Кто оператор ПДн клиентов при договоре сопровождения?

В данной ситуации оператором персональных данных клиентов (физических лиц) является Заказчик, так как именно он:

- организует деятельность проекта;

- самостоятельно определяет цели и содержание обработки персональных данных (п. 2 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ).

Исполнитель по договору сопровождения, если он обрабатывает персональные данные по поручению Заказчика, признаётся лицом, осуществляющим обработку персональных данных по поручению оператора (ч. 3 ст. 6 Закона № 152-ФЗ).

Для минимизации рисков штрафов сторонам необходимо:

1. Заказчику:

- получить согласие субъектов персональных данных на обработку (ст. 9 Закона № 152-ФЗ);

- направить уведомление о начале обработки в Роскомнадзор (ст. 22 Закона № 152-ФЗ);

- заключить с Исполнителем договор поручения на обработку персональных данных (ч. 3 ст. 6 Закона № 152-ФЗ).

2. В договоре поручения обязательно определить:

- перечень персональных данных;

- перечень действий (операций) с ними;

- обязанность Исполнителя соблюдать конфиденциальность и обеспечивать безопасность данных.

3. Исполнителю:

- строго следовать указаниям Заказчика;

- обеспечивать безопасность персональных данных (ст. 19 Закона № 152-ФЗ).

Штрафы за нарушения значительны: за неправомерную передачу данных — до 20 млн руб., за утечку — до 15 млн руб., за отсутствие уведомления РКН — до 300 тыс. руб..

Если потребуется составить процессуальные документы с учётом данных рекомендаций — обращайтесь. +7-918-363-83-08 Мах, Telegram, WhatsApp.

Здравствуйте!

Судя по описанной схеме, оператором персональных данных клиентов, скорее всего, будет Заказчик. Он организует проект, оказывает услуги посетителям и заключает с ними договоры. По п. 2 ст. 3 Федерального закона № 152-ФЗ оператор — это лицо, которое определяет цели обработки данных, состав данных и действия с ними. Закон прямо говорит: "самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных".

Исполнителя лучше оформить как лицо, которое обрабатывает данные по поручению Заказчика. Но договор должен соответствовать фактической работе. Если Исполнитель сам определяет, зачем использовать клиентскую базу, какие данные собирать, кому их передавать, или использует базу для собственного маркетинга и аналитики, его могут признать самостоятельным или совместным оператором. Название Исполнителя в договоре этого не изменит.

В договор сопровождения нужно включить отдельное поручение на обработку ПД по ч. 3 ст. 6 Закона № 152-ФЗ. В поручении нужно указать:

- категории клиентов;

- точный перечень данных;

- цели обработки;

- все операции с данными;

- способы и сроки обработки;

- порядок удаления и возврата данных;

- требования к конфиденциальности и защите;

- место размещения информационных систем;

- порядок контроля со стороны Заказчика;

- действия при утечке.

Закон требует, чтобы в поручении были определены "перечень персональных данных, перечень действий (операций) с персональными данными... цели их обработки".

Ч. 3 ст. 6 разрешает поручить обработку другому лицу "с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом". С 1 сентября 2025 года согласие нельзя включать в договор или оферту: по ч. 1 ст. 9 оно "должно быть оформлено отдельно от иных информации и (или) документов". Поэтому, если передача данных Исполнителю основана именно на поручении и закон не предусматривает исключение, согласие клиента нужно получать отдельно и хранить подтверждение его получения. Исполнитель не обязан получать согласие повторно: ч. 4 ст. 6 прямо это исключает.

Согласие требуется не для каждой обработки. Например, Заказчик может обрабатывать данные, необходимые для оказания заказанной услуги, по п. 5 ч. 1 ст. 6: "обработка персональных данных необходима для исполнения договора, стороной которого... является субъект персональных данных". Нельзя собирать лишние данные. Ч. 5 ст. 5 устанавливает, что данные "не должны быть избыточными по отношению к заявленным целям их обработки".

