Передача персональных данных третьим лицам законна не сама по себе, а только через одну из трёх конструкций: поручение обработки, передача с согласия субъекта либо передача во исполнение прямого требования закона. Какая именно конструкция у вас работает, определяется не договором, а тем, в чьих целях получатель использует данные. Ошибка здесь стоит дорого: оператор отвечает перед человеком за действия своего подрядчика так же, как за собственные, а отсутствие правильно оформленного поручения — самостоятельное нарушение.
Ниже — как отличить поручение от передачи по согласию, что обязано быть в договоре поручения по пунктам, когда согласие не нужно, что происходит при передаче за рубеж и какие ошибки находит проверка.
Что вы получаете:
- разбор трёх законных конструкций передачи и признаки, по которым выбирается нужная;
- структуру договора поручения обработки по обязательным условиям — можно сверить свой договор;
- перечень подрядчиков, с которыми поручение обязательно, хотя об этом обычно не думают;
- формулировки для согласия, если данные уходят партнёру в его собственных целях;
- проверку действующих договоров и приведение их в соответствие.
Кому это нужно
- всем, кто пользуется облаком, CRM, сервисами рассылок и колл-центрами, — данные там уже обрабатываются;
- компаниям на кадровом и бухгалтерском аутсорсинге — данные сотрудников уходят подрядчику;
- интернет-магазинам — курьерские службы, пункты выдачи, платёжные и аналитические сервисы;
- маркетплейсам и партнёрским программам — обмен клиентскими базами почти всегда оформлен неправильно;
- группам компаний — передача данных «внутри холдинга» третьим лицам ничем не отличается от передачи вовне.
Нормативная рамка
- Федеральный закон № 152-ФЗ «О персональных данных» — основной акт;
- часть 3 статьи 6 № 152-ФЗ — право оператора поручить обработку другому лицу и обязательные условия такого поручения;
- статья 6 № 152-ФЗ в целом — основания обработки, включая исполнение договора и исполнение возложенных законом обязанностей;
- статья 7 № 152-ФЗ — конфиденциальность: получатель не вправе раскрывать данные третьим лицам без согласия субъекта;
- статья 9 № 152-ФЗ — согласие, в котором указывается лицо, осуществляющее обработку по поручению;
- статья 10.1 № 152-ФЗ — распространение данных, то есть раскрытие неограниченному кругу лиц; оформляется отдельным согласием;
- статья 12 № 152-ФЗ — трансграничная передача и уведомление регулятора; режим предварительного уведомления введён Федеральным законом от 14.07.2022 № 266-ФЗ и действует с 1 марта 2023 года;
- статья 19 № 152-ФЗ — требования к защите, которые распространяются и на обработчика;
- глава 14 Трудового кодекса РФ (статьи 86–90) — передача персональных данных работника;
- статья 13.11 КоАП РФ — ответственность оператора: неправомерная передача данных обходится юридическому лицу в 3–15 млн ₽ в зависимости от числа субъектов, для специальных категорий — 10–15 млн ₽, для биометрии — 15–20 млн ₽.
Три законные конструкции
1. Поручение обработки. Получатель обрабатывает данные в ваших целях и по вашей инструкции: облачный провайдер, разработчик CRM, колл-центр, бухгалтерия на аутсорсинге, сервис рассылок, курьерская служба в части доставки. Отдельное согласие субъекта на само поручение не требуется, но лицо, которому поручена обработка, должно быть названо в согласии, если обработка идёт по согласию. Обработчик не вправе использовать данные для себя. Перед субъектом отвечает оператор; обработчик отвечает перед оператором.
2. Передача по согласию. Получатель обрабатывает данные в своих целях и становится самостоятельным оператором: партнёр, которому вы передаёте базу для его рекламы; страховая компания; банк, оформляющий рассрочку. Здесь нужно отдельное информированное согласие с указанием получателя и цели. Формулировка «согласен на передачу третьим лицам» без указания кому и зачем не работает.
