В 2026 году бизнес почти всегда передаёт персональные данные клиентов третьим лицам - CRM-сервису, подрядчику по email-рассылкам, бухгалтерии на аутсорсе, сервису колл-трекинга. Каждая передача должна иметь правовое основание, иначе компания рискует получить штраф по ст. 13.11 КоАП РФ. Разбираемся, когда нужен договор поручения на обработку данных и какие подрядчики чаще всего имеют доступ к персональным данным.
Коротко
- Передача ПДн подрядчику для оказания услуг вам (а не самому подрядчику для его целей) - это поручение обработки по ст. 6 ч. 3 152-ФЗ.
- С каждым подрядчиком, который получает доступ к данным, нужен договор с условиями об обработке ПДн.
- Ответственность перед субъектом данных и перед Роскомнадзором несёт оператор - то есть ваша компания, а не подрядчик.
- Типичные подрядчики с доступом к данным: CRM, email- и SMS-рассылки, бухгалтерия, колл-трекинг, аналитика, хостинг.
Когда нужен договор-поручение на обработку данных
Согласно ст. 6 ч. 3 152-ФЗ, оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта данных, если иное не предусмотрено федеральным законом. Поручение оформляется договором, в том числе договором оказания услуг, или иным правовым актом.
Договор-поручение нужен всегда, когда подрядчик:
- получает доступ к базе клиентов, лидов или сотрудников - целиком или частично;
- обрабатывает данные от вашего имени и в ваших интересах (не для собственных целей);
- хранит, передаёт, изменяет или удаляет персональные данные по вашему поручению.
Если подрядчик обрабатывает данные в своих собственных целях (например, платёжная система собирает данные для проведения расчётов как самостоятельный оператор), это уже не поручение, а совместная или самостоятельная обработка - и правовое основание будет другим.
Что должно быть в договоре с подрядчиком
Минимальный набор условий, которые стоит закрепить в договоре или отдельном приложении к нему:
- перечень персональных данных, которые передаются, и цель их обработки;
- перечень действий (операций) с данными, которые вправе совершать подрядчик;
- обязанность подрядчика соблюдать конфиденциальность и требования 152-ФЗ;
- обязанность обеспечить безопасность данных - организационные и технические меры;
- срок обработки и порядок уничтожения данных по окончании договора;
- условие об уведомлении оператора при инцидентах и запросах регуляторов;
- запрет на передачу данных субподрядчикам без отдельного согласования;
- ответственность подрядчика за нарушение условий обработки.
Важно: даже подробный договор не снимает с оператора ответственность перед субъектом данных. Роскомнадзор и суд в первую очередь спрашивают с компании, которая собрала согласие на обработку.
Типичные подрядчики с доступом к персональным данным
Разберём, какие сервисы чаще всего получают доступ к данным клиентов и на что обратить внимание при работе с каждым из них.
CRM-системы
Любая облачная CRM - это фактически хранение всей клиентской базы у стороннего оператора. Проверьте, где физически расположены серверы CRM: если за пределами РФ, потребуется соблюдение требований о локализации данных россиян (ст. 18 ч. 5 152-ФЗ).
Сервисы email- и SMS-рассылок
Подрядчику передаются как минимум email-адреса или номера телефонов, а часто и имена, история покупок, сегменты аудитории. Нужно убедиться, что сервис не использует загруженную базу для собственных маркетинговых целей.
Бухгалтерия на аутсорсе
Бухгалтер-подрядчик получает доступ к персональным данным сотрудников и контрагентов - паспортные данные, СНИЛС, банковские реквизиты. Это одна из самых чувствительных категорий передачи, требующая отдельного внимания к условиям конфиденциальности.
Колл-трекинг
Сервисы колл-трекинга обрабатывают номера телефонов звонящих и записи обращений, привязывая их к источникам трафика. Такие данные тоже относятся к персональным, если позволяют идентифицировать конкретного человека.
Веб-аналитика и хостинг
Даже обезличенные метрики (IP-адрес, идентификаторы устройств) в совокупности с другими данными могут считаться персональными. Хостинг-провайдер, на серверах которого физически лежит база, тоже формально получает доступ к ПДн.
| Подрядчик | Какие данные передаются | Нужен договор-поручение |
|---|---|---|
| CRM-система | ФИО, телефон, email, история заказов | Да |
| Email/SMS-рассылки | Email, телефон, сегменты аудитории | Да |
| Бухгалтерия на аутсорсе | Паспортные данные, СНИЛС, реквизиты | Да |
| Колл-трекинг | Номер телефона, запись звонка | Да |
| Веб-аналитика | IP-адрес, идентификаторы устройств | Обычно да |
| Хостинг / облако | Вся база данных на серверах | Да |
Что проверить у себя на сайте
- В политике конфиденциальности перечислены все категории подрядчиков, которым передаются данные.
- Согласие на обработку персональных данных упоминает возможность передачи третьим лицам для целей, указанных в согласии.
- С каждым подрядчиком подписан договор или дополнительное соглашение об условиях обработки ПДн.
- Есть перечень мест хранения данных, включая зарубежные серверы, если они используются.
- Определён порядок действий при смене подрядчика - что происходит с уже переданными данными.
Частые вопросы
Нужно ли отдельное согласие субъекта на передачу данных подрядчику?
Отдельное согласие не требуется, если передача укладывается в цели, указанные в исходном согласии на обработку, и оформлена как поручение по договору.
Кто отвечает, если подрядчик допустил утечку данных?
Перед субъектом данных и регулятором отвечает оператор - ваша компания. Договор с подрядчиком позволяет затем предъявить ему регрессные требования, но не снимает первичную ответственность.
Что делать, если подрядчик находится за рубежом?
Проверьте требования о трансграничной передаче данных и локализации баз данных россиян на территории РФ - это отдельное основание, которое действует наряду с договором-поручением.
Достаточно ли пользовательского соглашения сервиса вместо отдельного договора?
Как правило, нет: типовое соглашение редко содержит все условия, необходимые по ст. 6 ч. 3 152-ФЗ. Лучше зафиксировать условия обработки отдельным документом или приложением.
Комплект документов для работы с подрядчиками - политику конфиденциальности, формы согласий и шаблоны договоров-поручений - можно найти в разделе документы.