Поручение на обработку ПДн подрядчику

Поручение требуется всякий раз, когда оператор передаёт обработку персональных данных другому лицу, которое действует в его интересах и по его указанию, а не собирает данные для собственных целей. Типичные случаи:

• хостинг-провайдер или облачный сервис, на серверах которого хранится база клиентов;
• call-центр, который обзванивает клиентов от имени компании;
• бухгалтерская или кадровая аутсорсинговая компания, обрабатывающая данные сотрудников;
• разработчик или подрядчик по сопровождению CRM и других информационных систем с доступом к базе данных;
• курьерская служба, которой передаются ФИО, адрес и телефон получателя для доставки.

Если же подрядчик собирает и использует данные для собственных целей — например, маркетинговое агентство формирует свою базу для последующих рассылок от своего имени, — это уже не поручение, а самостоятельная обработка, и подрядчик выступает отдельным оператором со своими основаниями обработки.

Часть 3 статьи 6 закона 152-ФЗ прямо устанавливает: поручение обработки персональных данных другому лицу может осуществляться оператором на основании заключаемого с этим лицом договора, в том числе государственного или муниципального контракта, либо путём принятия государственным или муниципальным органом соответствующего акта. Лицо, осуществляющее обработку по поручению оператора, обязано соблюдать принципы и правила обработки, установленные 152-ФЗ.

Норма прямо требует, чтобы поручение (обычно оформленное как раздел договора или отдельное приложение к нему) содержало следующие условия:

Помимо обязательных по закону условий, в поручение или в приложение к договору с подрядчиком практика рекомендует включать:

• перечень категорий субъектов и перечень персональных данных, к которым подрядчик получает доступ, — без размытых формулировок;
• срок обработки и порядок действий подрядчика по окончании договора: возврат, удаление или обезличивание данных;
• обязанность подрядчика уведомлять оператора о ставших известными случаях неправомерной обработки данных, если такое требование установлено договором;
• условие о запрете дальнейшего поручения обработки третьим лицам без письменного согласия оператора или порядок получения такого согласия;
• условие о праве оператора проверять соблюдение подрядчиком требований по защите данных;
• распределение ответственности при утечке данных — кто несёт расходы на уведомление субъектов и надзорный орган, если это применимо.

Ключевое правило поручения: если лицо, осуществляющее обработку персональных данных по поручению оператора, нарушает 152-ФЗ, ответственность перед субъектом персональных данных несёт оператор. Это прямо следует из ч. 5 ст. 6 закона 152-ФЗ. Обработчик отвечает перед оператором в соответствии с условиями заключённого между ними договора.

Практическое следствие: компания не может «переложить» ответственность на подрядчика, просто указав в договоре, что за нарушения отвечает он. Перед субъектом и перед Роскомнадзором отвечает оператор, а взыскание понесённых убытков с подрядчика — отдельный вопрос, который решается уже в рамках договорных отношений между оператором и обработчиком, включая условия о неустойке и возмещении убытков, если стороны их согласовали.

Чем рискует оператор, если поручение оформлено формально или без должного контроля подрядчика:

• отвечает перед субъектом и Роскомнадзором за нарушения, допущенные подрядчиком, — по ч. 5 ст. 6 закона 152-ФЗ;
• взыскать убытки с подрядчика можно только в рамках условий заключённого с ним договора, а не автоматически;
• при выборе подрядчика без проверки его инфраструктуры на соответствие ст. 19 закона 152-ФЗ оператор принимает на себя чужие недоработки как собственный риск.

Отдельное согласие субъекта персональных данных на саму передачу данных обработчику по общему правилу не требуется, если обработка ведётся на том же основании, что и у оператора, и в тех же целях, ради которых субъект уже дал согласие или для которых существует иное законное основание. Поручение — это способ выполнения обработки, а не новое основание или новая цель обработки.

Но если субъект давал согласие с конкретной формулировкой, ограничивающей круг лиц, обрабатывающих его данные, или прямо не допускающей передачу третьим лицам, оператору нужно либо получить дополнительное согласие, либо изменить формулировку будущих согласий так, чтобы они заранее допускали обработку по поручению. Часть 4 статьи 9 закона 152-ФЗ требует указывать в согласии наименование или ФИО лица, обрабатывающего данные по поручению оператора, если такое поручение предполагается.