Соглашение об обработке персональных данных по поручению (Data Processing Agreement)
Актуальность материала: 17.10.2026
Скачать проект Data Processing Agreement в docx
Когда оператор привлекает контрагента, который обрабатывает ПД не в своих целях, а для оператора и в его интересах, возникает поручение обработки по ч.3 ст.6 152-ФЗ. Закон требует определить в поручении перечень ПД, действия с ними и цели обработки, а также закрепить обязанности обработчика по соблюдению конфиденциальности, мерам по ст.18.1 и ст.19, локализации по ч.5 ст.18, предоставлению документов по запросу оператора и уведомлению об инцидентах. Обработчику не нужно получать согласие субъекта (ч.4 ст.6), перед субъектом за него отвечает оператор, а сам обработчик отвечает перед оператором (ч.5 ст.6).
Проект соглашения об обработке ПД (Data Processing Agreement, DPA) закрывает эти требования одним документом. Он может быть неотъемлемой частью основной сделки или самостоятельным соглашением, текст подготовлен на русском и английском языках. Положения в квадратных скобках и выделенные желтым фрагменты являются опциями и полями для заполнения.
Соглашение содержит 26 пунктов и два приложения о трансграничной передаче ПД.
| Блок | Пункты | Что внутри | |
| 🎯 | I Предмет поручения | 1-5 | Термины, цель, перечень ПД и способы его дополнения Оператором, действия с ПД, порядок оплаты |
| 🌍 | II Трансграничная передача | 6 | Применяется только при фактической передаче между Сторонами или с контрагентами Обработчика, условия вынесены в приложения |
| 🔒 | III Обязанности Обработчика | 7-13 | Принципы обработки, меры безопасности, Дополнительные Обработчики с согласия Оператора, локализация, передача третьим лицам, подтверждение мер по запросу, сведения о базах данных |
| 🤝 | IV Взаимодействие | 14-16 | Содействие по обращениям, судебным спорам и проверкам, уточнение и блокирование ПД в течение 3 рабочих дней |
| 🚨 | V Инциденты | 17 | Уведомления Оператора не позднее 12 и 48 часов, уведомление РКН и субъектов только с разрешения Оператора |
| 🗑 | VI Прекращение обработки | 18-19 | Прекращение обработки и уничтожение ПД в течение 5 рабочих дней, способ уничтожения |
| ⚖️ | VII Заверения, ответственность, срок | 20-26 | Заверения Оператора, ответственность в пределах реального ущерба, срок действия, приоритет над основной сделкой, представители, ретроактивность, языковые версии |
| 📎 | Приложения | - | Приложение о трансграничной передаче между Сторонами и Соглашение о трансграничной передаче для контрагентов Обработчика |
Перечень ПД в п.3 указывается хотя бы в минимальном объеме, а п.3.1 предлагает способы его дополнения. Это может быть администрирование Оператором программы для ЭВМ, функциональная возможность обрабатывать данные в информационных системах Обработчика, письменные уведомления Оператора или отсылка к документу с закрытым перечнем ПД. Отсылка к внешнему документу ставит поручение в зависимость от его изменений, поэтому за ними придется следить.
В редакции от 17.10.2026 условия о трансграничной передаче работают только при ее фактическом наличии. Страны не нужно вписывать заранее, перечень иностранных государств предоставляет получающая сторона, а упоминание Конвенции Совета Европы исключено с учетом изменений ст.12 152-ФЗ, внесенных 265-ФЗ от 26.07.2026. В перечень контрагентов, которым Обработчик вправе передавать ПД, добавлена опция о внештатном персонале Обработчика.
Материал можно использовать полностью или частично и модифицировать без ограничений, если пользователь действует добросовестно и не нарушает права автора, субъектов ПД и иных лиц. Ответственность за последствия использования несет пользователь. Проект не универсален и требует адаптации под отраслевую и иную специфику конкретного поручения. Общие условия изложены в Правилах использования материалов Альманаха.
Выбор между поручением и передачей ПД самостоятельному оператору разобран на странице Соглашения о персональных данных, для передачи между операторами предназначен Data Transfer Agreement. Перед привлечением обработчика полезно оценить его по чек-листу соблюдения третьими лицами требований к обработке и защите ПД.