Поручение на обработку персональных данных в оферте: что требует часть 3 статьи 6 и что из этого ложится на код

В офертах сервисов, которые продаются бизнесу – CRM, рассылки, HR-платформы, трекеры задач, сервисы расшифровки созвонов, – раздел про персональные данные есть почти всегда. Поручения на обработку в нем почти никогда нет, хотя авторы оферт обычно уверены в обратном.

Это не спор о формулировках. Поручение – то основание, по которому вы вообще держите у себя данные людей, которых вам передал клиент. Без него вы не «обработчик, действующий по чужой воле», а просто лицо, которое обрабатывает чужие персональные данные.

Дальше: что требует закон дословно, почему привычные формулировки не подходят и какая часть требований вообще не про текст договора, а про то, как устроен продукт.

Про какую ситуацию речь

Ваш сервис подключается к рабочим аккаунтам клиента-юрлица и видит данные его сотрудников. Или клиент грузит к вам базу своих покупателей. Или вы пишете созвоны, а на созвонах сидят кандидаты, подрядчики и клиенты клиента.

Общее одно: субъекты данных – не ваши пользователи. Они вас не выбирали и чаще всего о вашем существовании не знают.

Если вы собираете данные сами у своих же пользователей, это другая конструкция, и статья не про нее.

Текст нормы

Поручение описано в части 3 статьи 6 152-ФЗ. Длинно, одним предложением, но без него разговаривать не о чем:

Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора, в том числе государственного или муниципального контракта, либо путем принятия государственным органом или муниципальным органом соответствующего акта (далее – поручение оператора). <…> В поручении оператора должны быть определены перечень персональных данных, перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, цели их обработки, должна быть установлена обязанность такого лица соблюдать конфиденциальность персональных данных, требования, предусмотренные частью 5 статьи 18 и статьей 18.1 настоящего Федерального закона, обязанность по запросу оператора персональных данных в течение срока действия поручения оператора, в том числе до обработки персональных данных, предоставлять документы и иную информацию, подтверждающие принятие мер и соблюдение в целях исполнения поручения оператора требований, установленных в соответствии с настоящей статьей, обязанность обеспечивать безопасность персональных данных при их обработке, а также должны быть указаны требования к защите обрабатываемых персональных данных в соответствии со статьей 19 настоящего Федерального закона, в том числе требование об уведомлении оператора о случаях, предусмотренных частью 3.1 статьи 21 настоящего Федерального закона.

Из этого вытаскиваются две разные вещи: форма и состав.

Форма

«На основании заключаемого с этим лицом договора». Отдельной бумагой, письмом в почте или устной договоренностью поручение не оформляется – оно живет внутри договора: разделом, приложением или блоком в оферте.

И сразу отвечу на вопрос, ради которого часть читателей открыла статью. Оферта подходит. Акцепт конклюдентными действиями – оплатой, регистрацией, началом использования – по пункту 3 статьи 438 Гражданского кодекса считается принятием оферты, письменная форма при этом считается соблюденной. Если клиент принял вашу оферту, договор между вами заключен, и поручение внутри него работает ровно так же, как подписанное приложение на бумаге.

Проблема не в способе заключения. Проблема в том, что внутри.

Состав

Я выписал требования списком, потому что в сплошном тексте нормы их неудобно считать:

1. перечень персональных данных;

2. перечень действий (операций) с ними;

3. цели обработки;

4. обязанность соблюдать конфиденциальность;

5. обязанность соблюдать часть 5 статьи 18 (локализация) и статью 18.1;

6. обязанность по запросу оператора предоставлять документы и информацию, подтверждающие принятие мер, в том числе до начала обработки;

7. обязанность обеспечивать безопасность данных при обработке;

8. требования к защите по статье 19;

9. требование уведомлять оператора о случаях из части 3.1 статьи 21.

По этому списку свою оферту можно сверить прямо сейчас, не дочитывая. Если не находятся первые три – дальше можно не проверять, поручения нет.

Что обычно написано вместо

Четыре формулировки, которые встречаются чаще всего. Все четыре – реальные, только обезличенные.

