Как передать ПДн подрядчику и не остаться крайним?

В мой телеграм-канал про 152-ФЗ регулярно приходит один и тот же вопрос, только с двух противоположных сторон. Бухгалтер на аутсорсе спрашивает: «я веду учёт для десяти компаний, чем мне это грозит?» А через неделю пишет владелец фирмы: «мы отдали бухгалтерию на сторону, нам вообще что-то нужно оформлять?» Оба чувствуют, что с персональными данными что-то не так, но никто не понимает, что именно. И вот вопрос, который я задаю в ответ обоим: а вы вообще знаете, кем приходитесь друг другу по закону?

Предлагаю разобраться с этим. Для этого постараюсь встать на ту сторону, где риск больше, - сторону заказчика.

Посчитайте, сколько посторонних компаний прямо сейчас видит паспорта, зарплаты и другие персональные данные ваших сотрудников и клиентов. Бухгалтерия на аутсорсе. IT-подрядчик, у которого остался доступ к 1С после внедрения. Сервис рассылок, куда пару лет назад выгрузили клиентскую базу. Обычно набирается четыре-пять, и каждая пришла законным путём - через подписанный договор на услуги.

Знакомое замечание: «так у нас же с ними договор». Договор действительно есть, и он честно описывает услугу и её цену. Только договор на услуги и основание обрабатывать персональные данные - разные вещи, и первый второго не заменяет.

Главное: роль подрядчика определяет цель, а не договор

Роль подрядчика определяете не вы и не бухгалтерия. Её определяет тот, кто ставит цель обработки. От этого зависит, какие бумаги вам нужны, а раскладов всего два.

Первый расклад - подрядчик-обработчик. Подрядчик работает по вашим инструкциям и своих целей в данных не имеет. Обычно так устроены отношения с IT-сопровождением, администрированием CRM, колл-центром, работающим по вашим скриптам, бухгалтерией на аутсорсе. Здесь нужно поручение на обработку - набор условий, который закон описывает довольно подробно (ч. 3 ст. 6 152-ФЗ).

Второй расклад - подрядчик-оператор. У подрядчика есть собственная обязанность перед теми же людьми, чьи персональные данные к нему попадают, и он исполняет её независимо от ваших указаний. Так работают обычно лаборатория, банк, страховая. Поручение тут не подходит - поручить можно свою задачу, а не чужую обязанность.

«Но клиника же просто просит лабораторию»

Именно так и звучит популярное замечание по второму раскладу: клиника именно что просит лабораторию сделать исследование - чем это отличается от просьбы к бухфирме посчитать зарплату?

Тем, что просьба ничего не решает. Договор есть в обоих случаях, а роль определяется тем, чьи обязанности исполняет подрядчик, пока обрабатывает данные.

Лаборатория, получив направление, обязана завести собственную запись об исследовании, хранить её и отвечать за результат - этого требует закон от неё самой (п. 11 и 12 ч. 1 ст. 79 323-ФЗ). Клиника не может распорядиться «нашу запись у себя не заводите».

У бухфирмы такой обязанности нет. Хранить документы бухучёта обязана сама компания, и организует это её руководитель (ст. 29 402-ФЗ). Аутсорсер исполняет вашу обязанность вашими данными - и потому остаётся обработчиком. Вне вашего договора он этих людей вообще бы не увидел.

Тот же признак работает и там, где никакой медицины нет. Оформляете сотрудникам ДМС - данные уходят в страховую, но она не ваш исполнитель: у неё свой договор страхования, свои обязанности перед застрахованным и свои сроки хранения. Банк, проверяющий вашего контрагента, тоже действует по требованиям, адресованным ему, а не вам.

И работает он в обе стороны, поэтому автоматическое «лаборатория - всегда оператор» тоже неверно. Если внешний исполнитель делает для вас чисто техническую операцию - оцифровывает снимки, ведёт вашу лабораторную информационную систему, расшифровывает записи, - своей медицинской документации он не заводит и действует по вашему заданию. Это обработчик, и нужно поручение.

Чего в этой развилке нет

В ней нет названия услуги. Одна и та же строка в счёте - «услуги колл-центра», «IT-сопровождение», «кадровое делопроизводство» - может стоять и в первом раскладе, и во втором. Название говорит, за что вы платите, а не кто ставит цель обработки.

Отсюда практический вывод: чтобы понять, какие документы вам нужны и должны быть оформлены в отношениях с подрядчиком, смотреть надо не в договор, а на процесс - кто в реальности решает, зачем эти данные обрабатываются.

