Владелец сайта редко обрабатывает персональные данные клиентов в одиночку: за него это частично делает хостинг-провайдер, разработчик сайта, служба техподдержки, иногда — сторонняя бухгалтерия, которая видит контакты клиентов в счетах. По закону, когда оператор поручает обработку данных другому лицу, это регулируется отдельно — статьёй 6 152-ФЗ, — и по умолчанию требует письменного оформления.

Что считается поручением на обработку

Поручением считается ситуация, когда третье лицо получает доступ к персональным данным клиентов оператора и что-то с ними делает по его заданию — хранит, обрабатывает, передаёт дальше. Это не то же самое, что просто предоставление услуги: если бухгалтерская компания ведёт учёт и в рамках этого видит имена и суммы платежей клиентов — это поручение. Если разработчик один раз настроил сайт и больше не имеет доступа к базе данных — формально поручения уже нет.

Какие подрядчики обычно подпадают

  • Хостинг-провайдер, на серверах которого физически хранится база данных сайта
  • Разработчик или агентство, у которого есть постоянный доступ к админке или базе для поддержки
  • Служба рассылок, CRM, колл-центр на аутсорсе
  • Бухгалтерская или юридическая компания, которая обрабатывает документы с данными клиентов
  • Облачное хранилище для резервных копий

Что должно быть в договоре с подрядчиком

Закон требует, чтобы поручение содержало: перечень действий с данными, которые подрядчик вправе совершать; цель обработки; обязанность подрядчика соблюдать конфиденциальность и обеспечивать безопасность данных; и запрет обрабатывать данные в целях, не предусмотренных поручением. На практике это обычно оформляется отдельным пунктом в основном договоре оказания услуг или отдельным приложением — соглашением об обработке персональных данных (Data Processing Agreement по аналогии с международной практикой).

Если подрядчик — крупный облачный сервис с типовым пользовательским соглашением, условия поручения на обработку часто уже прописаны в этом соглашении при регистрации аккаунта. Стоит явно это проверить, а не предполагать по умолчанию.

Ответственность оператора за подрядчика

Важный момент: оператор не снимает с себя ответственность, передав обработку подрядчику. Если подрядчик допустил утечку данных, отвечать перед субъектами данных и регулятором по-прежнему будет оператор — то есть владелец сайта, который собрал эти данные изначально, а уже потом взыщет убытки с подрядчика, если это предусмотрено договором. Именно поэтому в договор поручения имеет смысл включать требования к подрядчику по безопасности и право на аудит.

Что делать, если формального договора нет

Если сайт годами работает с хостингом или разработчиком без отдельно оформленного поручения на обработку, это не значит, что нужно срочно всё переделывать — но при проверке отсутствие такого документа может стать отдельной находкой. Разумный шаг — провести ревизию действующих подрядчиков, у кого реально есть доступ к персональным данным клиентов, и для каждого либо получить подтверждение, что условия обработки уже покрыты их пользовательским соглашением, либо оформить отдельное соглашение.