Бесплатная консультация юриста

+7 (800) 302-87-29

Реклама jurik.ru

Включение в договор условия о обработке персональных данных, обязательное требование для сторон‚ взаимодействие которых подразумевает передачу сведений‚ относящихся к определенному или определяемому физическому лицу (субъекту персональных данных); Данная статья подробно разбирает структуру такого условия‚ нормативную базу и предоставляет рекомендации по составлению грамотного юридического документа в соответствии с законодательством РФ (в первую очередь‚ ФЗ-152 «О персональных данных»).

Нормативная база и необходимость условия

Согласно ст. 6 ФЗ-152‚ обработка персональных данных допускается при наличии согласия субъекта или в случаях‚ прямо предусмотренных законом (исполнение договора‚ защита прав‚ осуществление правопреемства и т.д.). Даже если закон позволяет обрабатывать данные без письменного согласия (например‚ при исполнении договора)‚ наличие в договоре специального раздела (приложения) регулирует порядок взаимодействия сторон — Оператора и Уполномоченного лица (или двух Операторов) — и минимизирует риски штрафов от Роскомнадзора и судебных исков субъектов данных.

ФЗ № 152-ФЗ «О персональных данных» — основной закон.
ГК РФ (ст. 420‚ 434) — общие положения о содержании договора.
ТК РФ (ст. 86‚ 88) — специфика обработки данных работников (для трудовых и ГПХ договоров).
Постановление Правительства РФ № 1119 — требования к защите данных при их обработке в информационных системах.
Приказ ФСТЭК РФ № 21 — состав и меры обеспечения безопасности персональных данных.

Структура условия о персональных данных (Стандартный блок)

Обычно условие оформляется отдельным разделом договора или приложением (например‚ «Приложение № N: Условие о обработке и защите персональных данных»). Ниже приведена типичная структура‚ основанная на судебной практике и рекомендациях регулятора.

Термины и определения

Необходимо зафиксировать понимание сторон ключевыми понятиями‚ чтобы избежать трактовок:

Персональные данные — любая информация‚ относящаяся к прямо или косвенно определенному или определяемому физическому лицу.
Обработка — любое действие (операция) или совокупность действий с персональными данными (сбор‚ запись‚ систематизация‚ накопление‚ хранение‚ уточнение‚ извлечение‚ использование‚ передача‚ обезличивание‚ блокирование‚ удаление‚ уничтожение).
Оператор — сторона‚ организующая и/или осуществляющая обработку‚ определяющая цели и состав обрабатываемых данных.
Уполномоченное лицо (Обработчик) — сторона‚ обрабатывающая данные по поручению Оператора.
Субъект персональных данных — физическое лицо‚ данные которого передаются.
Обезличивание — действия‚ в результате которых невозможно определить без использования дополнительной информации принадлежность данных конкретному субъекту.

Предмет и цели обработки

Четко пропишите‚ какие именно категории данных передаются и для какой цели. Нельзя использовать общие формулировки вроде «любые данные для любых целей».

Пример формулировки:
«Сторона-Оператор передает Стороне-Обработчику следующие категории персональных данных: фамилия‚ имя‚ отчество; контактный телефон; адрес электронной почты; почтовый адрес доставки; данные банковской карты (маскированный номер для идентификации платежа).
Цель обработки: исполнение обязательств по Договору № [Номер] от [Дата] на оказание услуг по доставке груза / оформлению заказа / предоставлению доступа к сервису».

Полномочия и обязанности сторон

Это ключевой блок‚ распределяющий ответственность. Ниже приведен образец разделения функций на основе типового условия (аналогичного приведенному в источнике cementum.ru)‚ расширенного для полноты.

