Договор на обработку персональных данных с подрядчиком в терминах 152-ФЗ называется поручением обработки, и по части 3 статьи 6 в нём обязательны пять условий: перечень персональных данных, перечень действий с ними, цель обработки, обязанность подрядчика соблюдать конфиденциальность и требования к защите данных по статье 19. Поручить обработку можно с согласия работника или кандидата, а отвечать перед ним за действия подрядчика будет ваша компания: подрядчик отвечает только перед вами и только в тех пределах, которые вы прописали. Главное различие определяет комплект документов: если подрядчик работает по вашим целям, оформляется поручение, а если он определяет цели сам, как удостоверяющий центр при выпуске сертификата подписи, поручение не подходит и нужно отдельное согласие на его обработку.
Разберём каждое обязательное условие с формулировками и типовыми ошибками, семь пунктов сверх закона: сроки уведомления об инциденте, запрет на субподряд, место хранения, возврат данных и доступ к архиву после расторжения. Покажем, где в согласии работника должен быть назван подрядчик по статье 88 ТК РФ и как проверить контрагента по реестру операторов Роскомнадзора до подписания. Размеры штрафов 2026 года, образцы документов, тарифы и ответы на частые вопросы — во второй половине статьи.
Конструктор ниже соберёт согласие на обработку персональных данных в формате .docx: с целями, сроком, оговоркой об отзыве и местом, куда вписывается подрядчик.
Поручение обработки или самостоятельный оператор: от чего зависит комплект документов
Оператор — тот, кто определяет цели обработки. Это определение решает исход: пока цели задаёте вы, подрядчик остаётся исполнителем по поручению и не становится оператором ваших данных, даже если физически хранит их у себя. Как только подрядчик начинает обрабатывать данные в собственных целях, он оператор, и договором поручения это не оформляется.
Разница видна на двух похожих ситуациях. Кадровый аутсорсер считает зарплату вашим работникам: цель поставили вы, данные его собственными не становятся, оформляется поручение. Удостоверяющий центр выпускает сертификат электронной подписи работнику: цель обработки задана 63-ФЗ и правилами удостоверяющего центра, поэтому он берёт у работника собственное согласие, а вы оформляете передачу данных отдельно.
Ниже — как разные подрядчики распределяются по этим двум режимам.
| Подрядчик | Роль по 152-ФЗ | Что оформляем | Что критично |
|---|---|---|---|
| Аутсорсинг кадрового делопроизводства и расчёта зарплаты | Обработка по поручению | Поручение в договоре или приложением к нему | Перечень данных шире всего: паспорт, СНИЛС, ИНН, состав семьи, банковские реквизиты |
| Сервис КЭДО, если работников регистрирует работодатель | Обработка по поручению | Поручение плюс согласие работника на передачу данных сервису | Массовая выгрузка из учётной системы при интеграции — это и есть передача данных |
| Сервис КЭДО, если работник регистрируется сам | Сервис собирает согласие самостоятельно | Пользовательское соглашение и согласие, которое принимает работник | Работодатель не передаёт данные и не отвечает за этот этап |
| Агентство, проверяющее кандидатов | Обработка по поручению | Поручение плюс согласие кандидата на проверку | Без подписанного согласия кандидата проверка неправомерна |
| Удостоверяющий центр при выпуске сертификата подписи | Самостоятельный оператор | Отдельное согласие работника на обработку данных для выпуска сертификата | Поручением такая обработка не закрывается |
| Облачный провайдер или центр обработки данных подрядчика | Соисполнитель вашего подрядчика | Условие о согласовании привлечения третьих лиц | Данные уходят к лицу, с которым у вас нет договора |
Две нижние строки таблицы чаще всего и выпадают из договора: про удостоверяющий центр забывают, потому что он появляется на этапе выпуска подписей, а про облако подрядчика — потому что оно не видно из интерфейса. Проверьте по своему списку контрагентов, кто из них попал во вторую и шестую строки.
