Соглашения о персональных данных

🧩 Возможность заключения соглашения о поручении обработки ПД прямо зафиксирована в ч.3 ст.6 152-ФЗ.

Следует отметить, что с точки зрения гражданско-правовых норм наиболее близким к институту поручения обработки ПД по своей правовой природе и форме реализации является институт агентского договора, определенный в главе 52 ГК РФ, либо возмездного оказания услуг (глава 39 ГК РФ). Договором поручения по ст.971 ГК РФ соглашение о поручении обработки ПД не является, поскольку обработчик совершает фактические действия с ПД, а не юридические действия от имени оператора.

🔁 Возможность заключения соглашения о передаче ПД в 152-ФЗ или иных нормативных правовых актах прямо не зафиксирована. Тем не менее, в соответствии со ст.421 ГК РФ граждане и юридические лица свободны в заключении договора. Стороны могут заключить договор, как предусмотренный, так и не предусмотренный ГК РФ или иными правовыми актами. Стороны могут заключить договор, в котором содержатся элементы различных договоров, предусмотренных законом или иными правовыми актами (смешанный договор). К отношениям сторон по смешанному договору применяются в соответствующих частях правила о договорах, элементы которых содержатся в смешанном договоре, если иное не вытекает из соглашения сторон или существа смешанного договора. Условия договора определяются по усмотрению сторон, кроме случаев, когда содержание соответствующего условия предписано законом или иными правовыми актами (ст.422 ГК РФ).

Кроме того, в 152-ФЗ есть косвенные указания на то, что передача (предоставление, доступ) ПД может осуществляться вне рамок поручения на обработку ПД:

1. п.11 ст.3 152-ФЗ дано определение трансграничной передачи ПД, в котором сама передача ПД напрямую не увязана с поручением обработки ПД. Это позволяет сделать вывод о возможности передачи ПД от оператора к органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу без необходимости поручать им вести обработку ранее переданных ПД в интересах оператора;
2. в ст.7 152-ФЗ указывается на возможность получения операторами и иными лицами доступа к ПД. Использование термина иные лица позволяет определить круг лиц, имеющих доступ к ПД, максимально широко, без однозначной привязки к роли обработчика ПД. Прямое требование соблюдать конфиденциальность ПД обращено одновременно к оператору и иным лицам, что подразумевает наличие у иных лиц прямой юридической ответственности перед субъектом за нарушение конфиденциальности его ПД. Следует отметить, что в субинституте поручения обработки ПД (см. ч.5 ст.6 152-ФЗ) предусмотрен иной порядок ответственности перед субъектом: …если оператор поручает обработку ПД другому лицу, ответственность перед субъектом ПД за действия указанного лица несет оператор. Лицо, осуществляющее обработку ПД по поручению оператора, несет ответственность перед оператором;
3. в п.1 ч.4 ст.18 152-ФЗ предусмотрена ситуация, в которой один оператор получает персональные данные субъекта от другого оператора и, соответственно, первый оператор освобождается от обязанности предоставить субъекту персональных данных сведения, предусмотренные ч.3 ст.18 152-ФЗ, в случае, если субъект персональных данных был ранее уведомлен об осуществлении такой обработки его персональных данных вторым оператором;
4. в ч.3 ст.20 152-ФЗ законодатель прямо указывает, что оператор может предоставлять ПД третьим лицам и должен принять разумные меры для уведомления этих третьих лиц о фактах неполноты, неточности, неактуальности переданных ПД, а также о фактах незаконного получения ПД или отсутствия необходимости в обработке ПД для достижения заявленной оператором цели обработки. Одновременно с этим, в ст.21 152-ФЗ закреплены гораздо более жесткие требования к оператору по устранению нарушений законодательства, допущенных при обработке ПД, по уточнению, блокированию и уничтожению ПД. Данная статья требует от оператора уже не только самому предпринимать те или иные действия, а обеспечивать их выполнение лицами, действующими по поручению оператора.

