Данные клиентов и работников видит не только сам бизнес. Их получают CRM, хостинг, бухгалтерия на аутсорсе, служба доставки, колл-центр, сервис рассылок. В документах все это обычно умещается в одну фразу: «передача третьим лицам». Для закона такой формулировки мало. Сначала нужно понять, зачем получателю данные и кто решает, что с ними делать.
От ответа зависит почти все: нужно ли согласие человека, какой договор подписывать с подрядчиком и кто будет отвечать, если база утечет.
Два разных сценария
Первый сценарий называется поручением обработки. Подрядчик действует по заданию оператора и использует данные только для согласованной цели. Колл-центр звонит клиентам по списку компании, бухгалтерская фирма считает зарплату, облачная CRM хранит заявки. Цели здесь ставит заказчик.
Второй сценарий: передача данных самостоятельному оператору. Получатель сам определяет, зачем и как дальше обрабатывать данные. Так бывает, когда продавец передает сведения компании, которая оказывает клиенту отдельную услугу от своего имени, например страховой или банку.
| Вопрос | Обработка по поручению | Самостоятельный оператор |
|---|---|---|
| Кто определяет цель | Заказчик | Получатель сам определяет свою цель |
| Кто задает действия | Заказчик закрепляет их в поручении | Получатель действует по своим правилам и закону |
| Можно ли использовать данные для своей рекламы | Нет, если это не входит в поручение | Нужно отдельное правовое основание |
| Кто отвечает перед человеком | Оператор, в том числе за действия обработчика | Каждый оператор за свою обработку |
| Нужно ли согласие человека на передачу | Зависит от основания обработки, подробнее ниже | Нужно собственное основание для передачи |
Название договора роль не меняет. Если подрядчик в договоре назван обработчиком, а на деле строит профили клиентов и использует их для своих задач, по этим задачам он самостоятельный оператор.
Есть и третья ситуация, которую путают с передачей: доступ работников внутри одной организации. Отдел продаж и бухгалтерия одной компании не третьи лица друг для друга. Но доступ все равно ограничивают должностными задачами, и общая фраза «для работы компании» правил доступа не заменяет.
Как определить роль на практике
Смотрите не на вывеску сервиса, а на то, что он делает с данными.
| Получатель | Возможная роль | Что проверить |
|---|---|---|
| Облачная CRM | Обработчик по поручению, по отдельным функциям возможна самостоятельная роль | Использует ли сервис данные только для работы аккаунта или еще для своей аналитики |
| Бухгалтерский аутсорсинг | Обработчик по поручению | Состав поручения, сотрудники с доступом, хранение документов после договора |
| Банк при выплате зарплаты | Самостоятельный оператор по своей банковской деятельности | Какие сведения нужны для выплаты и на каком основании передаются |
| Курьерская служба | Зависит от модели отношений | От чьего имени доставка, кто определяет цели и общается с получателем |
| Сервис рассылки | Обычно обработчик по поручению | Может ли использовать адреса для себя, как фиксирует отписку и удаляет базу |
| Хостинг | Обычно обработчик по поручению | Где размещены базы, у кого технический доступ, как сообщают об инциденте |
| Маркетплейс | Чаще самостоятельный оператор по своим покупателям | Какие данные покупателей вы получаете и для чего их можно использовать |
Один и тот же контрагент может играть разные роли в разных операциях. Поэтому вывод «это наш подрядчик, значит, обработчик» часто оказывается слишком грубым.
Что обязательно должно быть в поручении
Часть 3 статьи 6 Закона № 152-ФЗ перечисляет, что нужно указать в поручении:
- перечень персональных данных;
- действия, которые подрядчик совершает с данными;
- цели обработки;
- обязанность соблюдать конфиденциальность;
- требования о локализации баз данных граждан России и о мерах по статье 18.1;
- обязанность по запросу оператора подтверждать, что требования выполняются, в том числе до начала обработки;
- обязанность обеспечивать безопасность и требования к защите по статье 19;
- обязанность сообщать оператору об утечках и других инцидентах.
Поручение может быть разделом основного договора, приложением или отдельным соглашением. Значение имеет содержание. Формулировка «исполнитель соблюдает 152-ФЗ» слишком общая: по ней непонятно, какие данные можно использовать, кому давать доступ и когда все удалить.
Пункта о возврате или уничтожении данных после окончания договора в законном перечне нет. Но без него оператору трудно выполнить свою обязанность удалить данные по достижении цели. Мы советуем включать такой пункт всегда. Срок уведомления об инциденте тоже лучше прописать в часах: оператору самому нужно сообщить в Роскомнадзор в течение 24 часов, и подрядчик, который узнал об утечке в пятницу, а сообщил в понедельник, оставляет ему ноль времени.