Заказчик как оператор должен до начала обработки:

- проверить уведомление Роскомнадзора по ст. 22;

- назначить ответственного;

- утвердить политику и локальные акты по ст. 18.1.

Если данные собираются через сайт, политика должна быть размещена непосредственно в сети и доступна пользователю. При первоначальном сборе российские данные должны записываться, систематизироваться и храниться в базах данных в РФ — ч. 5 ст. 18.

Обе стороны должны обеспечить техническую и организационную защиту данных. Ч. 1 ст. 19 требует принимать меры "для защиты персональных данных от неправомерного или случайного доступа". В поручении нужно обязать Исполнителя немедленно сообщать Заказчику об инцидентах. Сам оператор должен уведомить Роскомнадзор в течение 24 часов, а результаты внутреннего расследования передать в течение 72 часов — ч. 3.1 ст. 21.

Если Исполнитель будет отправлять рекламные SMS, e-mail или звонки, потребуется отдельное предварительное согласие на рекламу. Ч. 1 ст. 18 Закона № 38-ФЗ разрешает такую рекламу "только при условии предварительного согласия абонента или адресата". Согласие на обработку ПД само по себе согласием на рекламу не является.

Здравствуйте!

В описанной вами схеме взаимодействия Оператором персональных данных (ПДн) клиентов является Заказчик.

Исполнитель в данном случае признается лицом, осуществляющим обработку персональных данных по поручению оператора (обработчиком).

Правовое обоснование статусов сторон

1. Почему Заказчик Оператор?

Согласно п. 2 ст. 3 Федерального закона № 152-ФЗ «О персональных данных», оператор это лицо, которое самостоятельно или совместно с другими лицами организует и (или) осуществляет обработку персональных данных, а также определяет цели обработки, состав данных и действия с ними.

Поскольку именно Заказчик оказывает услуги посетителям парка, заключает с ними договоры и определяет, зачем собираются данные клиентов, т.е. цель это исполнение договоров, проход на территорию и т.д., он приобретает статус Оператора.

2. Почему Исполнитель является Обработчиком (лицо по поручению)?

Согласно ч. 3 ст. 6 Закона № 152-ФЗ, Оператор вправе поручить обработку персональных данных другому лицу с согласия субъектов, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора.

Исполнитель оказывает аналитическое, маркетинговое и операционное сопровождение.

Он получает доступ к данным клиентов Заказчика не для своих личных целей, а исключительно для выполнения обязательств перед Заказчиком.

Перечень условий, чтобы не попасть на штрафы

Чтобы избежать штрафов по ст. 13.11 КоАП РФ, а размер которых для юрлиц измеряется сотнями тысяч, а при утечках миллионами рублей, стороны обязаны соблюсти следующие условия:

1. Включить «Поручение на обработку ПДн» в договор (обязательно по закону)

В самом договоре сопровождения или в отдельном соглашении (DPA / СLA) должны быть прямо прописаны требования ч. 3 ст 6 Закона № 152-ФЗ.

В поручении строго обязательно указать:

Перечень ПДн клиентов, передаваемых Исполнителю.

Перечень действий (операций) с ПДн, которые будет совершать Исполнитель, например: сбор, систематизация, хранение.

Цели обработки: они должны строго совпадать с целями Заказчика.

Обязанность Исполнителя соблюдать конфиденциальность и обеспечивать безопасность ПДн при их обработке по ст. 19 Закона № 152-ФЗ.

Требование к Исполнителю блокировать, уничтожать или возвращать данные Заказчику по окончании срока договора.

2. Скорректировать Согласие клиентов и Политику Заказчика

Согласие на обработку: Заказчик, собирая данные с посетителей парка на сайте, в кассе, при покупке билетов, обязан включить в текст Согласия пункт о том, что он привлекает к обработке третье лицо Исполнителя, при этом указать полное наименование и адрес Исполнителя согласно ч. 3 ст. 6 Закона № 152-ФЗ.

Без этого передача данных Исполнителю будет незаконной.

