Персональные данные

Поручение обработки персональных данных: договор, согласие и ответственность

Редактор ФТИ 8 октября 2026 10 мин чтения

Коротко

Поручение обработки персональных данных по ч. 3 ст. 6 закона № 152-ФЗ: когда оно нужно, нужно ли согласие, что обязательно указать в договоре с исполнителем и кто за что отвечает. С образцом перечня условий.

Коротко: поручение обработки — это когда вы отдаёте данные исполнителю, который обрабатывает их по вашим целям и по вашему заданию. Закон разрешает это с согласия человека, если иное не предусмотрено федеральным законом, и на основании договора (ч. 3 ст. 6 закона № 152-ФЗ). В договоре должны быть перечень данных, перечень действий, цели, конфиденциальность и требования к защите. Ответственность перед человеком за действия исполнителя остаётся на операторе (ч. 5 ст. 6).

Политика, согласия, положение, перечни, инструкции · в разборе смотрим, у кого доступ к данным и какие сервисы вы используете · правки до вашего «принимаю»

Документы по 152-ФЗ — 9 900 ₽

Собрать пакет под мой бизнес →

Главное о поручении обработки

Основание — договор (в том числе госконтракт) либо акт госоргана или муниципального органа (ч. 3 ст. 6).
Согласие человека нужно, если иное не предусмотрено федеральным законом; прямого исключения для «договорных» данных в ч. 3 мы не нашли.
Обязательное содержание договора перечислено в ч. 3: данные, действия, цели, конфиденциальность, ч. 5 ст. 18 и ст. 18.1, безопасность, ст. 19, уведомление об инцидентах.
Исполнитель не обязан получать отдельное согласие человека (ч. 4) и отвечает перед оператором (ч. 5).
Оператор отвечает перед человеком за исполнителя (ч. 5); при иностранном исполнителе отвечают оба (ч. 6).
Роли «оператор» и «обработчик» закон прямо не раздаёт: это разбор по фактам, а не по вывеске.

Что такое поручение обработки

В ч. 3 ст. 6 сказано: оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора, в том числе государственного или муниципального контракта, либо путём принятия государственным или муниципальным органом соответствующего акта. Закон называет это «поручением оператора».

Слова «обработчик» в ст. 3 и 6 нет. В законе исполнитель — «лицо, осуществляющее обработку персональных данных по поручению оператора». Дальше в статье мы для краткости говорим «исполнитель». Общая картина обработки и ролей — в статьях об обработке данных и об операторе.

Кто исполнитель, а кто самостоятельный оператор

П. 2 ст. 3 называет оператором того, кто организует и (или) осуществляет обработку, а также определяет цели, состав данных и действия с ними. Формулировка читается двояко, и закон ролей не раздаёт. По нашему прочтению, рабочий критерий такой: если цели и состав данных определяете вы, а исполнитель действует по вашему заданию, это поручение. Если исполнитель использует данные и для своих целей, то в этой части он сам оператор.

Ситуация	Что скорее всего (по нашему прочтению)	На что смотреть
Бухгалтерский аутсорс	Поручение: учёт ведут по вашим целям	Для данных работников — ст. 88 ТК, письменное согласие; статья о данных в бухгалтерии
Облачная CRM, хостинг, хранилище	Поручение, пока сервис хранит данные для вас	Использует ли сервис данные для своих целей; где сервер; статья об облачных сервисах
Колл-центр или сервис рассылок по вашей базе	Поручение	Перечень данных и действий в договоре; согласие на рекламу берёте вы
Курьерская служба	Поручение или передача для исполнения договора с клиентом	Кто определяет состав данных; нужен ли исполнителю только адрес и телефон
Банк, платёжный агрегатор, мессенджер	Чаще самостоятельный оператор	Условия самого сервиса; что сказано в вашей политике
Иностранный сервис	Поручение иностранному лицу и, как правило, трансграничная передача	Ч. 6 ст. 6 и ст. 12; виды передачи

Обязан ли исполнитель сам подавать уведомление в Роскомнадзор, закон прямо не говорит. Мы не нашли в ст. 22 нормы, которая адресована именно исполнителю. Поэтому роли и вопрос об уведомлении стоит обсудить с исполнителем заранее и записать в договоре. Про само уведомление — обзор об уведомлении об обработке.

Согласие человека на поручение

Текст ч. 3 ст. 6 прямой: поручить обработку можно «с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом». Исключения для данных, которые вы обрабатываете по договору (п. 5 ч. 1 ст. 6), в этой части мы не нашли. Отсюда практический вывод (по нашему прочтению): если исполнитель получает данные клиентов или работников, лучше, чтобы согласие или основание, на котором вы работаете, это покрывало.