Проверьте своих подрядчиков: два вопроса

Дальше - два вопроса, которые позволяют точно определить роль вашего подрядчика. Ответы складываются в понятный набор документов, а где эти документы разобраны, я указал ниже для удобства чтения:

• Цель ставите вы → поручение на обработку → глава «Если подрядчик — обработчик»

• Цель у подрядчика своя → передача между двумя операторами → глава «Если подрядчик - самостоятельный оператор»

• Данные ваших работников → плюс письменное согласие → глава «Данные ваших работников»

• Подрядчик привлекает третьих лиц → условие о субподряде в договоре → глава «Если подрядчик - обработчик»

Вопрос 1. Кто решает, зачем обрабатываются данные?

Если цель формулируете вы («обзвонить наших клиентов с нашим предложением», «посчитать зарплату нашим сотрудникам»), а подрядчик просто исполняет - перед вами обработчик. Вы остаётесь оператором, он действует внутри ваших рамок.

Если подрядчик обрабатывает данные ради собственной задачи, за которую сам отвечает перед законом или перед человеком, - он самостоятельный оператор. Вы ему данные передаёте, а не поручаете работу с ними.

Есть нюанс: один и тот же подрядчик бывает и тем, и другим - в разных процессах. Бухфирма считает зарплату вашим людям как обработчик, но если она заодно зовёт ваших сотрудников на свой платный семинар, то в этой части она действует уже в своих целях и по своему основанию. Разделять надо по процессам, а не по компаниям.

Вопрос 2. Что подрядчик обязан делать сам?

Контрольный вопрос к первому, он же - тот признак, который мы разобрали выше на лаборатории и бухфирме.

Спросите себя: осталась бы у подрядчика хоть какая-то обязанность перед этими людьми, если бы вашего договора не существовало? У лицензированной лаборатории осталась бы - она ведёт свою медицинскую документацию. У бухфирмы, колл-центра и IT-подрядчика - нет: вне вашей задачи они этих людей вообще бы не увидели. Есть обязанность - самостоятельный оператор. Нет - обработчик, и вам нужно поручение.

Если подрядчик - обработчик: что должно быть в поручении

Закон довольно подробно описывает, что должно быть в поручении. Этот перечень стоит держать перед глазами, когда юрист подрядчика присылает вам договор.

Это может быть раздел в основном договоре, а не отдельный документ - форма закон не волнует, волнует содержание. На практике проще всего попросить у подрядчика допсоглашение «о поручении на обработку персональных данных» и сверить его с этим списком по пунктам.

Кому подрядчик передаёт данные дальше

Последнее условие в списке, и спрашивают о нём при заключении договора реже всего. Зря - именно здесь ваши данные уходят за горизонт.

Бухфирма отправляет отчётность через оператора электронного документооборота. Колл-центр арендует облачную телефонию. IT-подрядчик хранит копию базы у хостера. Так у ваших данных появляется второй ряд получателей, о котором вы не знаете. Законом это управляется через условия поручения: привлечение третьих лиц можно запретить или обусловить вашим согласием (ч. 3 ст. 6 152-ФЗ). Если в договоре про это не написано ничего, вы узнаете о субподрядчике в худший из моментов - когда данные утекут именно у него.

«А если подрядчик откажется подписывать?»

Ответ «у нас типовой договор, ничего подписывать не будем» встречается часто. Отвечать на него стоит спокойно: поручение нужно вам обоим - без него подрядчик обрабатывает данные без основания и рискует наравне с вами. Если и это не действует, вопрос переходит из юридической плоскости в коммерческую: подрядчик, который не готов подписать документ, обязательный по закону, - это тот подрядчик, за чью утечку платить будете вы.

«А если он работает в нашей базе, а не у себя?»

Еще один популярный вопрос, - и ответ на него не тот, которого ждут.

Обработка - это не только «скачал к себе». Доступ к данным сам по себе - операция обработки (п. 3 ст. 3 152-ФЗ). Поэтому удалённый доступ подрядчика к вашей 1С - такая же обработка, как выгрузка файла, и поручение нужно в обоих случаях. Прямо в Трудовом кодексе про удалённый доступ ничего не сказано, но по смыслу нормы безопаснее исходить из того, что открыть постороннему доступ к данным работников - то же самое сообщение третьей стороне, что и переслать их файлом (ст. 88 ТК РФ).