Политика конфиденциальности: Заказчик должен обновить Политику на своем сайте, указав там категории третьих лиц (партнеры/исполнители по сопровождению), которым могут передаваться данные.

3. Направить уведомления в Роскомнадзор

Заказчик (Оператор) обязан направить в Роскомнадзор уведомление о начале обработки персональных данных в соответствии со ст. 22 Закона № 152-ФЗ, указав в нем Исполнителя как лицо, которому поручена обработка, а также факт использования криптографических средств или трансграничной передачи, если они есть.

Исполнителю подавать отдельное уведомление на клиентов Заказчика не нужно, так как он действует в рамках чужого поручения, если только он не собирает собственные данные для иных целей.

4. Распределить ответственность за утечки (рекомендация)

На основании ч. 5 ст. 6 Закона № 152-ФЗ, перед клиентами (субъектами ПДн) за действия Исполнителя всю ответственность несет Заказчик.

Если Исполнитель допустит утечку базы данных парка, штрафовать Роскомнадзор и судиться с клиентами будет Заказчик.

Решение: Пропишите в договоре условие о регрессной ответственности Исполнителя.

Укажите, что в случае нарушения Исполнителем правил безопасности, повлекшего штрафы или иски к Заказчику, Исполнитель обязан полностью компенсировать Заказчику все убытки, судебные расходы и суммы наложенных штрафов.

⚖️ С уважением, юрист Кочетков А.В.

✅ Помогаю разобраться в сложных правовых ситуациях и найти решение, которое реально сработает.

👉 Узнать больше обо мне, ознакомиться с моим рейтингом и отзывами можете по ссылке: www.9111.ru/id-lex_et_vita/

📱 по телефону: +7 (953) 188-90-84 (Макс, Telegram, VK);

📝 по e-mail: lex_et_vita@mail.ru

⭐ Готов также ответить на все Ваши вопросы в личных сообщениях.

Оператор ПДн — Заказчик: именно он определяет цели и состав обработки (например, для обслуживания посетителей парка). Исполнитель — лицо, обрабатывающее данные по поручению оператора.

Чтобы не получить штраф, в договоре надо прямо закрепить поручение обработки (ч. 3 ст. 6 152‑ФЗ): перечислить действия с данными, цели, меры защиты, порядок уведомления об утечках, право Заказчика на контроль.

Ответственность перед субъектом ПДн и Роскомнадзором несёт Заказчик — даже если нарушение допустил Исполнитель. Поэтому одних договорённостей мало: нужен реальный контроль.

Риск стать самостоятельным оператором возникает у Исполнителя, если он начнёт использовать данные в своих целях (например, делать рассылки вне согласованных задач).

Добрый день!

В описанной ситуации оператором персональных данных клиентов, скорее всего, будет Заказчик, а Исполнитель — лицом, осуществляющим обработку ПДн по поручению оператора, если он получает доступ к клиентским данным именно для выполнения порученных ему функций.

Само название договора («сопровождение деятельности проекта») здесь решающего значения не имеет. Нужно смотреть, кто определяет цели обработки ПДн, состав данных и основные способы их обработки.

По ч. 3 ст. 6 Закона № 152-ФЗ оператор вправе поручить обработку другому лицу на основании договора. При этом в поручении обязательно должны быть определены, в частности, перечень ПДн, цели обработки, операции с данными, требования конфиденциальности и безопасности.

Как я бы квалифицировала вашу ситуацию

Если:

* Заказчик организует и эксплуатирует парк;

* именно Заказчик заключает договоры с посетителями/клиентами;

* клиенты передают свои данные для получения услуг Заказчика;

* Заказчик определяет, зачем эти данные нужны и сколько их хранить;

* Исполнитель получает доступ к базе клиентов только для маркетингового, аналитического, консультационного, операционного или иного сопровождения,

то схема выглядит следующим образом:

Заказчик — оператор ПДн.

Исполнитель — обработчик ПДн по поручению Заказчика.

При этом оператор не освобождается от ответственности перед клиентом за действия привлеченного обработчика. По общему правилу ответственность перед субъектом ПДн за действия лица, которому поручена обработка, несет оператор, а обработчик отвечает перед оператором.

