Поручение на обработку персональных данных

Поручение на обработку персональных данных — обязательный документ при передаче ПДн любому контрагенту, который будет обрабатывать данные в интересах оператора (облачные провайдеры, колл-центры, IT-подрядчики, рекламные платформы, бухгалтерские аутсорсинговые компании).

Документ оформляется по требованиям части 3 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и в обязательном порядке заключается в письменной форме.

Шаблон содержит все существенные условия: предмет (объём передаваемых функций обработки и сохранение за оператором права на определение целей и средств обработки), термины и определения, описание состава и порядка обработки (категории субъектов, перечень ПДн, перечень действий, способы и место обработки), сроки обработки и порядок уничтожения/возврата данных при прекращении поручения, правила привлечения субобработчиков, локализацию баз данных на территории РФ (ч. 5 ст. 18), запрет трансграничной передачи без согласия и уведомления Роскомнадзора (ст. 12, 12.1, Постановление № 1912).

Зафиксированы обязанности оператора (получение согласий, уведомление Роскомнадзора, своевременное информирование обработчика об отзыве согласий) и развёрнутые обязанности обработчика (комплекс мер защиты согласно Постановлению № 1119, обучение работников, ведение журналов учёта, аудит, незамедлительное уведомление об инцидентах в течение 24 часов).

Документ закрепляет жёсткую ответственность обработчика: штрафную неустойку, возмещение убытков и потерь по ст. 406.1 ГК РФ (включая суммы административных штрафов оператора и выплат субъектам ПДн).

В комплект входят три приложения: описание состава и порядка обработки (готовый чек-лист по объёму данных и операциям), перечень мер по обеспечению безопасности персональных данных (с уровнем защищённости ИСПДн, моделью угроз, правовыми, организационными и техническими мерами) и форма уведомления об инциденте (готова к отправке оператору в течение 24 часов).

Документ снижает риски штрафов по ст. 13.11 КоАП РФ (в редакции 2024 года — до 18 млн рублей за повторное нарушение и оборотные штрафы за утечку) и обеспечивает соответствие требованиям Роскомнадзора при проверках.