт и акт оценки методов. Актуализировали политику и другие документы, дали рекомендации по внедрению. Этот пример показывает, как юридическая работа связывает движение данных и оформление процесса.
Подробнее о кейсе по обезличиванию данных. Другие примеры — в разделе кейсов практики.
Благодарственные письма клиентов
Благодарственное письмо ООО «Вайс Сити Системс»
Отзыв о сотрудничестве с юридической практикой «Софист».
Благодарственное письмо ООО «МАНТЛ КОД»
Отзыв о сотрудничестве с юридической практикой «Софист».
Письма отражают оценку сотрудничества. Сведения о практике и другие отзывы — на странице «О нас».
Часто задаваемые вопросы
У нас уже подписан NDA. Зачем дополнительные условия?
NDA регулирует конфиденциальность, но обычно не определяет все условия поручения: данные, операции, цели, защиту, подтверждающие документы и взаимодействие при инцидентах. Проверим, что уже предусмотрено, и подготовим недостающие положения без ненужного дублирования.
Можно исправить действующий договор дополнительным соглашением?
Да, если стороны согласуют изменения. Не всегда нужно заключать новый основной договор. Выберем подходящий способ и сопоставим новые условия с действующими приложениями и фактической работой.
Подрядчик крупный и использует только свои документы. Вы сможете помочь?
Да. Можно проверить оферту и условия обработки, выделить недостающие сведения и подготовить вопросы или предложения. Мы не обещаем согласие контрагента на все правки, но помогаем оценить допустимые варианты работы и существенные ограничения.
Мы сами подрядчик. Проверите поручение заказчика?
Да. Проверяем, выполнимы ли обязанности, соответствует ли ответственность вашей роли, как определены инструкции, субподрядчики, инциденты и прекращение обработки. Помогаем подготовить замечания и альтернативные условия.
Нужно ли сначала заказывать полный аудит?
Нет. Для отдельного договора может быть достаточно описания процесса и необходимых документов. Если без изучения инфраструктуры или других участников нельзя дать обоснованный вывод, объясним, какие сведения и дополнительная работа требуются.
Можно заказать только проверку, а правки внести самостоятельно?
Да. Согласуем проверку с замечаниями и рекомендациями. Редактирование, подготовку новой версии и участие в согласовании можно включить дополнительно. Вы заранее понимаете, какой результат получите за согласованную цену.
Зачем отдельная услуга, если документы для подрядчиков входят в «Универсальный»?
Пакет помогает оформить основные процессы компании и включает соответствующие документы и инструкцию. Отдельная услуга нужна для конкретной договорной задачи: проверки условий контрагента, подготовки индивидуального решения или согласования сложных положений. Если обе задачи актуальны, согласуем общий объём с учётом уже подготовленных материалов.