Бесплатная консультация юриста

+7 (800) 301-07-30

Реклама jurik.ru

В современном деловом обороте и государственном управлении передача информации — это повседневный процесс, требующий строгого правового оформления. Соглашение о передаче информации — это локальный нормативный правовой акт или гражданско-правовой договор, который регламентирует порядок, условия и ответственность сторон при обмене данными. Ниже представлена подробная статья, охватывающая правовые основы, структуру документа, особенности для разных категорий данных и практический образец.

Правовые основы и нормативная база

Оформление передачи информации в Российской Федерации регулируется комплексом законов. Выбор применимой нормы зависит от категории данных и статуса сторон:

ГК РФ (ст. 309, 310, 420–421): общие положения о договоре, в т.ч. о передаче прав на результаты интеллектуальной деятельности и ноу-хау (лицензионный договор), а также о поручении и агентском договоре, если передача данных является частью исполнения обязательств.
152-ФЗ «О персональных данных»: ключевой закон при передаче ПДн. Статья 6 устанавливает условия обработки, ст. 9 — особенности передачи третьим лицам (требуется согласие субъекта или иные основания), ст. 19, требования к защите при передаче.
ФЗ-98 «О коммерческой тайне»: регламентирует режим конфиденциальности при передаче коммерческой тайны (ст. 10, 11). Необходим режим коммерческой тайны и список сведений, составляющих её.
ФЗ-149 «Об информации, информационных технологиях и о защите информации»: определяет категории информации (открытая, ограниченного доступа), принципы информационного взаимодействия госорганов.
323-ФЗ «Об основах охраны здоровья граждан» (ст. 13): специальные правила передачи медицинской тайны (врачебной тайны).
63-ФЗ «Об электронной подписи»: регулирует использование ЭП для идентификации сторон и подтверждения юридической значимости переданных электронных документов.
Постановление Правительства РФ № 1119 (Правила обработки ПДн): технические и организационные требования к защите при передаче.

Основные виды соглашений

В зависимости от целей и субъектов, выделяют несколько типовых форм:

Соглашение об информационном взаимодействии (межведомственное / между юрлицами): используется для настройки постоянного обмена данными (например, интеграция информационных систем, ЕГИССО, СМЭВ).
Договор о передаче персональных данных (Анекс к основному договору): оформляет отношения «Оператор — Уполномоченный лицо» (аутсорсинг обработки: колл-центры, облачные сервисы, HR-агентства).
Соглашение о неразглашении (NDA / Confidentiality Agreement): фокусируется на защите коммерческой тайны и конфиденциальной информации при переговорах, аудите, M&A сделках.
Соглашение о передаче данных для научных/статистических целей: предусматривает обязательную обезличивание данных (анонимизацию) согласно ст. 152-ФЗ.
Международные соглашения (Standard Contractual Clauses — SCC): обязательны при трансграничной передаче ПДн в «неадекватные» юрисдикции (по 152-ФЗ и рекомендациям Роскомнадзора).

Обязательная структура соглашения

Качественный образец соглашения должен содержать следующие блоки (согласно ст. 420–421 ГК РФ и спецзаконам):

Преамбула и стороны

Полные наименования сторон (ОГРН, ИНН, адрес).
Основание действия представителей (Устав, Доверенность, Приказ).
Статус сторон в контексте 152-ФЗ: Оператор и Уполномоченное лицо (или Совместные операторы).

Предмет соглашения

Четкое описание категорий передаваемых данных (ФИО, паспорт, СНИЛС, мед. данные, платежные реквизиты и т.д.).
Цель передачи (исполнение договора, выполнение закона, согласие субъекта).
Объем данных (минимально необходимый и достаточный — принцип минимизации).

Порядок и технические средства передачи

Каналы связи: защищенные контуры (VPN, TLS 1.2+, ГОСТ-шифрование), СМЭВ, ЭДО, защищенная почта.
Формат данных (XML, JSON, CSV, PDF/A) и стандарты обмена (XSD-схемы, API-спецификации).
Использование электронной подписи (КЭП/НЭП) для подтверждения авторства и целостности (ссылка на 63-ФЗ).
Правила обезличивания/анонимизации, если передача идет без согласия субъекта.