🧩 Соглашение о поручении обработки ПД является:

1. консенсуальным;
2. односторонним;
3. условно безвозмездным, так как в ч.3 ст.6 152-ФЗ возмездность поручения обработки ПД прямо не оговаривается. Обработка ПД, а также обеспечение конфиденциальности и безопасности ПД при обработке могут быть квалифицированы как оказание соответствующих услуг. Согласно ст.575 ГК РФ запрещены сделки дарения между коммерческими организациями, так как деятельность коммерческой организации должна быть направлена на получение прибыли. Т.е. при совершении подобной сделки, такая сделка изначально будет ничтожной, несмотря на то, что налоговое законодательство РФ допускает сделки дарения между юридическими лицами. Таким образом, соглашение о поручении обработки ПД между двумя коммерческими организациями должно сопровождаться возмездным договором, предусматривающим или взаимозачет, или вознаграждение (хоть какое-то встречное исполнение).

🔁 Соглашение о передаче ПД является:

1. консенсуальным;
2. двусторонним (взаимным);
3. как правило, безвозмездным.

🧩 Предметом соглашения о поручении обработки ПД является осуществление обработки ПД, то есть любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с ПД, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение ПД.

🔁 Предметом соглашения о передаче ПД является обеспечение правомерности передачи (предоставления, доступа) ПД между сторонами соглашения, а также обеспечение конфиденциальности и безопасности передаваемых между сторонами соглашения ПД при их обработке.

🧩 Сторонами соглашения о поручении обработки ПД являются:

1. оператор;
2. лицо, осуществляющее обработку ПД по поручению оператора.

Консервативный подход предполагает одно поручение на одного обработчика. В 2026 году РКН устно допустил одно поручение нескольким лицам при единой цели, а совместное поручение от нескольких операторов одному лицу по-прежнему не соответствует закону.

🔁 Сторонами соглашения о передаче ПД являются:

1. передающая сторона;
2. получающая сторона.

Каждая из сторон может выступать как передающей, так и получающей стороной.

🧩 Соглашение о поручении обработки ПД вступает в силу с момента его подписания обеими сторонами, является бессрочным и утрачивает свою силу:

1. с момента, предусмотренного взаимным соглашением сторон;
2. по истечении определенного срока с момента получения лицом, осуществляющим обработку ПД по поручению оператора, письменного уведомления от оператора о прекращении действия соглашения.

Поручение не является акцессорным обязательством и переживает основной договор, поэтому срок его действия и обязанности по уничтожению ПД привязываются к фактическому прекращению обработки, а не к сроку оказания услуг.

🔁 Соглашение о передаче ПД вступает в силу с момента его подписания обеими сторонами, является бессрочным и может быть расторгнуто по взаимному соглашению сторон или в одностороннем порядке с предварительным уведомлением другой стороны.

🧩 В ч.3 ст.6 152-ФЗ приводится лишь общая норма о формализации поручения обработки ПД в виде заключаемого договора, а также приводятся примеры двух частных случаев формализации поручения обработки ПД:

1. государственный или муниципальный контракт;
2. акт, принятый государственным или муниципальным органом.

Закон не требует, чтобы все обязательные условия поручения содержались в одном документе. Они могут быть согласованы в нескольких документах, в том числе в оферте провайдера и последующей переписке.

🔁 Указания о форме соглашения о передаче ПД в действующем законодательстве РФ отсутствуют.

Форма договора может быть либо установлена нормами права, либо свободно определяться по соглашению сторон. Закон обычно дает лишь общие указания на то, в каких случаях сделки подлежат заключению в устной, письменной (в том числе нотариальной) форме или в форме конклюдентных действий. 152-ФЗ и иные нормативные правовые акты в области ПД прямо не устанавливают форму соглашения о передаче ПД. В такой ситуации допустимо прибегнуть к аналогии закона и обратиться к гражданскому законодательству РФ, в частности, п.1 ч.1 ст.161 ГК РФ установлена обязательность совершения сделок в простой письменной форме в отношении юридических лиц между собой и с гражданами, за исключением сделок, требующих нотариального удостоверения.

