Межоператорское соглашение о передаче персональных данных (Data Transfer Agreement)

Актуальность материала: 17.10.2026

DTA в двух словах

• Стороны равноправны, каждая может выступать и передающей, и получающей стороной.
• Соглашение подписывается один раз и бессрочно действует на все передачи ПД между сторонами.
• Стороны дают взаимные заверения о правомерности передачи, уведомлении субъектов, конфиденциальности и безопасности ПД.
• Об инцидентах получающая сторона уведомляет передающую не позднее 12 и 48 часов.
• Приложение о трансграничной передаче применяется только при ее фактическом осуществлении.

В процессе сотрудничества и иного взаимодействия операторов персональных данных (ПД) с контрагентами, являющимися юридическими лицами или индивидуальными предпринимателями (включая партнеров, поставщиков, клиентов, агентов, вендоров), операторы передают им ПД собственного персонала и иных лиц, а также получают от контрагентов ПД их представителей или иных субъектов ПД.

Крайне желательно иметь гарантии, что передаваемые между указанными сторонами ПД будут обработаны исключительно при условии соблюдения всех требований применимого законодательства о ПД, а также в соответствии с применимыми политиками об организации обработки и обеспечении безопасности ПД.

Вышеуказанные гарантии могут быть получены путем заключения рамочного межоператорского соглашения о передаче ПД без поручения их обработки (Data Transfer Agreement, DTA), содержащего взаимные заверения сторон об осуществлении ими правомерной передачи ПД друг другу, а также гарантии сторон об обеспечении конфиденциальности и безопасности переданных друг другу ПД.

DTA может использоваться (полностью или в какой-либо части) и/или модифицироваться любыми заинтересованными в этом лицами без каких-либо ограничений, при условии, что пользователь материала действует добросовестно и надлежащим образом, не имея намерения нарушить права и интересы автора материала, субъектов ПД или иных лиц. Но ответственность за любые последствия использования и/или модификации материала несет сам пользователь материала😉

Да, конечно! DTA не является универсальным и безусловно подходящим для всех операторов ПД, а также не претендует на статус отлитого в граните и истины в последней инстанции. DTA не только можно, но и нужно модифицировать под отраслевую и иную специфику конкретного сотрудничества и иного взаимодействия между операторами.

1.1.1. Брошюра дает принципиальный обзор основных пунктов проекта рамочного межоператорского соглашения о передаче ПД без поручения их обработки (Data Transfer Agreement), а также приложения к DTA о трансграничной передаче ПД.

1.2.1. Термины. Понятийный аппарат, фиксирующий критичные для Соглашения термины и определения (персональные данные, оператор, обработка персональных данных, передача персональных данных, разумный срок, инцидент) и позволяющий снять все сомнения относительно возможного несовпадения трактовок указанных понятий любыми заинтересованными лицами.

1.2.2. Статус сторон. Определение статуса каждой из сторон, в качестве общего правила, как самостоятельно действующего оператора, который несет собственную юридическую ответственность в отношении дальнейшей обработки ПД после их получения от передающей стороны.

• При этом Соглашение дозволяет сторонам, для отдельных случаев обработки ПД, квалифицировать отношения в контексте оператор-обработчик (ч.3 ст.6 152-ФЗ) или совместные операторы (п.2 ст.3 152-ФЗ, где оператор … лицо, самостоятельно или совместно с другими лицами…) путем заключения отдельных договоров и соглашений.
• Данный пункт закрепляет принцип равноправия между сторонами при взаимной передаче ПД, не дает каких-либо преимуществ и не ущемляет интересы любой стороны Соглашения.

1.2.3. Предмет. Предметом договора является возможность сторон передавать друг другу ПД различных категорий субъектов (физических лиц), имеющих устойчивую юридическую связь хотя бы с одной из сторон (например, работники, представители, владельцы каждой из сторон).

• Кроме того, пункт содержит описание минимального набора ПД, передаваемых между сторонами в рамках практически любых (в т.ч. деловых и переговорных) коммуникаций.
• Положения Соглашения распространяются и на опосредованную передачу, когда одна сторона получает ПД от третьих лиц по инициативе другой стороны, которая в этом случае признается передающей стороной.