Что обязательно закрепить в договоре

Я бы не ограничивалась общей фразой:

«Исполнитель обязуется соблюдать законодательство о персональных данных».

Лучше сделать отдельное приложение к договору — «Поручение на обработку персональных данных».

В нем необходимо подробно указать:

1. Кто оператор — полное наименование Заказчика.

2. Кто обработчик — полное наименование Исполнителя.

3. Категории субъектов — например, посетители парка, покупатели, пользователи сайта и т. д.

4. Перечень ПДн — ФИО, телефон, e-mail, сведения о заказе/посещении и т. п.

5. Цели обработки — конкретно, а не «для любых целей, связанных с договором».

6. Конкретные операции — сбор, систематизация, хранение, уточнение, использование, предоставление, удаление и т. д.

7. Срок обработки и порядок прекращения доступа.

8. Обязанность Исполнителя соблюдать конфиденциальность.

9. Обязанность соблюдать требования по безопасности ПДн.

10. Порядок предоставления Исполнителем документов, подтверждающих принятые меры защиты.

11. Порядок действий при инциденте/утечке ПДн и обязанность незамедлительно уведомить Заказчика.

12. Порядок обработки запросов субъектов ПДн.

13. Порядок возврата/уничтожения данных после прекращения договора.

14. Возможность привлечения Исполнителем субподрядчиков/субобработчиков — либо прямой запрет без письменного согласия Заказчика.

Именно такие элементы прямо предусмотрены ч. 3 ст. 6 Закона № 152-ФЗ

Оператором персональных данных клиентов будет Заказчик, поскольку именно он определяет цели обработки и осуществляет непосредственную деятельность по оказанию услуг посетителям парка. Исполнитель, если он обрабатывает данные только в рамках договора сопровождения и по указанию Заказчика, выступает в роли лица, осуществляющего обработку по поручению оператора (ч. 3 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»).

Чтобы распределение ролей было юридически чистым и не привело к штрафам, сторонам нужно закрепить в договоре сопровождения поручение на обработку персональных данных. В этом поручении следует указать перечень действий с данными, цели обработки, категории данных, обязанность Исполнителя соблюдать конфиденциальность и обеспечивать безопасность данных, а также условия о привлечении третьих лиц. Заказчик как оператор обязан получить согласие клиентов на обработку их персональных данных, если иное правовое основание не предусмотрено законом, и уведомить Роскомнадзор о начале обработки.

Отдельно отмечу, что если Исполнитель самостоятельно определяет, какие данные собирать и как их использовать (например, для собственных маркетинговых целей), он становится самостоятельным оператором со всеми вытекающими обязанностями. Поэтому в договоре важно чётко разграничить: все решения о составе и порядке обработки данных клиентов принимает Заказчик, а Исполнитель лишь выполняет технические и организационные функции. При таком подходе ответственность за нарушения, связанные с обработкой данных клиентов, в первую очередь несёт Заказчик, но и Исполнитель отвечает за свои действия в пределах данного ему поручения.

Если разбор пригодился, отметьте его - это подскажет людям с похожей проблемой, куда смотреть.

Здравствуйте !

В данном конкретном Вашем случае, это будет "Заказчик". По ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»: оператор — лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки и состав обрабатываемых данных. Поскольку именно Заказчик организует проект, оказывает услуги посетителям и собирает их данные, он определяет цели обработки, правовые основания и порядок работы с данными.

Исполнитель, если он обрабатывает персональные данные в рамках исполнения договора с Заказчиком (например, осуществляет маркетинговое, консультационное или аналитическое сопровождение), будет выступать в роли лица, обрабатывающего персональные данные по поручению оператора (часть 3 ст. 6 152-ФЗ). Однако если Исполнитель самостоятельно начинает использовать данные для собственных целей (например, для своей аналитики или рассылок), он может быть признан отдельным оператором.