🧩 Соглашение о поручении обработки ПД обладает следующими особенностями:

1. согласно ч.3 ст.6 152-ФЗ цель обработки ПД, содержание (перечень действий) обработки ПД, требования к защите ПД определяются волей (поручением) оператора. Иначе говоря, оператор фактически получает возможность контролировать некоторые действия лица, которому была поручена обработка ПД (например, оператор может обязать такое лицо производить блокирование, удаление, уничтожение, уточнение, обезличивание или предоставление ПД по соответствующему требованию оператора), и таким образом определять содержание некоторых бизнес-процессов данного лица;
2. согласно ч.4 ст.6 152-ФЗ лицо, осуществляющее обработку ПД по поручению оператора, не обязано получать согласие субъекта на обработку его ПД и опирается на основание, которым располагает оператор. Само поручение допускается с согласия субъекта, если иное не предусмотрено федеральным законом (ч.3 ст.6 152-ФЗ). По экспертному подходу договор, стороной или выгодоприобретателем которого является субъект, снимает необходимость отдельного согласия, РКН же устно называет согласие обязательным, а для кадрового и бухгалтерского учета требует письменного согласия работников;
3. согласно ч.5 ст.6 152-ФЗ ответственность перед субъектом ПД за действия обработчика несет оператор, а лицо, осуществляющее обработку ПД по поручению оператора, в свою очередь, несет ответственность перед оператором. Следует отметить, что данная норма не применяется в отношении обработки ПД, которую обработчик осуществляет в собственных целях, как оператор. Иностранный обработчик отвечает перед субъектом наряду с оператором (ч.6 ст.6 152-ФЗ). Отдельного правового режима обработчика в России нет, он одновременно является оператором и ведет собственный комплаенс;
4. может быть встречным, когда оба участника соглашения одновременно являются оператором и обработчиком ПД. Предполагается, что встречные поручения должны быть направлены на обработку ПД с отличающимися целями (иначе теряется смысл таких поручений, и они превращаются в юридическую фикцию);
5. считается незаключенным, если в соглашении не определены такие существенные условия как перечень ПД, перечень действий (операций) с ПД, цели обработки ПД, обязанность лица, осуществляющего обработку ПД, соблюдать конфиденциальность ПД, требования ст.18.1 и ч.5 ст.18 152-ФЗ, обязанность предоставлять оператору документы по его запросу, обязанность обеспечивать безопасность ПД при их обработке и требования к защите обрабатываемых ПД в соответствии со ст.19 152-ФЗ, включая уведомление оператора об инцидентах (ч.3.1 ст.21 152-ФЗ). Такой дефект выявляется при проверке и влечет предписание (дело № А40-81171/2017);
6. допускает привлечение субобработчика, только если это предусмотрено поручением и охвачено согласием субъекта, которое получает оператор;
7. может возникнуть в силу фактической возможности обработки, например при переносе информационных систем в облачный центр обработки, даже при договорном запрете доступа (письмо Управления РКН по Курской области от 18.06.2026).

🔁 Соглашение о передаче ПД обладает следующими особенностями:

