Поручение на обработку персональных данных: с кем его нужно оформить

Вопрос, на котором спотыкаются почти все: ищут подрядчика, который «работает с базой», и не находят. А в список попадают бухгалтер на аутсорсе, хостинг и приходящий системный администратор.

Короткий ответ

Если сторонняя фирма или человек по договору видит данные ваших клиентов или работников, с ним нужен документ, который называется поручением на обработку персональных данных. Отдельный договор или раздел в действующем — но обязательно письменно.

Кто считается таким подрядчиком

Здесь ошибаются чаще всего: ищут кого-то, кто «работает с базой данных», и не находят. А на деле в этот список попадают почти все:

• бухгалтерия на аутсорсе — она видит ФИО, паспорта, зарплаты, СНИЛС;
• хостинг и тот, кто обслуживает сайт, — через него проходят заявки с сайта;
• сервис рассылок и IP-телефония — там лежат адреса и телефоны клиентов;
• кадровое агентство, медцентр для медосмотров, охранная фирма с пропускной системой;
• приходящий системный администратор, у которого есть доступ к рабочим компьютерам.

Главный признак простой: человек не ваш работник, но данные видит.

Что требует закон

Это часть 3 статьи 6 закона № 152-ФЗ. Там же сказано, что тот, кто обрабатывает данные по поручению, обязан соблюдать принципы и правила обработки, соблюдать конфиденциальность и принимать необходимые меры защиты.

Отсюда вытекает и вторая сторона: ответственность перед человеком остаётся на вас. Если подрядчик потеряет базу, спрашивать будут с того, кто ему эти данные передал.

Что должно быть в поручении

Минимальный набор, который смотрит инспектор:

• перечень действий, которые подрядчику разрешены, и цель обработки;
• перечень данных, которые ему передаются, — не «любые», а конкретный состав;
• обязанность соблюдать конфиденциальность (статья 7 закона № 152-ФЗ прямо запрещает раскрывать и распространять данные без согласия человека);
• требования к защите данных и срок, после которого подрядчик их уничтожает или возвращает.

Как быстро проверить себя

Возьмите список всех, кому вы платите по договору, и отметьте тех, кто видит данные людей. Напротив каждого должен стоять документ. Пустые строки — это те самые вопросы, на которые на визите придётся отвечать молчанием.

Отдельно проверьте старые договоры: если бухгалтерия обслуживает вас пять лет, а поручение не оформлялось, это не «было давно», а действующее нарушение — обработка идёт сегодня.

Ещё по теме