Оформление отношений между оператором персональных данных и уполномоченным лицом (подрядчиком) — обязательное требование статьи 28 Федерального закона от N 152-ФЗ «О персональных данных»․ Отсутствие письменного договора (или поручения) влечет за собой административную ответственность (ст․ 13․11 КоАП РФ) и риски утечек данных․

В данной статье подробно разбираем, из чего состоит грамотный договор, в чем разница между «поручением» и «передачей», и какие блоки обязательно должны быть в шаблоне․

Правовая природа договора: Поручение vs Передача

На практике часто смешивают два разных правовых режима․ Понимание разницы критично для выбора правильного шаблона:

• Договор поручения (ст․ 28 152-ФЗ): Оператор передает данные уполномоченному лицу для обработки от имени и в интересах оператора․ Уполномоченное лицо не определяет цели обработки, оно лишь исполняет инструкции оператора․ Это аутсорсинг обработки (облачные CRM, колл-центры, бухгалтерия, IT-поддержка)․ Согласие субъекта данных на такую передачу не требуется, но договор обязателен․
• Передача третьим лицам (п․ 3 ст․ 6, п․ 2 ст․ 10 152-ФЗ): Оператор передает данные другому лицу, которое становится независимым оператором (определяет свои цели обработки)․ Примеры: передача данных в банк для выплаты зарплаты, в страховую компанию, в налоговую службу․ Здесь, как правило, требуется согласие субъекта (если нет иного законного основания) и уведомление Роскомнадзора (если передача не по договору поручения)․

Обязательные условия договора (Чек-лист по ст․ 28 152-ФЗ)

Закон устанавливает жесткий перечень условий, которые обязательно должны быть зафиксированы в документе․ Пропуск любого пункта делает договор несоответствующим закону․

1. Перечень действий (операций) с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение․ Не пишите просто «обработка» — перечисляйте конкретные действия, релевантные задаче подрядчика․
2. Цели обработки персональных данных: Должны соответствовать целям оператора, зафиксированным в его локальных актах (Политике обработки)․ Пример: «Обеспечение исполнения договора с клиентами», «Расчет заработной платы сотрудникам»․
3. Состав персональных данных: Конкретные категории данных (ФИО, контакты, паспорт, СНИЛС, ИНН, банковские реквизиты, биометрия и т․д․)․ Нельзя писать «все данные оператора»․
4. Требования к защите персональных данных: Ссылка на конкретные меры защиты (организационные и технические), которые примет уполномоченное лицо․ Обычно сослаются на Приложение к договору — «Перечень мер защиты информации» (соответствующий указу № 1119 или профильным актам ФСТЭК/ФСБ при необходимости)․
5. Права и обязанности сторон: Детализация: обязанность уполномоченного лица не передавать данные третьим лицам без согласия оператора, обеспечивать конфиденциальность, сообщать об инцидентах (утечках) в установленные сроки (обычно 24 часа), возвращать/уничтожать данные по окончании договора․
6. Срок действия и порядок прекращения: Срок действия договора, а также четкий механизм: что происходит с данными после расторжения (возврат оператору или полное уничтожение с составлением акта)․
7. Ответственность сторон: Штрафные санкции за нарушение режима конфиденциальности, утечки, несанкционированного доступа․

Структура рекомендуемого шаблона договора

Ниже приведена универсальная структура документа, которую можно адаптировать под конкретные бизнес-процессы․ Рекомендуется оформлять в виде основного договора + Приложений․

Преамбула и Предмет договора

• Полные наименования сторон (Оператор и Уполномоченное лицо), ИНН/ОГРН, адреса, основания действия (Устав, Доверенность)․
• Предмет: Уполномоченное лицо обязуется осуществлять обработку персональных данных от имени Оператора в целях и порядке, определенных договором․

Описание обработки (Приложение № 1, Техническое задание / Спецификация)

Выносите в приложение, чтобы не переподписывать договор при смене процессов․ Включает:

• Конкретные информационные системы подрядчика, где будут храниться данные․
• Перечень категорий субъектов данных (клиенты, сотрудники, контрагенты)․
• Детальный перечень категорий ПДн (см․ п․ 3 выше)․
• Перечень операций (см․ п․ 1 выше)․
• Цели обработки․
• География хранения (только территория РФ или допустима кросc-граница с обоснованием)․

Меры защиты информации (Приложение № 2)

Это ключевой документ для аудита и проверок Роскомнадзора․ Должен содержать:

