Поручение на обработку персональных данных: образец для подрядчиков и партнёров
Если вы ищете готовое поручение на обработку персональных данных образец под свой договор с подрядчиком, ниже – разбор обязательных условий и рабочая формулировка, которую можно адаптировать. Онлайн-школа редко обрабатывает персональные данные учеников в одиночку. К базе получают доступ CRM-сервис, платёжный агрегатор, email-рассылка, бухгалтер на аутсорсе, иногда – подрядчик по таргетированной рекламе. Каждый раз, когда вы даёте доступ к данным человеку или компании за пределами штата, закон требует оформить это как поручение на обработку.
В статье разберём, что обязательно должно быть в тексте поручения, кто отвечает перед учеником, если подрядчик слил базу, и как не попасть на штраф из-за формальности в договоре. Материал продолжает разбор общих обязанностей школы по 152-ФЗ о персональных данных – если ещё не выстроили базовую защиту данных, начните оттуда, а сюда возвращайтесь за конкретикой про подрядчиков. Другие материалы рубрики – в разделе про персональные данные.
Что такое поручение на обработку персональных данных
Понятие закреплено в ч. 3 ст. 6 федерального закона № 152-ФЗ “О персональных данных” (проверено: июль 2026). Норма говорит: оператор вправе поручить обработку персональных данных другому лицу на основании заключаемого с этим лицом договора. Ключевое слово – “на основании договора”. Устная договорённость с фрилансером или переписка в мессенджере поручением не считается, даже если фактически он данные обрабатывает.
Типичные ситуации, где школе нужно поручение: подключение CRM-платформы (подробнее о требованиях к таким сервисам – в статье про обработку персональных данных через CRM и сторонние сервисы), передача базы для email-рассылок в сервис вроде UniSender или Mindbox, привлечение бухгалтера на аутсорсе для обработки платёжных данных, передача контактов колл-центру на аутсорсинге, работа с внешним разработчиком, у которого есть доступ к базе данных сайта.
Оператор и обработчик: кто за что отвечает
Это разграничение прямо следует из закона: лицо, осуществляющее обработку персональных данных по поручению оператора, несёт ответственность перед оператором, а не перед субъектом персональных данных напрямую. То есть если CRM-сервис допустил утечку базы учеников, штраф от Роскомнадзора и претензии от учеников идут в первую очередь на школу как оператора. Дальше школа вправе взыскать убытки с подрядчика – но это отдельный процесс, и он не освобождает школу от первичной ответственности.
| Параметр | Оператор (школа) | Обработчик (подрядчик) |
|---|---|---|
| Определяет цель обработки | Да | Нет, действует по указанию оператора |
| Отвечает перед учеником | Да, напрямую | Нет, отвечает перед оператором |
| Обязан уведомить Роскомнадзор | Да, как оператор | Обычно нет, если действует строго по поручению |
| Обязан обеспечить безопасность данных (ст. 19 152-ФЗ) | Да | Да, в объёме поручения |
Обязательные условия поручения по ст. 6 152-ФЗ
На практике формулировки вроде “подрядчик вправе обрабатывать персональные данные заказчика” без конкретики – это самая частая ошибка. Такое условие не выполняет требования ч. 3 ст. 6 152-ФЗ, потому что не перечисляет действия (сбор, хранение, передача, удаление и т. д.) и не называет цель.
Чек-лист: что обязательно должно быть в тексте поручения
- ✓ Перечень действий с данными: сбор, систематизация, хранение, уточнение, использование, передача, обезличивание, блокирование, удаление – указать конкретно, какие именно применимы
- ✓ Цель обработки: например, “рассылка учебных материалов и уведомлений об оплате”
- ✓ Категории персональных данных: ФИО, телефон, email, платёжные реквизиты – без общих формулировок “любые данные”
- ✓ Обязанность соблюдать конфиденциальность данных
- ✓ Требования к защите данных согласно ст. 19 152-ФЗ (организационные и технические меры)
- ✓ Срок действия поручения и порядок уничтожения данных после расторжения договора
Как оформить поручение: договор, приложение, отдельное DPA
Для разовых подрядчиков (например, дизайнер, который один раз получает список email для верстки рассылки) удобнее раздел в самом договоре оказания услуг. Для постоянных сервисов, через которые проходит вся база – CRM, платёжный шлюз, email-платформа – практичнее отдельное приложение или DPA, потому что такие отношения обычно регулируются публичной офертой сервиса, и школе нужно зафиксировать свои условия отдельно, а не полагаться только на пользовательское соглашение подрядчика.
