Передача или поручение обработки ПДн: в чём разница и кто за что отвечает?

Ваши данные в чужих руках: когда это поручение, а когда — передача

В вашей компании данные клиентов и сотрудников постоянно уходят наружу: в облачные сервисы, банки, страховые компании, сервисы рассылок. Каждый раз, когда это происходит, закон видит одну из двух ситуаций — и разница между ними стоит до 15 миллионов рублей.

Попытаемся разобраться так, чтобы после прочтения вы никогда больше не путались.

Аналогия, которая всё расставляет по местам

Представьте кухню ресторана. У вас есть рецепт и продукты. Вы можете приготовить блюдо сами, но иногда нужна помощь.

Поручение — вы зовёте су-шефа и говорите: «Нарежь овощи вот так, положи вон туда, не пробуй». Су-шеф не решает, каким будет блюдо. Он не добавляет свою соль. Он — ваши руки, а результат остаётся вашим. Если овощи испорчены — перед гостем отвечаете вы, а с су-шефа спросите отдельно.

Передача — вы отдаёте продукты другому ресторану. У них свой шеф, свой рецепт, своя подача. Что они приготовят и как — не ваше дело. Они отвечают за результат сами.

Персональные данные работают точно так же.

Поручение: партнёр (третье лицо) — ваши руки, но не ваша голова

Вы остаётесь оператором. Партнёр — обработчик: он совершает действия с данными, но цели и способы диктуете вы. Своих интересов в этих данных у него нет.

Где это встречается в работе:

• Email-рассылки. Вы загружаете базу подписчиков в сервис вроде Unisender. Сервис отправляет письма, но не решает, кому писать и зачем — вы задаёте параметры. Поручение.
• ИТ-поддержка. Внешняя команда администрирует ваши серверы, где хранятся данные пользователей. Они работают с инфраструктурой ради вашей цели — не своей. Поручение.
• Служба доставки. Курьерская служба получает адреса и телефоны клиентов, чтобы довезти заказ. Маршрут и условия — ваши. Поручение.

Признаки поручения:

Передача: партнёр (третье лицо) — равноправный хозяин данных

Получатель становится самостоятельным оператором. У него своя цель, свои правила, своя ответственность. Вы не диктуете, что ему делать с данными, и не можете потребовать их удалить — разве что отдельно договориться.

Где это встречается в работе:

• Сдача отчётности в ФНС и СФР. Вы передаёте данные сотрудников в налоговую. ФНС — отдельный оператор со своими целями и законным основанием. Передача.
• Подарки от партнёров. Вы организуете акцию: при покупке клиент получает промокод от стороннего сервиса. Сервис получает данные клиента, чтобы зачислить бонус — уже в своих целях. Передача.
• Аренда помещений для мероприятия. Вы передаёте список участников площадке. Площадка использует данные для контроля доступа — это её задача, а не ваша. Передача.

Признаки передачи:

Как отличить за 10 секунд

Забудьте на минуту про договоры и формулировки. Задайте себе один вопрос:

Если бы партнёр (третье лицо) перестал с нами работать завтра — данные остались бы у него?

• Нет, он обязан стереть — поручение.
• Да, они ему нужны для его целей — передача.

Этот тест не идеален, но в 95 % случаев даёт верный ответ. Остальные 5 % — это пограничные ситуации, и их лучше разбирать индивидуально с юристом.

Почему путать нельзя — и это не мнение, а закон

152-ФЗ не оставляет пространства для творчества. Часть 3 статьи 6 прямо описывает поручение: оператор определяет цели, состав данных и действия, обработчик действует по заданию. При передаче получатель становится оператором — со всеми обязанностями по уведомлению Роскомнадзора, обеспечению безопасности и хранению на территории РФ.

Если оформить передачу как поручение или наоборот, возникает три проблемы:

1. Нет законного основания. Данные ушли партнёру (третьему лицу), а согласия на это нет — обработка незаконна. Штраф по ст. 13.11 КоАП РФ — до 15 млн рублей, а для специальных категорий данных (например, о здоровье) — до 15 млн даже без привязки к количеству пострадавших.
2. Непонятно, кто виноват. При поручении перед человеком отвечаете вы. При передаче — каждая сторона за себя. Если в договоре не зафиксировано, какая это конструкция, в случае утечки оба будут доказывать, что виноват сосед.
3. Нет рычага контроля. При поручении вы вправе потребовать заблокировать или уничтожить данные. При передаче такого права нет. Если оно нужно, значит, это не передача, а поручение, и оформлять надо иначе.

Что запомнить

• Поручение — партнёр работает ради ваших целей, по вашим правилам, под вашей ответственностью. Документ — договор с условиями из ч. 3 ст. 6 152-ФЗ.
• Передача — партнёр работает ради своих целей, по своим правилам, под своей ответственностью. Документ — соглашение о передаче; обычно также нужно согласие человека.
• Тест — спросите, останутся ли данные у партнёра после расставания. Если да — передача. Если нет — поручение.

Если в конкретной ситуации сомневаетесь, приходите ко мне. Лучше десять минут на разговор, чем письмо из Роскомнадзора.

Кто берёт согласие при поручении и передаче?

Это один из самых частых вопросов на практике. И тут всё упирается не в «кто физически пишет форму», а в логику закона: согласие берёт тот, у кого есть прямая цель обработки и прямая связь с человеком.