Чтобы стороны не нарушали закон и не несли административной ответственности, необходимо:1. Заключить между Заказчиком и Исполнителем поручение на обработку персональных данных (договор/соглашение). В поручении нужно закрепить перечень действий с персональными данными, цели их выполнения, срок, обязанность соблюдать конфиденциальность и принимать необходимые меры защиты, а также ответственность сторон.

2. Обеспечить наличие законного основания для обработки. В данном случае чаще всего используется согласие клиентов (посетителей) на обработку персональных данных. В согласии должно быть прямо указано, кому могут передаваться данные (в том числе Исполнителю), и какие действия с ними совершаются. Можно также ссылаться на исполнение договора с клиентом (ст. 6 152-ФЗ), но если данные передаются третьим лицам, безопаснее получить согласие.

Уведомить Роскомнадзор об обработке персональных данных, если такая обязанность не исключена (ст. 22 152-ФЗ). Уведомление подается до начала обработки. Проверьте, не подпадает ли деятельность под исключения (например, обработка данных работников, обработка без средств автоматизации и т.п.).

Разработать и опубликовать Политику в отношении обработки персональных данных, обеспечить ее доступность на официальном сайте/информационных стендах.

Удачи

Здравствуйте!

Оператором персональных данных в этой схеме почти наверняка будет Заказчик. И вот почему: по закону (152-ФЗ) оператор — это тот, кто определяет цели и состав обрабатываемых данных. В вашем сценарии именно Заказчик организует взаимодействие с посетителями парка, собирает их данные (при покупке билета, регистрации и т.п.), решает, зачем эти данные нужны (для оказания услуги, учёта, маркетинга), и в целом несёт основную ответственность перед клиентом. Исполнитель же выступает как помощник: он получает доступ к данным строго для конкретных задач в рамках сопровождения проекта (аналитика, консультации, настройка процессов), то есть обрабатывает их по поручению оператора.

Что нужно сделать, чтобы снизить риски

Чтобы не получить штраф от Роскомнадзора, сторонам стоит закрепить в договоре (или в отдельном приложении к нему) ряд условий. Я подобрала ключевые пункты:

Чётко определить роли. Прямо прописать: «Заказчик является оператором персональных данных, а Исполнитель обрабатывает данные по поручению оператора». Это снимет неоднозначность.

Конкретизировать предмет. В поручении перечислить, какие именно категории персональных данных передаются Исполнителю (ФИО, email, телефон, данные о покупках и т.п.).

Чётко зафиксировать цели. Указать, для каких именно задач Исполнитель вправе использовать данные (например, «для аналитического отчёта по посещаемости», «для настройки персонализированных уведомлений»). Исполнитель не должен использовать данные в иных целях.

Прописать обязанности Исполнителя. Включить требования:

соблюдать конфиденциальность полученных данных;

принимать необходимые технические и организационные меры для их защиты (в соответствии со ст. 19 152-ФЗ);

по запросу Заказчика предоставлять доказательства того, что меры безопасности реализованы (например, сертификаты, политики ИБ);

уведомлять Заказчика о случаях утечки или иного инцидента в установленные сроки (по ч. 3.1 ст. 21 152-ФЗ — в течение 24 часов о факте, в течение 72 часов о результатах оценки);

по окончании поручения вернуть или уничтожить данные.

Закрепить ответственность. Прописать санкции за нарушение условий (например, за передачу данных третьим лицам, использование не по назначению).

Решить вопрос с согласием субъекта. Поскольку Исполнитель действует по поручению, ему самому не нужно получать отдельное согласие посетителей — это обязанность Заказчика. Но Заказчик должен обеспечить получение такого согласия (в конкретной, предметной форме) до начала обработки. В договоре можно зафиксировать, что Заказчик гарантирует законность получения согласий.

Продумать порядок взаимодействия. Например, как Заказчик будет контролировать, что Исполнитель не выходит за рамки поручения, или как будет организован возврат данных при расторжении договора.

Несколько важных предостережений

Не ограничивайтесь общей фразой вроде «Исполнитель соблюдает 152-ФЗ». Роскомнадзор при проверках смотрит на детали: если в договоре нет перечня данных, целей или мер защиты — это сочтут нарушением.