Мария Ж, юрист со стажем более 20 лет: «Сервис обрабатывает данные работников только по поручению работодателя, а согласие в этом сценарии собирает оператор, то есть компания. Путаница начинается там, где сотрудники регистрируются не сами: при массовой регистрации через интеграцию данные в сервис передаёт работодатель, и это уже передача персональных данных со всеми последствиями. Посмотрите, как заводятся учётные записи в вашем случае, и от этого стройте комплект документов.»
Пять условий, без которых поручение не считается поручением
Часть 3 статьи 6 152-ФЗ разрешает поручить обработку другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, и только на основании договора, государственного или муниципального контракта либо акта государственного или муниципального органа. Устная договорённость и счёт на оплату основанием не являются.
Сам текст поручения закон описывает через закрытый перечень условий. В таблице — что именно требуется и на чём пункт перестаёт работать.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
| Обязательное условие | Что писать конкретно | Ошибка, из-за которой пункт не работает |
|---|---|---|
| Перечень персональных данных | Поимённый список полей: фамилия, имя, отчество, дата рождения, паспорт, СНИЛС, ИНН, адрес, телефон, должность, размер оплаты труда | Формулировка «персональные данные работников» без состава |
| Перечень действий с данными | Сбор, запись, хранение, уточнение, использование, передача, удаление, уничтожение — с указанием автоматизированной обработки | Общее слово «обработка» вместо операций |
| Цель обработки | Цель, ради которой данные передаются: ведение кадрового учёта, расчёт заработной платы, подписание кадровых документов | Цель шире договора, из-за чего подрядчик получает право на лишние операции |
| Обязанность соблюдать конфиденциальность | Запрет раскрывать и распространять данные без вашего согласия, обязательства о неразглашении с работниками подрядчика | Пункт есть в NDA, но отсутствует в самом поручении |
| Требования к защите по статье 19 152-ФЗ | Уровень защищённости, разграничение доступа, шифрование канала, журналирование действий, регистрация инцидентов | Отсылка «подрядчик соблюдает требования законодательства» без конкретных мер |
Дальше действуют ещё две нормы статьи 6, о которых в договорах почти не пишут, а они меняют расстановку сил. Лицо, обрабатывающее данные по вашему поручению, не обязано получать согласие субъекта: это ваша обязанность. Ответственность перед работником за действия подрядчика несёт оператор, а подрядчик отвечает только перед оператором. Претензию работника и штраф надзорного органа получаете вы, а взыскать с подрядчика сможете ровно столько, сколько записано в договоре.
Факт: оценка соответствия обработки персональных данных требованиям 152-ФЗ обязательна, но проводить её можно двумя способами: самостоятельно, оформив акт оценки соответствия, либо привлечь лицензиата ФСТЭК и получить аттестат на конкретную информационную систему.
Семь условий сверх закона, которые спасают при утечке и расторжении
Закон задаёт минимум, при котором поручение вообще существует. Всё, что произойдёт дальше — инцидент, проверка, смена подрядчика, — регулируется теми пунктами, которые вы допишете сами.
1. Срок уведомления об инциденте. При неправомерной передаче или доступе к данным оператор уведомляет Роскомнадзор в течение 24 часов о самом инциденте и в течение 72 часов — о результатах внутреннего расследования. Эти сроки идут у вас, а факт утечки первым видит подрядчик. Поэтому в договоре нужен встречный срок: подрядчик сообщает вам в течение нескольких часов, называет состав затронутых данных и число субъектов, назначает контактное лицо с телефоном.
2. Запрет на привлечение третьих лиц без согласования. Подрядчик переносит систему в чужое облако, подключает колл-центр или передаёт часть операций партнёру. Формулировка «с предварительного письменного согласия оператора» оставляет вам контроль над тем, у кого реально лежат данные ваших работников.
3. Место обработки и хранения. Укажите страну, площадку и модель поставки: облако подрядчика, установка в ваш контур или гибрид. Запросов на локальное развёртывание в среднем и крупном бизнесе стало больше, и часть компаний целенаправленно уходит с облачной инфраструктуры в собственный контур именно по мотивам информационной безопасности. Если у подрядчика или его облака есть площадки за пределами России, добавляется трансграничная передача и уведомление Роскомнадзора до её начала.
