Каждый раз, передавая персональные данные клиентов или сотрудников сторонним компаниям, вы рискуете получить штраф до 1 миллиона рублей. С 30 мая 2025 года отсутствие договора с обработчиком или его несоответствие новым требованиям стало одним из самых дорогих нарушений. Разберем, как правильно оформить эти отношения.
Реальный кейс: Маркетинговое агентство передавало базу клиентов в call-центр без договора. При утечке данных Роскомнадзор оштрафовал both компании: агентство — на 500 000 руб. за отсутствие договора, call-центр — на 300 000 руб. за недостаточную защиту данных.
Кто такие обработчики по 152-ФЗ?
Обработчики — это сторонние организации и ИП, которые обрабатывают данные по вашему поручению:
-
IT-компании и хостинг-провайдеры
-
CRM-системы и сервисы рассылок
-
Бухгалтерские и юридические услуги
-
Колл-центры и маркетинговые агентства
-
Курьерские службы
Обязательные условия договора с обработчиком (ст. 6 152-ФЗ):
-
Перечень действий с данными — конкретные операции (хранение, систематизация и т.д.)
-
Цели обработки — должны соответствовать вашим целям как оператора
-
Обязанность соблюдать конфиденциальность
-
Требования к защите обрабатываемых данных
-
Порядок уничтожения данных после завершения обработки
Образец раздела договора:
"3.1. Исполнитель обязуется осуществлять обработку персональных данных исключительно в следующих целях: [конкретные цели]
3.2. Обработка осуществляется путем совершения следующих действий: [хранение, запись, систематизация]
3.3. Исполнитель обязуется принимать все необходимые меры для защиты персональных данных в соответствии со статьей 19 152-ФЗ
3.4. По завершении обработки Исполнитель обязуется уничтожить персональные данные с составлением соответствующего акта"
Таблица ответственности сторон:
| Нарушение | Ответственность оператора | Ответственность обработчика |
|---|---|---|
| Утечка данных | Штраф до 1 млн руб. | Штраф до 1 млн руб. + возмещение ущерба |
| Обработка не в целях договора | Штраф до 500 тыс. руб. | Расторжение договора + возмещение ущерба |
| Несоблюдение требований защиты | Штраф до 1 млн руб. | Расторжение договора + возмещение ущерба |
Чек-лист проверки действующих договоров:
-
В договоре есть раздел о обработке ПДн
-
Указаны конкретные цели обработки
-
Определен перечень действий с данными
-
Установлены требования к защите
-
Прописан порядок уничтожения данных
-
Есть условие о конфиденциальности
-
Определена ответственность сторон
Кейс: Приведение договоров в соответствие для сети клиник
Проблема: 15 договоров с различными подрядчиками не соответствовали новым требованиям
Решение:
-
Разработали типовое допсоглашение для всех подрядчиков
-
Провели аудит мер защиты у каждого обработчика
-
Заключили новые договоры с IT-компаниями
-
Внедрили реестр обработчиков с контролем сроков действия
Результат: Полное соответствие требованиям 152-ФЗ, успешное прохождение проверки РКН.
FAQ по договорам с обработчиками:
Вопрос: Нужен ли отдельный договор или достаточно раздела в основном?
Ответ: Достаточно раздела в основном договоре, но он должен содержать все обязательные условия.
Вопрос: Что делать, если обработчик отказывается подписывать договор?
Ответ: Искать другого подрядчика. Работа без договора — прямое нарушение 152-ФЗ.
Вопрос: Нужно ли уведомлять РКН о всех обработчиках?
Ответ: Да, сведения об обработчиках указываются в уведомлении об обработке ПДн.
Наша услуга "Аудит договоров с обработчиками" включает:
-
Проверку всех действующих договоров
-
Разработку типовых форм договоров и допсоглашений
-
Консультации по рискованным подрядчикам
-
Поддержку при переговорах с обработчиками