Бесплатная консультация юриста

+7 (800) 301-07-30

Реклама jurik.ru

В современных реалиях любого бизнеса‚ работающего с клиентами‚ сотрудниками или контрагентами‚ оформление отношений по обработке персональных данных (ПДн) становится обязательным требованием закона. На актуальность данного вопроса только растет в связи с ужесточением контрольных мер со стороны Роскомнадзора и судебной практикой. Данная статья подробно разбирает структуру договора‚ ссылаясь на действующее законодательство.

Правовая база: почему нужен письменный договор?

Основным документом‚ регулирующим данную сферу‚ является ФЗ от № 152-ФЗ «О персональных данных». Конкретно требование о заключении договора закреплено в ст. 19 152-ФЗ.

Согласно ч. 1 ст. 19 152-ФЗ‚ оператор при передаче персональных данных третьему лицу (уполномоченному) обязан заключить с ним договор‚ определяющий обязанности уполномоченного лица по защите персональных данных.

Порядок реализации этих требований детализирован Постановлением Правительства РФ от № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных». Игнорирование данной нормы влечет за собой административную ответственность (ст. 13.11 КоАП РФ) — штрафы для юрлиц до * тыс. руб. за каждое нарушение.

Ключевые понятия: Оператор vs Уполномоченное лицо

Перед составлением договора критически важно правильно определить стороны:

Оператор ПДн — лицо (организация или ИП)‚ которое самостоятельно или совместно с другими лицами организует и/или осуществляет обработку персональных данных‚ а также определяет цели обработки‚ состав обрабатываемых данных‚ действия с ними; Пример: компания-*‚ ООО «Ромашка»‚ ИП Иванов И.И. (ФИО замаскировано).
Уполномоченное лицо (Обработчик) — лицо‚ обрабатывающее персональные данные от имени оператора на основании договора. Примеры: CRM-системы (Bitrix24‚ AmoCRM)‚ колл-центры‚ аутсорсинговые HR-компании‚ сервисы рассылок‚ облачные хранилища.

Важно: Если вы просто используете SaaS-сервис (например‚ Яндекс.Метрику или Google Analytics) на условиях публичной оферты‚ отдельный двусторонний договор часто не требуется — достаточно принятия условий оферты и наличия Политики конфиденциальности. Договор по ст. 19 нужен при передаче данных конкретному контрагенту для выполнения работ/услуг (аутсорсинг кадровика‚ колл-центр‚ маркетинговое агентство).

Обязательные условия договора (Чек-лист по ст. 19 152-ФЗ и Пост. № 1119)

Шаблон договора должен содержать следующие блоки. Отсутствие хотя бы одного делает договор несоответствующим закону.

Предмет договора: Четкое описание действий с ПДн (сбор‚ запись‚ систематизация‚ накопление‚ хранение‚ уточнение‚ извлечение‚ использование‚ передача‚ обезличивание‚ блокирование‚ удаление‚ уничтожение).
Цели обработки: Конкретные цели (например: «расчет заработной платы»‚ «доставка заказов»‚ «информирование о статусе заказа»‚ «проведение маркетинговых рассылок»). Цели должны совпадать с целями Оператора.
Перечень категорий ПДн и категорий субъектов: Какие именно данные передаются (ФИО‚ телефон‚ email‚ адрес‚ СНИЛС‚ паспортные данные‚ биометрия) и чьи данные (клиенты‚ сотрудники‚ кандидаты‚ контрагенты).
Сроки обработки: Конкретные даты или события (например: «до прекращения договорных отношений с субъектом ПДн плюс 3 года по истечении срока давности»).
Обязательства Уполномоченного лица (Ядро договора):
- Обрабатывать данные только для целей‚ определенных Оператором.
- Не передавать данные третьим лицам без согласия Оператора (кроме субподрядчиков — см. п. 6).
- Обеспечить конфиденциальность (режим допуска‚ НДА для сотрудников обработчика).
- Применять меры защиты информации в соответствии с Пост. № 1119 (уровни защищенности 1-4 в зависимости от угроз).
- Обеспечить права субъектов ПДн (доступ‚ исправление‚ удаление‚ отзыв согласия).
- Уведомлять Оператора о запросах субъектов ПДн в течение * рабочих дней.
- Уведомлять Оператора о нарушениях безопасности (утечках) в течение 24 часов (рекомендуемая практика‚ закрепите в договоре).
Субподрядчики (Цепочка обработки): Условие о возможности/запрете привлечения субподрядчиков. Если разрешено — требование заключить с ними аналогичный договор и ответственность Обработчика за действия субподрядчиков.
Межграничная передача: Запрет или строгая регулировка передачи данных за пределы РФ (только в страны с адекватной защитой или при наличии согласия субъекта/СКС — стандартных договорных условий).
Уничтожение/Возврат данных: Процедура по завершении договора или достижении целей (сроки: обычно * календарных дней‚ акт уничтожения/возврата).
Контроль и аудит: Право Оператора проводить аудит безопасности Обработчика (на площадке или удаленно по отчетам/сертификатам).
Ответственность сторон: Штрафные санкции‚ возмещение убытков (включая штрафы Роскомнадзора)‚ репутационные риски.