Обязанности Оператора (передающей стороны):

Обеспечить законность оснований для передачи данных (наличие согласия субъекта или иного основания по ст. 6‚ 11 ФЗ-152).
Информировать субъектов данных о передаче их данных третьему лицу (если это не противоречит закону или договору).
Передавать только те данные‚ которые необходимы для достижения цели договора (принцип минимизации).
Проверять до передачи‚ что Обработчик имеет необходимые организационно-технические меры защиты.

Обязанности Обработчика (принимающей стороны):

Обрабатывать данные исключительно в целях исполнения Договора и по инструкции Оператора.
Не передавать данные третьим лицам без письменного согласия Оператора (кроме субподрядчиков‚ закрепленных в договоре).
Обеспечить конфиденциальность и безопасность данных в соответствии с Постановлением № 1119 и Приказом ФСТЭК № 21 (доступ по ролям‚ шифрование‚ логирование‚ защита от НСД‚ антивирусная защита).
Обеспечить возможность осуществления прав субъектов данных (доступ‚ исправление‚ удаление‚ отзыв согласия) в сроки‚ установленные законом (обычно 10–30 дней).
Уведомить Оператора о фактах утечки‚ несанкционированного доступа или запросах госорганов/субъектов данных в течение 24 часов (или иного срока по договору).
По истечении срока договора или достижении цели: уничтожить или обезличить данные и подтвердить это актом/письменно уведомив Оператора.

Меры информационной безопасности (Технические и организационные)

Договор должен ссылаться на конкретные меры или приложение с их перечнем. Общая фраза «принимает меры» часто признается судом недостаточной.

Назначение ответственного за обработку персональных данных.
Разработка и утверждение локальных актов (Политика конфиденциальности‚ Положение о защите ПДн‚ Инструкции).
Учет доступа к ИСПДн (информационным системам персональных данных): идентификация‚ аутентификация‚ разграничение прав.
Применение средств криптографической защиты (СКЗИ) при передаче по открытым каналам (TLS/SSL‚ шифрование файлов).
Ведение журналов учета событий безопасности (логи доступа‚ изменений‚ ошибок).
Регулярное обновление ПО‚ антивирусных баз‚ установка обновлений безопасности ОС.
Физическая защита серверных/архивов (контроль доступа‚ охрана‚ пожаротушение).
Обучение персонала‚ допущенного к обработке‚ требованиям ФЗ-152 и локальных актов.

Трансграничная передача данных

Если Обработчик использует облачные сервисы или серверы за рубежом (или привлекает субподрядчиков за рубежом)‚ в договоре обязательно должно быть условие:

Перечень стран-получателей.
Гарантии защиты прав субъектов в стране-получателе (адекватность защиты по списку Роскомнадзора или наличие Стандартных договорных условий / Binding Corporate Rules).
Обязательство Обработчика уведомить Оператора о любом изменении локализации данных.

Важно: С 2021 года (ст. 12.1 ФЗ-152) при сборе данных через интернет Оператор обязан обеспечивать запись‚ систематизацию‚ накопление‚ хранение‚ уточнение (обновление‚ изменение)‚ извлечение персональных данных граждан РФ с использованием баз данных‚ расположенных на территории РФ (локализация). Исключения: перечень ст. 12.1 ч. 2 ФЗ-152.

Ответственность сторон

Рекомендуется предусмотреть:

Штрафные санкции (неустойки) за утечку‚ несанкционированный доступ‚ нарушение сроков уведомления‚ отказ в исполнении прав субъекта. Размер: фиксированная сумма или % от стоимости договора за каждый инцидент/день просрочки.
Возмещение убытков (реального ущерба и упущенной выгоды)‚ включая штрафы Роскомнадзора (до 18 млн руб. за повторное нарушение ст. 13.11 КоАП РФ)‚ расходы на расследование инцидента‚ уведомление субъектов‚ судебные издержки.
Право Оператора на аудит (проверку) исполнения Обработчиком обязанностей по защите данных (включая удаленный доступ к логам/политикам или визит на объект).

