Поручение обработки — это случай, когда подрядчик работает с персональными данными от вашего имени и в ваших целях: ведёт вашу CRM, обзванивает ваших клиентов, рассылает ваши письма. Оператор вправе поручить обработку другому лицу на основании договора с ним (ч. 3 ст. 6 152-ФЗ), и закон сам перечисляет, что в таком поручении должно быть определено.
Сначала нужно понять, поручение ли это вообще. Если подрядчик использует данные в своих целях, он не обработчик, а самостоятельный оператор, и тогда нужен не договор поручения, а основание для передачи данных ему. Роль определяется тем, что подрядчик на деле делает с данными, а не названием услуги.
Перед клиентом за действия подрядчика по поручению отвечаете вы как оператор, а подрядчик отвечает перед вами (ч. 5 ст. 6 152-ФЗ). Поэтому условия поручения защищают в первую очередь вас.
Поручение или передача третьим лицам: как отличить
Передача данных — тоже обработка. Закон относит к обработке любое действие с данными, в том числе передачу: распространение, предоставление, доступ (п. 3 ст. 3 152-ФЗ). Поэтому вопрос не в том, передаёте ли вы данные подрядчику, а в том, в какой роли он их получает.
Оператор — тот, кто организует обработку и сам определяет её цели и состав данных (п. 2 ст. 3 152-ФЗ). Если эти решения принимаете вы, а подрядчик только выполняет ваши указания, это поручение. Если подрядчик сам решает, зачем ему данные, и использует их для себя, он самостоятельный оператор. Тогда для передачи ему данных нужно одно из оснований из ч. 1 ст. 6 152-ФЗ, а у получателя появляются собственные обязанности оператора.
Определить роль по названию услуги нельзя. Её показывают фактические цели и средства обработки, договор, ваши инструкции, а также то, использует ли подрядчик данные в своих целях. Признаки удобно свести в таблицу. Это ориентиры для разбора, а не критерии из закона: решение зависит от конкретного договора.
| Признак | Скорее поручение | Скорее самостоятельный оператор |
|---|---|---|
| Кто решает, зачем обрабатывать данные | Вы: подрядчик работает под вашу задачу | Подрядчик: у него есть свои цели обработки |
| Чьими клиентами остаются люди | Вашими: подрядчик общается с ними от вашего имени | Подрядчик заключает с ними свои договоры или ведёт свою базу |
| Что говорит договор | Подрядчик действует по вашим инструкциям и в пределах поручения | Подрядчик вправе использовать данные для своих целей, например для своей рекламы или аналитики |
| Что происходит с данными после договора | Подрядчик возвращает или уничтожает их по вашему указанию | Подрядчик оставляет данные у себя и продолжает с ними работать |
| Кого подрядчик привлекает сам | Привлечение других лиц согласовывается с вами | Подрядчик сам выбирает, кому передать данные дальше |
Если по одним признакам выходит поручение, а по другим — самостоятельный оператор, роль стоит разобрать с юристом по тексту договора. Это особенно важно для данных работников: работодатель не вправе сообщать данные работника третьей стороне без его письменного согласия, кроме случаев, предусмотренных ТК РФ или иными федеральными законами (ст. 88 ТК РФ). Подробно этот случай разобран в статье о данных работников.
Что должно быть в поручении: 10 условий из закона
Состав поручения закон задаёт сам (ч. 3 ст. 6 152-ФЗ). Неважно, оформлено поручение отдельным договором, разделом основного договора или дополнительным соглашением: в нём должны быть определены все условия из перечня ниже. Каждое условие проверяется отдельно, и отсутствие любого из них — пробел в поручении.
