Политика взаимодействия с подрядчиками по ПДн 2026
Я - Олег Петухов, руководитель юридической компании «ЛЕГАС». За 25 лет практики я помогал компаниям разных отраслей выстроить безопасное взаимодействие с подрядчиками, обрабатывающими персональные данные. В этой статье - пошаговый алгоритм: какие документы оформить, какие требования предъявить и как контролировать подрядчиков по 152 ФЗ.
Когда компания передаёт ПДн подрядчику?
Часто это происходит в сферах:
• аутсорсинг бухгалтерии (обработка данных сотрудников);
• IT поддержка (доступ к базам данных клиентов);
• маркетинговые исследования (анализ данных потребителей);
• клининг (данные о сотрудниках заказчика);
• курьерские услуги (адреса и контакты клиентов).
По ст. 7 152 ФЗ оператор (компания) несёт ответственность за ПДн, даже если их обрабатывает подрядчик.
Вопрос ответ: правила взаимодействия
Какие документы нужны для передачи ПДн подрядчику?
• Договор поручения (ст. 22 152 ФЗ) - чётко прописывает, какие данные передаются, для какой цели, сроки обработки.
• Согласие субъектов ПДн - если подрядчик получает доступ к новым категориям данных.
• Акт приёма передачи данных - фиксирует, какие данные переданы, в каком объёме, в какой форме.
• Политика обработки ПДн - должна быть доступна подрядчику и содержать меры защиты.
Что обязательно прописать в договоре?
• цель обработки ПДн;
• перечень данных;
• обязанности подрядчика по защите (шифрование, доступ, резервное копирование);
• порядок уведомления о утечках (в течение 24 часов);
• ответственность за нарушения (штрафы, возмещение убытков);
• срок хранения и порядок уничтожения данных.
Как контролировать безопасность у подрядчика?
• запросите сертификаты соответствия (ФСТЭК, ФСБ) - если обрабатываются спецкатегории ПДн;
• проведите аудит безопасности - раз в год или при смене подрядчика;
• включите в договор право на внезапную проверку систем защиты;
• требуйте регулярные отчёты о мерах защиты.
Что будет за нарушение?
• штрафы Роскомнадзора (до 6 млн руб. по ч. 2 ст. 13.11 КоАП РФ);
• иски от субъектов ПДн (компенсация морального вреда);
• репутационные потери (утечки данных в СМИ);
• приостановка деятельности (при грубых нарушениях).
Образец фрагмента договора с подрядчиком (ключевые пункты)
Договор на обработку персональных данных
г. Москва, 13 мая 2026 года
ООО «Заказчик» (ИНН 7701234567) и ООО «Подрядчик» (ИНН 7709876543) договорились:
1. Цель обработки: ведение бухгалтерского учёта сотрудников ООО «Заказчик».
2. Перечень ПДн: ФИО, паспортные данные, СНИЛС, банковские реквизиты.
3. Меры защиты: шифрование данных, разграничение доступа, резервное копирование раз в сутки.
4. Уведомление об утечке: в течение 24 часов с момента выявления инцидента.
5. Срок хранения: до окончания договора + 3 года для соблюдения требований законодательства.
6. Уничтожение данных: по истечении срока хранения - путём физического уничтожения носителей или безвозвратного удаления из баз данных (с составлением акта).
7. Ответственность: за нарушение условий договора подрядчик уплачивает штраф в размере 500 000 руб. и возмещает убытки.
8. Аудит безопасности: заказчик вправе провести внеплановую проверку систем защиты один раз в год.
Подписи сторон:
Заказчик: ___________ /Петров А.В./
Подрядчик: ___________ /Сидоров В.Г./
Заключение
Чтобы минимизировать риски при передаче ПДн подрядчикам:
• Оформите документы - договор, согласие субъектов, акт приёма передачи.
• Пропишите чёткие требования - цель, перечень данных, меры защиты, сроки, ответственность.
• Контролируйте подрядчика - запрашивайте отчёты, проводите аудиты, включайте право на внеплановые проверки.
• Реагируйте на инциденты - требуйте уведомления об утечках в течение 24 часов.
• Уничтожайте данные вовремя - составляйте акты утилизации после истечения срока хранения.
Если сомневаетесь в формулировках или мерах защиты, команда «ЛЕГАС» готова помочь: мы проверим ваш договор с подрядчиком, проведём аудит безопасности и подготовим документы под требования 152 ФЗ.
• Скачайте образец договора на обработку ПДн с подрядчиком (2026) - готовый шаблон с пояснениями, какие пункты адаптировать под вашу ситуацию.
• Поделитесь статьёй с коллегами: с руководителем IT отдела, бухгалтером, ответственным за безопасность. Возможно, вы поможете им избежать штрафов.
• Подпишитесь на legascom.ru - мы публикуем гайды по 152 ФЗ, разборы судебной практики, чек листы для аудита ПДн. Узнавайте первыми, как защитить данные и бизнес.
• Запишитесь на бесплатную консультацию - наши юристы проанализируют вашу политику взаимодействия с подрядчиками, подскажут, какие меры защиты внедрить, и помогут подготовиться к проверке Роскомнадзора.
Краткий итог:
Взаимодействие с подрядчиками по обработке ПДн требует внимания к деталям. Чтобы избежать штрафов и утечек:
• оформите договор с чёткими условиями и ответственностью;
• получите согласие субъектов ПДн, если это требуется;
• пропишите меры защиты (шифрование, доступ, резервное копирование);
• закрепите порядок уведомления об утечках (24 часа);
• проводите аудит безопасности подрядчика раз в год;
• уничтожайте данные по истечении срока и составляйте акты;
• при сомнениях обратитесь к юристу - это сэкономит время, деньги и нервы.
Команда «ЛЕГАС» готова помочь: мы проведём аудит вашей политики взаимодействия с подрядчиками, составим документы и подготовим вас к проверке. Защитите бизнес - действуйте грамотно!