И снова вернёмся на кухню, чтобы было понятно:

Вы — шеф. Клиент пришёл к вам, заказал блюдо, и вы сразу спросили: «Можно я запишу ваш телефон, чтобы сообщить, когда заказ будет готов?» Клиент согласился. Это ваше согласие, ваша связь, ваша цель.

Теперь вы зовёте су‑шефа (это ваш обработчик) и говорите: «Доставь это блюдо по адресу». Су‑шефу не нужно заново спрашивать у клиента: «А можно я посмотрю ваш адрес?» — вы уже всё оформили. Он просто выполняет поручение.

А теперь представьте другую ситуацию. К вам заходит сосед‑шеф и говорит: «У меня сегодня акция: каждому, кто попробует мой десерт, дам кофе в подарок. Дай мне контакты тех, кто сейчас заказывает». Вы отдаёте ему список. Теперь сосед — отдельный шеф со своей целью. И ему нужно своё согласие от каждого гостя: «Можно я пришлю вам промокод на кофе?» Потому что цель уже его, а не ваша.

Вот ровно так это работает и с персональными данными.

Поручение: согласие берёт оператор (вы), а не обработчик

Правило: при поручении согласие на обработку персональных данных берёт оператор — то есть ваша компания. Обработчик (партнёр — третье лицо) согласия не берёт: он просто делает то, что вы ему поручили, по вашим правилам.

Почему так: по ч. 3 ст. 6 152-ФЗ при поручении вы остаётесь оператором, вы определяете цели и способы обработки, а партнёр (третье лицо) — только исполнитель. Закон говорит: если у оператора уже есть законное основание (в том числе согласие), то обработчику отдельное согласие не нужно.

Примеры из жизни

• Рассылка через сервис. Клиент оформил заказ на сайте и поставил галочку «Хочу получать новости». Вы собрали согласие прямо в форме заказа. Потом вы загрузили базу в сервис рассылок. Сервис не должен просить согласие заново — он действует по вашему поручению. Согласие брали вы.
• Курьер доставляет заказ. При оформлении заказа клиент указал телефон и адрес и согласился с политикой обработки данных. Курьерской службе отдельное согласие не требуется: она обрабатывает данные как ваш обработчик, чтобы выполнить доставку. Согласие брали вы.
• Внешний админ обслуживает сервер. На сервере лежат данные пользователей. Вы заключили договор с подрядчиком на администрирование. Подрядчик не спрашивает у пользователей: «Можно ли мне видеть ваши данные?» Вы как оператор уже обеспечили законное основание. Согласие брали вы.

Вывод: при поручении согласие всегда берёт оператор, а обработчику оно не нужно.

Передача: чаще всего согласие берёт получатель (новый оператор), но бывают исключения

Правило: при передаче получатель данных становится самостоятельным оператором. Значит, у него своя цель обработки, и ему нужно своё законное основание — чаще всего это отдельное согласие от человека.

Но есть важное исключение: если передача нужна для исполнения договора, в котором человек — выгодоприобретатель, отдельное согласие не требуется (ч. 2 ст. 6 152-ФЗ).

Примеры, где получатель берёт согласие

• Партнёрская акция. Вы даёте клиенту промокод на скидку у партнёра. Чтобы партнёр мог начислить бонус, он просит у клиента отдельное согласие на обработку данных — потому что цель уже его (начисление бонуса и коммуникация). Согласие берёт партнёр.
• Подписка на сторонний сервис. На вашем сайте клиент заполняет форму, чтобы получить доступ к сервису партнёра. Партнёр сразу показывает свою политику и просит согласие. Это передача данных, и согласие берёт он.

Примеры, когда согласие не нужно (исключения)

• Отчётность в ФНС и СФР. Вы передаёте данные сотрудников в налоговую и Социальный фонд. Это отдельные операторы, но отдельное согласие сотрудника не требуется: передача необходима для исполнения трудового законодательства. Основание — не согласие, а закон.
• Оформление ДМС. Вы передаёте данные сотрудника страховой компании для оформления полиса. Сотрудник — выгодоприобретатель по договору страхования, поэтому отдельное согласие на передачу не нужно: основание — исполнение договора.
• Зарплатный проект. Банк открывает счета сотрудникам. Цель — выплата зарплаты, сотрудник — выгодоприобретатель. Отдельное согласие на передачу данных банку не требуется.

Вывод: при передаче чаще согласие берёт получатель, но если передача нужна для исполнения договора в интересах человека, согласие не требуется вообще.

Шпаргалка: кто берёт согласие

Практический совет:

Когда вы оформляете договор с партнёром, задайте простой вопрос: «Нужно ли человеку отдельное согласие для этой операции?»

• Если да, значит, это передача, и согласие должен взять получатель (или вы, если это ваша зона ответственности по процессу).
• Если нет, проверьте, есть ли законное исключение (исполнение договора, требования закона). Если есть, это может быть передача без согласия.
• Если вы сами определяете цель и способ, а партнёр только исполняет, это поручение, и согласие берёте вы, партнёру оно не нужно.

Если у вас есть конкретный кейс (например, «мы передаём базу в маркетинговое агентство» или «подключаем оплату через платёжный сервис»), напишите нам, подскажем, как оформить правильно.