Проверка контрагента на соответствие 152-ФЗ: что важно учитывать при заключении договора

Передача персональных данных подрядчику, облачному сервису, колл-центру, бухгалтерской компании или кадровому аутсорсеру давно стала обычной частью бизнес-процессов. Но именно в этой точке у оператора персональных данных возникает один из самых чувствительных рисков. Если контрагент формально подписан, но фактически не соблюдает требования закона, претензии со стороны Роскомнадзора, субъектов персональных данных и даже деловых партнеров в первую очередь адресуются не исполнителю, а тому, кто организовал обработку. Поэтому проверка контрагента на 152-ФЗ до подписания договора перестала быть формальностью. Это элемент правовой безопасности сделки, который влияет и на размер возможных убытков, и на устойчивость всей модели работы с данными.

Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» строится на простой логике: оператор отвечает за законность целей обработки, состав данных, основания обработки и за то, кому эти данные передаются. Если обработка поручается третьему лицу, применяется часть 3 статьи 6 Закона № 152-ФЗ. Она допускает поручение обработки персональных данных другому лицу, но требует, чтобы такое поручение было оформлено актом оператора либо договором, а сам обработчик соблюдал принципы и правила обработки, требования к конфиденциальности и безопасности данных. На практике это означает, что проверка контрагента на 152-ФЗ должна предшествовать согласованию договора, а не проводиться постфактум, когда информация уже передана.

Почему проверка контрагента на 152-ФЗ влияет не только на комплаенс, но и на деньги

В деловом обороте до сих пор встречается опасная ошибка: стороны обсуждают цену, сроки, SLA, ответственность за просрочку, но почти не анализируют режим персональных данных. В результате в договор попадает общее упоминание о конфиденциальности, хотя фактически подрядчик получает доступ к базам клиентов, кандидатам на вакансии, медицинским сведениям работников, паспортным данным представителей или данным пользователей сайта. В такой ситуации проверка контрагента на 152-ФЗ нужна не ради «бумажного соответствия», а ради ответа на конкретный вопрос: можно ли вообще передавать этому лицу такой массив информации и на каких условиях.

Риск здесь многослойный. Во-первых, оператор может столкнуться с административной ответственностью за нарушения порядка обработки и защиты персональных данных. Во-вторых, ненадежный подрядчик создает гражданско-правовые последствия: утечка, спор о пределах поручения, претензии клиентов, расходы на уведомления и внутреннее расследование. В-третьих, дефекты в оформлении передачи данных осложняют судебную защиту, потому что компания не всегда может доказать, какие именно действия были поручены, какие меры безопасности были согласованы и где заканчивается зона ответственности оператора.

Особенно заметны эти риски там, где персональные данные являются частью основного процесса: в HR, медицине, e-commerce, логистике, образовании, маркетинге, финансовом сервисе. Для бизнеса, который регулярно передает базы сотрудников и кандидатов внешним исполнителям, полезен предварительный кадровый аудит, потому что он помогает установить, какие именно документы компании уже создают риск при взаимодействии с подрядчиками.

Если спор все же возникает, суд оценивает не абстрактную добросовестность сторон, а конкретные документы: договор, приложения, поручение обработки персональных данных, переписку, технические регламенты, акты, политику обработки, локальные акты, сведения о мерах защиты. Поэтому проверка контрагента на 152-ФЗ прямо связана с последующей доказательственной базой. Там, где ее не было, стороны обычно вынуждены восполнять пробелы объяснениями, а это всегда слабее текста договора и первичных документов.

Что именно требует закон при передаче данных обработчику

Ключевая норма для договорной модели содержится в части 3 статьи 6 Закона № 152-ФЗ. Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора либо иного акта. При этом лицо, осуществляющее обработку по поручению оператора, не обязано получать согласие субъекта на обработку, но обязано соблюдать принципы и правила, предусмотренные законом. Из этого следует важный практический вывод: сам по себе гражданско-правовой договор услуг еще не заменяет полноценного правового режима обработки.

В договорной конструкции должны быть определены перечень персональных данных, перечень действий с ними, цели обработки, обязанность соблюдать конфиденциальность, требования к защите данных по статье 19 Закона № 152-ФЗ, а также требования к обеспечению безопасности при их обработке. Обычно эти условия включают в текст основного договора, отдельное приложение или самостоятельный договор с обработчиком данных. Выбор формы не так важен, как полнота условий и их исполнимость.

