Как только вы отдаёте базу клиентов на сторону — в колл-центр, бухгалтерию на аутсорсе, сервис рассылок, CRM или облачный хостинг, — по закону это уже не «просто договор услуг». Это поручение обработки персональных данных, и оно должно быть оформлено по правилам статьи 6 закона № 152-ФЗ. Если поручения нет или оно составлено формально, ответственность перед человеком, чьи данные пострадали, останется на вас — независимо от того, кто именно допустил утечку.
Мы разрабатываем поручение под конкретную связку «оператор — подрядчик»: с реальным перечнем данных и действий, рабочими требованиями к защите и понятным распределением ответственности. Стоимость — по договорённости.
Что вы получаете:
- договор или дополнительное соглашение, которое закрывает требования закона, а не имитирует их;
- корректно очерченный периметр: подрядчик получает ровно то, что нужно для его функции;
- механику контроля: право проверять, обязанность отчитываться, порядок действий при инциденте;
- защиту на случай утечки у подрядчика — регресс, убытки, неустойка;
- пакет для обеих сторон: и для оператора, и для того, кто выступает обработчиком.
Что закон требует включить в поручение
Часть 3 статьи 6 закона № 152-ФЗ прямо перечисляет, что должно быть в поручении оператора. Отсутствие любого из этих элементов делает документ уязвимым:
- перечень персональных данных, обработка которых поручается, — без формулировок «иные данные, необходимые для исполнения»;
- перечень действий с данными: сбор, хранение, уточнение, использование, передача, обезличивание, удаление;
- цели обработки — конкретные, а не «в рамках договора»;
- обязанность соблюдать конфиденциальность и обеспечивать безопасность данных при обработке;
- требования к защите обрабатываемых данных, включая меры по статье 19 закона;
- обязанность по запросу оператора в установленный срок прекратить обработку и вернуть либо уничтожить данные.
Ключевое правило распределения ответственности содержится в той же статье: перед субъектом персональных данных отвечает оператор, поручивший обработку, а обработчик отвечает уже перед оператором. Именно поэтому раздел о регрессе и убытках в договоре — не украшение, а единственный работающий способ переложить последствия на того, кто их вызвал.
Как устроен рабочий договор
- Стороны и их роли. Кто оператор, кто обработчик. Роли фиксируются явно, потому что от них зависит, кто подаёт уведомление, кто отвечает субъекту и кто уведомляет Роскомнадзор об инциденте.
- Предмет и периметр. Данные, действия, цели, срок. Здесь же — прямой запрет на использование данных в собственных целях подрядчика, включая обучение моделей и собственные рассылки.
- Основания и согласия. Кто получает согласие субъектов и в каком виде, что делать при отзыве согласия.
- Требования к безопасности. Уровень защищённости, организационные и технические меры, разграничение доступа, обязательства по персоналу, требования к местам хранения.
- Субобработка. Привлечение третьих лиц — только с письменного согласия оператора и с переносом на них тех же требований. Иначе база уезжает по цепочке, о которой оператор не знает.
- Инциденты. Срок уведомления оператора — часы, а не дни, потому что закон отводит оператору очень короткое время на сообщение в Роскомнадзор. Обязанность передать материалы внутреннего расследования.
- Контроль. Право оператора запрашивать документы и проводить проверку, обязанность обработчика предоставлять сведения о принятых мерах.
- Возврат и уничтожение. Порядок, сроки, подтверждающий акт. Отдельно — резервные копии, о которых в шаблонах обычно забывают.
- Ответственность. Неустойка за нарушение режима, возмещение убытков, регресс по суммам, взысканным с оператора, включая административные штрафы и выплаты субъектам.
- Трансграничная передача, если данные хранятся или обрабатываются за пределами страны, — с отдельным блоком обязательств.
