Исполнители по договору ГПХ: согласие или поручение обработки

Работу делают удалённые исполнители, и через них проходят данные ваших клиентов. Какой документ нужен, зависит от того, физическое это лицо или организация.

Короткий ответ

Всё зависит от того, кто перед вами. С физическим лицом по гражданско-правовому договору оформляется согласие и обязательство о неразглашении. С индивидуальным предпринимателем или организацией нужно не согласие, а поручение обработки по части 3 статьи 6 Федерального закона № 152-ФЗ. Это разные документы, и подменять один другим нельзя.

Почему это два разных случая

Разница в том, чьи данные и в какую сторону движутся.

Когда вы нанимаете физическое лицо, вы обрабатываете его персональные данные: фамилию, паспортные данные, счёт для оплаты. Основанием служит исполнение договора, а на всё, что за его рамки выходит, берётся согласие. Плюс человек получает доступ к данным ваших клиентов, поэтому с него берётся обязательство о неразглашении.

Когда вы передаёте работу подрядчику-организации, вы передаёте ему чужие данные, данные ваших клиентов. Для закона это поручение обработки. Согласие подрядчика здесь ни при чём: он не субъект этих данных.

Что должно быть в поручении обработки

Часть 3 статьи 6 закона требует указать:

• перечень действий с персональными данными, которые поручаются;
• цели обработки;
• обязанность обработчика соблюдать конфиденциальность;
• обязанность обеспечивать безопасность данных при обработке;
• требования к защите обрабатываемых данных.

Оформляется это либо отдельным договором, либо разделом в основном договоре с подрядчиком. Второй путь обычно удобнее: не нужно подписывать лишнюю бумагу.

Кого обычно забывают

Поручение обработки нужно не только удалённым исполнителям. Пройдитесь по списку, почти в каждой организации найдётся три-четыре забытых обработчика:

• бухгалтерия на аутсорсе;
• хостинг сайта и любые облачные сервисы, где лежат данные;
• обслуживание компьютеров и программ приходящим специалистом;
• колл-центр и сервис рассылок;
• курьерская служба, если ей передаются данные получателей.

Как проверить себя за минуту

Задайте один вопрос: выходят ли персональные данные ваших клиентов или работников за пределы организации. Если да, найдите того, к кому они уходят, и посмотрите договор с ним. Если про персональные данные там ни слова, поручение обработки отсутствует, и это отдельный вопрос проверочного листа.

Ещё по теме