Кроме Закона № 152-ФЗ, нужно учитывать подзаконные акты о защите персональных данных, в том числе постановление Правительства РФ № 1119 о требованиях к защите персональных данных при их обработке в информационных системах персональных данных. В ряде случаев имеют значение и приказы ФСТЭК России о мерах защиты информации. Если подрядчик подключается к информационной системе, хранит массивы данных или получает удаленный доступ, проверка контрагента на 152-ФЗ уже не может ограничиваться декларацией «мы соблюдаем закон». Здесь необходим анализ организационных и технических мер.

На практике поручение обработки персональных данных часто смешивают с простой передачей сведений для самостоятельных целей контрагента. Это принципиально разные режимы. Если подрядчик действует строго в интересах оператора и в пределах его задания, речь идет о поручении. Если же контрагент сам определяет цели и способы обработки в пределах собственной деятельности, он может выступать самостоятельным оператором. Ошибка в квалификации ведет к неправильному распределению обязанностей по уведомлениям, согласию, локальным актам и договорной ответственности.

Как выглядит реальная проверка контрагента на 152-ФЗ до подписания договора

Юридически содержательная проверка контрагента на 152-ФЗ начинается не с запроса «пришлите политику», а с описания будущего обмена данными. Нужно понять, какие категории персональных данных передаются, какова цель, будет ли трансграничная передача, есть ли специальные категории данных по статье 10 Закона № 152-ФЗ, возможна ли обработка биометрических персональных данных по статье 11, где физически размещаются системы, кто получает доступ и допускается ли привлечение субподрядчиков. Без этой картины невозможно оценить достаточность договорной конструкции.

После этого обычно запрашивают и анализируют документы и сведения, которые показывают не только наличие формального комплаенса, но и способность исполнять обязательства. Аудит контрагента по ПДн полезен именно тогда, когда из него можно сделать вывод о реальном уровне правового и организационного контроля, а не только о наборе шаблонных документов на сайте.

• политику в отношении обработки персональных данных и внутренние документы, определяющие порядок доступа, хранения и удаления данных;
• сведения о назначении ответственного за организацию обработки персональных данных, если такой функционал закреплен внутренними актами;
• описание мер защиты данных, порядка реагирования на инциденты и режима работы с запросами субъектов персональных данных;
• информацию о привлекаемых третьих лицах, дата-центрах, облачных провайдерах и о наличии договорных ограничений на субобработку;
• проект договорных условий о конфиденциальности, безопасности, возврате или уничтожении данных после завершения услуг.

В этом анализе важны не только документы как таковые, но и их взаимная согласованность. Если политика контрагента говорит об одном, договор предусматривает другое, а техническая схема передачи данных третьим лицам вообще не отражена, проверка контрагента на 152-ФЗ должна заканчиваться не подписанием договора, а доработкой модели взаимодействия. Иначе оператор сознательно входит в сделку с уже сформированным нарушением.

Для компаний, которые регулярно заключают подобные договоры с подрядчиками по маркетингу, IT, CRM, кадровому сопровождению и call-центрам, разумно не проводить каждую проверку с нуля, а встроить ее в постоянное абонентское юридическое обслуживание. Это позволяет унифицировать опросники, договорные блоки и критерии допуска контрагентов к данным.

Какие условия должен содержать договор с обработчиком данных

Самая частая проблема в том, что договор с обработчиком данных сводят к одной-двум общим фразам о неразглашении. Для режима персональных данных этого недостаточно. Конфиденциальность и обработка данных не совпадают по содержанию. Даже если исполнитель не разглашает сведения посторонним, он все равно может нарушать закон, обрабатывая избыточный объем данных, храня их дольше согласованного срока, привлекая неуполномоченных лиц или используя информацию для собственных целей.

Хороший договор с обработчиком данных фиксирует предмет поручения так, чтобы потом его можно было проверить и в переговорах, и при инциденте, и в суде. Именно здесь проверка контрагента на 152-ФЗ переходит из стадии due diligence в стадию распределения рисков. В тексте должны быть определены категории субъектов, перечень данных, действия с ними, цели, сроки, требования к защите, порядок возврата и уничтожения, пределы доступа работников контрагента, правила использования журналов доступа и последствия нарушения.

