Подрядчик обрабатывает ваши данные: что должно быть в договоре и кто платит за утечку

Бухгалтерия на аутсорсе, облачная CRM, колл-центр, сервис рассылок, подрядчик на доставку. У обычной компании таких помощников набирается пять-семь, и каждому передан кусок клиентской базы.

Вопрос, который я слышу от собственников чаще всего, звучит так: «данные же у них, значит и отвечают они». Логика бытовая и понятная, спорить с ней хочется не сразу. Закон устроен наоборот.

Разберу спокойно: когда передача данных становится поручением, что закон обязывает написать в договоре, кто платит, если утекло у подрядчика, и куда всё это движется с учётом свежего документа ФСТЭК, утверждённого 7 августа.

Когда вы стали оператором, а подрядчик обработчиком

Оператор это тот, кто определяет, зачем и как обрабатываются данные. Решили собирать телефоны клиентов, чтобы подтверждать заказы? Оператор вы. Тот, кому вы передали эти телефоны для работы, обрабатывает их по вашему поручению и в ваших целях.

Когда я прошу собственника перечислить, кому уходят данные клиентов, первым называют одного-двух подрядчиков. Через десять минут список доходит до шести. Вот три ситуации, в которых поручение возникает незаметнее всего.

• Облачная CRM. База клиентов физически лежит на серверах сервиса. Вы решаете, что там хранить и зачем, сервис только предоставляет площадку.
• Бухгалтерия на аутсорсе. Вы отдаёте паспортные данные и зарплаты сотрудников. Цель ставите вы, считает подрядчик.
• Колл-центр и рассылки. Вы выгружаете список номеров и адресов, чтобы по нему обзвонили или отправили письма.

Во всех трёх случаях вы остаётесь оператором. Если ещё не разобрались, попадаете ли вы под этот статус, начните со статьи о том, кто такой оператор персональных данных. Дальше начинается то, что чаще всего оформлено кое-как.

Что закон требует от поручения

Часть 3 статьи 6 152-ФЗ говорит: поручить обработку можно с согласия человека и на основании заключаемого договора. Отдельный документ не обязателен, условия можно оформить разделом основного договора или приложением. Обязателен состав.

Перечень того, что должно быть определено в поручении, закон задаёт сам. Восемь пунктов.

Два пункта с ключом важнее остальных, и в договорах, которые я вижу, их почти никогда нет. Право запросить доказательства мер и обязанность сообщать об инцидентах закон дал оператору ещё в редакции 2022 года. Не «когда-нибудь введут». Уже действует.

Про уведомление стоит сказать отдельно. У оператора есть двадцать четыре часа, чтобы сообщить в Роскомнадзор об инциденте с данными, и семьдесят два часа на результаты внутреннего расследования. Отсчёт идёт с момента выявления. Подрядчик узнал об утечке в пятницу, а вам сказал в понедельник — и ваши сутки сгорели у него в почте, пока вы ни о чём не подозревали. Штраф за молчание при этом отдельный.

Кто отвечает перед клиентом, если утекло у подрядчика

Здесь закон высказывается предельно ясно. Часть 5 статьи 6: если оператор поручает обработку другому лицу, ответственность перед субъектом персональных данных за действия указанного лица несёт оператор. А лицо, которое обрабатывает данные по поручению, несёт ответственность перед оператором.

Конструкция двухступенчатая. Перед вашим клиентом стоите вы. Перед вами стоит подрядчик, и ровно настолько, насколько это прописано в договоре. За годы работы я не видел ни одного случая, когда эта схема сработала бы в обратную сторону сама собой. Не прописано ничего, значит взыскивать нечего. А объясняться с клиентом и регулятором всё равно вам.

Отсюда практическая формула, которую стоит запомнить: отдать данные подрядчику можно, отдать ответственность нельзя.

Одно исключение работает в вашу пользу. Если подрядчик иностранный, часть 6 статьи 6 делает ответственность перед человеком солидарной: отвечают и оператор, и иностранный обработчик. Правда, взыскать с зарубежной компании на практике сложнее, чем прочитать эту норму. Когда данные уезжают за границу, отдельно посмотрите разбор про трансграничную передачу данных.

Про суммы. Санкции за утечку привязаны к числу пострадавших людей и начинаются от трёх миллионов рублей, а отдельным составом идёт неуведомление регулятора. Подробный разбор с частями статьи собран в материале про штрафы за утечку персональных данных. Здесь важнее другое: наличие подрядчика само по себе не уменьшает эти цифры.

Что реально написать в договоре

Возьмите действующий договор с любым подрядчиком, который видит ваши данные, и проверьте по списку. Половины пунктов там не окажется.