1.2.4. Заверения о правомерности передачи. Взаимные заверения и гарантии сторон об осуществлении ими правомерной передачи ПД субъектов друг другу (ч.1 ст.6 и ч.8 ст.9 152-ФЗ) и об осуществлении ими правомерной последующей обработки полученных друг от друга ПД в предусмотренных Соглашением целях (ч.2 ст.5 152-ФЗ, абз.4 ч.1 ст.88 ТК РФ), а также о надлежащем уведомлении субъектов, в том числе силами третьих лиц, об указанных действиях с их ПД (ч.3 и п.1 ч.4 ст.18 152-ФЗ).

• Кроме того, перечисляются возможные цели для передачи ПД между сторонами, применимость которых зависит от содержания взаимоотношений между сторонами (что создает известную степень свободы для отношений между сторонами).
• Данный пункт защищает права и законные интересы субъектов при передаче их ПД, а также снижает риск предъявления претензий к сторонам от уполномоченных (надзорных) органов в отношении соблюдения сторонами должной осмотрительности и разумной осторожности при осуществлении взаимной передачи ПД.
• Так как одна сторона, de jure, получает ПД от другой стороны, а не от самих субъектов, то наличие данного пункта позволяет сторонам зафиксировать выполнение ими требования ч.8 ст.9 152-ФЗ о предоставлении друг другу подтверждения наличия оснований, указанных в п.п.2-11 ч.1 ст.6, ч.2 ст.10 и ч.2 ст.11 152-ФЗ.

1.2.5. Прекращение обработки. Фиксация обязательства сторон прекратить или обеспечить прекращение обработки переданных друг другу ПД путем их уничтожения по достижении или в случае утраты предусмотренных Соглашением целей (ч.7 ст.5 152-ФЗ), а также оговорка, дозволяющая сторонам продолжать обработку переданных друг другу ПД в рамках предусмотренных применимым законодательством (например, гражданским и отраслевым законодательством) случаев.

1.2.6. Конфиденциальность и безопасность. Взаимные заверения и гарантии сторон об обеспечении ими конфиденциальности и безопасности обработки переданных друг другу ПД (ст.7 и ч.1 ст.19 152-ФЗ).

• Отдельно акцентируется обязанность сторон применять необходимые правовые, организационные и технические меры при передаче ПД между сторонами.
• Данный пункт, с одной стороны, дополняет соответствующие условия о конфиденциальности информации в договорах и дополняет рамочные соглашения о конфиденциальности информации, которые были или будут заключены между сторонами, и, с другой стороны, позволяет сторонам дополнительно определить контрактный состав требований и мер защиты ПД.
• Кроме того, отдельно закреплено обязательство одной из сторон прекратить получение ПД (а также обработку ранее полученных от другой стороны ПД) в случае, если указанная сторона не может обеспечить конфиденциальность и безопасность обработки получаемых ПД.

1.2.7. Инциденты. Механизм минимизации негативных последствий для отдельно взятой стороны или сразу обеих сторон, наступление которых может быть связано с любым нарушением информационной безопасности или требований применимого законодательства или условий Соглашения в отношении ПД, полученных одной стороной от другой стороны.

• Такая минимизация становится возможной посредством установления требований к порядку и содержанию уведомлений об инцидентах.
• Дополнительным элементом регулирования является требование к осуществлению предварительных консультаций между сторонами в отношении уведомления уполномоченных органов и субъектов об инцидентах.

1.2.8. Проверка заверений. Механизм проверки соблюдения сторонами собственных заверений об осуществлении правомерной передачи и о последующей обработке ПД субъектов и о надлежащем уведомлении об указанных действиях с их ПД (см. п.1.2.4 Брошюры).

1.2.9. Привлечение третьих лиц. Оговаривается отсутствие у передающей стороны права ограничивать самостоятельность получающей стороны, как оператора, в отношении возможности самостоятельного осуществления обработки или привлечения третьих лиц (с поручением обработки ПД или с передачей ПД без поручения) к обработке ранее переданных ПД при условии наличия необходимых правовых оснований и обеспечения третьими лицами конфиденциальности и безопасности ПД, а также информирования ими получающей стороны об инцидентах.