Отдельного внимания заслуживает порядок привлечения третьих лиц. Если подрядчик вправе передать часть функций другому исполнителю, это нужно прямо регулировать. Иначе оператор узнает о фактической субобработке уже после утечки или жалобы субъекта данных. В таких договорах должна быть решена ответственность за субподрядчика, включая обязанность получать предварительное согласование на привлечение новых лиц, обязанность передавать им только необходимый объем данных и обязанность обеспечивать не менее строгий режим защиты, чем установлен в основном договоре.

Обычно в договор с обработчиком данных включают несколько обязательных блоков, без которых передача данных становится юридически уязвимой.

• Пределы поручения: какие данные передаются, для каких целей и какие действия разрешены исполнителю.
• Режим безопасности: организационные и технические меры, уведомление об инцидентах, порядок расследования и сроки информирования оператора.
• Субобработка: условия привлечения третьих лиц, ответственность за субподрядчика и документы, подтверждающие соблюдение требований этими лицами.
• Завершение обработки: возврат, обезличивание или уничтожение данных, оформление подтверждающих документов.

В более сложных проектах имеет смысл оформлять не только договор с обработчиком данных, но и приложение с матрицей потоков данных, где видно, какие данные и по каким каналам передаются. Такой документ не заменяет договор, но существенно упрощает контроль исполнения и доказывание фактического объема поручения.

Ошибки при передаче данных контрагенту, которые особенно опасны в споре и при проверке

Даже компании, которые формально учитывают Закон № 152-ФЗ, часто допускают ошибки, которые становятся заметны лишь после конфликта. Наиболее распространена ситуация, когда проверка контрагента на 152-ФЗ сводится к получению ссылки на политику на сайте. Для оценки этого недостаточно. Политика адресована неопределенному кругу лиц и не раскрывает, как именно контрагент будет обрабатывать данные в вашем проекте, будет ли использовать зарубежную инфраструктуру, как ограничит доступ сотрудников и кому передаст функции на аутсорсинг.

Вторая типичная ошибка связана с неопределенным предметом поручения. В договоре пишут, что исполнитель вправе «обрабатывать персональные данные в объеме, необходимом для оказания услуг», но не конкретизируют ни перечень данных, ни состав операций, ни срок хранения. Такая формула удобна только до первого спора. Когда потребуется доказать превышение полномочий, оператор обнаружит, что сам согласовал слишком широкое усмотрение исполнителя.

Третья ошибка касается субподрядных отношений. В IT, маркетинге и логистике реальное исполнение часто распределено между несколькими участниками. Если оператор не выяснил это заранее, поручение обработки персональных данных фактически оказывается переданным по цепочке без понятного договорного контура. Именно поэтому ответственность за субподрядчика нельзя оставлять на уровне общей отсылки к гражданскому законодательству. Ее нужно прописывать предметно: порядок согласования, обязанность раскрытия цепочки исполнителей, последствия нарушения и право оператора на отказ от передачи данных.

Отдельный блок проблем связан с доказательствами. При проверках и спорах значение имеют не только договор и приложение, но и подтверждение реального исполнения: акты, логи, распоряжения о доступе, переписка по инцидентам, подтверждение удаления данных, внутренние приказы. Если проект перерастает в конфликт о нарушении обязательств, может понадобиться сопровождение арбитражного спора, где решающим становится не общий уровень благонадежности контрагента, а качество зафиксированных договорных условий и доказательств их нарушения.

Как соотносятся договор, согласие субъекта и внутренние документы оператора

Проверка контрагента на 152-ФЗ будет неполной, если оценивать только сторону исполнителя. Оператор должен убедиться, что у него самого есть законное основание для передачи данных. В зависимости от модели работы таким основанием может быть согласие субъекта персональных данных, необходимость исполнения договора с субъектом, исполнение обязанностей, возложенных законом, либо иные основания, предусмотренные статьей 6 Закона № 152-ФЗ. Если компания передает данные подрядчику, но в собственных документах не раскрыла такую передачу или не обеспечила надлежащую информированность субъекта, проблема останется на стороне оператора, даже если у исполнителя безупречные регламенты.

На практике это означает, что поручение обработки персональных данных должно быть согласовано не только с внешним договором, но и с внутренней документацией компании. Политика обработки, формы согласий, положения о защите данных, кадровые документы, регламенты доступа и договоры с клиентами должны описывать реальную модель взаимодействия. Иначе одна часть документации будет исходить из того, что данные обрабатываются только внутри компании, а другая уже допускает передачу внешнему исполнителю.