Обязанности сторон по защите информации

Детализация мер из ст. 19 152-ФЗ и Постановления № 1119:

Назначение ответственных за безопасность.
Учет инцидентов безопасности и уведомление другой стороны/Роскомнадзора (в течение 24 часов при утечке ПДн).
Контроль доступа (RBAC, MFA), шифрование «в покое» и «в движении».
Журналирование событий доступа к данным.
Запрет на суblicensing (передачу третьим лицам) без письменного согласия.

Права субъектов персональных данных

Обеспечение прав на доступ, исправление, удаление, отзыв согласия.
Порядок уведомления субъектов о передаче (если требуется законом).

Ответственность сторон

Штрафные санкции, неустойки за утечку, нарушение сроков, несоответствие объема.
Возмещение реального ущерба (в т.ч. репутационного) и упущенной выгоды.
Административная ответственность (КоАП РФ ст. 13.11, 13.14) и уголовная (УК РФ ст. 137, 272, 273), указывается, что стороны несут ответственность самостоятельно.

Срок действия и порядок прекращения

Срок действия (обычно на срок основного договора + сроки хранения по архиву/закону).
Порядок возврата или уничтожения данных при расторжении (акт уничтожения, протокол очистки носителей).

Разрешение споров и заключительные положения

Претензионный порядок (обязателен для юрлиц/ИП по АПК РФ).
Судебная юрисдикция (арбитраж по месту ответчика или по договору);
Адреса и реквизиты для уведомлений.

Образец: Соглашение об информационном взаимодействии при передаче персональных данных (между организациями)

Ниже приведена адаптированная структура на основе типовых форм (в т.ч. рекомендаций Роскомнадзора и форм систем ГАРАНТ/КонсультантПлюс), актуальная на 2026 год.

СОГЛАШЕНИЕ об информационном взаимодействии в области передачи персональных данных

г. ______________ «___» ____________ 20__ г.

[Полное наименование Организации-Оператора], именуемое в дальнейшем «Оператор», в лице [Должность руководителя] [Ф.И.О.], действующего на основании [Устава / Доверенности №___], с одной стороны, и

[Полное наименование Организации-Уполномоченного лица], именуемое в дальнейшем «Уполномоченное лицо», в лице [Должность руководителя] [Ф.И.О.], действующего на основании [Устава / Доверенности №___], с другой стороны,

вместе именуемые «Стороны», а по отдельности «Сторона», руководствуясь Конституцией РФ, ГК РФ, Федеральным законом от № 152-ФЗ «О персональных данных», Постановлением Правительства РФ от № 1119, Федеральным законом от № 63-ФЗ «Об электронной подписи», заключили настоящее Соглашение о нижеследующем:

ПРЕДМЕТ СОГЛАШЕНИЯ

Оператор передает Уполномоченному лицу, а Уполномоченное лицо принимает от Оператора персональные данные субъектов (далее — ПДн) для обработки в целях: [указать цель: исполнение договора №___ от ___, оказание услуг, расчет зарплаты и т.д.].
Перечень категорий передаваемых ПДн:
- Идентификационные данные: ФИО, дата/место рождения, пол;
- Документы, удостоверяющие личность: серия/номер паспорта, кем/когда выдан, код подразделения;
- Контактные данные: адрес регистрации/проживания, телефон, e-mail;
- [Спецкатегории — при наличии оснований ст. 10 152-ФЗ]: данные о здоровье / расовом составе / политических взглядах / биометрия;
- Иные данные: [перечислить: СНИЛС, ИНН, банковские реквизиты, трудовой стаж и т.д.].
Передача ПДн осуществляется на основании: [согласия субъектов / договора с субъектом / федерального закона / иного основания].

ПОРЯДОК И УСЛОВИЯ ПЕРЕДАЧИ ИНФОРМАЦИИ

Передача ПДн осуществляется исключительно в электронном виде через защищенные каналы связи:
- Единая система межведомственного электронного взаимодействия (СМЭВ);
- Защищенный контур VPN с использованием криптографических средств (СКЗИ) сертифицированных ФСТЭК/ФСБ (ТLS 1.3 / ГОСТ Р 34.12-2015);
- Система электронного документооборота (СЭДО) с использованием квалифицированной электронной подписи (КЭП).
Формат передаваемых данных: [XML по схеме XSD v.1.2 / JSON API v.3 / CSV в кодировке UTF-8]. Структура данных прилагается в Приложении № 1.
Стороны признают юридическую силу электронных документов, подписанных КЭП/НЭП, эквивалентную бумажным документам с «живыми» подписями и печатями (ст. 6, 9 63-ФЗ).
При технической невозможности защищенной передачи допускается передача только обезличенных данных (без прямой идентификации субъекта) по открытым каналам с последующей идентификацией по защищенному каналу.

