# Поручение обработки персональных данных: договор, согласие и ответственность

> Источник: https://ftex.pro/blog/poruchenie-obrabotki-personalnyh-dannyh/  
> Опубликовано: 08.10.2026  
> Раздел: Персональные данные  
> Описание: Поручение обработки персональных данных по ч. 3 ст. 6 152-ФЗ: нужно ли согласие, что включить в договор с обработчиком, кто отвечает. Образец условий.  
> Издатель: Финансово-технологический институт (ftex.pro), образовательная лицензия Л035-01270-29/05390506

**Коротко: поручение обработки — это когда вы отдаёте данные исполнителю, который обрабатывает их по вашим целям и по вашему заданию. Закон разрешает это с согласия человека, если иное не предусмотрено федеральным законом, и на основании договора (ч. 3 ст. 6 закона № 152-ФЗ). В договоре должны быть перечень данных, перечень действий, цели, конфиденциальность и требования к защите. Ответственность перед человеком за действия исполнителя остаётся на операторе (ч. 5 ст. 6).**

 

Политика, согласия, положение, перечни, инструкции · в разборе смотрим, у кого доступ к данным и какие сервисы вы используете · правки до вашего «принимаю»

 

Документы по 152-ФЗ — 9 900 ₽

 

[Собрать пакет под мой бизнес →](https://ftex.pro/dokumenty-po-152-fz/)

 

**Главное о поручении обработки**

 

- **Основание — договор** (в том числе госконтракт) либо акт госоргана или муниципального органа (ч. 3 ст. 6).
- **Согласие человека** нужно, если иное не предусмотрено федеральным законом; прямого исключения для «договорных» данных в ч. 3 мы не нашли.
- **Обязательное содержание договора** перечислено в ч. 3: данные, действия, цели, конфиденциальность, ч. 5 ст. 18 и ст. 18.1, безопасность, ст. 19, уведомление об инцидентах.
- **Исполнитель** не обязан получать отдельное согласие человека (ч. 4) и отвечает перед оператором (ч. 5).
- **Оператор** отвечает перед человеком за исполнителя (ч. 5); при иностранном исполнителе отвечают оба (ч. 6).
- **Роли «оператор» и «обработчик»** закон прямо не раздаёт: это разбор по фактам, а не по вывеске.

 

## Что такое поручение обработки

 

В ч. 3 ст. 6 сказано: оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора, в том числе государственного или муниципального контракта, либо путём принятия государственным или муниципальным органом соответствующего акта. Закон называет это «поручением оператора».

 

Слова «обработчик» в ст. 3 и 6 нет. В законе исполнитель — «лицо, осуществляющее обработку персональных данных по поручению оператора». Дальше в статье мы для краткости говорим «исполнитель». Общая картина обработки и ролей — в статьях [об обработке данных](https://ftex.pro/blog/obrabotka-personalnyh-dannyh/) и [об операторе](https://ftex.pro/blog/operator-personalnyh-dannyh/).

 

## Кто исполнитель, а кто самостоятельный оператор

 

П. 2 ст. 3 называет оператором того, кто организует и (или) осуществляет обработку, а также определяет цели, состав данных и действия с ними. Формулировка читается двояко, и закон ролей не раздаёт. По нашему прочтению, рабочий критерий такой: если цели и состав данных определяете вы, а исполнитель действует по вашему заданию, это поручение. Если исполнитель использует данные и для своих целей, то в этой части он сам оператор.

 

| Ситуация | Что скорее всего (по нашему прочтению) | На что смотреть |
|---|---|---|
| Бухгалтерский аутсорс | Поручение: учёт ведут по вашим целям | Для данных работников — ст. 88 ТК, письменное согласие; статья [о данных в бухгалтерии](https://ftex.pro/blog/pdn-v-buhgalterii/) |
| Облачная CRM, хостинг, хранилище | Поручение, пока сервис хранит данные для вас | Использует ли сервис данные для своих целей; где сервер; статья [об облачных сервисах](https://ftex.pro/blog/oblachnye-servisy-i-pdn/) |
| Колл-центр или сервис рассылок по вашей базе | Поручение | Перечень данных и действий в договоре; согласие на рекламу берёте вы |
| Курьерская служба | Поручение или передача для исполнения договора с клиентом | Кто определяет состав данных; нужен ли исполнителю только адрес и телефон |
| Банк, платёжный агрегатор, мессенджер | Чаще самостоятельный оператор | Условия самого сервиса; что сказано в вашей политике |
| Иностранный сервис | Поручение иностранному лицу и, как правило, трансграничная передача | Ч. 6 ст. 6 и ст. 12; [виды передачи](https://ftex.pro/blog/peredacha-personalnyh-dannyh/) |

 

Обязан ли исполнитель сам подавать уведомление в Роскомнадзор, закон прямо не говорит. Мы не нашли в ст. 22 нормы, которая адресована именно исполнителю. Поэтому роли и вопрос об уведомлении стоит обсудить с исполнителем заранее и записать в договоре. Про само уведомление — [обзор об уведомлении об обработке](https://ftex.pro/blog/uvedomlenie-ob-obrabotke-personalnyh-dannyh/).

