В договоре с сервисной компанией есть конфиденциальность, запрет разглашения и обещание соблюдать Закон № 152-ФЗ. Но после первого запроса юриста выясняется: перечень данных не определён, резервные копии находятся у другого поставщика, а об инциденте подрядчик сообщает после завершения собственного расследования. Такой договор защищает коммерческую переписку лучше, чем реальную обработку персональных данных.
Поручение по ч. 3 ст. 6 Закона № 152-ФЗ должно описывать конкретную работу с данными и механизм контроля. Его задача состоит не в переносе всех рисков на исполнителя, а в создании исполнимой связи между законной целью оператора, действиями подрядчика и доказательствами соблюдения требований. Перед субъектом оператор не исчезает из отношений после подписания договора.
Сначала определите роль контрагента
Название «подрядчик» не отвечает на вопрос, обрабатывает ли компания данные по поручению или для собственных целей. Одна организация может выполнять обе роли в разных процессах. Например, обслуживать клиентскую базу заказчика по инструкции и отдельно обрабатывать сведения своих контактных лиц для исполнения собственного договора.
Для квалификации выясните, кто определяет цели, состав данных и действия с ними. Если контрагент самостоятельно использует полученную базу для продвижения собственных услуг, такое действие нельзя легализовать одной общей формулировкой о поручении. Нужно отдельно оценить основание и обязанности соответствующего участника.
В рабочей карте процесса укажите источник данных, маршрут передачи, получателей и ожидаемый результат. Эта карта помогает увидеть, где подрядчик исполняет решение оператора, а где начинает самостоятельную деятельность. Без неё договор часто охватывает лишь основную систему и пропускает поддержку, аналитику и резервное копирование.
Поручение не заменяет основание обработки
Часть 3 ст. 6 допускает поручение с согласия субъекта, если иное не предусмотрено федеральным законом. Следовательно, договор между двумя организациями сам по себе не создаёт любое необходимое основание для передачи сведений. До подписания нужно определить, на каком основании оператор обрабатывает данные и вправе поручить соответствующие операции другому лицу.
При этом ч. 4 ст. 6 освобождает обработчика по поручению от самостоятельного получения согласия на такую обработку. Это разграничение обязанностей нельзя читать как разрешение оператору не проверять законность исходной модели. Подрядчик исполняет поручение, а не создаёт недостающее основание задним числом.
Особое внимание требуется данным работников, специальным категориям и биометрии. Применимые требования могут выходить за общую конструкцию обычной клиентской базы. Если проект изначально рассчитан на контактные сведения, добавление медицинских документов через свободное поле меняет риск и требует пересмотра процесса, а не только расширения списка в приложении.
Обязательные условия должны быть проверяемыми
Часть 3 ст. 6 прямо предусматривает перечень данных, операций и целей, конфиденциальность, требования по ч. 5 ст. 18 и ст. 18.1, безопасность, требования защиты по ст. 19, предоставление подтверждающих документов и уведомление об установленных законом инцидентах. Общая ссылка на закон не описывает, как стороны исполняют эти обязанности в конкретном сервисе.
| Условие | Что должно быть понятно из документа |
|---|---|
| Цель | Ради какого результата обрабатываются сведения |
| Перечень данных | Какие поля и категории реально поступают исполнителю |
| Операции | Что исполнитель вправе делать и чего делать не вправе |
| Инфраструктура | Где и какими средствами выполняется поручение |
| Контроль | Какие документы оператор получает до начала и в ходе работы |
| Инциденты | Кому, когда и с каким первоначальным составом сведений сообщают |
| Завершение | Как прекращается обработка и подтверждается уничтожение |
Такая таблица полезна как проверочный инструмент, но в подписываемом поручении каждое условие должно получить содержание. Пустое приложение «перечень данных согласуется позднее» не подходит для уже начавшейся обработки.
