Поручение обработки персональных данных третьим лицам: как оформить по закону

Коротко: Поручение обработки персональных данных третьим лицам оформляется договором с подрядчиком, где указаны цели, состав данных, перечень действий и обязанности сторон. Если данные обрабатываются на основании согласия, в нём должно быть упоминание о передаче третьим лицам.

Если ваш бизнес использует сторонние сервисы – облачную бухгалтерию, CRM-систему, email-рассылку или колл-центр – вы уже передаёте им данные клиентов и сотрудников. С точки зрения 152-ФЗ это называется поручение обработки персональных данных третьим лицам. Без правильно оформленного договора вы рискуете получить штраф за незаконную передачу, даже если подрядчик – добросовестная компания. Разберёмся, как легально делегировать обработку и не нарушить закон.

Что такое поручение обработки персональных данных

По ч. 3 ст. 6 152-ФЗ оператор (вы как владелец сайта или бизнеса) может поручить обработку персональных данных другому лицу с согласия человека, чьи это данные (если федеральный закон не предусматривает иное), и на основании договора с этим лицом. Закон прямо перечисляет, что должно быть в поручении (ч. 3 ст. 6 152-ФЗ), – список ниже, в шаге 3.

Третье лицо при этом не становится самостоятельным оператором – оно действует в рамках вашего поручения и не может использовать данные для своих целей. Получать согласие людей подрядчику не нужно (ч. 4 ст. 6). Перед человеком за действия подрядчика отвечаете вы как оператор, а подрядчик отвечает перед вами (ч. 5 ст. 6). Если подрядчик иностранный, перед человеком отвечаете вы оба (ч. 6 ст. 6).

Когда возникает необходимость поручения

Практически любой бизнес в России так или иначе передаёт данные третьим лицам. Вот типичные ситуации:

• Облачные сервисы – бухгалтерия (1С в облаке), CRM (AmoCRM, Bitrix24), файловые хранилища (Яндекс.Диск для бизнеса).
• Маркетинговые рассылки – email-сервисы (Unisender, SendPulse), SMS-шлюзы.
• Колл-центры и аутсорсинг – обработка звонков, техподдержка.
• Бухгалтерские и юридические компании – доступ к кадровым документам.
• IT-подрядчики – разработка и поддержка сайта, администрирование баз данных.
• Курьерские службы и логистика – передача адресов и ФИО получателей.

Если вы используете хотя бы один из этих сервисов и передаёте ему данные клиентов или сотрудников – вам нужно оформлять поручение.

Как оформить поручение: пошаговая инструкция

Шаг 1: Определите, какие данные передаёте

Составьте список персональных данных, которые будут доступны третьему лицу. Это могут быть:

• ФИО, телефон, email (стандартные контактные данные).
• Паспортные данные, ИНН, СНИЛС (для кадрового учёта).
• Данные о здоровье, национальности (специальные категории – ст. 10 152-ФЗ).
• Биометрические данные – например, фото или голос, если по ним устанавливают личность (ст. 11 152-ФЗ).

Чем точнее вы опишете состав, тем меньше рисков, что подрядчик выйдет за рамки поручения.

Шаг 2: Выберите подрядчика с проверенной репутацией

Закон не требует специальной аккредитации для обработчиков, но вы обязаны убедиться, что третье лицо:

• Принимает меры по защите данных (наличие политики конфиденциальности, локальных актов).
• Хранит данные россиян в базах на территории России – это требование ч. 5 ст. 18 152-ФЗ, и оно должно быть записано в поручении.
• Имеет технические средства защиты (шифрование, разграничение доступа).

Если данные утекут через подрядчика, перед Роскомнадзором отвечаете вы: штраф за утечку от 1 000 человек или 10 000 записей – от 3 до 15 млн ₽ в зависимости от масштаба (за данные о здоровье и другие специальные категории – 10–15 млн ₽, за биометрию – 15–20 млн ₽ при любом числе людей; ч. 16–17), за повторную – 1–3% годовой выручки, от 20 до 500 млн ₽ (ч. 12–15 ст. 13.11 КоАП).

Шаг 3: Заключите договор поручения

Договор может быть отдельным документом или частью общего договора (например, оферты на оказание услуг). По ч. 3 ст. 6 152-ФЗ в поручении должны быть:

• Перечень персональных данных – какие именно данные получает подрядчик (ФИО, телефон, адрес и т. д.).
• Перечень действий – какие операции он совершает (сбор, запись, хранение, использование, передача, удаление, уничтожение и т. д.).
• Цели обработки – для чего подрядчику нужны данные (например, «для доставки заказа» или «для ведения бухгалтерии»).
• Обязанность соблюдать конфиденциальность данных.
• Требования ч. 5 ст. 18 и ст. 18.1 – хранить данные россиян в базах на территории России и принимать меры, которые закон требует от оператора.
• Обязанность по вашему запросу предоставлять документы и сведения о том, что меры приняты, – весь срок поручения, в том числе до начала обработки.
• Обязанность обеспечивать безопасность данных и требования к их защите по ст. 19 152-ФЗ.
• Обязанность сообщать вам об утечках (случаи ч. 3.1 ст. 21) – у вас самих на уведомление Роскомнадзора всего 24 часа.