Отдельного внимания требует вопрос об уведомлении Роскомнадзора. Обязанность уведомлять о намерении осуществлять обработку персональных данных и исключения из нее зависят от характера обработки и применимых оснований. Здесь нельзя использовать универсальные формулы без анализа фактической деятельности. Проверка контрагента на 152-ФЗ не подменяет проверку статуса самого оператора, но должна проводиться с учетом того, как оператор исполняет собственные обязанности перед регулятором и субъектами данных.

Когда особенно нужен аудит контрагента по ПДн и углубленный договорный контроль

Не каждое взаимодействие требует одинаковой глубины проверки. Если подрядчик получает минимальный набор контактных данных представителей по разовой сделке, объем контроля будет одним. Если ему передаются базы клиентов, резюме кандидатов, сведения о здоровье, данные о работниках или крупные массивы пользовательской информации, стандартная проверка контрагента на 152-ФЗ уже недостаточна. В таких случаях нужен углубленный аудит контрагента по ПДн с анализом фактической архитектуры обработки и договорной цепочки.

Повышенное внимание обычно требуется в нескольких ситуациях.

• Контрагент получает удаленный доступ к внутренним системам оператора, а не только файл с ограниченным набором сведений.
• Исполнитель привлекает облачные сервисы, хостинг-провайдеров, субподрядчиков или группы компаний, через которые данные проходят дальше.
• Проект связан со специальными категориями персональных данных, в том числе медицинскими сведениями или кадровыми данными большого числа работников.
• Сделка предполагает длительное хранение данных, интеграцию информационных систем или регулярный обмен массивами сведений.

В этих случаях проверка контрагента на 152-ФЗ должна включать юридический и организационный анализ одновременно. Недостаточно оценить только текст договора. Нужно проверить, способен ли контрагент реально выполнить согласованные меры. Для медицинских организаций, клиник и сервисов, где персональные данные пациентов пересекаются с требованиями отраслевого регулирования, такой анализ особенно чувствителен. Здесь часто требуется участие юриста по медицинскому праву, потому что помимо Закона № 152-ФЗ учитываются правила о врачебной тайне, документообороте и отраслевом контроле.

Роль юриста при согласовании передачи персональных данных контрагенту

В такой работе задача юриста не сводится к тому, чтобы вставить в договор стандартный раздел о конфиденциальности. Нужен правовой анализ всей конструкции: кто является оператором, кто действует по поручению, на каком основании передаются данные, не возникает ли у контрагента самостоятельный статус оператора, допустима ли субобработка, какие локальные акты и согласия должны быть скорректированы. Только после этого появляется возможность подготовить работающий договор с обработчиком данных, а не формальный текст без практической ценности.

Когда проверка контрагента на 152-ФЗ проводится до заключения договора, у бизнеса остается пространство для переговоров. Можно ограничить объем передаваемых данных, изменить техническую схему, предусмотреть хранение на стороне оператора, ввести право на аудит, согласовать порядок уведомления об инцидентах, сократить круг лиц с доступом. После запуска проекта такие изменения обычно достигаются намного тяжелее, особенно если подрядчик уже встроен в операционный процесс.

С практической точки зрения юрист помогает не только выявить нарушение, но и выбрать способ его устранения. В одних случаях достаточно переработать поручение обработки персональных данных и привести внутренние документы в соответствие договору. В других потребуется изменить предмет услуг, исключить часть операций, запретить привлечение субподрядчиков или полностью отказаться от передачи отдельных категорий данных. Если конфликт уже возник, юридическая работа смещается в сторону фиксации доказательств, претензионной переписки, оценки убытков и подготовки позиции для возможного спора.

Именно поэтому проверка контрагента на 152-ФЗ не должна восприниматься как разовая формальность перед подписанием договора. Это инструмент управления риском, который связывает договорное право, защиту информации, внутренний документооборот компании и будущую доказательственную базу. Чем раньше проведена такая проверка, тем выше шанс выстроить передачу данных так, чтобы она была законной, управляемой и подтверждаемой документально. Для бизнеса это означает не только снижение риска санкций, но и более сильную позицию в переговорах с подрядчиком, при внутреннем контроле и при защите интересов в случае спора.

Если вам нужна надежная команда юристов с большим практическим опытом, обращайтесь в ООО ЮК Шмелева и партнеры. Заявку можно оставить на сайте нашей юридической компании или позвонить по телефону 8 (800) 201 56 52. Отзывы о нашей работе можно посмотреть на Яндекс.Картах.