Если Исполнитель начнёт использовать данные в своих коммерческих целях (не по поручению), он сам станет самостоятельным оператором, и тогда потребуется отдельное согласие субъектов.

Помните про ответственность оператора: даже при наличии поручения Заказчик несёт ответственность перед субъектом данных за действия Исполнителя.

Я рекомендую перед подписанием договора показать его юристу, который специализируется на 152-ФЗ: он поможет адаптировать формулировки под специфику вашего проекта и закрыть все риски.

Выбирайте сами лучший ответ!

Здесь решает не название договора, а фактические полномочия сторон.

По вашему описанию оператор ПДн — Заказчик: именно он определяет цели обработки, собирает данные посетителей и заключает с ними договоры. Исполнитель — лицо, обрабатывающее ПДн по поручению оператора. Если же Исполнитель самостоятельно формирует клиентскую базу, определяет состав данных либо использует их для собственной рекламы и аналитики, он становится самостоятельным оператором в этой части.

Одной фразы «Исполнитель соблюдает 152‑ФЗ» недостаточно. В договоре или отдельном приложении необходимо закрепить:

конкретный перечень ПДн, цели и операции с ними;

сроки хранения, порядок возврата и уничтожения;

конфиденциальность, ограничение доступа и меры защиты;

локализацию баз в России;

запрет передачи субподрядчикам без согласования;

немедленное сообщение об утечке;

документы, подтверждающие соблюдение требований;

ответственность Исполнителя за нарушения.

Заказчику также нужны уведомление Роскомнадзора, политика обработки ПДн, локальные акты и законные основания обработки. Если данные передаются Исполнителю по поручению, это необходимо корректно отразить в отдельном согласии субъекта, когда такое согласие требуется.

Перед клиентами за действия привлечённого Исполнителя отвечает прежде всего Заказчик, а Исполнитель — перед Заказчиком. Основание: [части 3–5 статьи 6 Федерального закона № 152‑ФЗ]

Здравствуйте.

Оператором персональных данных в этой ситуации будет Заказчик. И вот почему: по закону (152-ФЗ) оператором считается тот, кто сам определяет цели обработки, состав данных и то, зачем вообще нужны эти сведения.

В вашем случае Заказчик организует работу парка, принимает решения, как собирать данные посетителей (например, при покупке билета или регистрации), и несёт основную ответственность перед людьми.

Исполнитель же выступает в роли обработчика — он помогает с аналитикой или маркетингом, но делает это строго в интересах Заказчика и по его заданию.

Давайте разбираться подробно.

Кто является оператором

персональных данных

В вашем случае оператором персональных данных будет Заказчик. Это следует из положений Федерального закона от 27.07.2006 № 152‑ФЗ «О персональных данных»: согласно ст. 3 этого закона, оператором признаётся лицо (юридическое или физическое), которое самостоятельно или совместно с другими лицами организует и (или) осуществляет обработку персональных данных, а также определяет цели обработки, состав данных, подлежащих обработке, и действия (операции), совершаемые с персональными данными.

Фактически именно Заказчик управляет проектом, организует оказание услуг посетителям парка, заключает договоры с третьими лицами и принимает решения о том, какие данные собирать (например, при продаже билетов, регистрации на мероприятия, оформлении пропусков и т. п.) и для чего их использовать. Исполнитель в этой схеме выступает как лицо, обрабатывающее персональные данные по поручению оператора: он применяет свои компетенции (методологию, аналитику, маркетинг и пр.) в интересах Заказчика и строго в рамках задания.

Такой статус Исполнителя прямо укладывается в конструкцию «обработка по поручению», предусмотренную ст. 6 и ст. 12 закона № 152‑ФЗ.

Важно понимать, что ответственность перед субъектами персональных данных (посетителями парка) несёт именно оператор (Заказчик). При этом, если Исполнитель нарушит условия обработки, Заказчик не освобождается от ответственности перед гражданами и регулятором — это вытекает из правовой природы отношений «оператор — обработчик по поручению».

