Подрядчик слил персональные данные. Отвечать будете вы или он?

Компания подключила сервис email-рассылок, отдала расчет зарплаты на аутсорс и наняла колл-центр для обработки заявок — три обычных решения, ни одно из которых не выглядит как передача персональных данных «третьим лицам». А по факту это она и есть. И если завтра подрядчик потеряет базу, ответит перед субъектом и регулятором не он, а компания, которая эти данные передала.

Если третье лицо обрабатывает персональные данные по поручению компании, перед субъектом и регулятором отвечает оператор — компания, которая передала данные. Ошибка внешнего сервиса, колл-центра, ИТ-подрядчика или бухгалтерского аутсорсинга не снимает с нее ответственность по 152-ФЗ.

Если получатель действует как самостоятельный оператор — например банк, страховая, образовательная организация или госорган, — он сам отвечает за свое основание обработки. Но компания все равно должна подтвердить, что передала ПДн законно: по договору, закону, согласию или другому основанию.

Поэтому первый вопрос не юридический, а рабочий: что именно делает получатель данных. Он выполняет задачу вместо вашей компании или получает данные для своей услуги, обязанности либо лицензируемой деятельности. От ответа зависит документ: поручение, согласие, условие в договоре, ссылка на закон или отдельное согласие на распространение.

На этом этапе компании часто видят, что передачи ПДн внешним сервисам, подрядчикам и контрагентам оформлены по-разному. Где-то не хватает поручения, где-то согласия, где-то неправильно определена роль получателя. В таких ситуациях помогает проверка цепочки передачи ПДн: она показывает, где нужен договор поручения, где согласие, а где достаточно другого правового основания.

Передача ПДн третьим лицам возникает не только при продаже базы или обмене клиентскими данными. Чаще это обычные рабочие процессы:

• бухгалтерский аутсорсинг получает данные работников;

• HR-сервис хранит резюме кандидатов;

• сервис рассылок получает email и телефоны клиентов;

• подрядчик обслуживает корпоративную систему и видит данные пользователей;

• колл-центр обрабатывает обращения клиентов;

• ЭДО-платформа участвует в обмене документами;

• страховая, банк, образовательная организация или оператор связи получают данные для своей услуги.

Главная ошибка — считать любую передачу одинаковой.

В одних случаях третье лицо действует как обработчик по поручению оператора. В других — как самостоятельный оператор со своими целями обработки. Если роль определена неверно, компания выбирает неправильный документ. Например, заключает обычный договор услуг без условий поручения, хотя подрядчик фактически обрабатывает данные по заданию оператора. Или, наоборот, пытается оформить поручение там, где получатель сам определяет цели обработки и должен иметь собственное правовое основание.

Для бухгалтерии, HR, маркетинга и ИТ это не формальность. Эти подразделения чаще всего подключают сервисы, передают файлы, выдают доступы и работают с подрядчиками. Юрист может увидеть риск только после того, как узнает о фактической передаче.

В 152-ФЗ оператором считается лицо, которое организует или осуществляет обработку и определяет цели, состав данных и действия с ними. Важно различать две ситуации. 

Обработчик получает данные не для своих целей. Он выполняет задачу оператора: хранит, систематизирует, рассылает сообщения, обслуживает систему, принимает обращения, обеспечивает технический процесс. Его действия должны укладываться в поручение оператора.

Самостоятельный оператор имеет собственную цель обработки. Он получает данные не как технический исполнитель, а как участник отношений, который сам отвечает за свое основание обработки. Так могут действовать банки, страховые, образовательные организации, операторы связи, органы власти и другие получатели, если данные нужны им для собственных функций.

Простой критерий для внутренней проверки: контрагент делает что-то вместо вашей компании или получает данные для своей услуги, своей обязанности или своей лицензируемой деятельности?

Типовые примеры:

• сервис хранения данных;

• платформа email- или SMS-рассылок;

• подрядчик по техническому обслуживанию корпоративных систем;

• сервис электронного документооборота, если он получает доступ к ПДн при обслуживании процесса;

• колл-центр, который принимает обращения клиентов по сценарию оператора.

В такой модели обработчик не получает отдельное согласие у субъекта, но это не означает, что передачу можно оставить без документов. С обработчиком нужно оформить соглашение о поручении обработки персональных данных: отдельным договором или разделом основного договора, с целями обработки, перечнем данных, действиями с ними, требованиями к защите, обязанностями обработчика, порядком уничтожения  (ч. 3 ст. 6 152-ФЗ).

