Поручение обработки персональных данных подрядчику

Коротко. Если вы пользуетесь внешним сервисом или подрядчиком, который обрабатывает данные ваших сотрудников или клиентов — облачной бухгалтерией, сервисом рассылок, кадровым аутсорсингом, системой учёта, — это не «просто передача файла». Это поручение обработки по статье 6 закона № 152-ФЗ, и оно требует оформления: поручение оформляется договором, в котором указаны перечень действий, цели, обязанность соблюдать конфиденциальность и требования к защите. Ключевой момент, который упускают чаще всего: ответственность перед человеком остаётся на вас как на операторе, а обработчик отвечает перед вами. Ошибка подрядчика не переносит на него ваши обязательства.

Материал носит справочный характер и не является юридической консультацией. Нормы приводятся по состоянию на 2026 год.

Содержание

• Кто оператор, а кто обработчик
• Чем поручение отличается от передачи третьим лицам
• Что должно быть в договоре
• Кто за что отвечает
• Что проверить у подрядчика
• Типичные ошибки
• Особый случай: сотрудники и системы учёта
• Чек-лист
• FAQ

Кто оператор, а кто обработчик

Оператор — тот, кто определяет цели обработки и организует её. Это вы: вы решили, зачем собираете данные.

Обработчик — тот, кто обрабатывает данные по поручению оператора и в его целях, не определяя цели самостоятельно. Это подрядчик или сервис.

Разница практическая: обработчик не может использовать полученные данные для своих задач — например для обучения своих моделей или рассылки собственных предложений, если это не предусмотрено поручением. Если он это делает, он становится самостоятельным оператором со всеми обязанностями, а вы — стороной, допустившей передачу без основания.

Чем поручение отличается от передачи третьим лицам

Это разные конструкции, и их смешение — источник большинства ошибок.

Для данных работников дополнительно действует статья 88 ТК РФ, которая устанавливает требования к передаче данных работника третьей стороне — включая необходимость письменного согласия и предупреждение получателя о целях использования: статьи 86–90 ТК РФ.

Что должно быть в договоре

Минимальный набор условий, без которых поручение считается неоформленным:

1. Перечень действий с персональными данными, которые поручаются: сбор, запись, хранение, изменение, извлечение, использование, удаление.
2. Цели обработки — те же, что у вас, а не расширенные.
3. Перечень категорий данных и субъектов.
4. Обязанность соблюдать конфиденциальность и не раскрывать данные третьим лицам.
5. Требования к обеспечению безопасности при обработке — обязанность принимать необходимые меры.
6. Запрет на использование в собственных целях и на дальнейшее поручение без вашего согласия.
7. Порядок и сроки уничтожения данных по окончании обработки или по вашему требованию.
8. Порядок реагирования на обращения субъектов — они приходят к вам, а данные у подрядчика.
9. Обязанность уведомлять об инцидентах в конкретный срок.
10. Место обработки — с учётом требований о размещении баз данных.

Отдельный практический совет: пропишите срок ответа подрядчика на ваш запрос. Когда придёт требование субъекта об удалении, у вас будут короткие сроки, и «мы ждём ответа от вендора» плохое объяснение.

Кто за что отвечает

• Перед субъектом отвечает оператор, то есть вы. Человек предъявляет требования вам, а не вашему подрядчику.
• Обработчик отвечает перед оператором — в рамках договора.
• Обработчик не освобождается от собственных обязанностей по безопасности: если он допустил утечку, к нему тоже могут быть претензии со стороны регулятора.
• Отсутствие договора поручения превращает передачу в передачу без основания — это самостоятельное нарушение: штрафы за нарушение 152-ФЗ.

Отсюда практическое правило: договор с подрядчиком — это не формальность для юристов, а ваш единственный инструмент управления риском, который вы всё равно несёте.

Что проверить у подрядчика

Короткий список вопросов до подписания:

• какие данные фактически нужны сервису для работы — и можно ли передавать меньше;
• где обрабатываются и хранятся данные, включая резервные копии;
• привлекает ли он субобработчиков (например облачную инфраструктуру) и на каких условиях;
• как и в какие сроки данные уничтожаются после расторжения договора;
• как он уведомляет об инцидентах;
• есть ли у него уведомление в реестре операторов — не обязательный признак, но полезная проверка добросовестности: уведомление в Роскомнадзор;
• как настроены роли и доступы на его стороне: кто из сотрудников подрядчика видит данные.

