Поручение обработки ПД: договор с подрядчиком и образец

Договор поручения нужен, когда сторонняя компания или человек обрабатывает персональные данные ваших клиентов по вашему заданию и в ваших целях: онлайн-чат, CRM, коллтрекинг, сервис рассылок, онлайн-запись, веб-студия с доступом к заявкам, бухгалтер на аутсорсе. В законе это называется «поручение оператора» (ч. 3 ст. 6 152-ФЗ), и там прямо перечислено, что в нём должно быть, — ниже эти пункты собраны в образец. Главное правило: поручение не снимает ответственность с вас. Перед клиентами и Роскомнадзором за подрядчика отвечаете вы, а подрядчик — только перед вами.

Ниже — чем поручение отличается от передачи данных, кому из подрядчиков оно нужно, что обязательно прописать, хватит ли оферты сервиса и что делать, если подрядчик за границей.

Что мы видим на сайтах

С 7 по 27 октября 2026 года сканер ScanRTM проверил 490 тысяч работающих российских сайтов. На 45,8% из них есть формы, которые собирают имя, телефон или почту. На 18,9% сайтов с формами в коде страниц стоит хотя бы один сторонний сервис, которому уходят данные посетителей: онлайн-чат, виджет CRM, коллтрекинг, квиз, онлайн-запись или платёжная форма. У каждого шестого такого сайта таких сервисов два и больше.

Это только то, что видно снаружи, в коде страниц. Хостинг есть у каждого сайта, а заявки из форм часто уходят в CRM или почтовый сервис уже на сервере — такие связи сканер не видит. Поэтому подрядчиков, которым нужно поручение, у типичного сайта больше, чем показывает таблица.

Поручение или передача данных

Не каждая отправка данных другой компании — поручение. Всё решает, в чьих целях обрабатываются данные.

Если подрядчик начинает использовать ваши данные и в своих целях — например, сервис рассылок пишет вашим клиентам свою рекламу, — это уже не поручение, а передача, и на неё нужно отдельное основание.

Кому из подрядчиков нужно поручение

Подробнее о том, где на самом деле лежат заявки из форм, — в статье «CRM и лид-формы: где хранятся заявки», о звонках — «Коллтрекинг и запись разговоров».

Что обязательно должно быть в поручении

Ч. 3 ст. 6 152-ФЗ (в редакции, действующей с 1 сентября 2022 года) требует восемь условий:

• Перечень персональных данных, которые обрабатывает подрядчик.
• Перечень действий с ними: сбор, запись, хранение, использование, удаление и т. д.
• Цели обработки — ваши, не шире.
• Обязанность соблюдать конфиденциальность данных.
• Обязанность выполнять ч. 5 ст. 18 и ст. 18.1 152-ФЗ: хранить базы с данными граждан РФ в России и принимать меры оператора.
• Обязанность предоставлять документы и информацию о принятых мерах по вашему запросу — в течение всего срока поручения, в том числе до начала обработки.
• Обязанность обеспечивать безопасность данных и требования к защите по ст. 19 152-ФЗ.
• Обязанность уведомлять вас об утечке и других случаях из ч. 3.1 ст. 21 152-ФЗ.

Подрядчик при этом обязан соблюдать все принципы и правила 152-ФЗ, а вот собирать согласия от ваших клиентов он не обязан (ч. 4 ст. 6) — это ваша задача.

Образец раздела о поручении

Этот текст можно вставить в договор с подрядчиком отдельным разделом или подписать как дополнительное соглашение. В квадратных скобках — то, что нужно заменить своим.

1. Оператор поручает Исполнителю обработку персональных данных [посетителей сайта example.ru и клиентов Оператора] в объёме: [фамилия, имя, номер телефона, адрес электронной почты, текст обращения].

2. Исполнитель вправе совершать с персональными данными следующие действия: [сбор, запись, систематизация, хранение, уточнение, извлечение, использование, удаление, уничтожение].

3. Цель обработки — [приём и обработка обращений посетителей сайта и связь с ними по их запросу]. Обработка в иных целях, в том числе в собственных целях Исполнителя, не допускается.

4. Исполнитель соблюдает конфиденциальность персональных данных, принципы и правила обработки, установленные Федеральным законом № 152-ФЗ, и не передаёт персональные данные третьим лицам без письменного согласия Оператора.

5. Исполнитель обеспечивает запись, систематизацию, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, и выполняет требования ст. 18.1 Федерального закона № 152-ФЗ.

6. Исполнитель обеспечивает безопасность персональных данных при обработке и принимает меры, предусмотренные ст. 19 Федерального закона № 152-ФЗ, в том числе: [разграничение доступа и учёт лиц, допущенных к данным; резервное копирование; антивирусная защита; журналирование действий с данными].

7. По запросу Оператора в течение срока действия поручения, в том числе до начала обработки, Исполнитель в течение [5 рабочих дней] предоставляет документы и информацию, подтверждающие принятие мер и выполнение требований настоящего раздела.

8. Исполнитель уведомляет Оператора о неправомерной или случайной передаче (предоставлении, распространении, доступе) персональных данных, повлёкшей нарушение прав субъектов, не позднее [6 часов] с момента её обнаружения и передаёт сведения, необходимые Оператору для уведомления Роскомнадзора.

9. По окончании договора или по требованию Оператора Исполнитель в течение [10 рабочих дней] уничтожает персональные данные и передаёт Оператору подтверждение уничтожения.

10. Исполнитель несёт ответственность перед Оператором за нарушение настоящего раздела и возмещает причинённые этим убытки.