Для оператора главный риск в ответственности. Если нарушение происходит на стороне обработчика, перед субъектом отвечает оператор (ч. 5 ст. 6 152-ФЗ). Договорные претензии к подрядчику потом возможны, но они не снимают вопрос перед субъектом и регулятором. На практике именно этот блок часто вскрывает слабые места: договор с подрядчиком есть, услуга оплачивается, доступ к данным фактически предоставлен, а поручение обработки не оформлено или написано общими фразами.

Когда подрядчиков много, удобнее начинать не с переписывания всех договоров, а с проверки договорной модели. Нужно понять, кто действительно обрабатывает ПДн по поручению, кто действует как самостоятельный оператор, а где роль получателя вообще не зафиксирована. Для такой сверки подходит аудит соответствия 152-ФЗ.

Самостоятельный оператор получает данные для собственных целей или обязанностей. Поручение обработки заключать не нужно, потому что оператор не делегирует обработку, а передает данные другому участнику отношений. Часто так работают ФНС, СФР, правоохранительные и судебные органы, банки, страховые, операторы связи, образовательные организации, лицензируемые компании.

Каждый самостоятельный оператор должен иметь свое правовое основание по ч. 1 ст. 6 152-ФЗ. Если таким основанием выступает согласие субъекта, его должен получить каждый оператор, которому это основание нужно. У модели самостоятельных операторов есть плюс: первый оператор не отвечает за нарушения второго так, как отвечает за обработчика по поручению. Но риск не исчезает полностью, т.к. у первого оператора меньше контроля за дальнейшей обработкой, а претензии субъектов часто приходят именно в компанию, которая передала данные.

Самая полезная проверка начинается с простого вопроса: получатель делает действие вместо компании или получает данные для своей цели? Если вместо компании — вероятнее всего, нужно поручение. Если для своей услуги или обязанности — нужно проверить самостоятельное правовое основание. Для компаний с большим числом подрядчиков такую таблицу удобнее вести как реестр —  Privacy Box помогает собрать реестр процессов и передач ПДн, чтобы видеть не только документы, но и фактические потоки данных между подразделениями и контрагентами.

Ст. 88 ТК РФ запрещает работодателю передавать персональные данные работника третьим лицам без письменного согласия, кроме случаев угрозы жизни и здоровью или ситуаций, прямо предусмотренных законом. Кадровые и бухгалтерские процессы нельзя автоматически переносить в общую логику клиентских данных.

Если требуется письменное согласие по ч. 4 ст. 9 152-ФЗ и данные передаются нескольким третьим лицам, действует практический принцип: одно третье лицо — одно согласие. Нельзя закрыть одним общим согласием сразу несколько операторов или обработчиков, когда по закону нужна письменная форма. Частая ошибка выглядит довольно невинно: сотрудник подписал общее согласие при приеме на работу, и компания считает, что оно покрывает все будущие передачи. Но каждую передачу нужно проверять отдельно.

Проверьте передачу ПДн подрядчикам

Сверим роли контрагентов: где нужен договор поручения, где согласие, а где подрядчик сам отвечает как оператор. Покажем, не остались ли пробелы в оформлении передачи.

Заказать проверку

Если данные передаются обработчику по поручению, в согласии нужно перечислить таких лиц: субъект должен понимать, кто будет обрабатывать его данные. Если данные передаются самостоятельным операторам, допустимо указать категорию таких лиц и цель передачи (банковские организации, курьерские службы, страховые). 

РКН также допускает ссылку на страницу оператора с актуальным списком третьих лиц.  Тогда компания обязана поддерживать этот список в актуальном состоянии; если фактическая передача разойдется с опубликованным перечнем, появляется риск неправомерной передачи.

Распространение — это передача персональных данных неопределенному кругу лиц. Самый понятный пример — публикация данных на открытом сайте: карточки сотрудников, отзывы клиентов с именем и фотографией, списки участников, публичные материалы с персональными данными. Если доступ ограничен и круг получателей можно определить, речь обычно идет о предоставлении данных определенному кругу лиц. Если страницу может открыть любой пользователь, риск уже связан с распространением.

При распространении работает ст. 10.1 152-ФЗ. Согласие на распространение оформляется отдельно от других согласий на обработку ПДн. Форма должна соответствовать приказу РКН от 24.02.2021 № 18.