Почему шаблон из интернета не помогает
Скачанный образец решает одну задачу — создаёт ощущение, что документ есть. На проверке и в суде он не работает по трём причинам. Во-первых, в нём перечень данных и действий взят абстрактно, а закон требует конкретики: расхождение между документом и фактической обработкой само по себе становится нарушением. Во-вторых, шаблон обычно написан в интересах одной стороны, и, подписав его не глядя, оператор остаётся без регресса. В-третьих, в образцах почти никогда нет сроков уведомления об инциденте, а именно эти часы решают, успеет ли оператор исполнить статью 21 закона.
Мы даём разбор структуры документа открыто — выше он полностью изложен. Разрабатываем же договор под ваш процесс: смотрим, что за подрядчик, какие данные ему реально нужны, где они лежат и что произойдёт, если он их потеряет.
Что мы делаем
- Разбор связки. Какие подрядчики есть, что каждый из них обрабатывает, есть ли действующие договоры.
- Разработка поручения или дополнительного соглашения к действующему договору — это чаще всего быстрее, чем перезаключать основной.
- Экспертиза чужого проекта. Если поручение прислал подрядчик или крупный заказчик — вычитываем и готовим протокол разногласий.
- Пакет для обработчиков. Для тех, кто сам оказывает услуги операторам: типовое поручение, регламенты и ответы на запросы заказчиков о мерах защиты.
- Стыковка с общим контуром 152-ФЗ, чтобы поручение не противоречило политике и согласиям: этим занимается услуга приведения в соответствие 152-ФЗ.
Стоимость
| Услуга | Срок | Стоимость |
|---|---|---|
| Разбор ситуации и перечня подрядчиков | 1 рабочий день | бесплатно |
| Разработка договора поручения под задачу | 2–4 рабочих дня | по договорённости |
| Дополнительное соглашение к действующему договору | 2–3 рабочих дня | по договорённости |
| Экспертиза чужого проекта и протокол разногласий | 2–3 рабочих дня | по договорённости |
| Пакет документов для обработчика | по объёму | по договорённости |
Стоимость по договорённости: она зависит от числа подрядчиков, состава данных и того, разрабатываем мы документ с нуля или правим существующий. Цены не являются публичной офертой, точная сумма фиксируется в договоре после бесплатной консультации.
Частые вопросы
Достаточно ли пункта о конфиденциальности в основном договоре?
Нет. Обязанность соблюдать конфиденциальность — только один из обязательных элементов поручения. Без перечня данных, перечня действий, целей и требований к защите документ не соответствует части 3 статьи 6 закона.
Нужно ли согласие человека на передачу данных подрядчику?
Отдельное согласие именно на поручение закон не требует: обработка по поручению ведётся на том же основании, что и у оператора. Но субъект должен быть проинформирован — обычно это делается через политику обработки, и там подрядчиков нужно описывать корректно.
Подрядчик — иностранный сервис. Что меняется?
Добавляется контур трансграничной передачи: уведомление, оценка режима защиты в стране получателя и риск ограничения передачи решением Роскомнадзора. Это разбирается до подписания, потому что переезд данных потом обходится дороже самого договора.
Утечка произошла у подрядчика. Кто платит?
Перед человеком отвечает оператор — это прямое правило закона. Взыскать потери с подрядчика можно, но только если договор это предусматривает: неустойка, убытки, регресс по взысканным с вас суммам. Ради этого раздела документ и составляется.
Мы сами обработчик, нам присылают разные поручения. Что делать?
Разработать собственный вариант и предлагать его первым, а входящие проекты вычитывать: заказчики часто вписывают обязательства, которые технически невыполнимы, — например, сроки реакции, не совместимые с вашим SLA. Общий контур ИБ-документов закрывает услуга «Юрист по информационной безопасности».
Получить консультацию
Пришлите действующий договор с подрядчиком и краткое описание того, какие данные он получает. За один рабочий день бесплатно скажем, есть ли у вас поручение по закону и что в нём нужно поправить.
Почта: contact@vfs.consulting. Телефон: +7 916 419-16-66.