Срок обработки и ответственность сторон в этом перечне закона нет, но их обычно тоже прописывают. Можно ли подрядчику привлекать своих подрядчиков, 152-ФЗ прямо не регулирует – запретите это в договоре или разрешите только с вашего согласия.

Шаг 4: Получите согласие субъектов на передачу

Поручение по закону даётся с согласия человека, если федеральный закон не предусматривает иное (ч. 3 ст. 6). В письменном согласии нужно назвать того, кто обрабатывает данные по поручению, – наименование или ФИО и адрес (п. 6 ч. 4 ст. 9). В согласии на сайте удобно делать так же: перечислить подрядчиков по названиям или дать ссылку на их список в политике.

Если согласие уже собрано, а подрядчиков в нём нет, – обновите текст согласия, чтобы новые заявки шли уже по нему. Как быть с данными, собранными раньше, зависит от основания обработки – этот вопрос лучше решить с юристом.

Шаг 5: Контролируйте исполнение

После заключения договора вы обязаны:

• Проверять, как подрядчик выполняет требования (например, запрашивать отчёты).
• Убедиться, что данные уничтожены после окончания срока договора.
• В случае утечки – уведомить Роскомнадзор в течение 24 часов (первичное) и 72 часов (детальное).

Пять шагов, которые нужно пройти, чтобы оформить поручение обработки персональных данных.

Типичные ошибки при оформлении поручения

Ошибка 1: Поручение не оформлено вообще

Многие предприниматели считают, что если подрядчик – крупная компания (Яндекс, Google, Amazon), то договор не нужен. Это не так. Даже передача данных в облачное хранилище требует поручения. Без него передача данных подрядчику – обработка без законного основания (ст. 6 152-ФЗ), штраф по ч. 1 ст. 13.11 КоАП: организации 150–300 тыс. ₽, ИП 50–100 тыс. ₽.

Ошибка 2: Договор не содержит всех обязательных условий

Часто в договорах с IT-компаниями пишут просто «передача данных для оказания услуг», но не указывают состав данных и перечень действий. Это риск – подрядчик может использовать данные шире, чем вы планировали.

Ошибка 3: Передача данных за границу без проверки

Если подрядчик находится за рубежом (например, Google Analytics), нужно учитывать трансграничную передачу. Перечень стран с «адекватной защитой» утверждён приказом РКН от 16.09.2026 № 253 (действует с 30.10.2026, прежний приказ № 128 утратил силу); он включает страны Евросоюза и ряд других государств, но не США. Актуальную редакцию стоит проверять. Американский хостинг для базы с данными россиян использовать нельзя (ч. 5 ст. 18 152-ФЗ): трансграничная передача допускается только для копий после записи данных в российскую базу.

Уведомить Роскомнадзор о трансграничной передаче нужно до её начала – в любую страну и отдельно от уведомления об обработке персональных данных. Для передачи в страны, которых нет в перечне, есть дополнительное условие: после уведомления нужно выждать 10 рабочих дней, пока Роскомнадзор рассматривает его и может запретить передачу (кроме случаев, когда передача необходима для защиты жизни или здоровья субъекта). Отдельное согласие субъекта на трансграничную передачу не требуется.

Ошибка 4: Не учтены биометрические данные

Если вы передаёте фото, голос или отпечатки пальцев (например, для системы пропусков), нужно письменное согласие субъекта (ст. 11 152-ФЗ). Исключения перечислены в ч. 2 ст. 11: реадмиссия, правосудие и исполнение судебных актов, обязательная дактилоскопическая и геномная регистрация и другие случаи (оборона, безопасность, транспортная безопасность и др.). С 1 сентября 2022 года (ч. 3 ст. 11) оператор не вправе отказать в услуге при отказе дать биометрию, если по закону это согласие не обязательно.

Ошибка 5: Не проверен подрядчик на добросовестность

Если подрядчик допустит утечку, вы как оператор несёте ответственность. Даже если в договоре прописана его ответственность, перед человеком, чьи данные утекли, отвечаете вы, а подрядчик отвечает уже перед вами (ч. 5 ст. 6 152-ФЗ). Поэтому пропишите в договоре право запрашивать документы о защите данных и пользуйтесь им.

Образец договора поручения (ключевые пункты)

Вот минимальный набор условий, которые должны быть в договоре:

1. Предмет договора «Оператор поручает, а Исполнитель обязуется обрабатывать персональные данные в целях [указать цель] в объёме и порядке, установленных настоящим договором».