Если согласие письменное, в нём указывают наименование или ФИО и адрес лица, которому поручена обработка, если она будет поручена (п. 6 ч. 4 ст. 9).
Если согласие не письменное, закон такого перечня не задаёт. Наша рекомендация: называть исполнителей или их категории в тексте согласия и в политике.
Для данных работников ст. 88 ТК требует письменного согласия на передачу третьей стороне, кроме случаев, названных в ТК и федеральных законах, и случая предупреждения угрозы жизни и здоровью работника.

Сам исполнитель отдельное согласие у человека не берёт: он не обязан его получать (ч. 4 ст. 6). Согласие даёт оператору. Как оформлять согласие — в хабе о согласии на обработку.

Что должно быть в договоре

Ч. 3 ст. 6 прямо называет, что определить в поручении. Это не пожелания, а содержание, которое закон требует.

Что включить	Откуда следует
Перечень персональных данных	Ч. 3 ст. 6
Перечень действий (операций) с данными	Ч. 3 ст. 6
Цели обработки	Ч. 3 ст. 6
Обязанность соблюдать конфиденциальность	Ч. 3 ст. 6
Требования ч. 5 ст. 18 (база на территории России) и ст. 18.1 (меры оператора)	Ч. 3 ст. 6
Обязанность по запросу оператора в течение срока поручения, в том числе до начала обработки, предоставлять документы и информацию, подтверждающие меры и соблюдение требований	Ч. 3 ст. 6
Обязанность обеспечивать безопасность данных при обработке	Ч. 3 ст. 6
Требования к защите по ст. 19, в том числе уведомление оператора о случаях ч. 3.1 ст. 21 (неправомерная или случайная передача, повлёкшая нарушение прав)	Ч. 3 ст. 6

Дополнительно (наша рекомендация, закон этого не требует): срок для уведомления об инциденте, запрет передавать обработку дальше без вашего согласия, порядок возврата или уничтожения данных, место хранения. Про субисполнителей в ч. 3-6 ст. 6 прямо ничего не сказано, поэтому их лучше урегулировать договором. Срок уведомления Роскомнадзора об инциденте у оператора — 24 часа с момента выявления (ч. 3.1 ст. 21), а исполнитель может узнать об инциденте раньше вас, поэтому срок для него разумно ставить короче.

Образец перечня условий

Ниже образец условий, а не договор целиком. Подставьте свои данные; в квадратных скобках то, что нужно заполнить. Пункты 2-9 следуют из ч. 3 ст. 6, пункты 10-12 это наша рекомендация.

Поручение обработки персональных данных (образец, подставьте свои данные)

1. ООО «Образец» (оператор) поручает ООО «Ромашка» (исполнитель) обработку персональных данных на срок действия договора от [дата] № [номер].
2. Цели обработки: [например, ведение бухгалтерского и налогового учёта оператора].
3. Перечень персональных данных: [ФИО, должность, ИНН, сведения о выплатах - по вашей ситуации].
4. Перечень действий: [сбор, запись, систематизация, хранение, уточнение, использование, удаление].
5. Исполнитель соблюдает принципы и правила обработки, установленные законом № 152-ФЗ, и конфиденциальность данных.
6. Исполнитель соблюдает требования ч. 5 ст. 18 и ст. 18.1 закона № 152-ФЗ.
7. Исполнитель обеспечивает безопасность данных и принимает меры по ст. 19 закона № 152-ФЗ: [перечень мер или приложение].
8. По запросу оператора в течение срока поручения, в том числе до начала обработки, исполнитель в течение [число] рабочих дней (срок закон не называет) предоставляет документы и информацию, подтверждающие принятие этих мер.
9. Исполнитель уведомляет оператора о случаях, указанных в ч. 3.1 ст. 21 закона № 152-ФЗ, в течение [число] часов (срок закон не задаёт) с момента выявления.
10. [Рекомендация] Передача обработки третьим лицам допускается только с письменного согласия оператора.
11. [Рекомендация] По окончании поручения исполнитель в течение [число] дней уничтожает данные или возвращает их оператору и подтверждает это актом.
12. [Рекомендация] Данные хранятся по адресу (в стране): [укажите].

Кто за что отвечает

Оператор отвечает перед человеком за действия исполнителя (ч. 5 ст. 6).
Исполнитель отвечает перед оператором (ч. 5 ст. 6) и обязан соблюдать принципы и правила обработки, конфиденциальность и принимать необходимые меры (ч. 3 ст. 6).
Иностранное лицо: перед человеком отвечают и оператор, и исполнитель (ч. 6 ст. 6).

Значит, исполнителя выбирают так же внимательно, как работника с доступом к базе. Закон требует включить в поручение обязанность исполнителя предоставлять документы о принятых мерах (ч. 3 ст. 6), запросите их до начала работы. Что грозит оператору за нарушения, разобрано в статье о штрафах.