Срок действия и порядок возврата/уничтожения данных

Условие действует не только в срок договора‚ но и после его расторжения до момента фактического уничтожения/обезличивания данных.

Образец формулировки:
«Сторона-Обработчик в течение 10 (десяти) рабочих дней с момента прекращения Договора обязана: (1) прекратить любую обработку персональных данных; (2) уничтожить или обезличить все полученные от Оператора персональные данные на всех носителях (включая резервные копии‚ логи‚ почту); (3) предоставить Оператору Акт об уничтожении/обезличивании персональных данных‚ подписанный уполномоченным лицом и ответственным за защиту ПДн».

Особенности для разных типов договоров

Тип договора	Ключевые нюансы условия о ПДн
Договор подряда / Оказания услуг (B2B)	Часто Подрядчик является Обработчиком. Критично: запрет использования данных для своих маркетинговых целей‚ аудит безопасности Подрядчика‚ ответственность за действия субподрядчиков (передача данных курьерам‚ колл-центрам).
Трудовой договор / ГПХ с физлицом	Сторона-Работодатель — Оператор. Условие включается в локальный акт (Политику) или доп. соглашение. Особое внимание: категории спец. данных (здоровье‚ биометрия‚ раса)‚ сроки хранения после увольнения (75/50 лет для архивов)‚ права работника.
Договор купли-продажи / Оферта (B2C)	Покупатель — Субъект. Продавец, Оператор. Условие оформляется в Политике конфиденциальности на сайте (публичный документ) + чек-бокс согласия при заказе. В самом договоре (чеке/заказе) — ссылка на Политику.
Договор поручения обработки (DPA / Data Processing Agreement)	Отдельный договор или приложение‚ регулирующее только отношения Оператор, Обработчик. Максимально детализирован: инструкция по обработке‚ перечень субподрядчиков‚ технические требования к ИСПДн‚ процедура аудита.

Типичные ошибки при составлении (Чек-лист «Чего не делать»)

Отсутствие условия в договоре при фактической передаче данных (риск штрафа по ст. 13.11 КоАП РФ для Оператора).
Ссылка на несуществующее или устаревшее согласие (например‚ согласие на «любую обработку» без цели‚ или согласие‚ срок действия которого истек).
Передача избыточных данных (передача паспортных данных курьеру‚ которому нужен только ФИО и телефон).
Отсутствие пункта об уничтожении данных после договора (данные лежат у Подрядчика годами — нарушение ст. 21 ФЗ-152).
Игнорирование локализации (ст. 12.1 ФЗ-152) при использовании зарубежных SaaS/Cloud без проверки адекватности защиты.
Формализм в мерах безопасности: написано «принимаем меры»‚ но нет ролевой модели доступа‚ нет шифрования бэкапов‚ нет обучения сотрудников.
Отсутствие процедуры уведомления об инциденте (утечка узнается Оператором через СМИ или Роскомнадзор).

Образец формулировки раздела «Условие о персональных данных» (для вставки в договор)