Кто отвечает, если подрядчик ошибся
Перед человеком отвечает оператор. Так прямо сказано в части 5 статьи 6 закона. Подрядчик отвечает перед оператором по договору. Поэтому при утечке из CRM или от колл-центра штраф и претензии получит в первую очередь заказчик, а уже потом сможет предъявлять требования исполнителю.
Есть исключение для иностранных подрядчиков. Если обработку поручили иностранному лицу, перед человеком отвечают и оператор, и сам подрядчик.
Нужно ли согласие человека
Закон разрешает поручить обработку другому лицу с согласия субъекта, если федеральный закон не предусматривает иное. Отсюда много споров. На практике для каждого процесса проверяют, на каком основании ведется сама обработка: согласие, договор с человеком, требование закона. И уже от этого оценивают, можно ли подключить обработчика.
Если обработка идет по согласию в письменной форме, в нем нужно указать наименование и адрес лица, которому поручена обработка. Это прямое требование статьи 9 закона. Формулировка «и нашим партнерам» его не выполняет.
С передачей самостоятельному оператору строже. Человек не сторона договора между двумя компаниями, поэтому сам этот договор основанием не служит. Нужно собственное основание: согласие, договор с самим человеком, требование закона.
Встречается и обратная ошибка. Компания берет одно широкое согласие «на передачу любым партнерам» и считает вопрос закрытым. Такое согласие трудно назвать конкретным и информированным, и оно не исправляет избыточную передачу и не заменяет условия поручения.
Передача по запросу государственных органов
Полиция, суд, налоговая или трудовая инспекция могут запросить данные клиентов или работников. Если запрос основан на федеральном законе и оформлен надлежащим образом, данные предоставляют без согласия человека. Но проверьте, кто запрашивает, на каком основании и какие именно сведения. Отправлять всю базу в ответ на запрос об одном человеке не нужно. Запрос и ответ сохраните, они пригодятся, если человек потом спросит, кому передавались его данные.
Что делать с субподрядчиками
Данные иногда уходят дальше, чем видно заказчику. CRM размещается у внешнего хостинга, колл-центр привлекает удаленных операторов, сервис рассылок работает на платформе другой компании.
До передачи стоит выяснить:
- Может ли исполнитель привлекать других лиц.
- Какие данные они увидят.
- В каких странах и системах идет обработка.
- Как требования заказчика переходят дальше по цепочке договоров.
- Кто и за какой срок сообщит об инциденте.
- Как подтвердить удаление у всех участников после окончания работы.
Если используется зарубежная инфраструктура, отдельно проверяют локализацию при сборе данных и правила трансграничной передачи по статье 12 закона. Перед началом трансграничной передачи нужно уведомить Роскомнадзор. Одной строкой о конфиденциальности эти обязанности не закрыть.
Что проверить до первой выгрузки
Одного договора мало. Заведите на каждого подрядчика карточку и запишите в нее:
- цель и категории данных;
- роль получателя;
- правовое основание;
- системы и страны обработки;
- ответственных с обеих сторон;
- срок сообщения об инциденте;
- дату следующей проверки;
- способ возврата или уничтожения данных.
Список подрядчиков лучше собрать до проверки или утечки. Тогда в трудный день вы знаете, кому звонить, какие доступы отключать и какими документами подтверждать законность передачи. В день инцидента выяснять, кто именно хранит клиентскую базу, уже поздно.
Частые вопросы
Нужно ли заключать поручение с CRM-системой, если мы просто пользуемся ее облаком?
Да, если сервис хранит и обрабатывает ваши данные. У крупных сервисов условия поручения обычно уже есть в оферте или отдельном соглашении об обработке данных. Найдите этот документ и проверьте, что в нем есть пункты из части 3 статьи 6 и где физически находятся серверы.
Можно ли передать базу клиентов партнеру для совместной акции?
Только при наличии основания. Если партнер будет сам писать вашим клиентам от своего имени, это передача самостоятельному оператору, и обычно для нее нужно отдельное согласие клиентов. Для рекламных сообщений партнера понадобится еще и согласие на рекламу.
Бухгалтер на аутсорсе это третье лицо?
Да, это отдельное лицо, которое обрабатывает данные работников и контрагентов по вашему поручению. С ним нужен договор с условиями поручения.
Нужно ли указывать подрядчиков в политике обработки данных?
Закон не требует перечислять в политике каждого подрядчика поименно. Но политика должна честно описывать, что данные передаются или обрабатываются по поручению, и для каких целей. А в письменном согласии, если оно используется, обработчика указывают конкретно.