• Данный пункт также закрепляет механизм проверки добросовестности действий сторон по привлечению третьих лиц к обработке ПД.
• Также включена отсылка на применимость к отношениям сторон положений, изложенных в Приложении (см. ниже) к Соглашению и регулирующих порядок взаимодействия Сторон в контексте трансграничной передачи ПД между российским отправителем ПД и их иностранным получателем в соответствии со ст.12 152-ФЗ.

1.2.10. Отпадение оснований и уточнение ПД. Механизм сотрудничества и разумного содействия между сторонами в случае прекращения действия оснований правомерности передачи и последующей обработки ПД, а также при возникновении обоснованной необходимости внесения изменений (исключений, исправлений, дополнений) в ранее переданные ПД, если они окажутся или станут неполными, неточными, неактуальными или неверными (ч.3 ст.20 152-ФЗ, абз.7 ст.89 ТК РФ).

1.2.11. Обращения и проверки. Механизм сотрудничества и разумного содействия между сторонами при рассмотрении и урегулировании запросов (жалоб, требований, предписаний, судебных исков), касающихся любой из сторон, а также в случае осуществления уполномоченными органами контрольных (надзорных) и (или) профилактических мероприятий в отношении одной или обеих Сторон. Данный пункт закрепляет некоторые формы возможного сотрудничества, в частности вступление в судебный процесс по запросу другой Стороны, дачу пояснений, предоставление сведений и документов.

1.2.12. Заверения и ответственность.

• Заверения понимаются как утверждения о фактах прошлого или настоящего, сообщаемые одной стороне с целью склонить ее к заключению Соглашения на определенных условиях и которые имеют определяющее значение для другой стороны (кредитора) при принятии решения о заключении Соглашения.
• В то же время гарантии представляют собой утверждения о фактах прошлого, настоящего или будущего. Надлежащий характер исполнения должником обязательств по Соглашению зависит от их достоверности. Такие утверждения предоставляют кредитору некие бонусы сверх того, что он получает по Соглашению. Лицо, дающее гарантии, берет на себя дополнительные обязательства по возмещению убытков в случае, если гарантированная информация окажется ложной.
• Предоставление недостоверных заверений об обстоятельствах (согласно ст.431.2 ГК РФ) является основанием для взыскания ущерба (убытков, а также неустойки, если она предусмотрена Соглашением) и отказа от исполнения Соглашения, а ответственность за предоставление недостоверных гарантий является сугубо договорной.
• Далее определяется объем юридической ответственности в отношении любой из сторон, в том числе за недостоверные заверения, который ограничен документально подтвержденным реальным ущербом и не включает в себя упущенную выгоду или иные косвенные или последующие убытки любой из сторон. Такая формулировка призвана, с одной стороны, упростить согласование текста Соглашения между сторонами и, с другой стороны, предоставить сторонам реальную (в т.ч. судебную) возможность компенсировать возможный ущерб.

1.2.13. Соблюдение требований. Общее положение о следовании сторонами применимым к ним требованиям об обработке и защите ПД в отношении полученных друг от друга ПД, а также договоренность сторон об оказании друг другу адекватной помощи в этом отношении.

1.2.14. Право и споры. Определение регулирующего законодательства (без учета его коллизионных норм права) и юрисдикции в отношении Соглашения, а также порядок рассмотрения и разрешения разногласий между сторонами, вытекающих из Соглашения или связанных с ним. Перед обращением в суд стороны проводят переговоры в течение 30 календарных дней и соблюдают претензионный порядок со сроком 10 рабочих дней с даты получения претензии.

1.2.15. Языковые версии. Установление преимущества русской версии Соглашения в случае выявления разногласий в трактовке русской и английской версий. Каждая из языковых версий Соглашения может использоваться отдельно, что позволит исключить данный пункт из Соглашения.

1.2.16. Бессрочность. Закрепление общего характера и бессрочности Соглашения, которое требует всего лишь однократного заключения и регулирует все договорные отношения между сторонами (включая ретроактивную оговорку).