 РАЗДЕЛ N. УСЛОВИЕ ОБРАБОТКИ И ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ N.1. В целях исполнения настоящего Договора Стороны подтверждают‚ что действуют в качестве Оператора и Обработчика персональных данных в соответствии с Федеральным законом от № 152-ФЗ «О персональных данных» (далее — ФЗ-152).
N.2. Сторона-Оператор передает Стороне-Обработчику следующие категории персональных данных субъектов: [Перечислить точно: ФИО‚ телефон‚ email‚ адрес‚ СНИЛС и т.д.]. Передача осуществляется путем [способ: предоставление доступа к CRM‚ выгрузка файла по защищенному каналу‚ передача бумажных носителей].
N.3. Цель обработки: исполнение обязательств по Договору № [Номер] от [Дата] (конкретно: доставка‚ расчеты‚ техподдержка‚ рассылка уведомлений о статусе заказа).
 N.4. Сторона-Обработчик обязуется:
 4.1. Обрабатывать полученные данные исключительно в целях‚ указанных в п. N.3‚ и в объеме‚ необходимом для исполнения Договора.
 4.2. Не разглашать данные и не передавать их третьим лицам без предварительного письменного согласия Оператора‚ за исключением случаев‚ предусмотренных ФЗ-152 (передача уполномоченным государственным органам по основаниям закона).
 4.3. Обеспечить конфиденциальность и безопасность данных‚ применив меры‚ соответствующие уровню защищаемости [Уровень 1/2/3/4] в соответствии с Постановлением Правительства РФ № 1119 и Приказом ФСТЭК № 21‚ включая: назначение ответственного за обработку; разграничение прав доступа; использование СКЗИ при передаче; ведение журналов учета событий; защиту от НСД и вредоносного ПО; физическую защиту носителей.
 4.4. Обеспечить исполнение прав субъектов данных (предоставление доступа‚ исправление‚ удаление‚ блокирование) в течение 10 (десяти) рабочих дней с момента получения запроса от Оператора или субъекта.
 4.5. Немедленно (в течение 24 часов) уведомить Оператора о любых инцидентах безопасности (утечка‚ несанкционированный доступ‚ потеря носителя) и о запросах госорганов/субъектов данных.
 4.6. Допускать Оператора (или уполномоченных аудиторов) к проверке исполнения настоящих обязательств при предварительном уведомлении за 5 рабочих дней.
N.5. При привлечении субподрядчиков для обработки данных Обработчик обязан: получить письменное согласие Оператора; заключить с субподрядчиком договор‚ налагающий на него обязательства‚ не менее строгие‚ чем настоящий Раздел; нести солидарную ответственность за действия субподрядчика.
 N.6. В случае трансграничной передачи данных Обработчик гарантирует соблюдение требований ст. 12 ФЗ-152 (адекватность защиты в стране-получателе или наличие иных законных оснований) и уведомит Оператора о стране размещения серверов/субподрядчиков.
N.7. По истечении срока Договора или достижении цели обработки Обработчик в течение 10 (десяти) рабочих дней уничтожает или обезличивает все полученные персональные данные на всех носителях (включая архивы и бэкапы) и направляет Оператору Акт об уничтожении/обезличивании.
N.8. Ответственность сторон:
 8.1. За нарушение обязательств по защите и конфиденциальности ПДн виновная Сторона выплачивает неустойку в размере [Сумма / % от стоимости Договора] за каждый случай нарушения‚ если иное не установлено законом.
 8.2. Виновная Сторона возмещает другой Стороне все убытки (включая штрафы Роскомнадзора‚ судебные издержки‚ расходы на уведомление субъектов‚ репутационные потери)‚ причиненные нарушением настоящего Раздела.
 8.3. Настоящий Раздел действует бессрочно до момента фактического уничтожения/обезличивания всех переданных персональных данных. 

Грамотно составленное условие о персональных данных, это не просто формальность для избежания штрафов‚ а инструмент управления рисками информационной безопасности и репутации бизнеса. Ключевые принципы: законность основания‚ минимизация данных‚ прозрачность для субъекта‚ обеспеченность защитой (оргтехмер) и четкое распределение ответственности между Оператором и Обработчиком.

Рекомендуется не копировать шаблоны слепо‚ а адаптировать их под конкретные бизнес-процессы‚ категорию данных (общие‚ специальные‚ биометрические)‚ уровень защищаемости ИСПДн (определяется по Приказу ФСТЭК № 21) и используемый программно-аппаратный комплекс. Для сложных схем (экосистемы‚ маркетплейсы‚ кроссплатформенные сервисы) целесообразно разрабатывать отдельный DPA (Data Processing Agreement) как приложение к основному договору.

Данная статья носит информационный характер и не является юридической консультацией. При подготовке конкретных документов рекомендуется обратиться к квалифицированному юристу по защите персональных данных.