«Исполнитель обязуется не разглашать ставшие ему известными персональные данные Заказчика и его работников». Самая частая. Это пункт 4 из списка выше – один из девяти. Обязательство молчать не описывает, что вы с данными делаете, в каком объеме и зачем, то есть не задает ни одной границы.

«Исполнитель обрабатывает персональные данные Заказчика в целях оказания Услуг по Договору». Выглядит как цель, но целью обработки не является: это описание отношений сторон. Под «оказание услуг» подводится что угодно, и на проверке выясняется, что цель в вашей оферте не совпала с целью, ради которой данные собирал клиент.

Здесь же – отдельный нюанс, на который редко обращают внимание. Формулировка «Исполнитель обрабатывает» односторонняя. Поручение дает клиент, а не вы, и это должно быть видно из текста: «Заказчик поручает Исполнителю обработку персональных данных». Разница не стилистическая – в первом случае из договора не следует, что волеизъявление оператора вообще было.

«Обработка персональных данных осуществляется в соответствии с Политикой, размещенной по адресу…». Политика – ваш односторонний документ, адресованный субъектам и регулятору. Поручение двустороннее по определению, и односторонним документом оно не заменяется. Отдельно замечу, что ссылка на политику в этом месте часто означает, что к клиенту применяют документ, написанный вообще про других людей – про посетителей вашего сайта.

«Заказчик подтверждает, что получил все необходимые согласия субъектов персональных данных». Нужная гарантия, но не поручение. Согласие субъекта – основание обработки у оператора, то есть у клиента, и дается оно конкретному оператору на конкретные цели. Ваших прав и ваших обязанностей из него не возникает: гарантия закрывает законность передачи, а не ваш статус.

Что из этого нельзя написать в договоре

Вот ради чего я вообще сел это писать. Часть требований из списка выполняется не текстом, а продуктом, и если про них вспомнить на этапе «надо подписать документ с клиентом», будет поздно.

Доказательство акцепта

Прямого требования в части 3 статьи 6 нет, оно вытекает из формы: поручение существует постольку, поскольку заключен договор. Значит, вы должны уметь показать, какую редакцию и когда принял конкретный клиент.

На практике это отдельная неизменяемая таблица: идентификатор аккаунта, код документа, номер редакции, момент акцепта, способ (регистрация, оплата, отметка в интерфейсе), технические атрибуты. Текст самой редакции хранится рядом как артефакт – файл с контрольной суммой, а не «то, что сейчас лежит на проде по этому URL». Прод меняется, а доказывать придется состояние на дату.

Проверка простая: если завтра клиент спросит, какую версию он принял в марте позапрошлого года, вы сможете ответить, не поднимая бэкапы?

Порядок смены редакции

Поручение устаревает быстрее, чем кажется: добавили интеграцию, расширили состав полей, завели новый тип обработки – и перечень операций перестал совпадать с реальностью.

Обновить его в оферте можно, только если в самой оферте описано, как вводится новая редакция: с какого момента, как вы уведомляете, что считается принятием. Если этого нет, вы возвращаетесь к индивидуальным переговорам с каждым клиентом – и главное преимущество оферты пропадает ровно тогда, когда оно нужно.

Уведомление об инциденте

Пункт 9 списка отсылает к части 3.1 статьи 21. Там у оператора два срока: 24 часа на первое уведомление Роскомнадзора об инциденте и 72 часа – на второе, о результатах внутреннего расследования.

У вас обязанности сообщить клиенту о случившемся нет вообще, пока она не установлена поручением. Без нее клиент узнает об инциденте последним и в свои 24 часа не укладывается ни при каких условиях.

Слово «незамедлительно» здесь бесполезно: в реальном инциденте оно превращается в спор о том, что считать незамедлительным, когда у клиента уже идут часы. Ставьте число, заведомо меньшее суток.

И это процесс, а не пункт договора: кто детектит, кому эскалирует, по какому каналу уходит клиенту (именно ответственному лицу, а не «в поддержку»), какой состав сведений уходит. Если этого нет, срок в договоре – просто более точная формулировка невыполнимого обязательства.