1. стороны обрабатывают ПД на основании и во исполнение соответствующих договоров оказания услуг, выполнения работ или поставки товаров. При этом цель обработки ПД, содержание (перечень действий) обработки ПД, требования к защите ПД продиктованы не волей (прямым указанием) одной из сторон, а существом (предметом) договора, требованиями применимого законодательства и особенностью организации бизнес-процессов каждой из сторон;
2. каждая из сторон обязана обеспечивать правомерную передачу ПД, включая получение согласия субъектов на осуществление передачи их ПД, подтверждение наличия иных законных оснований для осуществления передачи ПД субъектов и подтверждение факта надлежащего уведомления субъектов о передаче их ПД и последующей обработке получающей стороной, в том числе силами третьих лиц (ч.3 и п.1 ч.4 ст.18 152-ФЗ). Получающая сторона, получая ПД не от субъекта, вправе требовать подтверждения оснований (ч.8 ст.9 152-ФЗ);
3. стороны, виновные в нарушении требований 152-ФЗ и подзаконных актов, самостоятельно несут предусмотренную законодательством РФ юридическую ответственность;
4. снижает риск предъявления претензий со стороны субъектов ПД и органов государственной власти Российской Федерации (органов Роскомнадзора, Прокуратуры, Роструда) в отношении соблюдения должной осмотрительности при осуществлении передачи ПД;
5. каждая из сторон действует в статусе оператора передаваемых ПД до момента их фактической передачи другой стороне, а также приобретает статус оператора в отношении получаемых от другой стороны ПД;
6. фиксирует во взаимообязывающей форме для сторон требования законодательства РФ о ПД, указанные в ч.1 ст.6, ст.7, ч.8 ст.9, чч.3 и 4 ст.18 и ч.1 ст.19 152-ФЗ;
7. закрепляет принцип равноправия сторон при взаимной передаче ПД, не дает каких-либо преимуществ и не ущемляет интересы обеих сторон соглашения;
8. является рамочным, то есть требует всего лишь однократного подписания и регулирует все существующие или возникающие договорные отношения между сторонами, в том числе может распространяться на ранее возникшие отношения;
9. позволяет одной стороне привлекать третьих лиц к обработке полученных ПД в рамках соответствующих договоров и соглашений без получения дополнительного согласия другой стороны при условии обеспечения указанными третьими лицами конфиденциальности и безопасности ПД при обработке, а также информирования ими получающей стороны об инцидентах;
10. дополняет соответствующие условия о конфиденциальности информации в договорах и дополняет рамочные соглашения о конфиденциальности информации, которые ранее были заключены между сторонами (стандартные условия о конфиденциальности информации обычно направлены на защиту сведений, составляющих коммерческую, служебную, банковскую тайну, при этом крайне редко или не в полной мере регулируют вопросы обработки и защиты ПД). По делу о передаче ПД подрядчику для хранения и архивирования суд указал, что действующее между сторонами соглашение о конфиденциальности не освобождает оператора от соблюдения требований законодательства о ПД (дело № А40-32030/2016), и этот вывод переносится на передачу самостоятельному оператору;
11. охватывает и опосредованную передачу, когда одна сторона получает ПД от третьих лиц по инициативе другой стороны;
12. применяет условия о трансграничной передаче только при ее фактическом осуществлении, с учетом изменений ст.12 152-ФЗ, внесенных Федеральным законом от 26.07.2026 № 265-ФЗ.

🧩 Соглашение о поручении обработки ПД следует рассматривать как приоритетный механизм формализации правоотношений по поводу обработки ПД в ситуации передачи оператором специализированному поставщику определенных бизнес-процессов (аутсорсинг бизнес-процессов). Определяющим признаком является отсутствие у поставщика собственной цели обработки ПД, он действует в интересах оператора и для достижения его цели. Взаимодействие между оператором и поставщиком является долгосрочным (обычно договор заключается на несколько лет) и носит стратегический характер (смена поставщика является дорогостоящей и может негативно повлиять на функционирование бизнес-процесса).

Стоит отметить, что в этой ситуации оператор сохраняет значительную степень контроля над формой и содержанием переданного бизнес-процесса. Оператор определяет облик обработки ПД, осуществляемой поставщиком с целью реализации переданного ему на аутсорсинг бизнес-процесса.

Перечень примеров (не является исчерпывающим) вышеперечисленных ситуаций:

1. ведение преддоговорной деятельности, оказание услуг, выполнение работ или поставка товаров посредством лиц, с которыми заключаются агентские договоры;
2. обеспечение безопасности на объектах недвижимости (услуги в сфере охраны), связанное с осуществлением учета посетителей и (или) видеонаблюдения;
3. работа с обращениями и запросами от заинтересованных лиц (услуги центра обработки вызовов, опросы/анкетирование для мероприятий);
4. организация и управление деловыми поездками работников (услуги бизнес-туризма);
5. организация визово-миграционной поддержки;
6. архивирование, хранение и уничтожение материальных носителей с ПД (архивные услуги);
7. предоставление комплексных ИТ-услуг и прикладных облачных сервисов, например CRM, кадрового ЭДО, почтовых и офисных сервисов, веб-аналитики, моделей ИИ (провайдер услуг является оператором тех ИС, которые используются заказчиком);
8. предоставление ИТ-инфраструктуры, колокация, техническое обслуживание информационной системы с ПД (провайдер услуг не берет на себя роль оператора такой системы, но может осуществлять доступ к ПД, при этом голая инфраструктура без возможности доступа к ПД признакам обработчика обычно не отвечает);
9. кадровое, бухгалтерское и ИТ сопровождение;
10. внешний подбор персонала (кадровые агентства, сервисы), осуществляемый на основании агентских договоров, при этом РКН считает кадровое агентство, оказывающее рекрутинговые услуги, самостоятельным оператором (письмо от 19.08.2025 № 08-409146);
11. направление рекламных рассылок от имени оператора, курьерская доставка, в том числе самозанятыми.