3. Передача в силу закона. Отдельного согласия не требуется, когда данные передаются во исполнение обязанности оператора: налоговая и социальный фонд, военкоматы в рамках воинского учёта, суд, следствие, приставы, запросы уполномоченных органов, оформленные надлежащим образом. Ключевая проверка — есть ли у запрашивающего право требовать и оформлен ли запрос по правилам; передавать данные по устной просьбе или письму без правового основания нельзя.
Четвёртый сценарий стоит особняком: распространение. Это раскрытие данных неограниченному кругу лиц — публикация на сайте, в соцсети, в открытом реестре участников. Оно требует отдельного согласия по статье 10.1, которое нельзя объединять с другими согласиями, и молчанием субъекта не заменяется.
Договор поручения: структура и обязательные условия
Поручение оформляется договором или иным актом. Название значения не имеет — важен состав условий. По пунктам:
1. Предмет и цели обработки. Ровно те, что есть у вас как у оператора. Расширять цели обработчик не вправе.
2. Перечень персональных данных, передаваемых обработчику. Не «данные клиентов», а состав полей.
3. Перечень действий, которые разрешено совершать: сбор, запись, хранение, извлечение, использование, блокирование, удаление, уничтожение — и способы обработки.
4. Обязанность соблюдать конфиденциальность и не раскрывать данные третьим лицам.
5. Обязанность обеспечивать безопасность данных при обработке и соблюдать требования к защите, установленные законом. Здесь же — конкретные меры: разграничение доступа, шифрование каналов, регистрация событий.
6. Запрет на привлечение соисполнителей без вашего письменного согласия — иначе данные уходят по цепочке бесконтрольно.
7. Порядок и сроки уничтожения или возврата данных по завершении обработки, с подтверждающим документом.
8. Обязанность немедленно уведомлять оператора об инциденте — с указанием срока в часах. Ваши собственные сроки перед регулятором — 24 часа на сообщение о факте и 72 часа на результаты расследования (часть 3.1 статьи 21), и узнать об утечке от подрядчика через неделю означает пропустить их.
9. Обязанность содействовать в ответах на запросы субъектов и регулятора, обеспечивать удаление и уточнение данных по вашему требованию.
10. Ответственность обработчика перед оператором, право проверки и аудита, порядок расторжения.
Готовый договор под конкретного подрядчика делаем в рамках услуги поручение обработки персональных данных: договор DPA.
С кем поручение обязательно, а его обычно нет
- облачные сервисы и хостинг, где лежат ваши базы и бэкапы;
- CRM, ERP, HelpDesk, сервисы аналитики и коллтрекинга;
- сервисы почтовых и СМС-рассылок;
- колл-центры и подрядчики по холодным звонкам;
- кадровый и бухгалтерский аутсорсинг, расчёт зарплаты;
- курьерские службы и пункты выдачи в части передачи данных получателя;
- разработчики и подрядчики на поддержке, имеющие доступ к боевой базе;
- другие компании группы, если данные обрабатываются в их системах.
Отдельный случай — доступ подрядчика к персональным данным «случайно», в ходе работ. Разработчик, которому дали доступ к продуктовой базе для отладки, обрабатывает данные фактически. Правильный путь — обезличенные или тестовые данные; когда это невозможно — поручение и режим доступа. Методы обезличивания разбираем отдельно: обезличивание персональных данных по 152-ФЗ.
Передача за рубеж: отдельный режим
Трансграничная передача регулируется самостоятельной статьёй и требует предварительного уведомления Роскомнадзора о намерении такую передачу осуществлять — до её начала. Регулятор вправе ограничить или запретить передачу, а для стран, не обеспечивающих адекватную защиту прав субъектов, требования строже, включая получение от иностранного получателя определённых сведений и заверений. Сам перечень таких стран стал подвижнее: Федеральный закон от 26.07.2026 № 265-ФЗ переписал критерии включения государства в перечень — теперь оценивается не только наличие правового регулирования, но и то, как оно применяется на практике.
Практический момент, который упускают: трансграничная передача возникает не только при осознанной отправке файла за границу. Достаточно использовать иностранный сервис рассылок, аналитики, поддержки, видеосвязи или хостинга. Порядок подготовки — подготовка документов для трансграничной передачи и разрешение на трансграничную передачу.