1.2.17. Приоритет над соглашениями о конфиденциальности. Наделение Соглашения преимущественной силой по отношению к иным договорам и соглашениям о конфиденциальности или иным образом затрагивающим предмет настоящего Соглашения (передача ПД между самостоятельными операторами без поручения обработки ПД), так как стандартные условия о конфиденциальности информации обычно направлены на защиту сведений, составляющих коммерческую, служебную, банковскую тайну, при этом крайне редко или не в полной мере регулируют вопросы обработки и защиты ПД.

• 1.3.1. Сведения для передачи. Обязательство получающей стороны (далее получатель) до начала трансграничной передачи ПД предоставить отправителю сведения, предусмотренные ч.5 ст.12 152-ФЗ.
• 1.3.2. Форма сведений. Требования к форме/способу предоставления получателем сведений из предыдущего пункта.
• 1.3.3. Уничтожение по запросу. Обязательство получателя уничтожить ПД по запросу передающей стороны (далее отправитель) или направить отправителю мотивированный отказ (триггером должно быть решение Роскомнадзора).
• 1.3.4. Заверения получателя. Гарантии и заверения получателя о готовности выполнить обязательство по уничтожению ПД или направлению отказа в этом, а также отсутствии каких-либо препятствий для выполнения указанных обязательств.
• 1.3.5. Подтверждение уничтожения. Требования к форме/способу подтверждения получателем уничтожения ПД или отказа получателя в уничтожении ПД.
• 1.3.6. Препятствия. Обязательство получателя своевременно и добросовестно информировать отправителя о появлении любых обстоятельств, которые будут или могут препятствовать выполнению обязательства получателя по уничтожению ПД.
• 1.3.7. Уведомление РКН. Право отправителя уведомить Роскомнадзор и (или) иной уполномоченный орган в РФ о результатах уничтожения ПД или о получении отказа получателя в уничтожении ПД.
• 1.3.8. Судебная защита. Информирование получателя о праве отправителя обратиться в соответствующий суд за понуждением получателя к выполнению обязательств по договору, а также о праве предпринять предусмотренные законодательством меры к исполнению решения суда в стране получателя.

1.4.1. Оператор и его контрагенты должны проявлять должную осмотрительность при взаимной передаче ПД и иметь возможность получить подтверждение следующих фактов:

• передача ПД субъектов ведется на законном основании (ч.1 ст.6 152-ФЗ);
• ПД получаются оператором от контрагента, т.е. лица, не являющегося субъектом ПД, с предоставлением оператору подтверждения наличия законных оснований для такого получения (ч.8 ст.9 152-ФЗ);
• субъекты ПД надлежащим образом уведомлены о передаче их ПД (ч.3 и п.1 ч.4 ст.18 152-ФЗ).

1.4.2. Кроме того, на оператора и его контрагентов ст.7 и ч.1 ст.19 152-ФЗ возлагается обязанность обеспечивать конфиденциальность и безопасность ПД, в том числе переданных друг другу. DTA как двустороннее соглашение:

• фиксирует во взаимообязывающей форме для компании и ее контрагента все вышеуказанные требования законодательства РФ о ПД;
• закрепляет принцип равноправия компании и ее контрагента при взаимной передаче ПД, не дает каких-либо преимуществ и не ущемляет интересы обеих сторон Соглашения;
• является рамочным и бессрочным, то есть требует всего лишь однократного подписания;
• защищает права и законные интересы субъектов ПД при передаче их ПД между сторонами Соглашения;
• снижает риск предъявления претензий к оператору и его контрагенту со стороны уполномоченных органов (Роскомнадзора, органов прокуратуры, Роструда, Роспотребнадзора и т.д.) в отношении соблюдения должной осмотрительности, разумности и добросовестности при осуществлении взаимной передачи ПД;
• дополняет соответствующие условия о конфиденциальности информации в договорах и дополняет рамочные соглашения о конфиденциальности информации, которые ранее были заключены между оператором и его контрагентом (стандартные условия о конфиденциальности информации обычно направлены на защиту сведений, составляющих коммерческую тайну и иную служебную информацию конфиденциального характера, при этом крайне редко детально регулируют вопросы передачи и защиты ПД).

См. также

• Соглашения о персональных данных, выбор между поручением и передачей
• Соглашение об обработке персональных данных (Data Processing Agreement)
• Предварительная оценка соблюдения третьими лицами требований к обработке и защите ПД