CRM, хостинг, бухгалтерия, доставка, колл-центр и сервис рассылок получают данные клиентов или работников. В документах это часто называют одной фразой: «передача третьим лицам». Для правильного оформления этого мало. Сначала нужно понять, зачем получатель использует данные и кто принимает решения.
Два разных сценария
Поручение обработки возникает, когда подрядчик действует по заданию оператора и использует данные только для согласованной цели. Например, колл-центр звонит клиентам по списку компании.
Передача самостоятельному оператору возможна, когда получатель сам определяет цели и порядок дальнейшей обработки. Например, продавец передает сведения службе, которая оказывает клиенту отдельную услугу от своего имени.
| Вопрос | Обработка по поручению | Самостоятельный оператор |
|---|---|---|
| Кто определяет цель | Заказчик | Получатель определяет свою цель сам |
| Кто задает действия | Заказчик закрепляет их в поручении | Получатель действует по своим правилам и закону |
| Можно ли использовать данные для своей рекламы | Нет, если это не входит в поручение | Требуется отдельное правовое основание для такой цели |
| Кто отвечает перед человеком | За действия обработчика перед человеком отвечает оператор | Каждый оператор отвечает за свою обработку |
Название договора не меняет фактическую роль. Если в тексте подрядчик назван обработчиком, но сам строит профиль клиента и использует его для своих задач, нужно оценить его как самостоятельного оператора.
Есть и третья ситуация: работник или подразделение получает доступ внутри одной организации. Это не передача отдельному оператору, но доступ все равно нужно ограничить должностными задачами. Нельзя заменять правила доступа общей фразой «для работы компании».
Как определить роль на практике
Посмотрите не на вывеску сервиса, а на его действия.
| Получатель | Возможная роль | Что проверить |
|---|---|---|
| Облачная CRM | Обработчик по поручению либо самостоятельный оператор по отдельным функциям | Использует ли сервис данные только для работы аккаунта, есть ли аналитика для собственных целей |
| Бухгалтерский аутсорсинг | Обработчик по поручению | Состав поручения, сотрудники с доступом, хранение документов после договора |
| Банк при выплате зарплаты | Самостоятельный оператор в рамках банковской деятельности | Какие сведения необходимы для выплаты и на каком основании передаются |
| Курьерская служба | Роль зависит от модели отношений | От чьего имени оказывается доставка, кто определяет цели и общается с получателем |
| Сервис рассылки | Обычно обработчик по поручению | Может ли использовать адреса для себя, как фиксирует отписку и удаляет базу |
| Хостинг | Обычно обработчик по поручению | Где размещены базы, кто имеет технический доступ, как сообщается об инциденте |
Один и тот же контрагент может выполнять разные роли по разным операциям. Поэтому вывод «это наш подрядчик, значит, он обработчик» часто оказывается слишком грубым.
Что должно быть в поручении
Часть 3 статьи 6 Федерального закона № 152-ФЗ требует определить в поручении как минимум:
- перечень персональных данных;
- действия с данными;
- цели обработки;
- обязанность соблюдать конфиденциальность;
- требования к локализации баз при сборе данных граждан России;
- обязанность принимать необходимые меры и подтверждать их по запросу оператора;
- требования к безопасности;
- обязанность сообщать оператору об инциденте.
Поручение может быть разделом основного договора или отдельным приложением. Важно содержание, а не название файла. Формулировка «исполнитель соблюдает 152-ФЗ» слишком общая: из нее непонятно, какие данные можно использовать, кому дать доступ и когда все удалить.
В договоре также стоит закрепить порядок прекращения обработки, возврата или уничтожения данных. Это не отдельный пункт приведенного в статье 6 перечня, но без него оператору будет сложно исполнить собственные обязанности после окончания цели или договора.
Получатель данных → его фактическая задача → роль → правовое основание передачи → договор → безопасность → удаление после окончания работы.
Нужно ли согласие человека
Закон позволяет оператору поручить обработку другому лицу с согласия субъекта, если иной порядок не предусмотрен федеральным законом. В каждом процессе нужно отдельно проверить согласие, договор с человеком и другие применимые основания.
Нельзя исходить из того, что любая передача автоматически разрешена договором между двумя компаниями. Человек не является стороной такого договора, а его данные требуют самостоятельного правового основания.
И обратная ошибка встречается часто: компания просит одно широкое согласие на передачу любым партнерам и считает вопрос закрытым. Такое согласие не исправляет избыточную передачу и не заменяет условия поручения.
Что делать с субподрядчиками
Иногда данные уходят дальше, чем видно заказчику. CRM размещается у внешнего хостинга, колл-центр привлекает удаленных операторов, сервис рассылки использует техническую платформу другой компании.
До передачи стоит выяснить:
- Может ли исполнитель привлекать других лиц.
- Какие данные они увидят.
- В каких странах и системах идет обработка.
- Как требования заказчика переходят в следующую цепочку договоров.
- Кто и за какой срок сообщит об инциденте.
- Как подтвердить удаление у всех участников после окончания работы.
Если используется зарубежная инфраструктура, отдельно проверяют локализацию при сборе и правила трансграничной передачи. Это самостоятельные обязанности, их нельзя закрыть одной строкой о конфиденциальности.
Что проверить до первой выгрузки
Не ограничивайтесь договором. Создайте карточку подрядчика и запишите:
- цель и категории данных;
- роль получателя;
- правовое основание;
- системы и страны обработки;
- ответственных с обеих сторон;
- срок сообщения об инциденте;
- дату следующей проверки;
- способ возврата или уничтожения данных.
Тейк юриста: список подрядчиков лучше собрать до проверки или утечки. Тогда понятно, кому звонить, какие доступы отключать и какими документами подтверждать законность передачи.
Точное поручение вместе с реальным контролем снижает риск неконтролируемого распространения данных, претензий людей и штрафов для оператора. А бизнесу не приходится выяснять в день инцидента, кто именно хранит клиентскую базу.