Цель не должна расширяться по усмотрению исполнителя
Формулировка «для оказания услуг и иных законных целей» слишком широка для управления риском. Оператору нужно понимать, какие действия действительно необходимы. Например, обработка обращений клиентов и самостоятельное использование истории этих обращений для продвижения сторонних продуктов представляют разные цели.
Согласуйте запрет самостоятельного использования, несовместимого с поручением. Отдельно проверьте аналитику, тестирование, обучение моделей и улучшение сервиса: коммерчески привычные функции могут предполагать использование данных сверх поставленной задачи. Наличие такого пункта в общих условиях поставщика нельзя игнорировать при подписании индивидуального приложения.
Если исполнитель предлагает обезличивание, уточните метод, результат и последующие действия. Простое удаление фамилии не позволяет без анализа считать сведения утратившими связь с человеком. Юристу следует получить описание процесса от технической команды и оценить применимые требования, а не заменять их словом «анонимно».
Перечень данных: меньше неопределённости, меньше споров
Практический перечень строят по полям и категориям субъектов. «Все данные клиентов» не объясняет исполнителю допустимый объём и затрудняет контроль. Для работы с заявками могут быть достаточны имя, контакт, номер обращения и содержание запроса; паспортная копия и сведения о здоровье обычно требуют отдельного обоснования.
Укажите источник появления свободного текста и файлов. Именно туда пользователи часто загружают сведения, не предусмотренные стандартной формой. Поручение должно определять, как исполнитель сообщает об избыточных данных и ограничивает их использование, а оператор решает вопрос дальнейшей правомерной обработки.
Изменение перечня оформляют до включения новых полей в рабочий процесс. Одностороннее обновление интерфейса поставщика не должно автоматически расширять поручение. Полезно закрепить предварительное уведомление об изменениях функциональности, которые затрагивают состав данных или маршруты передачи.
Операции описывают фактический процесс
Скопированный из закона полный перечень операций может разрешить больше, чем нужно сервису. Если исполнитель только хранит файлы и выдаёт их по запросу, право распространения неопределённому кругу лиц не требуется. Если он контактирует с клиентами, нужно описать соответствующий доступ и использование.
Разделите обычные операции и исключительные действия при поддержке. Администратор может получить доступ для устранения сбоя, но это не означает право свободно выгружать всю базу на личное устройство. Условия доступа должны согласовываться с реальной архитектурой и правилами информационной безопасности.
Для доказательств важно, чтобы журналы отражали существенные действия и позволяли установить пользователя, время и результат. Требование «вести логи» без состава событий и порядка предоставления может оказаться бесполезным. Юристу не нужно самому проектировать систему, но следует добиться проверяемого описания от ответственных специалистов.
Инфраструктура и локализация требуют конкретики
Часть 5 ст. 18 в действующей редакции запрещает при сборе определённые операции с данными граждан РФ с использованием баз за пределами России, за предусмотренными законом исключениями. Поэтому заявления поставщика о российском юридическом лице недостаточно. Необходимо понимать расположение баз и фактическую схему обработки.
Проверьте основную площадку, резервные копии, системы поддержки, диагностические выгрузки и внешние интеграции. Иногда основной сервис размещён в России, а обращение в техническую поддержку отправляет фрагмент базы в другую систему. Договор должен охватывать реальные маршруты, а не только адрес основного дата-центра.
Трансграничная передача имеет собственные требования и не подменяется поручением. Их отдельный разбор приведён в статье о трансграничной передаче персональных данных. В обычном договоре с российским исполнителем разумно прямо определить допустимую инфраструктуру и порядок её изменения.
Подтверждающие документы нужны до запуска
Часть 3 ст. 6 предусматривает предоставление оператору по его запросу документов и информации о принятых мерах в течение действия поручения, включая период до начала обработки. Поэтому отказ поставщика обсуждать безопасность до загрузки базы противоречит смыслу предусмотренного законом контроля.