ОБЯЗАННОСТИ СТОРОН ПО ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ

Оператор обязуется:
- Передавать только достоверные, актуальные и минимально необходимые ПДн.
- Обеспечить информирование субъектов о передаче их данных Уполномоченному лицу (если не установлено иное законом).
- Проводить аудит мер защиты информации Уполномоченного лица не реже 1 раза в год.
Уполномоченное лицо обязуется:
- Обрабатывать ПДн исключительно для целей, указанных в п. 1.1.
- Не передавать ПДн третьим лицам без письменного согласия Оператора (за исключением случаев, прямо предусмотренных законом).
- Обеспечить реализацию организационных и технических мер защиты ПДн в соответствии с Приложением № 2 к Постановлению № 1119 (уровни защищенности УД1–УД4 в зависимости от угроз).
- Немедленно (в течение 24 часов) уведомлять Оператора и Роскомнадзор об инцидентах безопасности (утечке, несанкционированном доступе).
- Обеспечить возможность реализации прав субъектов ПДн (доступ, исправление, удаление, блокирование) в течение 10 рабочих дней с момента получения запроса от Оператора.
- По истечении срока действия Соглашения или достижения цели обработки — уничтожить или обезличить ПДн в течение 30 календарных дней, составить Акт уничтожения/обезличивания и передать его Оператору.

ОТВЕТСТВЕННОСТЬ СТОРОН

За нарушение условий настоящего Соглашения, в т.ч. утечку ПДн, виновная Сторона возмещает другой Стороне реальный ущерб.
Устанавливается неустойка в размере [___%] от стоимости договора/услуг за каждый случай утечки ПДн, но не менее [___ руб.].
Стороны несут ответственность за нарушение законодательства о ПДн самостоятельно в соответствии с КоАП РФ (ст. 13.11, 13.14) и УК РФ.

СРОК ДЕЙСТВИЯ И ПОРЯДОК РАСТОРЖЕНИЯ

Соглашение вступает в силу с момента подписания и действует до «___» ____________ 20__ г. (или до исполнения обязательств по основному договору №___).
Любая Сторона вправе расторгнуть Соглашение в одностороннем порядке с уведомлением другой Стороны не позднее чем за 30 календарных дней при грубом нарушении условий защиты информации.
При расторжении Стороны действуют согласно п. 3.2.7 настоящего Соглашения (возврат/уничтожение данных).

ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ

Все споры решаются путем переговоров (претензионный порядок 30 дней), затем — в Арбитражном суде по месту нахождения Оператора.
Изменения и дополнения действуют только в письменной форме (доп. соглашением), подписанном уполномоченными представителями.
Адреса и реквизиты Сторон для направления уведомлений:
Оператор: юр. адрес, почтовый адрес, e-mail для уведомлений, тел.
Уполномоченное лицо: юр. адрес, почтовый адрес, e-mail для уведомлений, тел.

ПОДПИСИ СТОРОН

ОПЕРАТОР
_________________ / [Ф.И.О.]
М.П.
Дата: «___» ________ 20__ г.

УПОЛНОМОЧЕННОЕ ЛИЦО
_________________ / [Ф.И.О.]
М.П.
Дата: «___» ________ 20__ г.

