Поручение обработки персональных данных: образец соглашения

Когда применяется

Соглашение оформляет поручение российскому исполнителю, который обрабатывает обычные персональные данные в интересах и по инструкции оператора. Оно может быть приложением к договору обслуживания информационной системы, обработки обращений или иной услуги. Предполагается, что исполнитель не использует переданные сведения для собственных несовместимых целей.

Образец не рассчитан на биометрию, специальные категории и иностранную инфраструктуру без дополнительной адаптации. Если в сервис поступают медицинские документы или данные используются для самостоятельной рекламы исполнителя, сначала нужно пересмотреть правовую модель. Одного расширения перечня полей недостаточно.

Соглашение также не заменяет законное основание обработки у оператора. Перед передачей базы юрист должен проверить, вправе ли компания обрабатывать данные для выбранной цели и поручать соответствующие действия другому лицу. Этот анализ проводится до начала исполнения, а не после первого запроса субъекта.

Правовое основание

Часть 3 ст. 6 Закона № 152-ФЗ определяет содержание поручения. В него включаются перечень персональных данных, операции, цели, конфиденциальность, требования ч. 5 ст. 18 и ст. 18.1, обеспечение безопасности и защиты по ст. 19, обязанность предоставлять подтверждающие документы и уведомлять оператора об инцидентах, указанных в ч. 3.1 ст. 21.

Часть 4 ст. 6 предусматривает, что лицо, действующее по поручению, не обязано само получать согласие на такую обработку. Это не освобождает оператора от проверки основания поручения, включая согласие субъекта, когда оно необходимо. В договоре нельзя объявить любую передачу законной только по соглашению заказчика и исполнителя.

По ч. 5 ст. 6 оператор отвечает перед субъектом за действия обработчика, а обработчик перед оператором. Поэтому условие о возмещении потерь не отменяет внешних обязанностей заказчика. Для иностранных лиц ч. 6 устанавливает отдельное правило; предлагаемый текст рассчитан на российского исполнителя.

Что согласовать до подписания

Заполните цель максимально предметно. Вместо «оказание услуг» укажите реальный результат, например обработку обращений клиентов в определённой системе. Свяжите каждую категорию данных с этой целью. Уберите сведения, которые не нужны для выполнения задания.

Определите операции, системы, места размещения баз и круг допускаемых сотрудников. Проверьте резервные копии, диагностические выгрузки и техническую поддержку. Договор с российской компанией не означает автоматически, что вся инфраструктура соответствует ч. 5 ст. 18. Нужна фактическая схема обработки.

Если исполнитель использует иных поставщиков, согласуйте их перечень и функции. В образце предусмотрено предварительное письменное согласование привлечения таких лиц. Это договорный механизм контроля, который не подменяет требования закона и не позволяет передавать сведения без необходимых оснований.

Поля о мерах защиты заполняются с ответственным техническим специалистом. Нельзя произвольно назначать уровень защищённости или перечислять средства, которых у исполнителя нет. Перед запуском запросите документы, подтверждающие применимые меры, и сохраните основания принятого решения.

Сроки уведомления об инциденте

В тексте выбран договорный срок первичного сообщения оператору: незамедлительно, но не позднее двух часов с выявления соответствующих обстоятельств. Это условие сторон, а не универсальный срок Закона № 152-ФЗ. Его можно изменить после оценки процесса, сохранив реальную возможность оператора своевременно исполнить обязательства.

Часть 3.1 ст. 21 предусматривает для оператора сообщение уполномоченному органу в течение двадцати четырёх часов и информацию о результатах расследования в течение семидесяти двух часов. Отсчёт связан с выявлением инцидента указанными законом лицами. Поэтому подрядчик не должен ждать окончательного подтверждения всех причин, прежде чем сообщить первоначальные сведения.

Укажите круглосуточные контакты, резервный канал и подтверждение получения. Если выбранный адрес читается только по рабочим дням, короткий срок в тексте не обеспечивает исполнение. Согласуйте также обновление информации и сохранение доказательств для расследования.

Запросы оператора и субъектов

Образец предусматривает предоставление подтверждающих документов в течение действия поручения, в том числе до начала обработки. Сроки конкретных запросов выбирают с учётом их характера и внешних обязанностей оператора. Для срочного инцидента и плановой проверки не подходит одна длительная процедура.

Обращение субъекта исполнитель передаёт оператору по согласованному каналу. Правовые решения о сохранении, уточнении или прекращении обработки принимаются с учётом соответствующего основания и применимых сроков. Исполнитель выполняет правомерную инструкцию и предоставляет подтверждение, позволяющее оператору оценить результат.

При наличии самостоятельного законного обязательства исполнителя сохранить определённые данные его нужно отдельно выявить и документировать. Нельзя использовать общую оговорку о защите собственных интересов для бессрочного хранения всей клиентской базы после прекращения услуги.

Завершение обработки

Согласуйте возврат данных, прекращение доступа, уничтожение и подтверждение выполненных действий. Проверьте, включает ли процедура резервные копии и выгрузки поддержки. Сроки в образце оставлены для конкретизации с учётом закона и технической схемы; их нельзя заполнять исходя только из удобства поставщика.

Если немедленное удаление отдельного элемента из архива технически невозможно, это обстоятельство исследуют заранее. Оно не отменяет требования законодательства. Необходимо определить правомерную процедуру ограничения обработки, последующего уничтожения и подтверждения исполнения.

Типичные ошибки

Основная ошибка состоит в замене поручения соглашением о неразглашении. Конфиденциальность не описывает цель, допустимые операции, контроль и прекращение обработки. Другая ошибка возникает при копировании полного перечня операций из закона без проверки, зачем исполнителю предоставлено каждое полномочие.

Не оставляйте неопределёнными инфраструктуру и участников. Не включайте обещание автоматического возмещения любого штрафа без анализа правовых оснований ответственности. И не начинайте передачу до согласования обязательных условий и получения необходимых подтверждений.

Изменение условий в ходе работы

После подписания назначьте ответственного за получение сообщений об изменениях сервиса. Новая интеграция, другой подрядчик поддержки или перенос резервных копий могут изменить фактическую обработку без изменения основной цены услуги. Проверка только при заключении договора не охватывает такие события.

Храните согласованные редакции приложения и документы, на основании которых разрешён запуск каждой существенной функции. Если поставщик ссылается на обновляемые условия на сайте, сохраняйте применимую версию и проверяйте договорный механизм изменений. Оператор должен иметь возможность восстановить действовавшие цели, операции и инфраструктуру на конкретную дату. Это важно как для контроля, так и для последующего объяснения обстоятельств проверки или инцидента.

Связанные материалы

Подробная проверка договорной модели приведена в статье о поручении обработки персональных данных. Последствия нарушения рассматриваются отдельно в материале о требованиях оператора к IT-подрядчику.

Источники: статья 6 Закона № 152-ФЗ, статья 21.

Подготовьте соглашение по реальной схеме обработки в «Документы Про». До подписания согласуйте перечни, меры защиты и сроки с ответственными подразделениями.