Перечень доказательств подбирают к процессу: организационные документы, описание разграничения доступа, сведения о применимых мерах защиты, результаты проверок и порядок реагирования. Не вся техническая информация должна раскрываться публично; можно согласовать защищённый обмен, ограниченный доступ и разумную форму подтверждения.
Однако отметка «соответствуем требованиям» не равноценна доказательствам. Оператор должен понимать, что именно проверено, кем и применительно к какой системе. Договорный контроль становится содержательным, когда документы сопоставляются с фактической обработкой и выявленные недостатки имеют срок устранения.
Проверка подрядчика не означает бесконтрольный аудит
Исполнитель вправе защищать сведения других клиентов и собственную инфраструктуру. Поэтому условия проверки должны быть соразмерными: предмет, предварительное уведомление, доступ уполномоченных специалистов, конфиденциальность результатов и меры против нарушения работы. Неограниченное право войти в любую систему обычно нереалистично.
Различайте плановую проверку и срочное получение информации после инцидента. Для первой можно предусмотреть разумный график, для второй нужен ускоренный канал. Если оба режима требуют месячного согласования, оператор не сможет своевременно оценить возникшее нарушение.
В поручении полезно установить последствия отказа предоставить существенные сведения: ограничение новых передач, согласование корректирующих мер и применение предусмотренных договором способов защиты. Сам факт наличия штрафа не создаёт работающий контроль, если исполнитель технически не способен подготовить запрошенные документы.
Привлечение других исполнителей меняет карту риска
Обработчик может использовать хостинг, поддержку и иные сервисы. Оператору необходимо знать, кому фактически предоставляется доступ и какие операции передаются дальше. Универсальное разрешение привлекать любых лиц без уведомления лишает первоначальную проверку практического смысла.
Договором определяют допустимый перечень участников, объём их работы, порядок предварительного согласования изменений и сохранение обязательств основного исполнителя. При этом договорное разрешение само по себе не отменяет требования закона к поручению, основаниям обработки и передаче данных.
Для небольшой компании удобнее согласовать конкретный список инфраструктурных поставщиков, чем подписывать абстрактный запрет, который будет нарушен в первый день. Юрист должен проверить реальность обещаний. Если сервис изначально построен на привлечённых участниках, их отсутствие в документах означает неполное описание процесса.
Инцидент: ждать окончательного расследования нельзя
Часть 3.1 ст. 21 устанавливает для оператора уведомление уполномоченного органа в течение двадцати четырёх часов о соответствующем инциденте и в течение семидесяти двух часов о результатах внутреннего расследования. Закон связывает отсчёт с выявлением инцидента указанными в норме лицами, а не с удобным для сторон завершением внутренней проверки.
Поэтому внутренний срок сообщения исполнителя оператору должен оставлять время для оценки и исполнения обязанностей. В договоре можно установить, например, незамедлительное сообщение и предельный короткий срок, но нужно ясно обозначить его договорную природу. Нельзя выдавать выбранные сторонами два часа за универсальный срок федерального закона.
Первичное сообщение может содержать неполные сведения. Важно указать установленные факты, предположения отдельно, затронутые системы, принятые меры и контакт ответственного. Дополнительные данные передают по мере установления. Формула «уведомляем после подтверждения всей картины» способна сделать предусмотренные законом сроки недостижимыми.
Канал связи должен работать ночью
Инциденты не привязаны к рабочему графику юридического отдела. Если договор направляет все сообщения единственному менеджеру по будням, техническая команда может своевременно обнаружить нарушение, а оператор узнает о нём через несколько дней. Контакты должны соответствовать реальному режиму сервиса.
Согласуйте основной и резервный канал, подтверждение получения и порядок эскалации. Важное сообщение не должно теряться среди обычных заявок. Проверьте, кто принимает решение со стороны оператора, кто готовит первичную оценку и кто взаимодействует с уполномоченным органом.