| Условие | Что написать | Норма |
|---|---|---|
| 1. Перечень персональных данных | Какие именно данные получает подрядчик: например, имя, телефон и история заказов, но не паспортные данные | ч. 3 ст. 6 152-ФЗ |
| 2. Перечень действий с данными | Что подрядчик делает с данными: хранит, систематизирует, использует для звонков, удаляет | ч. 3 ст. 6 152-ФЗ |
| 3. Цели обработки | Для чего подрядчик обрабатывает данные: обзвон клиентов по вашим заказам, ведение вашей базы, рассылка ваших писем | ч. 3 ст. 6 152-ФЗ |
| 4. Обязанность соблюдать конфиденциальность | Подрядчик обязуется не раскрывать и не распространять данные | ч. 3 ст. 6 152-ФЗ |
| 5. Обязанность обеспечивать безопасность данных | Подрядчик обязуется обеспечивать безопасность данных при обработке | ч. 3 ст. 6 152-ФЗ |
| 6. Требования к защите данных по ст. 19 | Какие требования к защите обрабатываемых данных подрядчик выполняет | ч. 3 ст. 6 и ст. 19 152-ФЗ |
| 7. Требования ст. 18.1 | Подрядчик принимает меры, направленные на выполнение обязанностей по закону | ч. 3 ст. 6 и ст. 18.1 152-ФЗ |
| 8. Требования ч. 5 ст. 18 | Подрядчик не ведёт запись, систематизацию, накопление, хранение, уточнение (обновление, изменение) и извлечение персональных данных граждан России с использованием баз данных за пределами России, кроме случаев из п. 2, 3, 4 и 8 ч. 1 ст. 6 152-ФЗ | ч. 3 ст. 6 и ч. 5 ст. 18 152-ФЗ |
| 9. Документы по запросу оператора | Подрядчик по вашему запросу в течение срока поручения, в том числе до начала обработки, предоставляет документы и иную информацию, подтверждающие принятие мер и соблюдение требований | ч. 3 ст. 6 152-ФЗ |
| 10. Уведомление об инцидентах | Подрядчик уведомляет вас о случаях, предусмотренных ч. 3.1 ст. 21: неправомерной или случайной передаче (предоставлении, распространении, доступе) персональных данных, повлёкшей нарушение прав субъектов персональных данных | ч. 3 ст. 6 и ч. 3.1 ст. 21 152-ФЗ |
Все десять условий обязательны. Другие условия, например сроки обработки или порядок возврата данных, в договор можно добавить, но они не заменяют условий из списка.
Типичная ошибка — договор с подрядчиком, где есть только пункт «стороны обязуются соблюдать конфиденциальность». Это закрывает условие 4 из 10. Остальные девять нужно добавить, иначе поручение оформлено не полностью.
Нужно ли согласие клиента на поручение
Закон формулирует так: оператор вправе поручить обработку другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом (ч. 3 ст. 6 152-ФЗ). Значит, у поручения есть два условия, которые проверяются отдельно: правильно составленный договор и согласие человека либо допуск по федеральному закону.
Ответ на вопрос о согласии зависит от того, на каком основании вы сами обрабатываете эти данные и разрешает ли федеральный закон привлечь подрядчика без отдельного согласия. Однозначного ответа «согласие нужно всегда» или «не нужно никогда» закон не даёт. Этот вопрос стоит разобрать по каждому подрядчику, а спорные случаи — с юристом.
Сам подрядчик по поручению согласие у ваших клиентов получать не обязан (ч. 4 ст. 6 152-ФЗ). Если согласие нужно, получаете его вы как оператор.
Кто отвечает, если подрядчик ошибся
Если вы поручили обработку другому лицу, перед человеком за действия этого лица отвечаете вы. Подрядчик отвечает перед вами (ч. 5 ст. 6 152-ФЗ). Например (пример условный), колл-центр, который обзванивает ваших клиентов, допустил утечку базы. Клиент предъявляет претензию вам, а вы — подрядчику, по условиям договора.