Самый эффективный ход при этом не юридический, а продуктовый: уменьшить объём передаваемых данных. Данные, которые вы не передали, не требуют ни договорных гарантий, ни доверия.

Типичные ошибки

• Нет договора вообще. Данные передаются «в рабочем порядке», по почте или через таблицы.
• Договор без перечня действий и целей. Формально документ есть, требованиям не соответствует.
• Разрешение использовать данные «для улучшения сервиса» — расширение целей, на которое у вас обычно нет оснований.
• Не оговорены субобработчики. Данные уезжают дальше по цепочке без вашего ведома.
• Нет порядка уничтожения. После расторжения договора данные остаются у подрядчика неопределённо долго: сроки хранения персональных данных.
• Передача избыточных данных. Сервису нужны имя и телефон, а выгружается вся кадровая база.
• Нет процедуры на обращения субъектов. Требование об удалении приходит вам, а исполнить его вы не можете быстро.

Особый случай: сотрудники и системы учёта

Когда вы внедряете внешнюю систему учёта рабочего времени или аналитики, вы поручаете обработку данных ваших работников. Что стоит сделать до внедрения:

1. Определить минимально необходимый набор данных. Чем меньше передаётся, тем меньше риска: агрегаты вместо детальных событий, где это возможно — обезличенная аналитика сотрудников.
2. Оформить поручение в договоре с поставщиком.
3. Проверить основания для самой обработки и оформить документы: как оформить контроль сотрудников и 152-ФЗ и мониторинг сотрудников.
4. Уведомить работников — это отдельная обязанность: уведомление о мониторинге сотрудников.
5. Проверить, что система не собирает лишнего по умолчанию: содержимое экрана, заголовки окон, нажатия клавиш — категории, которые трудно обосновать.

Если вы выбираете инструмент и хотите заранее ограничить объём собираемых данных, посмотрите модель с агрегатами и разделением доступа: тарифы и демо.

Чек-лист

• Определено, кто оператор и кто обработчик по каждому сервису.
• С каждым подрядчиком есть договор с поручением обработки.
• В договоре есть перечень действий, цели, категории данных и субъектов.
• Есть обязанности по конфиденциальности и безопасности.
• Запрещено использование в собственных целях и передача субобработчикам без согласия.
• Прописан порядок и срок уничтожения данных.
• Прописаны сроки ответа подрядчика на ваши запросы и уведомления об инцидентах.
• Объём передаваемых данных минимизирован до необходимого.

FAQ

Что такое поручение обработки персональных данных? Конструкция из статьи 6 закона № 152-ФЗ: оператор поручает обработку другому лицу, которое действует в целях оператора и не определяет цели самостоятельно. Оформляется договором.

Нужно ли согласие сотрудника, чтобы передать его данные подрядчику? Если это поручение обработки в тех же целях и на законном основании — как правило нет. Но для данных работника действуют дополнительные требования статьи 88 ТК РФ к передаче третьей стороне, включая случаи, когда нужно письменное согласие.

Кто отвечает, если подрядчик допустил утечку? Перед человеком отвечает оператор, то есть вы. Обработчик отвечает перед вами по договору, а также может отвечать перед регулятором за нарушение собственных обязанностей.

Что обязательно указать в договоре? Перечень поручаемых действий, цели, категории данных и субъектов, обязанность соблюдать конфиденциальность и требования безопасности, запрет использования в своих целях, порядок и сроки уничтожения.

Можно ли разрешить подрядчику использовать данные для улучшения его сервиса? Это выход за пределы ваших целей: для такого использования нужно самостоятельное основание, обычно согласие субъекта. По умолчанию такое условие лучше исключать.

Что делать с субобработчиками? Оговаривать их привлечение в договоре: без вашего согласия дальнейшее поручение допускать не следует, иначе вы теряете контроль над цепочкой обработки.

Как уменьшить риск при работе с внешними сервисами? Передавать минимум данных. Всё, что не передано, не требует ни гарантий, ни доверия, ни расходов на контроль.

Опубликовано: 12 августа 2026 г.