Типовые ошибки при использовании шаблонов из интернета

Многие компании скачивают первый попавшийся шаблон‚ что несет риски:

Универсальные формулировки целей: «Для целей‚ предусмотренных договором» — Роскомнадзор считает это нарушением. Цели должны быть конкретными.
Отсутствие привязки к Пост. № 1119: Фраза «Обработчик принимает меры защиты» без указания уровня защищенности (1-4) и конкретных организационных/технических мер (пароли‚ шифрование‚ антивирусы‚ журнал учета доступа) — формализм.
Игнорирование прав субъектов: Нет процедуры реакции на запрос «Удалите мои данные» от клиента Оператора.
Пустой пункт про субподрядчиков: Обработчик нанимает подрядчика (например‚ курьерскую службу *)‚ не заключая с ним договор по ст. 19. Ответственность ложится на Оператора.
Отсутствие акта приема-передачи данных: Договор есть‚ а доказать факт передачи конкретного массива данных в определенный момент невозможно.

Структура рекомендуемого шаблона договора (Скелет)

Ниже приведена структура документа‚ которую можно использовать как основу для разработки собственного проекта. Текст в скобках [] требует заполнения под ваш кейс.

 <ДОГОВОР № [] от [] г. [] на обеспечение защиты персональных данных при их обработке уполномоченным лицом г. [] «[]» [] 202[] г. [Полное наименование Оператора‚ ИНН/ОГРН‚ адрес: ]‚ в лице [Должность‚ ФИО руководителя ]‚ действующего на основании Устава‚ именуемое в дальнейшем «Оператор»‚ с одной стороны‚ и [Полное наименование Обработчика‚ ИНН/ОГРН‚ адрес: ]‚ в лице [Должность‚ ФИО руководителя ]‚ действующего на основании Устава‚ именуемое в дальнейшем «Обработчик»‚ с другой стороны‚ совместно именуемые «Стороны»‚ заключили настоящий Договор о нижеследующем: ПРЕДМЕТ ДОГОВОРА Оператор передает Обработчику‚ а Обработчик принимает от Оператора персональные данные для их обработки от имени Оператора в целях [Конкретная цель: исполнение Договора №* от *‚ расчет зарплаты‚ доставка товаров и т.д.]. Обработка осуществляется в соответствии с 152-ФЗ‚ Пост. № 1119‚ Политикой Оператора в отношении обработки ПДн (Приложение № 1) и настоящим Договором. КАТЕГОРИИ ПЕРСОНАЛЬНЫХ ДАННЫХ И СУБЪЕКТОВ Категории субъектов ПДн: [Клиенты / Сотрудники / Кандидаты / Контрагенты]. Категории ПДн: [ФИО‚ телефон‚ email‚ адрес доставки‚ паспортные данные‚ СНИЛС‚ банковские реквизиты‚ IP-адрес‚ cookie-файлы — выбрать нужное]. Особой категории ПДн (раса‚ здоровье‚ интимная жизнь и т.д.) / Биометрических ПДн [не подлежит передаче / передается в объеме: * на основании согласия субъектов]. ПЕРЕЧЕНЬ ДЕЙСТВИЙ (ОПЕРАЦИЙ) С ПЕРСОНАЛЬНЫМИ ДАННЫМИ [Сбор‚ запись‚ систематизация‚ накопление‚ хранение‚ уточнение‚ извлечение‚ использование‚ передача (распространение‚ предоставление‚ доступ)‚ обезличивание‚ блокирование‚ удаление‚ уничтожение, зачеркнуть лишнее]. СРОКИ ОБРАБОТКИ С [Дата начала] по [Дата окончания / событие: исполнение обязательств по основному договору + 3 года]. ОБЯЗАННОСТИ ОБРАБОТЧИКА (РАЗДЕЛ РАСШИРИТЬ ПОД ПОСТ. 1119) Обрабатывать ПДн только на территории РФ (если иное не оговорено в п. 9). Обеспечить уровень защищенности ПДн: [1 / 2 / 3 / 4] в соответствии с Приложением № 2 к Пост. № 1119. Применить организационные и технические меры защиты (Приложение № 2 к Договору): контроль доступа‚ учет носителей‚ шифрование при передаче‚ антивирусная защита‚ резервное копирование‚ обучение персонала; Не разглашать ПДн‚ не передавать третьим лицам без письменного согласия Оператора. Привлечение субподрядчиков: [Запрещено / Разрешено с уведомлением Оператора за * дней и заключением договора по ст. 19 152-ФЗ]. Обеспечить реализацию прав субъектов ПДн (п. 5-8 ст. 14‚ ст. 15‚ 18‚ 21 152-ФЗ) в срок не позднее * рабочих дней с момента получения запроса от Оператора. Уведомить Оператора о факте несанкционированного доступа к ПДн (инциденте безопасности) в течение 24 часов. По требованию Оператора предоставить отчет о мерах защиты / допустить аудит. ОБЯЗАННОСТИ ОПЕРАТОРА Передать ПДн в объеме‚ необходимом для целей обработки. Обеспечить законность оснований обработки (согласия‚ договор‚ закон и т.д.). Своевременно информировать Обработчика об изменениях в ПДн (исправление‚ отзыв согласия). Оплатить услуги Обработчика (если платное) / Обеспечить доступ к системам. ПОРЯДОК УНИЧТОЖЕНИЯ/ВОЗВРАТА ПДн По истечении срока или достижении цели — в течение * календарных дней. Составить Акт (Приложение № 3). ОТВЕТСТВЕННОСТЬ СТОРОН За нарушение условий защиты ПДн / утечку — штраф * руб. за каждую запись / % от суммы договора. Возмещение реальных убытков (штрафы Роскомнадзора‚ судебные издержки‚ репутационный вред). Обработчик несет ответственность за действия своих сотрудников и субподрядчиков. МЕЖГРАНИЧНАЯ ПЕРЕДАЧА [Запрещена / Разрешена в страны: * при условии наличия СКС / решения адекватности / согласия субъекта]. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ Споры — Арбитражный суд по месту нахождения Оператора / г. [*]. Договор в 2-х экземплярах‚ одинаковой юридической силы. Приложения: 1. Политика Оператора. 2. Перечень мер защиты (ТЗ по безопасности). 3. Форма Акта уничтожения. 4. Реестр сотрудников Обработчика‚ допущенных к ПДн. ПОДПИСИ СТОРОН: ОПЕРАТОР: _______________ / [ФИО ] / М.П. ОБРАБОТЧИК: _______________ / [ФИО ] / М.П. 

Необходимые приложения к договору (Обязательный минимум)

Сам по себе договор без приложений часто признается судом/надзором формальным. Обязательно приложите:

Политику Оператора в отношении обработки ПДн (или ссылку на опубликованную версию на сайте). Обработчик должен с ней ознакомиться под роспись.
Техническое задание по защите информации / Перечень мер защиты (по Пост. № 1119). Конкретный список: какие пароли (длина‚ смена)‚ есть ли 2FA‚ где хранятся бэкапы‚ как шифруется передача (TLS 1.2+)‚ как ведется журнал доступа‚ как уничтожаются бумажные носители (перемалыватель класса ).
Реестр сотрудников Обработчика‚ допущенных к обработке ПДн (ФИО ‚ должность‚ подпись о ознакомлении с Политикой и НДА). Обновляется при кадрах.
Форма Акта уничтожения/возврата ПДн.
Согласие на межграничную передачу / СКС (Standard Contractual Clauses) — если данные уходят за рубеж (облачные серверы за границей‚ иностранные подрядчики).

