Компания передает расчет зарплаты внешней бухгалтерии. Чтобы начислить выплаты, подрядчику нужны ФИО сотрудников, СНИЛС и банковские реквизиты. Просто отправить базу по договору услуг здесь мало. Появляется «поручение на обработку персональных данных».
Поручение не дает подрядчику право распоряжаться полученной базой по своему усмотрению. Оператор заранее задает, какие данные можно обрабатывать, для какой цели и что именно с ними разрешено делать.
Поэтому сначала нужно понять роль получателя. Он выполняет задачу оператора или использует сведения для собственных целей?
Ну а сегодня разберем, когда нужно поручение на обработку персональных данных. Кроме того, посмотрим, что в нем прописать и кто отвечает, если подрядчик нарушит правила.
О понятии
Итак, поручение на обработку персональных данных — это условия, на которых оператор передает другому лицу часть работы с данными. Оператор задает рамки, а исполнитель действует внутри них.
Например, компания может поручить внешней бухгалтерии расчет зарплаты. В таком случае бухгалтерия получает сведения работников не для собственных задач, а чтобы выполнить работу для компании.
Обращаясь к первоисточнику, правила закреплены в части 3 статьи 6 Закона № 152-ФЗ. Закон называет эту конструкцию «поручением оператора». Оператор вправе поручить обработку другому лицу на основании договора, государственного или муниципального контракта либо соответствующего акта.
Однако отдельный документ с названием «Поручение» не требуется. Нужные условия можно включить в основной договор или приложение к нему. Главное — закрепить весь обязательный состав.
Когда поручение действительно нужно
Не каждая передача данных контрагенту означает поручение. Важно другое: зачем получатель берет сведения и кто определяет правила их обработки.
Если подрядчик выполняет конкретную задачу оператора, поручение подходит. Например, компания передает кадровый учет на аутсорсинг или дает колл-центру данные для работы с обращениями.
А вот если получатель сам определяет новую цель обработки, одной конструкции поручения уже недостаточно. В таком случае у него могут возникнуть самостоятельные обязанности как у оператора.
Проще говоря, нужно спросить: подрядчик делает с данными то, что поручила компания, или сам решает, зачем они ему нужны?
Кстати, общую логику таких ситуаций мы разобрали в статье про передачу персональных данных третьим лицам. Там можно отдельно проверить основание передачи и роль получателя.
Что должно быть в поручении
Одной фразы «исполнитель соблюдает Закон № 152-ФЗ» мало. Часть 3 статьи 6 прямо перечисляет обязательные условия.
В частности, в поручении фиксируют:
- перечень персональных данных, которые получает исполнитель;
- действия с ними, например хранение, уточнение, использование или удаление;
- конкретные цели обработки;
- обязанность соблюдать конфиденциальность персональных данных;
- требования к локализации и мерам из статьи 18.1 Закона № 152-ФЗ;
- обязанность обеспечивать безопасность данных и требования к их защите;
- обязанность подтверждать оператору принятые меры по его запросу;
- требование сообщать оператору о предусмотренных законом инцидентах.
Однако писать перечень «с запасом» не стоит. Если бухгалтеру нужны ФИО, СНИЛС и реквизиты для зарплаты, доступ ко всей кадровой базе может оказаться избыточным.
Это связано с общим принципом: состав данных должен соответствовать цели обработки. Подробнее такую связь мы разбирали в материале про цель обработки персональных данных.
Пример ситуации
К примеру, компания передает расчет зарплаты на аутсорсинг. В поручении она указывает данные работников и разрешает использовать их для расчета выплат и отчетности. Кроме того, стороны перечисляют допустимые операции.
Если бухгалтерия затем возьмет телефоны сотрудников для собственной рекламы, такая цель уже не следует из поручения. То есть технический доступ к базе не дает права использовать ее для новой задачи.
Нужно ли получать согласие человека
Вот здесь легко смешать два разных документа. Согласие дает человек, а поручение оформляют оператор и подрядчик.
По части 3 статьи 6 Закона № 152-ФЗ оператор вправе поручить обработку с согласия субъекта, если федеральный закон не предусматривает иное. Однако сам исполнитель отдельное согласие у человека не получает.
Если закон требует письменного согласия, в нем указывают данные лица, которое будет обрабатывать сведения по поручению. А именно, его наименование или ФИО и адрес. Такое правило содержит статья 9 Закона № 152-ФЗ.
Кроме того, с 1 сентября 2025 года согласие на обработку персональных данных оформляют отдельно от других документов. Речь идет о документах, которые подтверждает или подписывает человек.
Для практической работы на нашем сайте есть форма согласия на обработку персональных данных. Однако готовый образец нужно сверять с конкретной целью, составом данных и привлеченным обработчиком.
Однако само согласие не заменяет поручение между оператором и подрядчиком. Это разные части одной схемы.
Что обязан делать исполнитель
После получения базы подрядчик не просто следует коммерческому договору. Прежде всего он обязан соблюдать принципы обработки и конфиденциальность. Кроме того, исполнитель принимает необходимые меры защиты.
По запросу оператора он должен подтвердить соблюдение требований документами или другой информацией. Причем такой запрос возможен и до начала обработки.
Кроме того, в поручении закрепляют обязанность сообщать оператору об инцидентах из части 3.1 статьи 21 Закона № 152-ФЗ.
Если подрядчик хранит данные в облачном сервисе, поручение не отменяет требования о локализации. При сборе данных граждан России нужно учитывать часть 5 статьи 18 Закона № 152-ФЗ и место расположения используемых баз.
Поэтому перед передачей проверяют не только договор. Кроме того, нужно понимать, где лежат сведения и кто получает к ним доступ.
Кто отвечает за нарушение
По общему правилу перед субъектом за действия исполнителя по поручению отвечает оператор. Если исполнитель иностранный, закон дополнительно возлагает ответственность и на него.
В свою очередь, исполнитель отвечает перед оператором. Например, это имеет значение, если он вышел за пределы поручения или нарушил требования защиты.
А если произошла неправомерная или случайная передача, которая нарушила права людей, оператор действует по статье 21 Закона № 152-ФЗ. В частности, Роскомнадзор уведомляют в течение 24 часов. Затем в течение 72 часов направляют результаты внутреннего расследования.
Так что связь с подрядчиком должна работать быстро. Иначе оператор может потерять время, которое закон отвел на собственную реакцию.
Что проверить перед подписанием
На практике хороший документ начинается не с шаблона, а с реального процесса. Сначала нужно понять, какие сведения уходят подрядчику и что именно он с ними делает.
Проверку можно провести по шагам:
- Определите роль получателя и убедитесь, что он действует по поручению оператора.
- Зафиксируйте цель, перечень данных и разрешенные операции без лишнего запаса.
- Пропишите конфиденциальность, меры безопасности и требования к хранению данных.
- Установите, какие подтверждения подрядчик предоставляет по запросу.
- Опишите порядок сообщения об инцидентах и контакт для срочной связи.
- Проверьте основание передачи и необходимость согласия субъекта.
Если эти пункты описывают реальный путь данных, поручение перестает быть формальной оговоркой. Подрядчику понятно, что он вправе делать, а оператору — что именно нужно контролировать.