🔁 Соглашение о взаимной передаче (обмене) ПД следует рассматривать как приоритетный механизм формализации правоотношений по поводу обработки ПД в ситуации передачи оператором поставщику только определенных функций или элементов бизнес-процессов (аутсорсинг отдельных задач). Определяющим признаком является наличие у поставщика собственной цели обработки ПД и, как правило, собственных отношений с субъектом. Взаимодействие между оператором и поставщиком является краткосрочным, эпизодическим (обычно договор заключается на срок до одного года) и носит тактический характер (допустима регулярная смена поставщика, которая существенно не может повлиять на функционирование бизнес-процесса).

Стоит отметить, что оператор не осуществляет контроль над деятельностью своих поставщиков, контролируя лишь соблюдение указанных в договоре требований к полноте, качеству, срокам результата деятельности поставщиков. Оператор не определяет облик обработки ПД, осуществляемой поставщиком, а требует от последнего только ранее оговоренный результат.

Перечень примеров (не является исчерпывающим) вышеперечисленных ситуаций:

1. оказание услуг, выполнение работ или поставка товаров в пользу субъекта ПД, являющегося стороной договора или выгодоприобретателем по нему;
2. банковские зарплатные проекты;
3. страхование (имущественное и личное);
4. бронирование и приобретение гостиничных мест и транспортных билетов, услуги такси;
5. выполнение переводов текстов с одного языка на другой;
6. совершение нотариальных действий;
7. внешний подбор персонала (кадровые агентства, сервисы), осуществляемый на основании договоров оказания услуг;
8. услуги связи (операторы связи);
9. использование инфраструктуры электронного документооборота (сдача обязательной отчетности в ОГВ, взаимодействие с партнерами и т.п.);
10. внешнее обучение и аттестация (заказчик не диктует исполнителю содержание и форму обучения/аттестации);
11. медицинские осмотры и освидетельствования;
12. внешний финансовый аудит и контроль;
13. изготовление полиграфической продукции (визитки, корпоративные издания и плакаты);
14. справочно-информационные сервисы (СПАРК, Интегрум, Кронос-Информ);
15. посреднические услуги (визовые центры).

🧩 Необходимость в заключении соглашения о поручении обработки ПД возникает в том случае, если:

1. оператор, в принципе, способен самостоятельно осуществить обработку ПД для достижения предусмотренной цели, но в силу различных причин принял решение делегировать (полностью или в какой-либо части) функцию своему контрагенту-обработчику;
2. обработка ПД является самостоятельным предметом правоотношений (договора) между оператором и лицом, осуществляющим обработку ПД по поручению оператора;
3. возмездное выполнение лицом-обработчиком различных действий с ПД неразрывно связано с достижением цели обработки ПД, определенной оператором;
4. контрагент не имеет собственной цели обработки ПД и действует в интересах оператора.

🔁 Необходимость в заключении соглашения о передаче ПД возникает в том случае, если:

1. оператор, в принципе, не способен самостоятельно осуществить обработку ПД для достижения предусмотренной цели (например, в силу отсутствия требуемых компетенций, разрешительных документов и т.п.) и в силу необходимости осуществляет обмен ПД со своим контрагентом;
2. передача ПД не является самостоятельным предметом правоотношений (договора) между сторонами и носит вспомогательный (обеспечивающий) характер по отношению к основному предмету таких отношений;
3. все возможное многообразие действий по обработке ПД ограничено только передачей ПД между сторонами;
4. оператор использует предоставляемые контрагентом средства обработки информации как инструмент для самостоятельных операций с ПД - без целенаправленного вовлечения контрагента в обработку ПД и при условии принятия оператором правовых, организационных и/или технических мер по исключению доступа контрагента (привлекаемых контрагентами третьих лиц) к ПД, включая фактическую техническую возможность такого доступа, поскольку при ее наличии ситуация может расцениваться как поручение;
5. контрагент определяет собственные цели обработки ПД и вступает в собственные отношения с субъектом.