Полезно провести учебную проверку без реальных персональных данных. Отправка тестового сообщения показывает, доступны ли номера, читается ли служебная почта и понимают ли сотрудники свою роль. Юридически точное приложение мало помогает, если исполнители впервые увидят его после утечки.
Обращения субъектов: договор должен помогать оператору
Субъект может попросить уточнить, прекратить обработку или уничтожить данные. Оператору нужно иметь возможность исполнить применимые обязанности и в системе подрядчика. Для этого поручение описывает порядок передачи запроса, проверки исполнения и предоставления подтверждений.
Не поручайте исполнителю самостоятельно решать все юридические вопросы без согласованной модели. Он может не знать основания хранения у оператора и сроков обязательного сохранения документов. В обычной модели исполнитель передаёт обращение оператору и выполняет правомерные инструкции, не расширяя обработку по собственной инициативе.
Договорные сроки реакции должны быть короче соответствующих внешних сроков настолько, чтобы оператор успевал проверить результат. Универсальные «тридцать рабочих дней на любое действие» не подходят. Разные основания ст. 21 предусматривают разные правила, которые необходимо учитывать применительно к конкретному обращению.
Завершение договора не равно уничтожению всех данных
После прекращения услуги нужно определить судьбу рабочей базы, выгрузок, журналов и резервных копий. Оператору может потребоваться возврат данных для продолжения законной обработки у другого исполнителя, а некоторые сведения подлежат сохранению по самостоятельному основанию. Эти категории нельзя смешивать.
Составьте порядок завершения: прекращение новых операций, возврат согласованного набора, проверка целостности, уничтожение оставшихся данных при наличии оснований и документальное подтверждение. Для резервных копий заранее выясните технологию и сроки, не обещая невозможное немедленное удаление отдельной записи из любого архива.
Техническая сложность не отменяет требований закона. Если стандартный цикл поставщика несовместим с необходимым исполнением, проблему решают до запуска сервиса. Условие «удаляем когда позволят настройки» не является юридическим механизмом завершения обработки и не обеспечивает контроль оператора.
Ответственность нельзя переписать только договором
По ч. 5 ст. 6 оператор отвечает перед субъектом за действия обработчика по поручению, а обработчик отвечает перед оператором. Для иностранных лиц ч. 6 содержит отдельное правило. Договорное распределение расходов и возмещения не устраняет установленные законом обязанности участников.
Оговорка «всю ответственность несёт подрядчик» поэтому опасна прежде всего для самого заказчика: она создаёт ощущение освобождения от контроля. В реальном споре будут исследоваться действия оператора, правомерность передачи, содержание поручения и меры предотвращения нарушения.
Вопрос взыскания потерь с исполнителя рассматривается отдельно от составления поручения. Он разобран в статье о требованиях оператора к IT-подрядчику после утечки. Сам договор не гарантирует взыскание каждой понесённой суммы без проверки оснований, причинной связи и поведения сторон.
Как согласовать лимит ответственности
Поставщик часто ограничивает ответственность месячной стоимостью услуг. Для оператора такой предел может не соответствовать масштабу передаваемой базы. Переговоры стоит вести по категориям риска: нарушение конфиденциальности, несогласованное использование, несвоевременное сообщение и отказ предоставить доказательства.
При этом высокая неустойка не заменяет техническую защищённость. Компания, не способная сохранить журналы и быстро остановить доступ, не станет надёжнее только из-за крупной цифры в договоре. Сначала проверяют исполнимость обязанностей, затем обсуждают денежные последствия.
Отдельно оцените соотношение неустойки и убытков, порядок предъявления требования, доказательства и возможные ограничения закона. Не обещайте клиенту автоматическое переложение административного штрафа. Это самостоятельный правовой вопрос, который не разрешается одной фразой о полном возмещении любых расходов.
Изменения сервиса: поручение должно оставаться актуальным
После запуска поставщик меняет инфраструктуру, добавляет интеграции и расширяет аналитику. Если договор регулирует только первоначальное состояние, через несколько месяцев фактическая обработка может выйти за его пределы. Нужен порядок уведомления и согласования существенных изменений.