Если подрядчик – зарубежный сервис (например, часть email-платформ или CRM с серверами за пределами РФ), проверьте раздел о трансграничной передаче данных отдельно, это разбираем ниже.
Ошибки в поручении, которые приводят к штрафам
Роскомнадзор при проверке читает содержание документа, а не просто фиксирует, что бумага существует. Формальное поручение, которое не отвечает требованиям ч. 3 ст. 6 152-ФЗ, инспектор приравнивает к отсутствию поручения – а значит, к передаче данных третьему лицу без законных оснований.
Штрафы по ст. 13.11 КоАП РФ для юрлиц варьируются в зависимости от состава нарушения – от десятков тысяч рублей за первичные технические нарушения до нескольких сотен тысяч за повторные случаи и утечки. Точная сумма зависит от конкретного состава правонарушения, поэтому при подозрении на нарушение стоит смотреть актуальную редакцию статьи и консультироваться с юристом, а не ориентироваться на среднюю цифру из интернета. Полный разбор сумм и составов – в статье про штрафы за нарушение 152-ФЗ.
Отдельно стоит сказать про ситуацию, когда школа меняет подрядчика. Если старый CRM-сервис или email-платформа перестают использоваться, но данные учеников там остаются “на всякий случай”, это тоже нарушение – поручение действует, пока действует договор, и после его расторжения обработчик обязан удалить данные или вернуть их школе. Проверяйте этот пункт при смене сервиса: подпишите с прежним подрядчиком акт об уничтожении данных или получите письменное подтверждение удаления базы.
Поручение и трансграничная передача данных
Ст. 6 152-ФЗ прямо указывает, что лицо, обрабатывающее данные по поручению оператора, обязано соблюдать требования к трансграничной передаче персональных данных. На практике это означает: прежде чем подключать зарубежный сервис для рассылок или аналитики, проверьте, где физически хранятся данные. Если сервер за рубежом в стране, которая не входит в перечень государств с адекватной защитой данных, утверждённый Роскомнадзором, передача требует дополнительного уведомления регулятора и оценки рисков.
Для большинства российских онлайн-школ практичнее выбирать подрядчиков и сервисы с серверами в РФ именно из-за этого требования – это снимает отдельный пласт бюрократии вокруг трансграничной передачи.
Если школа уже работает с зарубежным сервисом и полностью отказаться от него сложно (например, миграция данных требует времени), стоит хотя бы зафиксировать в поручении обязанность подрядчика уведомлять школу о месте фактического хранения данных и о любых изменениях инфраструктуры – это минимизирует риск, что школа узнает о трансграничной передаче постфактум, уже на проверке.
Поручение – это не согласие субъекта на обработку
Частая путаница: команда школы думает, что если ученик подписал согласие на обработку персональных данных при регистрации на курс, этого достаточно, чтобы передавать его данные любым подрядчикам. Это не так. Согласие ученика даёт школе право обрабатывать данные для целей, которые в этом согласии перечислены. Поручение работает уже поверх этого согласия: оно определяет, кому из подрядчиков школа доверяет техническую часть обработки.
Если в согласии ученика не указано, что данные могут передаваться третьим лицам для обработки (например, “данные могут обрабатываться привлечёнными школой лицами в целях организации обучения”), то даже оформленное по всем правилам поручение с подрядчиком не спасает – школа обязана заранее предусмотреть саму возможность передачи в тексте согласия. Поэтому перед тем как подключать нового подрядчика с доступом к базе, стоит свериться с формулировками согласия, которое подписывают ученики, и при необходимости обновить его редакцию.
Пример формулировки поручения в договоре
Ниже – ориентировочный текст пункта, который можно адаптировать под конкретного подрядчика (CRM, бухгалтер, email-сервис). Формулировку стоит согласовать с юристом под ваш конкретный случай, потому что перечень действий и категории данных у каждого подрядчика свои.