Какие условия нужно закрепить в договоре, чтобы минимизировать риски штрафов

Чтобы снизить риски претензий со стороны Роскомнадзора и избежать штрафов по ст. 13.11 КоАП РФ, сторонам нужно максимально чётко зафиксировать в договоре сопровождения (либо в отдельном поручении на обработку) следующие моменты.

Чёткое распределение ролей. В тексте договора прямо укажите, что Заказчик является оператором персональных данных, а Исполнитель осуществляет обработку персональных данных по поручению оператора. Такая формулировка сразу задаёт правильную правовую квалификацию отношений и помогает проверяющим органам увидеть, что стороны понимают свои статусы.

Конкретный перечень персональных данных и целей обработки. Согласно ст. 5 закона № 152‑ФЗ, обработка должна быть ограничена достижением конкретных, заранее определённых и законных целей, а объём данных должен соответствовать этим целям.

Поэтому в приложении к договору либо в отдельном поручении нужно перечислить, какие именно данные передаются Исполнителю (например: ФИО, дата рождения, телефон, e‑mail, данные о покупках, история посещений и т. д.) и с какой целью (например: для формирования отчётов по посещаемости, сегментации аудитории, подготовки маркетинговых рассылок, аналитики эффективности мероприятий).

Избегайте расплывчатых формулировок вроде «все персональные данные» — это частая претензия проверяющих.

Перечень разрешённых действий (операций) с данными. В договоре зафиксируйте, какие операции вправе совершать Исполнитель: сбор, запись, систематизацию, накопление, хранение, уточнение, использование, передачу (в том числе третьим лицам, если это необходимо), обезличивание, удаление и т. п. Перечень должен быть исчерпывающим и соответствовать заявленным целям. Это требование вытекает из ст. 3 и ст. 6 закона № 152‑ФЗ и позволяет доказать, что обработка ведётся в строгом соответствии с заданием оператора.

Наличие законных оснований обработки и согласий. По общему правилу, обработка персональных данных возможна при наличии согласия субъекта либо иного законного основания (например, исполнение договора, где субъект — сторона или выгодоприобретатель).

Если обработка основана на согласии, то в договоре между Заказчиком и Исполнителем стоит закрепить обязанность Заказчика предоставить Исполнителю подтверждение наличия согласий либо иных оснований.

При этом важно учитывать, что согласие должно быть конкретным, информированным и сознательным (ст. 9 закона № 152‑ФЗ).

Если планируется передача данных третьим лицам (в том числе подрядчикам Исполнителя), это должно быть прямо указано в согласии либо оформлено отдельным согласием.

Требования к обеспечению безопасности персональных данных. В соответствии со ст. 19 закона № 152‑ФЗ оператор обязан принимать необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения.

Поскольку Исполнитель фактически обрабатывает данные, в договоре нужно закрепить его обязанность соблюдать эти требования: использовать защищённые каналы передачи, разграничивать доступ, шифровать данные, вести журналы доступа и т. д.

Можно сослаться на требования Постановления Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» и на приказы ФСТЭК России, устанавливающие меры защиты.

Порядок реагирования на инциденты и уведомления. Один из самых критичных моментов — обязанность своевременно сообщать о любых инцидентах, связанных с персональными данными (утечки, несанкционированный доступ и т. п.).

В договоре следует прописать, что Исполнитель обязан незамедлительно уведомлять Заказчика о выявленном инциденте, а Заказчик, в свою очередь, должен действовать в соответствии с требованиями закона и своевременно информировать Роскомнадзор при наличии оснований (ст. 22.1 закона № 152‑ФЗ).

Наличие такого механизма — одно из ключевых доказательств добросовестности сторон при проверке.

Ограничение передачи данных третьим лицам и субподрядчикам. Если Исполнитель планирует привлекать третьих лиц для обработки данных (например, облачные сервисы, подрядчиков по аналитике), это нужно прямо предусмотреть в договоре.

