Регистрация аутсорсинговой компании в Роскомнадзоре

Кто есть кто: оператор и обработчик

Ключевое правило: оператором персональных данных остаётся компания, заключившая договор с клиентом или трудовой договор с сотрудником. Именно оператор определяет цели и содержание обработки, а также несёт ответственность перед субъектами данных за законность всех действий.

Аутсорсер (подрядчик) в данной схеме выступает в роли обработчика – он совершает технические действия по поручению оператора. Это распределение ролей критически важно для понимания ответственности: перед субъектом данных (сотрудником, клиентом) отвечает оператор, а перед оператором – аутсорсер по условиям заключённого договора.

Что нужно сделать при передаче данных на аутсорсинг

• Получить согласие субъекта данных (если требуется)

Вопрос необходимости согласия зависит от цели обработки.

• Если обработка осуществляется для исполнения договора (например, кадровый учёт для расчёта заработной платы, бухгалтерское сопровождение), отдельное согласие на передачу данных аутсорсеру может не потребоваться. Правовое основание – пункт 2 части 1 статьи 6 152-ФЗ.
• Если данные передаются для целей, выходящих за рамки прямого исполнения договора (например, маркетинговый анализ клиентской базы, проводимый аутсорсером), требуется отдельное согласие субъекта.

Согласие должно быть конкретным, информированным и сознательным. В нём необходимо чётко указать: какие именно данные передаются, для каких действий, на какой срок и кому (наименование аутсорсера или общая формулировка «обработчикам, привлекаемым оператором»).

• Заключить договор поручения на обработку персональных данных

Это критически важный этап. В договоре (или в отдельном приложении к нему) должно быть закреплено поручение на обработку персональных данных. В документ необходимо включить следующие условия:

• перечень передаваемых персональных данных (конкретный, без обобщающих формулировок);
• цели обработки (какие задачи решает аутсорсер);
• перечень действий, которые аутсорсер вправе совершать с данными (сбор, запись, систематизация, хранение, использование, передача, обезличивание, блокирование, уничтожение);
• обязанность соблюдать конфиденциальность персональных данных;
• требования к мерам защиты данных (включая технические и организационные меры, локализацию баз данных на территории РФ, если это применимо);
• обязанность по запросу оператора предоставлять документы, подтверждающие соблюдение требований 152-ФЗ;
• обязанность незамедлительно уведомлять оператора об инцидентах (в течение 24 часов с момента выявления – в соответствии с частью 3.1 статьи 21 152-ФЗ, а также предоставлять результаты внутреннего расследования в течение 72 часов);
• запрет на использование данных в собственных целях аутсорсера;
• условия прекращения обработки и порядок уничтожения данных после окончания срока поручения;
• ответственность за нарушение условий обработки.
• Актуализировать уведомление в Роскомнадзор

Если в ранее поданном уведомлении о начале обработки персональных данных не было указано, что данные могут передаваться третьим лицам (аутсорсерам), необходимо направить уточнение. В нём достаточно указать общую формулировку: «Персональные данные могут передаваться третьим лицам (аутсорсинговым организациям) по договорам поручения для целей [перечислить]». Поимённое перечисление всех подрядчиков в уведомлении не требуется.

• Контролировать действия обработчика

Оператор обязан осуществлять контроль за тем, как аутсорсер выполняет условия договора и требования закона. Рекомендуется:

• проводить периодические проверки документации и мер защиты;
• запрашивать отчёты о выполнении условий поручения;
• требовать подтверждения уничтожения данных после завершения сотрудничества.
• Соблюдать принцип минимальной достаточности

Передавать аутсорсеру следует только те персональные данные, которые объективно необходимы для выполнения конкретной задачи. Избегайте передачи избыточной информации (например, ИНН, семейное положение, биометрические данные), если они не требуются для оказания услуги.

• Реагировать на инциденты

При получении от аутсорсера сообщения об утечке или ином инциденте оператор обязан:

• принять меры по локализации и устранению последствий;
• при необходимости уведомить Роскомнадзор в установленные сроки;
• провести внутреннее расследование и потребовать от аутсорсера отчёт.

Частые ошибки, которых следует избегать

• Передача данных аутсорсеру без заключения договора поручения с чётким перечнем условий.
• Использование в согласии общей фразы «разрешаю передавать данные любым третьим лицам» – для каждой конкретной цели требуется конкретное основание.
• Отсутствие контроля за действиями обработчика – формального подписания договора недостаточно.
• Передача избыточного объёма данных, не соответствующего целям обработки.

Если у вас возникают сомнения по отдельным вопросам (например, как правильно составить необходимые документы) – мы с радостью поможем. Наши юристы подготовят для вас полный комплект документов по 152-ФЗ, чтобы вы могли избежать штрафов и претензий со стороны субъектов данных.