• Раздел «Поручение на обработку персональных данных» со всеми восемью элементами из таблицы выше. Общая фраза «стороны обрабатывают данные в соответствии с 152-ФЗ» состав не заменяет.
• Срок уведомления об инциденте. Ставьте жёстко: немедленно, но не позднее нескольких часов с момента обнаружения. Ваши двадцать четыре часа начинают течь раньше, чем вы узнаете новость.
• Право на проверку и документы. Право запросить подтверждение мер у вас уже есть по закону. Пропишите, в какой срок подрядчик обязан ответить.
• Запрет передавать данные дальше без вашего письменного согласия. Иначе ваш подрядчик наймёт своего, и цепочка удлинится без вашего ведома.
• Судьба данных при расторжении. Данные должны быть возвращены или уничтожены, а факт подтверждён документом. Как это оформляется, разобрал в статье про уничтожение персональных данных.
• Ответственность подрядчика перед вами. Без этого пункта часть 5 статьи 6 останется для вас улицей с односторонним движением.

Как проверить подрядчика до подписания

Проверка звучит страшно, а на практике сводится к четырём вопросам, которые задаются одним письмом и занимают у собеседника полдня, если у него действительно всё в порядке с процессами.

Первый: где физически лежат данные. Ответ «в облаке» не годится, нужны страна и конкретный дата-центр, потому что часть 5 статьи 18 требует держать базы с данными россиян в России, и проверять это придётся вам самим. Второй: кто из сотрудников подрядчика имеет доступ к вашему массиву и как этот доступ отзывается при увольнении. Третий: есть ли у них резервные копии и когда последний раз проверяли восстановление. Четвёртый: были ли инциденты за последние два года и как о них сообщали клиентам.

Нормальный срок ответа на такое письмо два-три рабочих дня. Отказ отвечать сам по себе ответ: компания с выстроенными процессами отвечает спокойно и быстро, потому что документы у неё уже есть и не пишутся впопыхах под ваш запрос. Те меры, которые вы требуете с подрядчика, полезно и у себя проверить по базовому набору защиты данных.

Куда это движется: ФСТЭК начал мерить зрелость

Теперь свежее. Седьмого августа 2026 года ФСТЭК утвердила методику оценки уровня зрелости деятельности в области технической защиты информации. Документ описывает, как измерять качество работы по защите данных: не «есть ли антивирус», а насколькосистемно выстроены процессы.

Шкала простая и понятная даже без подготовки: нулевой означает, что управление не осуществляется; начальный, что делается формально и с недостатками; системный, что выстроено системно с учётом реальных угроз; контролируемый добавляет периодическую проверку; верифицируемый требует, чтобы эффективность проверяла внешняя независимая организация.

Теперь о том, почему документ касается частного бизнеса. В сноске об области применения перечислены пять наборов требований, и пятым назван приказ ФСТЭК № 21, то есть меры защиты персональных данных в информационных системах. То есть контур ПДн, в котором живёт любая компания с CRM.

Здесь нужна честная оговорка, иначе получится запугивание. Методика описывает, как мерить. Обязанность считать показатель возникает не из неё, а из приказов. Для государственных систем такая обязанность прописана в приказе № 117. Для коммерческих операторов персональных данных её вводит проект приказа на замену действующему № 21. Это пока именно проект, вступление в силу заявлено на 1 сентября 2026 года.

Но смотреть стоит уже сейчас, потому что в проекте есть пункт 10. Он предполагает, что оператор устанавливает требование к значению показателя зрелости для того, кому поручил обработку данных, а оценка проводится перед началом обработки, дальше не реже раза в три года и после каждого компьютерного инцидента у подрядчика.

В таком виде это даст знакомую предпринимателям картину. В налогах давно важно, кто у вас в цепочке поставщиков: контрагент с проблемами создаёт проблемы вам. Та же логика приходит в безопасность данных. Важно станет, кто у вас в цепочке подрядчиков, потому что их зрелость превращается в вашу обязанность её проверить.

И работает это в обе стороны. Если вы сами подрядчик у крупного заказчика или у объекта критической инфраструктуры, требование прилетит вам через договор, и размер вашей компании роли не сыграет.

Что сделать на этой неделе

• Составьте список подрядчиков, которые видят ваши данные. Их всегда оказывается вдвое больше, чем помнит собственник: находятся забытый сервис рассылок и подрядчик, которому давали доступ «на один проект».
• Проверьте договоры по составу из части 3 статьи 6. Начните с тех, у кого самый большой массив.
• Впишите срок уведомления об инциденте в первую очередь. Дешевле всего и спасает ваши двадцать четыре часа.

Короткий вывод

Передача данных подрядчику это нормальная деловая практика, и закон её не запрещает. Он требует одного: оформить её договором с конкретным составом из восьми условий и помнить, что ответственность перед клиентом остаётся на вас. Всё.

Поэтому вопрос «кто отвечает» решается в момент подписания, а не после утечки. Восемь пунктов из части 3 статьи 6 добавляются в договор за вечер работы юриста. Пока их там нет, ответ на этот вопрос один, и он не в вашу пользу.

Частые вопросы