Приложения — неотъемлемая часть соглашения

На практике основной текст соглашения неразрывно связан с приложениями. Их отсутствие делает документ формальным и нерабочим для проверяющих органов (Роскомнадзор, ФСТЭК, аудиторы):

Приложение № 1: Реестр категорий ПДн и структура сообщения. Детальное описание полей, типов данных, обязательности заполнения, справочников значений.
Приложение № 2: Модель угроз и меры защиты информации (МЗИ). Описание реализованных мер по каждому классу угроз (НСД, НСИ, вирусы, физический доступ). Ссылка на Акт аттестации объекта информатизации (если есть).
Приложение № 3: Порядок взаимодействия при инцидентах безопасности. Регламент: контакты CERT/СОЦ, шаблоны уведомлений, сроки реакции (1 час — детект, 24 часа — уведомление регулятора).
Приложение № 4: Полномочия сотрудников. Перечень должностей/ФИО лиц, имеющих доступ к ПДн, с указанием ролей (администратор БД, оператор поддержки, аудитор).
Приложение № 5: Правила обезличивания/анонимизации. Алгоритмы удаления прямых идентификаторов и квантилирования косвенных (k-анонимность, l-разнообразие).

Типичные ошибки при составлении (чек-лист для проверки)

Отсутствие статуса сторон в 152-ФЗ. Не написано, кто Оператор, а кто Уполномоченное лицо. Роскомнадзор считает это нарушением ст. 6 152-ФЗ.
Ссылка на «согласие» без его наличия. В соглашении написано «на основании согласия», но сами согласия не собраны или не покрывают цель передачи конкретному контрагенту.
Слишком широкий перечень данных. Передаются все поля «на всякий случай» (принцип минимизации нарушен).
Отсутствие технических деталей. Фраза «передаем по защищенным каналам» без указания конкретных СКЗИ, сертификатов ФСТЭК, версий TLS.
Нет процедуры возврата/уничтожения. При расторжении данные остаются у контрагента бессрочно.
Игнорирование трансграничной передачи. Если Уполномоченное лицо использует облако за рубежом (AWS, Azure, Google Cloud) — обязательны SCC (Стандартные договорные условия) и уведомление Роскомнадзора.
Подписание лицами без полномочий. Доверенность не дает права подписывать соглашения о ПДн (нужен приказ о назначении ответственного за обработку или доверенность с особыми полномочиями).

Особенности для специфических сфер (2026 год)

Медицинские организации (по 323-ФЗ и Приказу Минздрава)

При передаче врачебной тайны (ЭМК, выписки) соглашение обязательно должно содержать:

Ссылку на ст. 13 323-ФЗ (передача только с согласия пациента или по основаниям закона: скорой помощи, эпидемиологические показания, суд).
Использование ЕГИСЗ / ЕРЗ / Регистратуры лиц, привитых против COVID-19 (иных реестров).
Требования к СКЗИ по защите ГИС Здравоохранения (профиль защиты К3/К4 по ФСТЭК).

Банки и финансовые организации (по 115-ФЗ, 161-ФЗ, регулятория ЦБ РФ)

Передача в БКИ (Бюро кредитных историй) — строгий регламент (ФЗ-218).
Передача в Росфинмониторинг, формат 115-ФЗ (отчеты о подозрительных операциях).
Требования Регламентатора (ЦБ РФ) к защите платежных данных (ПКИ, токенизация PAN).

Государственные и муниципальные органы (СМЭВ 3 / ГИС)

Обязательное использование СМЭВ 3 (СМЭВ-Шлюз) для межведомственного обмена.
Соглашение оформляется в виде «Соглашения об информационном взаимодействии» по форме, утвержденной Минцифры/ФНС/Пенсионным фондом.
Категоризация информации: гостайна, гостайна особой важности, иная ограниченная информация.

Грамотно составленное Соглашение о передаче информации — это не просто формальность для проверки, а рабочий инструмент управления рисками информационной безопасности. В 2026 году акцент регуляторов (Роскомнадзор, ФСТЭК, ЦБ, Минцифры) смещен с «наличия бумажки» на фактическое соответствие заявленным мерам защиты: наличие актуальных аттестатов объектов информатизации, работающих SIEM/SOC, регулярных пентестов и обученного персонала.

Рекомендация: Используйте приведенный выше образец как каркас, но обязательно адаптируйте его под конкретную бизнес-процесс, категорию данных (ПДн, коммерческая тайна, гостайна) и техническую архитектуру вашей интеграции. Привлеките к разработке юриста по IT/данным и специалиста по ИБ (CISO/ИБ-архитектор).

Данная статья носит информационный характер и не является юридической консультацией. Для оформления конкретных правовых отношений обратитесь к квалифицированному юристу.