Поручение обработки персональных данных
Поручение обработки персональных данных — договорная модель, в которой оператор поручает другому лицу совершать определённые действия с данными в установленных целях и пределах. Поручение должно содержать обязательные условия закона. Перед субъектом за действия такого лица по общему правилу отвечает оператор.
Что обязательно закрепляют в поручении
- ДАННЫЕ, ДЕЙСТВИЯ И ЦЕЛИ
- Нельзя ограничиться фразой «обрабатывает персональные данные». Нужны конкретные категории, операции и назначение обработки.
- КОНФИДЕНЦИАЛЬНОСТЬ И БЕЗОПАСНОСТЬ
- Подрядчик принимает требования к доступу, защите и подтверждению принятых мер.
- ИНЦИДЕНТЫ И ОБРАЩЕНИЯ
- Договор устанавливает быстрый срок сообщения, помощь в расследовании, поиске, удалении и ответах субъектам.
- ПРЕКРАЩЕНИЕ ОБРАБОТКИ
- Определяются возврат или уничтожение данных и копий, срок и доказательство исполнения.
Не каждый поставщик действует только по поручению
Если сервис самостоятельно определяет собственные цели — например, использует клиентские данные для обучения продукта или рекламы, — его нельзя описывать только как технического обработчика. Роль устанавливают по договору и фактическим действиям. Название «облачный сервис» или «партнёр» не решает вопрос.
Что проверить до передачи данных
- 01
Сопоставить процесс
Какие данные, чьи и для какой цели подрядчик действительно получает.
- 02
Проверить инфраструктуру
Страны, базы, доступ поддержки, резервные копии и привлекаемые лица.
- 03
Закрепить обязанности
Документы по запросу, меры защиты, инциденты, обращения, уничтожение и контроль изменений.
- 04
Сохранить контроль
Оператор должен получать подтверждения и реагировать на изменения, а не подписать приложение один раз.
Короткие ответы
Источники и границы проверки
Поручение не легализует исходно незаконную или избыточную обработку. Оператор сначала определяет цель и основание, затем передаёт подрядчику только необходимый объём.
- Нормативный или официальный источник152-ФЗ, части 3–6 статьи 6. Обязательные условия поручения, отсутствие отдельного согласия и распределение ответственности. ↗
- Нормативный или официальный источникСистема соответствия и ответственный. Учёт порученной обработки в реестре процессов и контроле поставщиков. ↗
- Нормативный или официальный источникПерсональные данные для бизнеса и сайта. Разграничение оператора, лица по поручению и самостоятельного получателя. ↗
Источники проверены 02.08.2026