Эта зона часто попадает к HR, маркетингу и PR, а не к юристу — перед публикацией стоит проверить, не появляется ли распространение и есть ли отдельное согласие.

Если контрагент действует как обработчик по поручению, договор должен быть не общим договором услуг, а документом, который закрывает требования к обработке ПДн.

Минимально стоит проверить, есть ли в договоре:

• цель обработки;

• перечень персональных данных;

• категории субъектов;

• действия с данными: сбор, запись, хранение, уточнение, передача, удаление, уничтожение и другие операции;

• требования к конфиденциальности и безопасности;

• порядок привлечения субобработчиков, если он допускается;

• порядок реагирования на запросы субъектов и инциденты;

• порядок возврата или уничтожения данных после завершения обработки;

• право оператора контролировать выполнение поручения.

Отдельный красный флаг — подрядчик отказывается от условий поручения, хотя фактически получает доступ к данным и обрабатывает их по заданию компании. В такой ситуации нужно пересмотреть модель взаимодействия или выбрать другого подрядчика.

Соберите список всех третьих лиц с доступом к ПДн. По каждому определите роль: обработчик по поручению, самостоятельный оператор, получатель по закону, лицо в рамках распространения. Зафиксируйте цель передачи. Проверьте документ: поручение, согласие, договор, законное основание. Назначьте владельца внутри компании. Отметьте красные флаги: нет поручения, неясная роль контрагента, общий текст согласия, устаревший список третьих лиц, нет порядка уничтожения.

Компании с большим числом подрядчиков обычно сталкиваются не с одной ошибкой, а с накопленным разрывом между договорами, согласиями, реестрами и фактическими доступами. В такой ситуации помогает не разовая правка одного договора, а регулярная поддержка процессов по 152-ФЗ: можно постепенно приводить договоры, согласия и реестры к рабочей модели без запуска большого отдельного проекта.

Передача персональных данных третьим лицам безопасна только тогда, когда компания понимает три вещи: кому передает данные, в какой роли действует получатель и какой документ подтверждает законность передачи. Если получатель выполняет задачу оператора — нужно проверять поручение. Если действует для своей цели — у него должно быть свое основание. Если данные работников передаются третьим лицам — отдельно учитывайте ст. 88 ТК РФ. Если данные публикуются для неопределенного круга — нужно отдельное согласие на распространение.

Именно передача ПДн третьим лицам часто показывает, насколько компания реально управляет персональными данными. Если данные уже ушли подрядчику, спорить о формулировках поздно. Лучше заранее проверить роли, основания и документы, а для точечной доработки договоров и согласий можно оставить заявку.

Когда при передаче ПДн нужен договор поручения? Когда третье лицо обрабатывает данные по заданию оператора и не имеет собственной цели обработки.

Когда третье лицо считается самостоятельным оператором? Если получает данные для собственных целей, обязанностей или услуги — банк, страховая, оператор связи, образовательная организация, орган власти.

Нужно ли получать согласие субъекта при передаче данных обработчику? Обработчик сам согласие не получает, но у оператора должно быть основание для обработки и передачи.

Кто отвечает, если обработчик нарушил 152-ФЗ? Перед субъектом отвечает оператор, который поручил обработку (ч. 5 ст. 6 152-ФЗ).

Можно ли указать в согласии не конкретных подрядчиков, а их категории? Для самостоятельных операторов да; для обработчиков по поручению нужно перечислять их, либо использовать актуальный список по ссылке.

Чем распространение ПДн отличается от передачи? Распространение — раскрытие данных неопределенному кругу лиц, требует отдельного согласия по ст. 10.1 152-ФЗ.

Что проверить в первую очередь по действующим подрядчикам? Собрать список получателей, определить роль, цель передачи, основание, наличие поручения или согласия и ответственного внутри компании.

Проверьте передачу ПДн подрядчикам

Сверим роли контрагентов: где нужен договор поручения, где согласие, а где подрядчик сам отвечает как оператор. Покажем, не остались ли пробелы в оформлении передачи.

Имя^*

E-mail^*

Телефон^*

Отправить

Нажимая кнопку, я соглашаюсь с пользовательским соглашением, обработкой персональных данных и получением информационных и рекламных рассылок

Реклама: ООО «Б152», ИНН 5050091524, erid: 2W5zFJK1Lt9