Что оператор делает помимо договора

Помнит о праве человека узнать исполнителя: по запросу оператор сообщает наименование или ФИО и адрес лица, осуществляющего обработку по поручению (п. 9 ч. 7 ст. 14).
Обеспечивает прекращение и уничтожение и у исполнителя, когда достигнута цель (ч. 4 ст. 21).
Уведомляет Роскомнадзор об инциденте в 24 часа и 72 часа (ч. 3.1 ст. 21): ответственность за уведомление в законе лежит на операторе.
Включает исполнителя в свои документы: политика, перечни, согласия должны говорить о нём то же, что договор. См. хаб о комплекте документов.
Если исполнитель за границей: ст. 12 и ч. 6 ст. 6; уведомление подаётся до начала передачи, см. статью о трансграничной передаче.

Разберём сервис и страну, запросим сведения у получателя, подадим уведомление вместе с вами до начала передачи · если оно не нужно, скажем до оплаты

Передаёте данные иностранному сервису? Уведомление — 6 900 ₽

Проверить мой сервис →

Как мы помогаем

ФТИ — учебный центр с образовательной лицензией. Услуги по персональным данным ведёт юрист, работаем дистанционно по всей России.

Документы. Документы по 152-ФЗ — 9 900 ₽: разбор (кто имеет доступ к данным, какие системы и сервисы), политика, согласия, положение об обработке, перечни, инструкции. Договоры с исполнителями отдельной услугой мы не делаем, но проверим, чтобы документы не спорили с тем, что вы поручаете.
Сайт и сервисы. Аудит сайта на 152-ФЗ — 4 900 ₽, отчёт за 3 рабочих дня: формы, согласия, политика, счётчики и сервисы, где лежит база.
Сроки и изменения. Сопровождение по персональным данным — 1 990 ₽ в месяц или 19 900 ₽ в год: изменения в реестре, обновление документов, консультации.

Все услуги собраны на странице услуги ФТИ. Хаб по теме — что такое персональные данные.

Нормативные документы

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

Частые вопросы

Что такое поручение обработки персональных данных?

Это передача данных лицу, которое обрабатывает их по заданию оператора на основании договора, госконтракта или акта госоргана. Основание и обязательное содержание поручения установлены ч. 3 ст. 6 закона № 152-ФЗ.

Нужно ли согласие человека, чтобы поручить обработку другому лицу?

По ч. 3 ст. 6 - да, если иное не предусмотрено федеральным законом. Исключения для данных, которые обрабатываются по договору, в этой части мы не нашли. Для данных работников ст. 88 ТК требует письменного согласия на передачу третьей стороне, кроме случаев, названных в ТК и федеральных законах, и случая предупреждения угрозы жизни и здоровью работника.

Что обязательно указать в договоре с исполнителем?

Перечень данных, перечень действий, цели, обязанность соблюдать конфиденциальность, требования ч. 5 ст. 18 и ст. 18.1, обязанность предоставлять по запросу документы о принятых мерах, обязанность обеспечивать безопасность и требования ст. 19, включая уведомление оператора об инцидентах по ч. 3.1 ст. 21.

Должен ли исполнитель получать согласие у людей?

Нет. Лицо, осуществляющее обработку по поручению оператора, не обязано получать согласие субъекта (ч. 4 ст. 6). Согласие даёт оператору.

Кто отвечает перед человеком, если исполнитель нарушил закон?

Оператор (ч. 5 ст. 6). Исполнитель отвечает перед оператором. Если исполнитель - иностранное лицо, перед человеком отвечают и оператор, и исполнитель (ч. 6 ст. 6).

Можно ли исполнителю передать данные дальше другому подрядчику?

В ч. 3-6 ст. 6 об этом прямо ничего не сказано. Наша рекомендация: запретить это договором или разрешать только с письменного согласия оператора.

Бухгалтерский аутсорс и облачная CRM - это поручение?

По нашему прочтению, как правило да: исполнитель работает с данными по вашим целям. Закон ролей не раздаёт, поэтому смотрят, кто определяет цели и состав данных и использует ли сервис данные для себя.

Нужно ли указывать исполнителей в политике и уведомлении?

Письменное согласие должно содержать данные лица, которому поручена обработка (п. 6 ч. 4 ст. 9), а человек вправе узнать его наименование и адрес (п. 9 ч. 7 ст. 14). Отдельного пункта обо всех исполнителях в ч. 3 ст. 22 мы не нашли, кроме п. 10.2 для государственных и муниципальных информационных систем. Наша рекомендация: называть их или их категории в политике.

Сколько стоит подготовка документов, чтобы всё совпадало с договорами?

Пакет документов по 152-ФЗ стоит 9 900 ₽: разбор, политика, согласия, положение, перечни, инструкции, правки до вашего «принимаю». Договоры с исполнителями отдельной услугой мы не делаем, но проверим, чтобы документы не спорили с поручением.