 

## Согласие человека на поручение

 

Текст ч. 3 ст. 6 прямой: поручить обработку можно «с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом». Исключения для данных, которые вы обрабатываете по договору (п. 5 ч. 1 ст. 6), в этой части мы не нашли. Отсюда практический вывод (по нашему прочтению): если исполнитель получает данные клиентов или работников, лучше, чтобы согласие или основание, на котором вы работаете, это покрывало.

 

- **Если согласие письменное,** в нём указывают наименование или ФИО и адрес лица, которому поручена обработка, если она будет поручена (п. 6 ч. 4 ст. 9).
- **Если согласие не письменное,** закон такого перечня не задаёт. Наша рекомендация: называть исполнителей или их категории в тексте согласия и в политике.
- **Для данных работников** ст. 88 ТК требует письменного согласия на передачу третьей стороне, кроме случаев, названных в ТК и федеральных законах, и случая предупреждения угрозы жизни и здоровью работника.

 

Сам исполнитель отдельное согласие у человека не берёт: он не обязан его получать (ч. 4 ст. 6). Согласие даёт оператору. Как оформлять согласие — в хабе [о согласии на обработку](https://ftex.pro/blog/soglasie-na-obrabotku-personalnyh-dannyh/).

 

## Что должно быть в договоре

 

Ч. 3 ст. 6 прямо называет, что определить в поручении. Это не пожелания, а содержание, которое закон требует.

 

| Что включить | Откуда следует |
|---|---|
| Перечень персональных данных | Ч. 3 ст. 6 |
| Перечень действий (операций) с данными | Ч. 3 ст. 6 |
| Цели обработки | Ч. 3 ст. 6 |
| Обязанность соблюдать конфиденциальность | Ч. 3 ст. 6 |
| Требования ч. 5 ст. 18 (база на территории России) и ст. 18.1 (меры оператора) | Ч. 3 ст. 6 |
| Обязанность по запросу оператора в течение срока поручения, в том числе до начала обработки, предоставлять документы и информацию, подтверждающие меры и соблюдение требований | Ч. 3 ст. 6 |
| Обязанность обеспечивать безопасность данных при обработке | Ч. 3 ст. 6 |
| Требования к защите по ст. 19, в том числе уведомление оператора о случаях ч. 3.1 ст. 21 (неправомерная или случайная передача, повлёкшая нарушение прав) | Ч. 3 ст. 6 |

 

Дополнительно (наша рекомендация, закон этого не требует): срок для уведомления об инциденте, запрет передавать обработку дальше без вашего согласия, порядок возврата или уничтожения данных, место хранения. Про субисполнителей в ч. 3-6 ст. 6 прямо ничего не сказано, поэтому их лучше урегулировать договором. Срок уведомления Роскомнадзора об инциденте у оператора — 24 часа с момента выявления (ч. 3.1 ст. 21), а исполнитель может узнать об инциденте раньше вас, поэтому срок для него разумно ставить короче.

 

## Образец перечня условий

 

Ниже образец условий, а не договор целиком. Подставьте свои данные; в квадратных скобках то, что нужно заполнить. Пункты 2-9 следуют из ч. 3 ст. 6, пункты 10-12 это наша рекомендация.

 

> Поручение обработки персональных данных (образец, подставьте свои данные) 1. ООО «Образец» (оператор) поручает ООО «Ромашка» (исполнитель) обработку персональных данных на срок действия договора от №. 2. Цели обработки:. 3. Перечень персональных данных:. 4. Перечень действий:. 5. Исполнитель соблюдает принципы и правила обработки, установленные законом № 152-ФЗ, и конфиденциальность данных. 6. Исполнитель соблюдает требования ч. 5 ст. 18 и ст. 18.1 закона № 152-ФЗ. 7. Исполнитель обеспечивает безопасность данных и принимает меры по ст. 19 закона № 152-ФЗ:. 8. По запросу оператора в течение срока поручения, в том числе до начала обработки, исполнитель в течение рабочих дней (срок закон не называет) предоставляет документы и информацию, подтверждающие принятие этих мер. 9. Исполнитель уведомляет оператора о случаях, указанных в ч. 3.1 ст. 21 закона № 152-ФЗ, в течение часов (срок закон не задаёт) с момента выявления. 10. Передача обработки третьим лицам допускается только с письменного согласия оператора. 11. По окончании поручения исполнитель в течение дней уничтожает данные или возвращает их оператору и подтверждает это актом. 12. Данные хранятся по адресу (в стране):.