Разница между «работает у нас» и «вывозит к себе» есть, но она про риск, а не про бумаги: чем меньше копий базы гуляет по чужим ноутбукам, тем меньше шансов на утечку. Документы при этом нужны одни и те же.

Согласие субъекта: когда нужно, когда нет

Тонкое место, где легко перегнуть в обе стороны.

Поручить обработку другому лицу оператор вправе с согласия субъекта, если иное не предусмотрено федеральным законом (ч. 3 ст. 6 152-ФЗ). Для клиентских данных это редко означает «соберите ещё одну подпись со всех»: если вы собирали данные с согласия, где корректно описаны цели и круг лиц, отдельная бумага под каждого подрядчика не нужна. Но своё согласие стоит перечитать. Ищите в нём фразу вроде «оператор вправе поручить обработку персональных данных другим лицам в целях…» с перечислением целей. Нет такой фразы - согласие круг привлечённых лиц не покрывает.

Если не видно, а база собрана за несколько лет, переподписывать всех подряд обычно нереально: правьте форму согласия на будущее, а по накопленной базе решайте с юристом, какие цели закрываются другим основанием из ч. 1 ст. 6 152-ФЗ - например, исполнением договора с самим клиентом.

А вот сам подрядчик согласие не собирает: лицо, обрабатывающее данные по поручению, не обязано получать согласие субъекта (ч. 4 ст. 6 152-ФЗ). Это ваша зона ответственности, и переложить её на аутсорсера договором не выйдет.

Отдельная история - подрядчик за рубежом: там распределение обязанностей другое (ч. 6 ст. 6 152-ФЗ), и это тема для отдельного разбора.

Если подрядчик - самостоятельный оператор: что вместо поручения

Если по обоим вопросам вышло, что цель у подрядчика своя, поручение не нужно. Нужно другое.

Своё основание для передачи. Данные вы передаёте, значит, у передачи должно быть основание - чаще всего согласие человека или исполнение договора с ним. Отсутствие поручения не отменяет необходимости основания, оно просто другое.

Прозрачность для человека. Он должен понимать, кто ещё участвует в оказании услуги. Не сюрпризом постфактум, а заранее - в согласии, договоре или политике обработки.

Границы использования. Второй оператор дальше работает по своим правилам, и повлиять на них вы уже не сможете. Поэтому смотреть, что он собирается делать с данными помимо вашей общей задачи, надо до передачи, а не после.

Похожая развилка подробно разобрана у меня в статье про совместный вебинар двух компаний: там две организации собирают данные участников, и вопрос «поручение или передача» решается ровно так же.

Данные ваших работников: почему поручения мало

Это самая дорогая развилка из всех, и пропускают её чаще прочих. Если подрядчику уезжают зарплаты, кадры, воинский учёт или ДМС, включается не только 152-ФЗ, но и Трудовой кодекс - с отдельным требованием, которого в договоре с подрядчиком обычно нет вовсе.

Отдавая на аутсорс бухгалтерию или кадры, вы передаёте не абстрактные данные, а паспорта, ИНН, СНИЛС и зарплаты живых людей, которые дали вам эти сведения как работодателю. Трудовой кодекс смотрит на такую передачу строже, чем 152-ФЗ.

Работодатель не вправе сообщать данные работника третьей стороне без его письменного согласия, кроме случаев угрозы жизни и здоровью и случаев, прямо предусмотренных законом (ст. 88 ТК РФ). Роскомнадзор эту норму трактует прямо: привлекая стороннюю организацию для ведения кадрового и бухгалтерского учёта, работодатель обязан получить согласие работников на передачу их данных, и получать его должен именно работодатель, а не аутсорсер.

Три вопроса, которые задают все

«А если передача нужна для отчётности?» Отчётность в налоговую, Соцфонд, военкомат - это как раз «случаи, предусмотренные законом», там согласие не нужно. Но частная бухфирма - не госорган, и исключение на неё не распространяется. Основание для отчётности и основание для аутсорсера - разные вещи.

«У нас так три года, что теперь?» Начинать собирать согласия сейчас. Ваше нарушение - не событие трёхлетней давности: данные уезжают к аутсорсеру каждый месяц заново.

Отсюда ответ и про срок давности. По составам ст. 13.11 КоАП РФ он равен году (ч. 1 ст. 4.5 КоАП РФ) - но год этот считается от нарушения, а ваше нарушение повторяется с каждой новой передачей. Ждать, пока «старое сгорит», бессмысленно: пока данные уезжают, отсчёт начинается заново.