Пункты 1–8 — требование закона, 9–10 — практика, которая сильно облегчает жизнь. Срок в пункте 8 ставьте короче суток: самому вам на первое уведомление Роскомнадзора об утечке закон даёт 24 часа, и они идут с момента, когда об утечке узнали вы, — см. «Уведомление РКН об утечке за 24 часа». Образец — ориентир: если данных много или они чувствительные (здоровье, паспорта), договор лучше показать юристу.

Хватит ли оферты сервиса

Для онлайн-сервисов отдельный договор обычно не подписывают: условия о поручении уже есть в оферте или в приложении к ней («соглашение об обработке персональных данных»), и принятие оферты — это и есть договор. Что сделать:

• найти этот раздел в документах сервиса и сверить с восемью пунктами выше;
• сохранить PDF или скриншот редакции на дату подключения — оферты меняются;
• проверить, где сервис хранит данные: если первичная база за границей, это нарушение локализации (ч. 5 ст. 18), и никакой договор его не исправит.

Если раздела о персональных данных в оферте нет — запросите его в поддержке. Серьёзный сервис на это ответит; молчание — повод подумать о замене. Как вообще выбирать облачного подрядчика — в статье «Облачные сервисы и 152-ФЗ: как проверить подрядчика».

Если подрядчик за границей

Зарубежный чат, CRM или сервис рассылок — три задачи сразу:

• ответственность общая: если вы поручаете обработку иностранному лицу, перед человеком отвечаете и вы, и подрядчик (ч. 6 ст. 6 152-ФЗ);
• трансграничная передача: до начала передачи нужно уведомить Роскомнадзор (ст. 12 152-ФЗ), см. «Трансграничная передача персональных данных»;
• локализация: данные граждан РФ сначала должны попадать в базу в России, см. «Локализация персональных данных». Штраф за нарушение локализации для компании — от 1 до 6 млн ₽ (ч. 8 ст. 13.11 КоАП).

На практике для малого бизнеса проще заменить зарубежный сервис российским, чем выполнять все три требования.

Кто отвечает, если подрядчик нарушил

• Перед клиентами и Роскомнадзором — вы (ч. 5 ст. 6 152-ФЗ). Штраф за нарушение у подрядчика выпишут оператору, а уже потом вы взыскиваете убытки с подрядчика по договору. Подробно — «Кто платит штраф: директор, юрлицо или подрядчик».
• Если договора поручения нет, передача данных подрядчику — обработка без законного основания. Это ч. 1 ст. 13.11 КоАП: для компании от 150 до 300 тыс. ₽. И взыскать что-то с подрядчика будет сложнее: в договоре нет обязательств по защите данных.
• Утечка у подрядчика — ваша утечка. Уведомлять Роскомнадзор (в течение 24 часов, затем 72 часов) и отвечать по ч. 12–14 ст. 13.11 КоАП (от 3 до 15 млн ₽ для компании в зависимости от числа пострадавших) придётся вам. Отсюда пункт 8 образца.
• Уведомление о намерении обрабатывать ПД подаёте вы, а не подрядчик: «Нужно ли уведомление, если данные обрабатывает подрядчик».

Отдельно о веб-студиях — «152-ФЗ для веб-студий: чья ответственность».

Как навести порядок за один вечер

1. Составьте список всех, кто касается данных клиентов: виджеты на сайте (их покажет отчёт сканера), почта, хостинг, CRM, бухгалтерия, студия.
2. Для каждого решите: поручение или самостоятельный оператор (см. таблицу выше).
3. Для онлайн-сервисов найдите раздел о поручении в оферте и сохраните его редакцию.
4. С остальными подпишите дополнительное соглашение по образцу.
5. Перечислите подрядчиков в политике обработки ПД и в тексте согласия — наименованиями, а не «нашими партнёрами».
6. Зарубежные сервисы замените или оформите трансграничную передачу.
7. Раз в полгода сверяйте список: виджеты на сайте появляются быстрее, чем их кто-то согласует.

Частые вопросы

Нужно ли согласие клиента на поручение обработки?

Закон допускает поручение с согласия субъекта, если иное не предусмотрено федеральным законом (ч. 3 ст. 6 152-ФЗ). Если основание обработки — согласие, а для заявок с сайта это обычно так, укажите в тексте согласия, что обработка поручается подрядчикам, и назовите их. Подробно о согласии — в статье «Согласие на обработку ПД: когда нужно».

Достаточно ли того, что я принял оферту сервиса?

Да, если в оферте есть все обязательные условия поручения. Принятие оферты — это заключение договора. Сохраните редакцию оферты на дату подключения.

Нужен ли договор поручения с хостингом?

Если провайдер администрирует сервер, делает резервные копии или иначе получает доступ к данным — да. Многие российские хостеры включают условие о персональных данных в оферту. При аренде сервера, к которому у провайдера нет доступа, вопрос спорный, но условие в договоре лишним не будет.

Можно ли поручить обработку фрилансеру?

Да. Поручение может получить и физическое лицо. Оформите договор подряда с теми же пунктами и выдайте доступ только к тем данным, которые нужны для работы.

Что будет, если договора поручения нет?

Передача данных подрядчику окажется обработкой без основания, штраф — по ч. 1 ст. 13.11 КоАП. А при утечке у подрядчика вы ответите перед Роскомнадзором и не сможете опереться на договор, чтобы возместить убытки.

Договор поручения — часть комплекта документов оператора для малого бизнеса. Сводные данные о том, какие сервисы стоят на российских сайтах, — в нашем исследовании.