Блокирование по запросу

Часть 1 статьи 21 обязывает оператора при выявлении неправомерной обработки заблокировать данные субъекта или обеспечить их блокирование, если обработка идет у лица, действующего по его поручению. То есть по запросу клиента вы должны уметь заблокировать данные конкретного человека. Не удалить аккаунт целиком, не выгрузить и не «пометить флагом в основной таблице» – именно прекратить обработку по конкретному субъекту на период проверки, сохранив сами данные.

В большинстве продуктов такой операции нет, и обнаруживается это в момент, когда она понадобилась.

Перечень операций

Инстинкт подсказывает написать пошире, чтобы ничего не ограничивать. Инстинкт неправ. Широкая формулировка не дает границы, а на проверке именно граница доказывает, что вы делали только порученное. Закрытый перечень – это ваша защита, а не уступка клиенту.

Обратная сторона: перечень должен переживать релизы. Если он написан на уровне «просмотр, хранение, передача внутри сервиса», он проживет годы; если на уровне названий конкретных фич – будет переписываться каждый квартал.

Когда поручение есть, но перестает соответствовать

Отдельный сюжет, который обычно не замечают.

Даже корректно составленное поручение перестает описывать реальность, если продукт начинает использовать клиентские данные в собственных целях: обучает на них модели, строит сквозную аналитику по всем клиентам, собирает общий стоп-лист, обогащает записи из внешних источников.

Проверяется по определению оператора – пункт 2 статьи 3: оператор это тот, кто организует или осуществляет обработку, а также определяет цели обработки, состав данных и совершаемые действия. Если по какой-то функции цели, состав и операции определяете вы, по этой функции вы оператор, а не обработчик, и поручение ее не покрывает. Оператор физически не может поручить то, что делается не в его интересах.

Это не катастрофа. Это значит, что по такой функции нужна своя правовая модель – свое основание обработки, свое информирование, возможно, свое уведомление. Плохо не быть оператором, плохо быть им, не зная об этом.

Если поручение прислал клиент

Вторая половина случаев: клиент приходит со своим договором и своим поручением. Документ обычно корректный – и написан целиком в интересах той стороны.

Смотреть стоит на совпадение перечня и целей с тем, что вы реально делаете. Формулировка шире реальности означает, что вы приняли ответственность за операции, которых не совершаете. Уже реальности – хуже: любая ваша штатная функция оказывается за границей поручения, и вы нарушаете договор просто работая.

Есть еще норма, про которую почти никто не вспоминает. По части 6 статьи 6, если оператор поручает обработку иностранному физическому или юридическому лицу, перед субъектом отвечают оба – и оператор, и обработчик. Общее правило части 5 (перед субъектом отвечает оператор, обработчик отвечает перед оператором) в этом случае не работает. Для сервисов с иностранным юрлицом в контуре или с иностранным субпроцессором это меняет расклад целиком.

Чем проверить свою оферту

Открыть и поискать ответы на несколько вопросов:

• есть ли фраза, из которой видно, что именно заказчик поручает вам обработку;

• перечислены ли данные и действия с ними;

• названа ли цель – не «оказание услуг», а то, ради чего обрабатываются именно эти данные;

• есть ли ваша обязанность уведомить клиента об инциденте и стоит ли в ней число;

• сможете ли вы показать, какую редакцию и когда принял конкретный клиент.

Последний вопрос – единственный, на который отвечает не юрист, а бэкенд. Обычно на нем все и заканчивается.

Напоследок

Штраф по части 1 статьи 13.11 КоАП за обработку в случаях, не предусмотренных законодательством, – от 150 000 до 300 000 рублей на юридическое лицо. Я специально оставил его в самом конце, потому что он здесь наименее интересная часть.

Отсутствие поручения годами никому не мешает. Оно обнаруживается не на проверке Роскомнадзора, а в анкете службы безопасности заказчика, который крупнее всех предыдущих, – то есть ровно в тот момент, когда сервис пытается вырасти. Это, пожалуй, единственная причина заниматься им заранее.