Как только согласия собраны, новые передачи становятся законными. Прошлое от этого не исчезает - задним числом его не вылечить, - но риск перестаёт нарастать каждый месяц, а это единственное, чем вы сейчас управляете. Цена бездействия 100–300 тыс. ₽ на должностное лицо и 300–700 тыс. ₽ на организацию (ч. 2 ст. 13.11 КоАП РФ).

«Если работник откажется?»

Право отказаться у него есть, и заставить нельзя. На практике это значит буквально следующее: данные этого человека аутсорсеру не передаются. Остальных - передаются, а его нет.

Обход, который приходит в голову первым, не работает: перевести расчёт в свою базу и дать аутсорсеру удалённый доступ - не выход, потому что доступ это тоже обработка (разбирал выше, в главе про поручение).

Значит, участок этого работника остаётся у вас. Отчётность по нему в налоговую, Соцфонд и военкомат идёт как обычно - это прямо предусмотренный законом случай, согласие там не нужно. А расчёт и кадровые документы ведёт кто-то свой: если внутри нет вообще никого, то директор с доступом к сервису сдачи отчётности. Неудобно, но выполнимо. Где именно проходит граница между «делаем сами» и «можно отдать аутсорсеру», в общем виде не скажешь - зависит от того, как у вас устроен расчёт. Тот случай, когда полчаса юриста дешевле штрафа.

Что подписать и в каком порядке

Бумаг две.

Согласие работника - лист, который вы даёте человеку на подпись. В нём должно быть: наименование и адрес того, кому передаются данные; объём передаваемых данных; конкретная цель передачи. Рабочая формулировка выглядит так: «Даю согласие на передачу моих персональных данных (ФИО, паспортные данные, ИНН, СНИЛС, сведения о заработной плате) в ООО „Ромашка“, адрес: …, в целях ведения бухгалтерского и кадрового учёта, начисления и выплаты заработной платы, подготовки и сдачи отчётности».

Два экземпляра: один работнику, второй вам. Если кадры тоже на аутсорсе, оригиналы держите у себя - это ваш документ, подтверждающий законность передачи, и он должен лежать там, откуда вы достанете его для проверяющего.

Допсоглашение с подрядчиком - то самое поручение по списку из главы «Если подрядчик - обработчик». В него же добавляется строка из ст. 88 ТК РФ: получатель использует данные только в целях передачи и подтверждает соблюдение этого правила.

Что дальше с этими бумагами

Новых сотрудников проще подключать сразу: согласие подписывается вместе с трудовым договором, в один заход с остальным пакетом.

Важно: согласие именное - в нём стоит конкретный получатель. Сменили бухфирму - старые согласия под нового подрядчика не работают, собирать придётся заново. Это довод в пользу того, чтобы не менять аутсорсера каждый год без веской причины, и повод заранее решить, кто в компании отвечает за этот процесс.

Ещё частый вопрос: «а если бухгалтер - физлицо на ГПХ, не компания?» Разницы нет. Для закона это такое же «другое лицо», и поручение с согласием нужны ровно так же.

Три случая из практики

Проверим разбор на конкретике. Два случая разбираются однозначно, третий показывает, как одна и та же услуга расходится по разным раскладам.

1. Бухгалтерия на аутсорсе: обработчик плюс согласия

Цель ставите вы: посчитать зарплату вашим людям и сдать за вас отчётность. Бухфирма исполняет - значит, обработчик.

Документы: поручение в договоре по списку из главы «Если подрядчик - обработчик» плюс письменные согласия работников. Отчётность в госорганы бухфирма сдаёт от вашего имени, и на эту часть согласие не нужно, но на саму передачу ей данных - нужно.

Где обычно ошибаются: подписывают NDA и считают вопрос закрытым. Соглашение о конфиденциальности закрывает один пункт из десяти - молчать. Ни состава данных, ни целей, ни мер защиты, ни обязанности сообщать об утечках в нём нет.

2. Колл-центр: смотря чей продукт продают

Обзванивают вашу базу по вашим скриптам с вашим предложением - обработчик, нужно поручение.

Но бывает иначе: вы отдали базу партнёру, и он предлагает людям собственную услугу. Это уже не поручение, а передача другому оператору, и основание для неё нужно своё.