Ориентировочная формулировка для договора
- ✓ “Заказчик поручает, а Исполнитель принимает на себя обязательство осуществлять обработку персональных данных субъектов (учеников, клиентов Заказчика) в целях [указать конкретную цель, например: организация email-рассылки учебных материалов]”
- ✓ “Исполнитель вправе совершать следующие действия с персональными данными: сбор, хранение, использование, передачу в рамках выполнения обязательств по настоящему договору”
- ✓ “Обработке подлежат следующие категории персональных данных: [перечислить – ФИО, адрес электронной почты, номер телефона]”
- ✓ “Исполнитель обязуется соблюдать конфиденциальность персональных данных и принимать меры по обеспечению их безопасности в соответствии со ст. 19 Федерального закона № 152-ФЗ”
- ✓ “После окончания срока действия настоящего договора либо по требованию Заказчика Исполнитель обязан удалить или возвратить персональные данные в срок не позднее [указать срок, например: 10 рабочих дней]”
Такую формулировку можно оформить как отдельный раздел договора либо как приложение “Условия обработки персональных данных” – оба варианта равнозначны с точки зрения закона, если содержание соответствует требованиям ч. 3 ст. 6 152-ФЗ.
Чек-лист перед подписанием поручения
Чек-лист: подписываем поручение с подрядчиком
- ✓ В договоре или приложении письменно прописан перечень действий с данными
- ✓ Указана конкретная цель обработки, а не общая формулировка
- ✓ Есть пункт об ответственности подрядчика перед школой при утечке или нарушении
- ✓ Проверено, где хранятся данные (РФ или за рубежом)
- ✓ Есть порядок уведомления школы подрядчиком в случае инцидента с данными
- ✓ Прописан срок хранения и порядок удаления данных после окончания сотрудничества
Если хотя бы два пункта из списка не выполнены, договор с подрядчиком стоит доработать до подписания, а не откладывать на “потом” – при проверке Роскомнадзора отсутствие поручения обычно обнаруживается быстро, поскольку инспектор запрашивает список всех третьих лиц, которые имеют доступ к базе.
Не хотите разбираться в 152-ФЗ сами?
Проверим документы и подготовим к проверке Роскомнадзора.
Статья подготовлена на основе законодательства РФ на июль 2026 года. Для консультации по вашему случаю обратитесь к специалисту.
Частые вопросы
Нужно ли оформлять поручение, если подрядчик – физлицо-фрилансер?
Да. Статус подрядчика (юрлицо, ИП или физлицо) не влияет на обязанность оформить поручение письменно, если он получает доступ к персональным данным учеников. Требования ч. 3 ст. 6 152-ФЗ распространяются на любое лицо, которому оператор передаёт обработку данных.
Можно ли включить поручение в обычный договор оказания услуг, а не оформлять отдельный документ?
Можно. Закон не требует отдельной формы – поручение может быть разделом основного договора, приложением к нему или самостоятельным соглашением. Главное, чтобы формулировка содержала перечень действий с данными, цель обработки и обязанность соблюдать конфиденциальность и меры защиты.
Кто платит штраф, если утечку данных допустил CRM-сервис, а не сама школа?
Перед учеником и Роскомнадзором отвечает оператор, то есть школа, которая собрала данные и определила цель их обработки. Школа вправе после этого взыскать убытки с подрядчика по условиям договора, но это отдельное разбирательство и от первичной ответственности перед регулятором школу не освобождает.
Что делать с данными учеников после расторжения договора с подрядчиком?
Поручение действует, пока действует договор. После его расторжения подрядчик обязан удалить или вернуть школе персональные данные в срок, зафиксированный в договоре. Стоит запросить у бывшего подрядчика письменное подтверждение удаления базы или акт об уничтожении данных.
Заменяет ли согласие ученика на обработку персональных данных поручение с подрядчиком?
Нет, это два разных документа. Согласие ученика даёт школе право обрабатывать его данные для указанных целей, а поручение регулирует отношения школы с конкретным подрядчиком, которому делегируется техническая обработка. При этом само согласие должно допускать передачу данных третьим лицам, иначе поручение с подрядчиком не спасёт от нарушения.