 

## Кто за что отвечает

 

- **Оператор** отвечает перед человеком за действия исполнителя (ч. 5 ст. 6).
- **Исполнитель** отвечает перед оператором (ч. 5 ст. 6) и обязан соблюдать принципы и правила обработки, конфиденциальность и принимать необходимые меры (ч. 3 ст. 6).
- **Иностранное лицо:** перед человеком отвечают и оператор, и исполнитель (ч. 6 ст. 6).

 

Значит, исполнителя выбирают так же внимательно, как работника с доступом к базе. Закон требует включить в поручение обязанность исполнителя предоставлять документы о принятых мерах (ч. 3 ст. 6), запросите их до начала работы. Что грозит оператору за нарушения, разобрано в статье [о штрафах](https://ftex.pro/blog/shtrafy-za-personalnye-dannye/).

 

## Что оператор делает помимо договора

 

- **Помнит о праве человека узнать исполнителя:** по запросу оператор сообщает наименование или ФИО и адрес лица, осуществляющего обработку по поручению (п. 9 ч. 7 ст. 14).
- **Обеспечивает прекращение и уничтожение** и у исполнителя, когда достигнута цель (ч. 4 ст. 21).
- **Уведомляет Роскомнадзор об инциденте** в 24 часа и 72 часа (ч. 3.1 ст. 21): ответственность за уведомление в законе лежит на операторе.
- **Включает исполнителя в свои документы:** политика, перечни, согласия должны говорить о нём то же, что договор. См. хаб [о комплекте документов](https://ftex.pro/blog/dokumenty-po-personalnym-dannym/).
- **Если исполнитель за границей:** ст. 12 и ч. 6 ст. 6; уведомление подаётся до начала передачи, см. статью [о трансграничной передаче](https://ftex.pro/blog/uvedomlenie-o-transgranichnoj-peredache/).

 

Разберём сервис и страну, запросим сведения у получателя, подадим уведомление вместе с вами до начала передачи · если оно не нужно, скажем до оплаты

 

Передаёте данные иностранному сервису? Уведомление — 6 900 ₽

 

[Проверить мой сервис →](https://ftex.pro/transgranichnaya-peredacha-pdn/)

 

## Как мы помогаем

 

ФТИ — учебный центр с образовательной лицензией. Услуги по персональным данным ведёт юрист, работаем дистанционно по всей России.

 

- **Документы.** [Документы по 152-ФЗ](https://ftex.pro/dokumenty-po-152-fz/) — 9 900 ₽: разбор (кто имеет доступ к данным, какие системы и сервисы), политика, согласия, положение об обработке, перечни, инструкции. Договоры с исполнителями отдельной услугой мы не делаем, но проверим, чтобы документы не спорили с тем, что вы поручаете.
- **Сайт и сервисы.** [Аудит сайта на 152-ФЗ](https://ftex.pro/audit-sajta-152-fz/) — 4 900 ₽, отчёт за 3 рабочих дня: формы, согласия, политика, счётчики и сервисы, где лежит база.
- **Сроки и изменения.** [Сопровождение по персональным данным](https://ftex.pro/soprovozhdenie-po-pdn/) — 1 990 ₽ в месяц или 19 900 ₽ в год: изменения в реестре, обновление документов, консультации.

 

Все услуги собраны на странице [услуги ФТИ](https://ftex.pro/uslugi/). Хаб по теме — [что такое персональные данные](https://ftex.pro/blog/chto-takoe-personalnye-dannye/).

 

## Нормативные документы

 

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

 