Где обычно ошибаются: подписывают один договор на «услуги колл-центра» и обрабатывают по нему обе ситуации сразу.

3. IT-подрядчик с доступом к 1С: обработчик, о котором забыли

Внедрение закончилось год назад, акт подписан, а учётная запись подрядчика в базе живёт - и в ней весь кадровый состав.

Документы те же: поручение плюс согласия работников, потому что в базе 1С лежат именно их данные. Детально этот случай я разбирал в статье про доработку 1С подрядчиком.

Где обычно ошибаются: дают подрядчику доступ ко всей базе вместо нужного среза и не отзывают его после проекта. Специалисту по расчёту зарплаты не нужна ваша клиентская база, а сервису рассылок - паспорта сотрудников.

Когда утекло: кто будет отвечать

Представьте: работник пишет заявление - сообщите, кому передавались мои персональные данные. Такое право у него есть, ответить придётся. Вы идёте выяснять и обнаруживаете, что данные ушли в бухфирму, оттуда - в сервис отчётности, а кто их сейчас хранит, внятно не отвечает никто.

Теперь то же самое, но с утечкой. Данные утекли не у вас, а у подрядчика - и это ничего не меняет: за действия обработчика перед человеком отвечает оператор, то есть вы (ч. 5 ст. 6 152-ФЗ). Аргумент «виноват подрядчик» не работает ни в разговоре с Роскомнадзором, ни в суде с самим человеком.

Сам обработчик отвечает перед вами (ч. 5 ст. 6 152-ФЗ). Обратите внимание на конструкцию: закон говорит, что он отвечает, но не говорит, чем и в каком размере. Это предмет вашего договора с ним - суммы, порядок возмещения, обязанность компенсировать штраф, прилетевший из-за подрядчика. Если в договоре про это ни слова, взыскивать будет не с чего.

Что об этом знает Роскомнадзор

Уведомление об обработке персональных данных подаёт оператор - то есть вы, а не подрядчик (ст. 22 152-ФЗ). За работу по вашему поручению аутсорсер отдельно не отчитывается: в реестре он стоит сам по себе, как оператор своих клиентов и сотрудников.

А вот вписать его в своё уведомление должны вы: там указываются сведения о лицах, которые обрабатывают данные по вашему поручению (ч. 3 ст. 22 152-ФЗ). Отсюда следствие, о котором забывают: сменили аутсорсера - сведения устарели. Об изменении нужно сообщить регулятору не позднее 15-го числа месяца, следующего за месяцем изменения (ст. 22 152-ФЗ).

Проверить, что у вас есть и что там написано, можно в реестре операторов на портале персональных данных Роскомнадзора — pd.rkn.gov.ru, там же подаётся и информационное письмо об изменении сведений. Если компании много лет, а кто и когда подавал уведомление, никто не помнит - начните с поиска себя в реестре по ИНН.

Смена бухфирмы или переезд в другой сервис - повод подписать новый договор и сразу обновить сведения в реестре.

Что спросить у юриста

Пару раз выше я отправил вас к юристу, и это честнее, чем выдумывать универсальный ответ. Собрал сюда все вопросы, которые стоит ему задать по этой теме. Чтобы сэкономить его время спрашивайте конкретно:

1. Покрывает ли наше действующее согласие клиентов передачу данных привлечённым лицам - или форму надо править и на что опереться по уже собранной базе?

2. Какие операции по работнику, отказавшемуся дать согласие, мы обязаны выполнить сами, а какие закрываются отчётностью в госорганы?

3. Чем в договоре подкрепить ответственность подрядчика перед нами - какие суммы и порядок возмещения реально взыскиваются в нашей отрасли?

Короткий Чек-лист для самопроверки

Ну и в заключение небольшой чек-лист, чтобы не забыть себя проверить.

• Список всех, кто видит ваши данные, — на одном листе

• По каждому проставлена роль: поручение / самостоятельный оператор

• В договорах с обработчиками есть все обязательные условия поручения (глава «Если подрядчик — обработчик»)

• Прописано, что подрядчик сообщает вам об инциденте немедленно — ваш собственный срок на уведомление РКН считается часами, разбирал его в статье про утечки

• Условие о субподрядчиках: запрет или ваше согласие

• Согласия работников собраны там, где данные уходят на сторону

• Ответственность подрядчика перед вами описана суммами, а не словом «несёт»

• Доступы минимальны, забытые учётные записи отозваны

• Перечень обработчиков в уведомлении РКН актуален