• Организационные меры: назначение ответственных лиц, инструкции по работе с ПДн, режим доступа (ролевая модель), процедура допуска сотрудников, обучение персонала, учет носителей, процедура инцидент-менеджмента․
• Технические меры: средства защиты от НСД (антивирусы, МЭ, СКЗИ), контроль целостности, идентификация и аутентификация (МФА), шифрование каналов связи (VPN, TLS), резервное копирование, защита от утечки (DLP-системы), журналирование событий безопасности (SIEM)․
• Уровень защищенности (1-4 или УЗ-1/УЗ-2/УЗ-3/УЗ-4) в соответствии с Приказом ФСТЭК № 17/21, если система входит в реестр ГИС/КИИ/ОИИ, или обоснование уровня по методике ФСТЭК для остальных систем․

Порядок взаимодействия и контроль

• Право Оператора проводить аудит (инспекции) систем Уполномоченного лица (на месте или удаленно по отчетам/скринам)․
• Порядок уведомления об инцидентах безопасности (сроки, форма уведомления, контакты ответственных)․
• Порядок привлечения субподрядчиков (только с письменного согласия Оператора и заключением аналогичного договора с субподрядчиком)․

Возврат и уничтожение данных

Четкий алгоритм действий при завершении работ:

1. Уполномоченное лицо в течение N дней (обычно 5-10) после окончания договора:
2. Вариант А: Передает все носители/дампы данных Оператору․
3. Вариант Б: Уничтожает данные невосстановимо (перезапись, демагнитирование, физическое уничтожение носителей) и подписывает Акт об уничтожении․
4. Удаляет данные из бэкапов и архивов в установленные регламентом сроки․

Ответственность и разрешение споров

• Штрафы за нарушение конфиденциальности (фиксированные суммы или % от договора)․
• Возмещение реального ущерба (включая штрафы Роскомнадзора, репутационные потери — если доказано)․
• Претензионный порядок и юрисдикция (Арбитражный суд по месту нахождения Оператора)․

Типичные ошибки при использовании шаблонов из интернета

Рекомендации Роскомнадзора и актуальная практика

Согласно информации из открытых источников и практике ведомства:

• Стандартизация: Роскомнадзор рекомендует профильным ведомствам разрабатывать типовые формы договоров для отраслей․ Проверяйте сайт вашего регулятора (Минфин, Минздрав, Минпросвещения и др․) — там могут быть утвержденные методические рекомендации․
• Конструкторы политик: В системах типа «КонсультантПлюс» или «Гарант» есть конструкторы локальных актов, которые помогают сгенерировать не только Политику обработки, но и проект Договора поручения с учетом специфики организации․
• Уведомление Роскомнадзора: Сам договор поручения в Роскомнадзор не направляется․ Однако, если передача данных подрядчику меняет сведения, ранее включенные в уведомление об обработке (например, появляются новые категории ПДн или меняется перечень действий), Оператор обязан направить уточняющее уведомление в течение 10 дней․
• Электронный документооборот: Договор может быть заключен в электронной форме (ЭДО с КЭП), это равносильно письменной форме (ст․ 434 ГК РФ, ст․ 9 152-ФЗ)․

Алгоритм внедрения договора в компанию

1. Инвентаризация: Составьте реестр всех подрядчиков, имеющих доступ к ПДн (CRM, 1С в облаке, аутсорс кадровика, колл-центр, рассылки, хостинг)․
2. Классификация: Для каждого подрядчика определите: это Договор поручения (ст․ 28) или Передача третьему лицу (нужно согласие субъекта)․
3. Аудит подрядчика: Запросите у подрядчика описание мер защиты (опросник безопасности), сертификаты соответствия (ФСТЭК, ISO 27001), отчеты о пентестах․
4. Подготовка проекта: Адаптируйте шаблон под конкретного подрядчика (заполните Приложения 1 и 2)․
5. Согласование и подписание: Юридическая экспертиза, подпись уполномоченными лицами (КЭП при ЭДО)․
6. Контроль исполнения: Раз в год (или при изменении процессов) запрашивайте актуальный перечень мер защиты, проводите аудит, проверяйте акты об уничтожении данных у уволенных сотрудников подрядчика․

Грамотный договор на обработку персональных данных (договор поручения), это не просто формальность для инспектора, а основной инструмент управления рисками информационной безопасности при аутсорсинге․ Ключ к соответствию 152-ФЗ — в детализации Приложений: четком перечне данных, целей, операций и, главное, конкретных мер защиты, которые подрядчик реально применяет в своих информационных системах․

Важно: Данная статья носит информационный характер․ Шаблон договора требует юридической доработки под специфику вашего бизнеса, категорию обрабатываемых данных (общие, биометрические, специальные) и уровень защищенности используемых информационных систем․ Рекомендуется согласовать итоговый проект с юристом по защите персональных данных или ДСП (дежурным по защите ПДн)․