Условия договора ПДН: что прописать с подрядчиком, чтобы не получить штраф

Почему без правильного договора передача данных подрядчику — это нарушение

Когда вы даёте подрядчику доступ к базе клиентов, заказам или формам обратной связи, по закону это называется поручением обработки персональных данных. Вы остаётесь оператором и отвечаете перед Роскомнадзором, а подрядчик действует от вашего имени и по вашим правилам.

Если в договоре нет условий о персональных данных — целей обработки, списка действий, требований к защите и запрета на передачу третьим лицам, — регулятор может квалифицировать это как обработку без законных оснований. А это уже риск административной ответственности.

Закон не требует отдельного документа — условия поручения можно включить разделом в обычный договор на услуги или приложением к нему. Главное, чтобы все обязательные пункты были прописаны явно и однозначно.

Какие условия обязательно должны быть в договоре с подрядчиком

152-ФЗ устанавливает минимальный набор условий для договора поручения. Во-первых, нужно указать, какие именно персональные данные передаются: например, ФИО, телефон, email, адрес доставки — не общими словами, а конкретным перечнем.

Во-вторых, перечислить действия, которые подрядчик может совершать с данными: запись в CRM, обработка заказов, отправка уведомлений. Любые действия за пределами этого списка без вашего согласия будут нарушением договора.

В-третьих, зафиксировать цели обработки: для чего подрядчик получает данные — исполнение договора с клиентом, аналитика посещений, техподдержка. Цели должны совпадать с теми, что указаны в вашей политике конфиденциальности и согласиях клиентов.

И обязательно — запрет на передачу данных третьим лицам без письменного согласия оператора, требование соблюдать конфиденциальность и применять меры защиты, обязанность немедленно сообщать об инцидентах. Без этих пунктов договор не будет защищать ни юридически, ни фактически.

Как через договор контролировать, где хранятся данные и какие сервисы использует подрядчик

Если подрядчик хранит данные российских граждан за рубежом или использует облачные сервисы с серверами не в России, это может создать риск ответственности для вас как оператора. Закон требует, чтобы запись и систематизация данных проходили на территории РФ.

В договоре нужно прямо указать требование хранить данные в России и запретить трансграничную передачу без вашего согласия. Можно обязать подрядчика раскрыть список используемых сервисов — хостинг, CRM, аналитика — и подтвердить их соответствие закону документально.

Если подрядчик работает с иностранными платформами — например, использует Google Analytics или Salesforce, — это не запрещено, но требует уведомления Роскомнадзора и согласия субъектов данных. Договор должен обязывать подрядчика согласовывать такие сервисы с вами заранее.

Кто отвечает перед Роскомнадзором, если данные утекли у подрядчика

Закон однозначен: оператор персональных данных отвечает за действия подрядчика, как за свои собственные. Если утечка произошла на стороне подрядчика, штраф может быть выписан вам — именно вы как оператор обязаны были обеспечить защиту данных и выбрать надёжного исполнителя.

Условия договора об ответственности подрядчика работают только между вами и им — во внутренних отношениях. После того как вы заплатите штраф регулятору, вы вправе взыскать эту сумму с подрядчика как убытки по договору, но это потребует суда и доказательств его вины.

Поэтому в договоре важно прописать не только обязанности подрядчика, но и право оператора запрашивать отчёты о мерах защиты, проводить аудит и немедленно расторгнуть договор в случае нарушения требований закона. Это не избавит от штрафа, но даст рычаги для возмещения ущерба.

Как проверить, что сайт передаёт данные сервисам и подрядчикам по правилам

Договор с подрядчиком — это одна сторона вопроса. Вторая — что реально происходит на сайте: какие данные собираются, куда уходят сетевые запросы, запускаются ли трекеры и формы до того, как посетитель дал согласие.

Dobrolex проверяет сайт с чистой сессии — как его видит новый посетитель — и фиксирует, какие сервисы получают данные, когда стартуют скрипты аналитики и авторизации, есть ли в политике конфиденциальности информация о подрядчиках. В отчёте вы получаете снимки экрана, цитаты из документов и правовую квалификацию каждого эпизода.

Это позволяет увидеть разрыв между договором и реальностью: например, подрядчик обещал хранить данные в России, а запросы уходят на серверы за рубежом. Или на сайте не раскрыто, что данные передаются третьим лицам, хотя по закону это обязательно указывать в политике.