Типовые ошибки и что проверяет регулятор
- Подрядчик есть, поручения нет. Первое, что сверяют: список систем и подрядчиков против списка договоров.
- Поручение спрятано одним абзацем в договоре оказания услуг и не содержит обязательных условий — юридически поручения нет.
- Обработчик не назван в согласии, хотя обработка ведётся на основании согласия.
- Согласие «на передачу третьим лицам» без указания конкретных получателей и целей — при передаче партнёру в его целях не работает.
- Передача по запросу без проверки полномочий — данные выдают по письму на бланке, не проверяя, вправе ли орган их требовать.
- Публикация вместо передачи. Фото сотрудника, отзыв с фамилией, список победителей акции — это распространение и отдельное согласие.
- Нет условия об уведомлении об инциденте — оператор узнаёт об утечке у подрядчика последним.
- Данные не уничтожены после расторжения договора с подрядчиком и не запрошен подтверждающий документ.
Что входит в работу
- Картирование потоков данных: кому, что и на каком основании уходит; выявление незакрытых подрядчиков.
- Разработка договоров поручения и приложений к действующим договорам с подрядчиками.
- Формулировки согласий для сценариев передачи партнёрам и для распространения по статье 10.1.
- Регламент ответа на запросы органов: кто и как проверяет полномочия, что и в каком объёме выдаётся.
- Трансграничный контур: уведомление регулятора, сведения от иностранного получателя, оценка риска.
- Проверка подрядчиков и сопровождение споров при утечке на их стороне — см. юрист по персональным данным и защита при утечке данных пользователей.
Сроки и стоимость
Проверка действующего договора с подрядчиком — один-два рабочих дня. Разработка договора поручения — два-четыре рабочих дня. Картирование потоков данных в компании среднего размера с закрытием всех подрядчиков — одна-две недели. Трансграничный блок считается отдельно и зависит от числа получателей и юрисдикций.
Пошлин процедура не требует. Стоимость — по договорённости и зависит от числа подрядчиков и сложности схемы передачи. Цены не являются публичной офертой.
Вопросы и ответы
Нужно ли согласие субъекта, чтобы передать данные подрядчику?
Если подрядчик обрабатывает данные в ваших целях и по вашей инструкции, отдельное согласие именно на поручение не требуется — нужен договор поручения с обязательными условиями. Но когда обработка ведётся на основании согласия, обработчик должен быть в нём назван.
Кто отвечает, если данные утекли у подрядчика?
Перед человеком и перед регулятором отвечает оператор — то есть вы. Обработчик отвечает перед вами, и объём этой ответственности определяется договором. Поэтому в поручении важны и условие о возмещении, и обязанность немедленно сообщать об инциденте.
Можно ли передать клиентскую базу партнёру для его рекламы?
Только с информированным согласием субъектов, где назван конкретный получатель и цель. Это уже не поручение: партнёр действует в своих интересах и становится самостоятельным оператором. Передача базы «по договору о сотрудничестве» без таких согласий — типовое нарушение.
Обязаны ли мы выдать данные по запросу государственного органа?
Только если у органа есть право их требовать и запрос оформлен надлежащим образом: указаны правовое основание, объём и цель. Проверка полномочий — обязанность оператора; передача сверх запрошенного объёма тоже нарушение.
Считается ли передачей доступ подрядчика к нашей базе без выгрузки?
Да. Обработкой является в том числе извлечение и использование данных, и предоставление доступа к системе — это передача по смыслу закона. Доступ разработчика или сотрудника поддержки к боевой базе оформляется так же, как выгрузка.
Что делать при расторжении договора с подрядчиком?
Потребовать уничтожения или возврата данных в срок, установленный договором, и получить подтверждающий документ. Отдельно проверить бэкапы, тестовые контуры и учётные записи: чаще всего данные остаются именно там.
Получить консультацию
Перечислите сервисы и подрядчиков, у которых есть доступ к вашим данным, — облако, CRM, рассылки, колл-центр, аутсорсинг. Покажем, где нужно поручение, где согласие, а где передача незаконна в принципе, и подготовим договоры.
Почта: law@vfs.consulting. Телефон: +7 916 419-16-66.