Определите, какие изменения требуют предварительного согласия: новые категории данных, цели, получатели, площадки и способы доступа. Для несущественных технических обновлений можно согласовать иной порядок, сохранив возможность подтвердить соблюдение требований. Все изменения не обязаны проходить одинаковую процедуру, но значимые риски не должны скрываться под словом «обновление».
Оператору полезно хранить действующую карту обработки и историю согласованных редакций. При проверке или споре это позволит установить, какая модель действовала в конкретный период. Ссылка на постоянно меняющуюся страницу поставщика без сохранённой версии затрудняет доказывание содержания обязательств.
Рабочая последовательность для юриста
Начните с разговора с владельцем процесса и техническим специалистом. Получите перечень сведений, маршруты, цели и список внешних участников. Затем проверьте основания обработки и возможность поручения. Только после этого имеет смысл согласовывать правовой текст и приложения.
Перед запуском запросите подтверждения мер, проверьте контакты для инцидентов и согласуйте завершение обработки. Зафиксируйте не только обещания, но и документы, на которых основано решение начать передачу. В ходе работы отслеживайте изменения сервиса и результаты запросов оператора.
Для оформления предусмотрен образец соглашения о поручении обработки. Он рассчитан на российского исполнителя и обычные персональные данные. Специальные категории, биометрия и иностранная инфраструктура требуют самостоятельной адаптации, а не механического добавления одной строки.
Приёмка услуги не подтверждает законность обработки
Акт об оказанных услугах обычно показывает коммерческий результат: заявки обработаны, система доступна, отчёт сформирован. Он не заменяет документы о безопасности и соблюдении поручения. Если оператор подписал акт без замечаний, это не означает, что все требования законодательства автоматически исполнены.
Разделите коммерческую приёмку и подтверждение специальных обязанностей. Можно установить периодическую отчётность по существенным событиям: изменениям доступа, новым участникам, выявленным нарушениям и выполненным запросам об уничтожении. Такая отчётность должна быть соразмерной процессу и не создавать бессмысленный обмен сотнями документов.
Если недостаток обнаружен после приёмки, исследуйте его характер и период существования. Отсутствие замечаний к скорости обработки обращений не доказывает согласия на несогласованную выгрузку базы. В претензии следует ссылаться на конкретную специальную обязанность, факт её нарушения и последствия, а не ограничиваться общим заявлением о ненадлежащем качестве услуг.
Учётные записи сотрудников и доступ поддержки
Поручение исполняет организация, но фактический доступ получают люди. Поэтому важно определить, как создаются и отзываются учётные записи, кто согласует полномочия и что происходит после увольнения сотрудника подрядчика. Общий пароль на всю команду затрудняет установление конкретных действий и снижает ценность журналов.
Для удалённой поддержки согласуйте необходимые полномочия и запрет использования реальной базы в произвольных тестовых средах. Если без диагностической копии проблему решить нельзя, нужна заранее предусмотренная процедура: объём, защита, ответственный, срок и подтверждение прекращения обработки копии. Передача файла инженеру в личный мессенджер не должна становиться неформальным стандартом.
Такие условия формулируют вместе с технической командой. Юристу важно не назначить случайный набор средств защиты, а закрепить проверяемые обязанности, соответствующие применимым требованиям и реальному процессу. Если поставщик не может объяснить, кто имеет доступ к данным, согласование красивого текста следует приостановить до прояснения фактов.
Источники
- Статья 6 Закона № 152-ФЗ: поручение, содержание и ответственность.
- Статья 18 Закона № 152-ФЗ: обязанности при сборе и размещение баз.
- Статья 21 Закона № 152-ФЗ: инциденты, прекращение и уничтожение.
Подготовьте поручение по фактической схеме работы с данными в «Документы Про». Перед подписанием согласуйте технические условия с ответственными за информационную безопасность.