2. Состав данных «Персональные данные включают: ФИО, номер телефона, адрес электронной почты, адрес доставки, паспортные данные (серия, номер, дата выдачи, кем выдан)».

3. Перечень действий «Исполнитель вправе осуществлять: сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу (в пределах, указанных в п. 1), обезличивание, блокирование, удаление, уничтожение».

4. Обязанности Исполнителя

• Соблюдать конфиденциальность.
• Не передавать данные третьим лицам без согласия Оператора.
• Хранить данные в базах на территории России, обеспечивать их защиту по ст. 19 152-ФЗ и по запросу Оператора подтверждать принятые меры документами.
• Сообщать Оператору об утечках сразу после обнаружения – у Оператора есть 24 часа на уведомление Роскомнадзора.
• Уничтожить данные после окончания срока договора (акт уничтожения).

5. Срок действия «Договор действует с [дата] до [дата] или до достижения цели обработки».

6. Ответственность «Исполнитель несёт ответственность за нарушение требований 152-ФЗ в части, касающейся его действий. Оператор вправе взыскать убытки, причинённые нарушением».

Что делать, если подрядчик уже работает без договора

Если вы уже передаёте данные, но поручение не оформлено, действуйте так:

1. Заключите договор с условиями из шага 3 – датой подписания, не задним числом.
2. Обновите согласие – добавьте в его текст подрядчика, чтобы новые заявки шли уже по правильному тексту.
3. Проверьте, не было ли утечек – если были, уведомите Роскомнадзор (24 часа на первичное уведомление).
4. Оцените риски – если подрядчик уже использовал данные не по назначению, это может быть основанием для жалобы в РКН.

Ответственность за нарушение правил поручения

Штрафы назначает суд по протоколу Роскомнадзора. Суммы по действующей редакции ст. 13.11 КоАП:

• Обработка без законного основания, в том числе передача данных подрядчику без поручения, – ч. 1: организации 150–300 тыс. ₽, ИП и должностные лица 50–100 тыс. ₽.
• Не сообщили в Роскомнадзор об утечке или сообщили не вовремя – ч. 11: организации и ИП 1–3 млн ₽ при утечке любого масштаба.
• Сама утечка от 1 000 человек или 10 000 записей – ч. 12–14: от 3 до 15 млн ₽ в зависимости от масштаба; специальные категории – 10–15 млн ₽ (ч. 16), биометрия – 15–20 млн ₽ (ч. 17) при любом числе людей; повторная – ч. 15: 1–3% годовой выручки, от 20 до 500 млн ₽.
• Передача данных за границу без уведомления Роскомнадзора – отдельной части для этого нет, применяется общая ч. 1.

Для малого бизнеса при первом нарушении, выявленном при контроле, если вреда не было, штраф может быть заменён предупреждением (ст. 4.1.1 КоАП).

Кроме того, с 11 декабря 2024 действует ст. 272.1 УК – за незаконное использование, передачу или сбор компьютерной информации с персональными данными, полученной незаконным путём: штраф до 300 000 ₽, принудительные работы или лишение свободы до 4 лет.

Что запомнить

Поручение обработки персональных данных третьим лицам нужно любому бизнесу, который передаёт данные клиентов или сотрудников сторонним сервисам. Без правильно оформленного договора вы рискуете получить штраф, даже если подрядчик – добросовестная компания. Главное – прописать в договоре всё, что требует ч. 3 ст. 6 152-ФЗ, и назвать подрядчиков в согласии. Если подрядчики уже работают без поручения – заключите договоры и обновите текст согласия.

Частые вопросы

На что опираемся

• 152-ФЗ «О персональных данных» – ст. 6 (условия обработки, ч. 3–6 – поручение обработки)
• 152-ФЗ «О персональных данных» – ч. 4 ст. 9 (содержание согласия), ч. 5 ст. 18 (хранение данных в России), ч. 3.1 ст. 21 (уведомление об утечке)
• 152-ФЗ «О персональных данных» – ст. 11 (биометрические персональные данные)
• КоАП РФ – ст. 13.11 (нарушение законодательства в области персональных данных), ст. 4.1.1 (замена штрафа предупреждением)
• УК РФ – ст. 272.1 (незаконное использование, передача или сбор компьютерной информации с персональными данными)
• Приказ РКН от 16.09.2026 № 253 (перечень стран с адекватной защитой персональных данных)

Что сделать дальше

1. Проверьте свой сайт бесплатно – найдём нарушения 152-ФЗ и покажем, какие штрафы за них грозят.
   Проверить бесплатно
2. Соберите документы под свою компанию – политика, отдельное согласие по 156-ФЗ и cookie-политика, реквизиты по ИНН. Политика – бесплатно. Перейти к генератору →
3. Пришло требование Роскомнадзора или случай сложный? Опишите задачу – посмотрим и скажем, чем можем помочь.