Договор поручения на обработку персональных данных: когда нужен и что включить

Практически любой бизнес передаёт данные клиентов кому-то ещё: имя и телефон уходят в службу доставки, контакты хранятся в облачной CRM, email попадает в сервис рассылок. Каждая такая передача по 152-ФЗ требует оформления договором поручения на обработку персональных данных. Без него передача данных третьему лицу становится нарушением, даже если у вас есть согласие клиента. Ниже разберу, что это за документ, когда он нужен и что в нём должно быть.

Что такое поручение обработки

В логике 152-ФЗ есть две ключевые роли. Оператор — это вы: тот, кто собирает данные клиентов и определяет, зачем и как их обрабатывать. Обработчик — третье лицо, которому вы поручаете часть работы с данными: доставку, хранение, рассылку, обзвон. Договор поручения передаёт обработчику право работать с персональными данными в строго оговорённых рамках.

Важно не путать поручение с согласием. Согласие вы получаете у самого человека — это разрешение клиента на обработку его данных. Поручение — это договор между оператором и обработчиком. Одно не заменяет другое: даже при наличии согласия передавать данные подрядчику без договора поручения нельзя. Документ фиксирует границы — что обработчику разрешено делать с данными, для чего и как он обязан их защищать. Это и требование закона, и защита бизнеса на случай проверки или инцидента.

Когда он нужен

Договор нужен каждый раз, когда данные клиентов оказываются у стороннего исполнителя. Типовые ситуации:

• Доставка. Передаёте имя, телефон и адрес получателя в СДЭК, ПЭК, Boxberry или курьерскую службу — это передача персональных данных обработчику.
• Облачная CRM и хостинг. Данные клиентов хранятся в облачной CRM или на сервере стороннего провайдера — хранение тоже является обработкой.
• Email- и SMS-рассылки. Загружаете базу контактов в сервис рассылок — сервис становится обработчиком ваших данных.
• Колл-центр. Внешний колл-центр обзванивает вашу базу или принимает звонки от клиентов.
• Бухгалтерия на аутсорсе. Аутсорсер получает данные сотрудников и контрагентов для расчётов и отчётности.
• Подрядчик-разработчик. Веб-студия имеет доступ к базе с реальными данными клиентов при доработке сайта или приложения.

Если данные обрабатываются только штатными сотрудниками, отдельное поручение не требуется. Но как только доступ получает внешняя компания или частный исполнитель — договор поручения обязателен.

Что включить в договор

Закон задаёт перечень обязательных условий. Ниже — минимум и зачем нужен каждый пункт.

Образец и чек-лист

Готовый договор обычно строится по понятной структуре: реквизиты сторон с указанием ролей оператора и обработчика; предмет со ссылкой на 152-ФЗ; перечень поручаемых действий и целей; список категорий данных и субъектов; обязанности по конфиденциальности и защите; порядок уведомления об инцидентах; ответственность сторон; срок действия и порядок уничтожения данных.

Перед подписанием пройдитесь по короткому чек-листу:

• Названы ли роли — кто оператор, кто обработчик.
• Перечислены ли конкретные действия с данными, а не общая формулировка «обработка».
• Указаны ли цели и они совпадают с реальной задачей исполнителя.
• Есть ли пункт о конфиденциальности и требования к защите данных.
• Прописан ли порядок уведомления об инцидентах и сроки.
• Определена ли судьба данных после завершения работы.
• Не передаёте ли вы больше данных, чем нужно исполнителю для его задачи.

FAQ

Нужен ли договор поручения с СДЭК? Да. Передавая службе доставки имя, телефон и адрес получателя, вы передаёте персональные данные обработчику, и эту передачу нужно оформить поручением. Крупные логистические компании обычно предлагают свою редакцию — её стоит проверить на соответствие 152-ФЗ.

Чем поручение отличается от согласия? Согласие вы берёте у самого клиента — это его разрешение на обработку данных. Поручение — это договор между вами и подрядчиком об условиях, на которых он с этими данными работает. Одно не отменяет необходимость другого.

Кто отвечает при утечке — оператор или обработчик? Перед клиентом и регулятором ответственность в первую очередь несёт оператор, то есть вы. Обработчик отвечает перед вами в рамках договора поручения — поэтому в документе важно прописать ответственность и обязанность уведомлять об инцидентах.

Нужен ли такой договор с облачной CRM? Да. Хранение данных на стороннем сервисе — это обработка, а значит облачная CRM выступает обработчиком. Многие сервисы включают условия поручения в свою оферту или предлагают отдельное соглашение об обработке данных.

Что если у подрядчика нет шаблона? Тогда договор поручения готовите вы как оператор и передаёте исполнителю на подпись — ответственность за наличие документа лежит на вас.

Коротко о главном

Договор поручения — обязательный элемент любой цепочки, в которой данные клиентов уходят за пределы вашей организации: в доставку, облако, рассылки, колл-центр, бухгалтерию или к подрядчику. Он не заменяет согласие клиента и не снимает с вас ответственности как с оператора, зато чётко ограничивает, что и зачем делает исполнитель. Если вы не уверены, со всеми ли подрядчиками оформлены такие договоры, я проведу аудит по 152-ФЗ и проверю всю цепочку передачи данных — покажу, где не хватает поручений и что поправить, чтобы бизнес был защищён на случай проверки.