Почти любой бизнес передаёт данные клиентов кому-то ещё: службе доставки — адрес, колл-центру — телефон, облачному сервису — всю базу. Закон 152-ФЗ это допускает, но на условиях, и с одним принципом, который меняет расстановку ответственности.
Когда передача законна
Оператор вправе поручить обработку персональных данных другому лицу — с согласия субъекта и на основании договора с этим лицом (поручения на обработку). В таком поручении должны быть определены перечень данных, перечень действий с ними, цели обработки, установлена обязанность соблюдать конфиденциальность и обеспечивать безопасность данных. То есть нельзя просто выгрузить базу подрядчику — нужно и основание (согласие), и оформленное поручение с обязательствами.
🪤 Находка: перед клиентом отвечает оператор, а не подрядчик
Это ключевое и контринтуитивное. Если оператор поручил обработку другому лицу, ответственность перед субъектом персональных данных за действия этого лица несёт сам оператор. Подрядчик, который обрабатывает данные по поручению, отвечает перед оператором — но не перед клиентом. На практике это значит: если служба доставки или колл-центр допустили нарушение с данными ваших клиентов, спрашивать будут с вас. «Это подрядчик виноват» — не аргумент в отношениях с субъектом и регулятором.
Отсюда практический вывод: выбор подрядчика, которому передаются данные, — это ваш риск. Проверить, что у него есть свои документы по 152-ФЗ и он числится в реестре операторов, стоит до того, как передавать ему базу, а не после инцидента.
Передача за рубеж — отдельный режим
Если третье лицо находится за границей, к поручению добавляется режим трансграничной передачи: нужно отдельно уведомить РКН и учитывать, в какую страну уходят данные. А если подрядчик пишет данные россиян сразу в зарубежную базу, всплывает и требование локализации.
Что проверить перед передачей
Короткий чек-лист: есть согласие субъекта на такую обработку; оформлено поручение с перечнем данных, целей и обязательствами подрядчика по безопасности; подрядчик надёжен и сам соблюдает 152-ФЗ. Ответственность перед клиентом остаётся на вас в любом случае — поэтому эти проверки не формальность.
Роли в этой схеме важно не путать: тот, кто определяет цели обработки, — оператор, а подрядчик действует по его поручению. Кто из них отвечает перед клиентом и как это оформляется, разобрано отдельно: оператор и обработчик персональных данных.
Вопросы про передачу данных третьим лицам
Можно ли передавать данные клиентов подрядчику?
Да, оператор вправе поручить обработку другому лицу с согласия субъекта и на основании договора-поручения, где определены перечень данных, действий, цели и обязанности подрядчика по конфиденциальности и безопасности (ст. 6 152-ФЗ).
Кто отвечает перед клиентом, если подрядчик нарушил?
Оператор. Ответственность перед субъектом за действия лица, которому поручена обработка, несёт сам оператор. Подрядчик отвечает перед оператором, но не перед клиентом. «Виноват подрядчик» — не аргумент перед субъектом и регулятором.
Что должно быть в поручении на обработку?
Перечень персональных данных, перечень действий с ними, цели обработки, обязанность соблюдать конфиденциальность, обеспечивать безопасность данных и требования к их защите.
Что если подрядчик за рубежом?
Добавляется режим трансграничной передачи: нужно отдельно уведомить РКН по ст. 12 и учитывать страну получателя. Если данные россиян пишутся сразу в зарубежную базу, действует и требование локализации.
Продукт по теме
Похожие материалы
Источники
- Федеральный закон от 27.07.2006 № 152-ФЗ, ст. 6 (поручение обработки, ответственность оператора) — consultant.ru
Условия поручения и правило об ответственности оператора перед субъектом сверены с текстом ст. 6 152-ФЗ на 11.07.2026.