- [Федеральный закон № 152-ФЗ, статья 3 — основные понятия, в том числе оператор](https://www.consultant.ru/document/cons_doc_LAW_61801/4f41fe599ce341751e4e34dc50a4b676674c1416/)
- [Федеральный закон № 152-ФЗ, статья 6 — условия обработки, части 3-6 о поручении](https://www.consultant.ru/document/cons_doc_LAW_61801/315f051396c88f1e4f827ba3f2ae313d999a1873/)
- [Федеральный закон № 152-ФЗ, статья 9 — согласие, часть 4 о составе письменного согласия](https://www.consultant.ru/document/cons_doc_LAW_61801/6c94959bc017ac80140621762d2ac59f6006b08c/)
- [Федеральный закон № 152-ФЗ, статья 12 — трансграничная передача персональных данных](https://www.consultant.ru/document/cons_doc_LAW_61801/e4ebbe1780de623c7cf32a59ca82a7bb523a25dd/)
- [Федеральный закон № 152-ФЗ, статья 14 — право субъекта на доступ к данным, часть 7](https://www.consultant.ru/document/cons_doc_LAW_61801/34585db685164ddd73440bf08348903bff6715aa/)
- [Федеральный закон № 152-ФЗ, статья 18 — обязанности оператора при сборе, часть 5](https://www.consultant.ru/document/cons_doc_LAW_61801/cbf4e15b7c330f9372e876cdf2bc928bad7950ef/)
- [Федеральный закон № 152-ФЗ, статья 18.1 — меры, направленные на выполнение обязанностей оператора](https://www.consultant.ru/document/cons_doc_LAW_61801/eeeebe22bf738fd65bb66b95cc278911ae2525ee/)
- [Федеральный закон № 152-ФЗ, статья 19 — меры по обеспечению безопасности данных](https://www.consultant.ru/document/cons_doc_LAW_61801/ca9e5658710519f09ab2fdb8196fcb3eb024a051/)
- [Федеральный закон № 152-ФЗ, статья 21 — устранение нарушений, часть 3.1 об инцидентах](https://www.consultant.ru/document/cons_doc_LAW_61801/d3fe43a7c415353b17faab255bc0de92bea127da/)
- [Федеральный закон № 152-ФЗ, статья 22 — уведомление об обработке персональных данных](https://www.consultant.ru/document/cons_doc_LAW_61801/d996966e22e1320c9de1ab82d9f6be12c3d9d765/)
- [Трудовой кодекс РФ, статья 88 — передача персональных данных работника](https://www.consultant.ru/document/cons_doc_LAW_34683/693c16ad10f7f494a958cb007737bd678c221d4c/)

## Частые вопросы

### Что такое поручение обработки персональных данных?

Это передача данных лицу, которое обрабатывает их по заданию оператора на основании договора, госконтракта или акта госоргана. Основание и обязательное содержание поручения установлены ч. 3 ст. 6 закона № 152-ФЗ.

### Нужно ли согласие человека, чтобы поручить обработку другому лицу?

По ч. 3 ст. 6 - да, если иное не предусмотрено федеральным законом. Исключения для данных, которые обрабатываются по договору, в этой части мы не нашли. Для данных работников ст. 88 ТК требует письменного согласия на передачу третьей стороне, кроме случаев, названных в ТК и федеральных законах, и случая предупреждения угрозы жизни и здоровью работника.

### Что обязательно указать в договоре с исполнителем?

Перечень данных, перечень действий, цели, обязанность соблюдать конфиденциальность, требования ч. 5 ст. 18 и ст. 18.1, обязанность предоставлять по запросу документы о принятых мерах, обязанность обеспечивать безопасность и требования ст. 19, включая уведомление оператора об инцидентах по ч. 3.1 ст. 21.

### Должен ли исполнитель получать согласие у людей?

Нет. Лицо, осуществляющее обработку по поручению оператора, не обязано получать согласие субъекта (ч. 4 ст. 6). Согласие даёт оператору.

### Кто отвечает перед человеком, если исполнитель нарушил закон?

Оператор (ч. 5 ст. 6). Исполнитель отвечает перед оператором. Если исполнитель - иностранное лицо, перед человеком отвечают и оператор, и исполнитель (ч. 6 ст. 6).

### Можно ли исполнителю передать данные дальше другому подрядчику?

В ч. 3-6 ст. 6 об этом прямо ничего не сказано. Наша рекомендация: запретить это договором или разрешать только с письменного согласия оператора.

### Бухгалтерский аутсорс и облачная CRM - это поручение?

По нашему прочтению, как правило да: исполнитель работает с данными по вашим целям. Закон ролей не раздаёт, поэтому смотрят, кто определяет цели и состав данных и использует ли сервис данные для себя.

### Нужно ли указывать исполнителей в политике и уведомлении?

Письменное согласие должно содержать данные лица, которому поручена обработка (п. 6 ч. 4 ст. 9), а человек вправе узнать его наименование и адрес (п. 9 ч. 7 ст. 14). Отдельного пункта обо всех исполнителях в ч. 3 ст. 22 мы не нашли, кроме п. 10.2 для государственных и муниципальных информационных систем. Наша рекомендация: называть их или их категории в политике.

### Сколько стоит подготовка документов, чтобы всё совпадало с договорами?

Пакет документов по 152-ФЗ стоит 9 900 ₽: разбор, политика, согласия, положение, перечни, инструкции, правки до вашего «принимаю». Договоры с исполнителями отдельной услугой мы не делаем, но проверим, чтобы документы не спорили с поручением.