Особенности работы с популярными сервисами (SaaS‚ CRM‚ Email-рассылки)

Если вы используете коробочные решения (Битрикс24‚ АмоCRM‚ Unisender‚ Яндекс.Диск для бизнеса и т.д.):

Обычно они выступают Обработчиками на условиях Публичной оферты / Соглашения о обработке данных (DPA — Data Processing Addendum).
Вам не нужно подписывать с ними бумажный двусторонний договор‚ если вы принимаете их оферту (ставите галочку в настройках/личном кабинете).
Ваша задача: Найти их DPA (обычно в футере сайта или в настройках безопасности)‚ изучить‚ сохранить скриншот/PDF принятия условий на и отразить этот факт в своем внутреннем реестре обработки.
Если сервис иностранный (не РФ) — проверяйте наличие СКС (SCC) или сертификации‚ иначе это риск штрафа за нелегальную межграничную передачу.

Актуальные тренды 2026 года: на что обратить внимание

Автоматизированное принятие решений (ст. 19.1 152-ФЗ): Если Обработчик использует ИИ/алгоритмы для профилирования (скоринг‚ автоотказы в кредите‚ таргетинг) — в договоре должно быть условие о праве субъекта требовать человеческого вмешательства и объяснения логики решения.
Биометрия и ГБД: Передача биометрии в ЕБС (Единую биометрическую систему) или работу с ней у подрядчиков — только по строгим правилам ФЗ-572 и с лицензией ФСБ (если криптозащита). В обычный договор это не вписывается — нужен отдельный протокол/соглашение.
Локализация данных (ст. 18 152-ФЗ): Обязательное хранение баз с ПДн граждан РФ на территории РФ. В договоре с хостингом/облаком/CRM обязательно пункт: «Серверы физически расположены в РФ (дата-центры: *).»
Реестр операторов (Поповка): Проверяйте контрагентов через реестр Роскомнадзора. Если Обработчик исключен из реестра или не уведомлен — договор с ним рискован.

Алгоритм действий: от шаблона к рабочему документу

Инвентаризация: Составьте карту потоков ПДн: Какие данные -> Кому передаем -> Зачем -> На чем храним (Сервер/Облако/Бумага) -> Какие меры защиты у получателя.
Оценка уровня защищенности (УЗ): По методике ФСТЭК/Пост. 1119 определите УЗ (1-4) для каждой ИСПДн у Обработчика. Это диктует состав мер в Приложении № 2.
Аудит Обработчика (Due Diligence): Перед подписанием запросите у контрагента: Политику безопасности‚ отчеты о пентестах/сканировании уязвимостей‚ сертификаты ISO 27001 / ГОСТ Р 57580‚ список субподрядчиков.
Разработка проекта: Адаптируйте вышеприведенный скелет под конкретные потоки данных.
Согласование с ИБ/Юристами: Согласуйте меры защиты (Приложение 2) со службой ИБ (СИБ) или внешним экспертом.
Подписание и обмен оригиналами/ЭДО.
Внедрение в процессы: Занесите договор в Реестр договоров на обработку ПДн‚ привяжите к карточке контрагента в CRM‚ настройте контроль сроков (акты уничтожения‚ аудиты).
Обучение: Инструктируйте своих менеджеров: «Не передавайте выгрузки клиентов в Telegram/личную почту/Google Таблицы подрядчику — только через защищенный контур по договору».

Договор на защиту персональных данных (ст. 19 152-ФЗ) — это не просто «бумажка для проверки»‚ а основной инструмент управления рисками при передаче данных контрагентам. Грамотно составленный документ с детализированными приложениями (меры защиты‚ реестр допущенных лиц‚ процедура инцидентов) позволяет:

Избежать штрафов Роскомнадзора (до * млн руб. за повторные нарушения / грубые нарушения прав субъектов).
Переложить финансовую ответственность за утечку на виновного подрядчика.
Быстро реагировать на запросы субъектов ПДн (ГРПД/152-ФЗ style).
Доказать добросовестность в суде при спорах с клиентами или сотрудниками.

Рекомендация: Не копируйте шаблоны слепо. Используйте предложенную структуру как чек-лист‚ заполняйте каждый пункт под реальные бизнес-процессы вашей компании и конкретного подрядчика. В случае сложных схем (цепочки субподрядчиков‚ межграничная передача‚ биометрия‚ ИИ) — привлекайте профильного юриста по ПДн (например‚ специалистов уровня Команда * / Юрфирма * или сертифицированных аудиторов ФСТЭК).

Данная статья носит информационный характер и не является правовым консультированием. Законодательство может меняться. Актуальность нормативных актов проверяйте на дату использования (текущая дата контекста: ). Персональные данные в примерах замаскированы (*).