При этом передача данных таким лицам возможна только на основании отдельного поручения оператора либо при наличии в первоначальном согласии субъекта соответствующего указания.

Ответственность за действия привлечённых лиц по‑прежнему лежит на операторе (Заказчике), но договор с Исполнителем должен содержать обязательства контролировать соблюдение требований всеми привлечёнными лицами.

Сроки и порядок уничтожения данных. Согласно ст. 21 закона № 152‑ФЗ, после достижения целей обработки персональные данные подлежат уничтожению либо обезличиванию.

В договоре стоит зафиксировать сроки хранения данных у Исполнителя и порядок их уничтожения (например, по письменному требованию Заказчика, по истечении определённого срока, по акту об уничтожении). Это помогает доказать, что обработка не продолжается бесконтрольно.

Распределение ответственности и возмещение убытков. Хотя перед субъектом данных и перед регулятором отвечает оператор, в договоре между сторонами можно детально прописать, за что отвечает Исполнитель: за соблюдение мер безопасности, за своевременное уведомление об инцидентах, за недопущение передачи данных третьим лицам без согласования и т. п.

Также можно предусмотреть порядок возмещения убытков и штрафов, если нарушение со стороны Исполнителя приведёт к претензиям со стороны регулятора.

Практические риски и типичные ошибки, из‑за которых назначают штрафы

На практике штрафы по ст. 13.11 КоАП РФ чаще всего назначают за следующие нарушения: отсутствие чёткого определения оператора и целей обработки, сбор избыточных данных, отсутствие согласий или их ненадлежащее оформление, несоблюдение мер безопасности, а также отсутствие механизма уведомления об инцидентах.

Например, если в договоре не прописано, какие именно данные передаются и для чего, проверяющие могут счесть такую обработку избыточной и нарушающей принципы ст. 5 закона № 152‑ФЗ.

Аналогично, если Исполнитель хранит данные дольше, чем это необходимо для целей проекта, это может быть расценено как нарушение ст. 21 указанного закона.

Ещё один важный момент — трансграничная передача данных. Если Исполнитель или его подрядчики используют инфраструктуру за пределами России (например, зарубежные облачные сервисы), это считается трансграничной передачей персональных данных и требует соблюдения дополнительных условий, предусмотренных ст. 12 закона № 152‑ФЗ: уведомления Роскомнадзора, оценки надёжности принимающей стороны и т. д. Если такие риски есть, их нужно учитывать заранее.

---------

Таким образом, в вашей ситуации оператором персональных данных однозначно выступает Заказчик, а Исполнитель — обработчик по поручению.

Чтобы не попасть на штрафы, сторонам необходимо заключить договор (или поручение), в котором будут чётко зафиксированы роли, цели и состав обрабатываемых данных, перечень разрешённых операций, требования к безопасности, порядок реагирования на инциденты, сроки хранения и уничтожения данных, а также распределение ответственности.

Все эти условия должны быть сформулированы конкретно, без общих фраз, и подкреплены реальными организационными и техническими мерами.

__________________________________

Хотите узнать обо мне больше?

Внимательно изучу вашу ситуацию, предложу понятный план действий. При необходимости подготовлю все нужные документы и буду сопровождать дело на каждом этапе - от консультации до решения вопроса.

Здравствуйте!

Судя по описанной схеме, оператором персональных данных клиентов, скорее всего, будет Заказчик. Он организует проект, оказывает услуги посетителям и заключает с ними договоры. По п. 2 ст. 3 Федерального закона № 152-ФЗ оператор — это лицо, которое определяет цели обработки данных, состав данных и действия с ними. Закон прямо говорит: "самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных".

Исполнителя лучше оформить как лицо, которое обрабатывает данные по поручению Заказчика. Но договор должен соответствовать фактической работе. Если Исполнитель сам определяет, зачем использовать клиентскую базу, какие данные собирать, кому их передавать, или использует базу для собственного маркетинга и аналитики, его могут признать самостоятельным или совместным оператором. Название Исполнителя в договоре этого не изменит.