Поэтому условия поручения нужны прежде всего оператору. Право запрашивать документы о мерах защиты (условие 9) и обязанность подрядчика сообщать об инцидентах (условие 10) дают вам возможность узнать о проблеме и выполнить собственные обязанности.
Если подрядчик иностранный — иностранная компания или иностранный гражданин, — ответственность перед человеком несёте и вы, и этот подрядчик (ч. 6 ст. 6 152-ФЗ). Передача данных за рубеж при этом — отдельная обязанность со своими правилами, эта статья её не разбирает.
Частые случаи
Ниже — подсказки, а не готовые выводы. Роль каждого подрядчика зависит от договора и от того, что он делает с данными.
- Бухгалтерия или кадровый учёт на аутсорсе. Если подрядчик ведёт ваш учёт по вашим указаниям, он обработчик: нужны поручение с десятью условиями и, для данных работников, согласие работника или основание по федеральному закону с учётом ст. 88 ТК РФ. Если подрядчик действует как самостоятельный оператор, поручение не требуется, но нужны основание для передачи данных и соблюдение ст. 88 ТК РФ.
- CRM или облачный сервис. Если сервис хранит вашу базу и работает с ней только по вашим настройкам, это скорее поручение. Если по договору сервис вправе использовать данные клиентов в своих целях, например для своей аналитики, роль нужно разбирать отдельно.
- Колл-центр или сервис рассылок. Если подрядчик звонит или пишет вашим клиентам от вашего имени и по вашему списку, это скорее поручение. Если он использует собранные контакты и для других заказчиков, он ведёт и собственную обработку.
- Исполнитель по договору ГПХ. Если исполнитель получает доступ к данным ваших клиентов и работает с ними по вашему заданию, применяются правила поручения. Этот случай подробно разобран в статье про самозанятых и физических лиц.
Что сделать
- Выпишите всех подрядчиков, которые видят данные ваших клиентов или работников: CRM, хостинг, рассылки, колл-центр, бухгалтерия, разработчик сайта, исполнители по ГПХ.
- Для каждого определите роль: работает ли он только по вашим указаниям и в ваших целях или использует данные для себя. Смотрите договор и то, что подрядчик делает на деле.
- Там, где выходит поручение, проверьте договор по десяти условиям ч. 3 ст. 6 152-ФЗ и допишите недостающие.
- Там, где подрядчик — самостоятельный оператор, проверьте, на каком основании вы передаёте ему данные.
- По каждому поручению проверьте, есть ли согласие людей или допуск по федеральному закону; спорные случаи разберите с юристом.
- Для данных работников дополнительно проверьте требования ст. 88 ТК РФ.
- Уточните у иностранных подрядчиков, где обрабатываются данные: передача за рубеж — отдельная обязанность.
- Пройдите быструю проверку: вопрос о подрядчиках покажет, на что обратить внимание в вашей ситуации.
Нормы
- ч. 3 ст. 6 152-ФЗ (первое предложение)по действующему тексту ИПС на 26.10.2026
- ч. 3 ст. 6 152-ФЗ (состав поручения)по действующему тексту ИПС на 26.10.2026 (в ред. 266-ФЗ от 14.07.2022)
- ч. 4 ст. 6 152-ФЗпо действующему тексту ИПС на 26.10.2026
- ч. 5 ст. 6 152-ФЗпо действующему тексту ИПС на 26.10.2026
- ч. 6 ст. 6 152-ФЗвведена 266-ФЗ от 14.07.2022
- п. 2 ст. 3 152-ФЗпо действующему тексту ИПС на 26.10.2026
- п. 3 ст. 3 152-ФЗпо действующему тексту ИПС на 26.10.2026
- ч. 1 ст. 6 152-ФЗпо действующему тексту ИПС на 26.10.2026
- ст. 88 ТК РФв ред. 90-ФЗ от 30.06.2006, вступила в силу 06.10.2006
- ч. 3.1 ст. 21 152-ФЗпо действующему тексту ИПС на 30.09.2026