4. Требования к каналу и хранилищу. Обмен персональными данными по зашифрованному каналу, аутентификация пользователей, хранение документов с сохранением проверяемости подписи — это то, что проверяется на стороне системы, а не на словах.
5. Возврат и уничтожение данных. Пропишите срок обработки, событие её прекращения, срок возврата или уничтожения данных, форму акта и судьбу резервных копий. Отдельно — что происходит с архивом: кадровые документы хранятся годами, а трудовые договоры и приказы по личному составу — 50 лет, и после расторжения договора этот массив никуда не исчезает.
6. Право проверки. Запрос документов о принятых мерах защиты, право на выездную или дистанционную проверку, обязанность предоставить сведения для ответа на запрос работника и надзорного органа в установленные законом сроки.
7. Ответственность и возмещение. Штраф платит оператор, поэтому в договоре нужен механизм возмещения: убытки, включая административные штрафы и выплаты работникам, взыскиваются с подрядчика при нарушении им условий поручения. Без этого пункта вы остаётесь с чужой ошибкой и своим штрафом.
Мы выносим поручение отдельным приложением к договору, а не растворяем его в разделе о конфиденциальности: приложение проще менять при изменении состава данных и удобнее показывать при проверке.
Доступ к архиву после расторжения договора
Расторжение договора с подрядчиком — момент, когда выясняется, кому принадлежит доступ. В лицензионных договорах на сервисы, как правило, предусматривается, что доступ к архивной версии проекта у компании остаётся, и разработчик продолжает обеспечивать электронный архив. Правило это договорное, а не законное, поэтому читать нужно свой договор, а не общую практику.
Три вопроса, которые закрывают тему до подписания: в каком формате выгружаются документы при расторжении, сколько времени доступ сохраняется после окончания оплаты, кто и в какой срок уничтожает копии на стороне подрядчика.
Полезно знать: при подписании через Госключ тело документа передаётся в приложение через портал госуслуг. Это отдельный маршрут данных, который стоит описать в договоре наряду с основным хранилищем.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Пункт про архив клиенты читают последним, а он решает, что будет через три года. Мы просим проверять три вещи: сохраняется ли доступ к архивной версии после расторжения, в каком формате выгружается массив и кто отвечает за уничтожение копий. Поставьте эти вопросы до подписания: после расторжения переговорная позиция у вас уже другая.»
Согласие работника и статья 88 ТК РФ: где должен быть назван подрядчик
Статья 88 ТК РФ запрещает сообщать персональные данные работника третьей стороне без его письменного согласия, кроме случаев предупреждения угрозы жизни и здоровью и других случаев, предусмотренных Трудовым кодексом и федеральными законами. Та же статья требует предупредить получателя данных, что использовать их можно только в тех целях, для которых они сообщены, и потребовать подтверждения, что это правило соблюдено. Подтверждением и служит подписанное поручение.
Поэтому связка выглядит так: в согласии работника названы подрядчик, состав передаваемых данных, цель и срок, а в поручении те же данные, цель и операции повторены дословно. Расхождение между двумя документами — готовое замечание при проверке.
С 1 сентября 2025 года согласие оформляется отдельным документом, а не пунктом в договоре или пользовательском соглашении. Для кандидатов работает то же правило: передавать данные соискателя агентству или службе проверки можно после подписанного согласия, а не после устного «не возражаю» на собеседовании.
В практике Добыто самая частая точка сбоя — интеграция с учётной системой. Компания собрала согласия на переход на КЭДО, запустила выгрузку сотрудников в сервис, а согласия на передачу данных конкретному подрядчику в комплекте нет.
Лайфхак: выгружайте журнал действий по спорному документу до начала конфликта, а не после. Журнал показывает всё: дату выдачи ключа, вход под чужой учётной записью, отсутствие активности работника при формально подписанном документе.
Шаблоны согласий и локальных актов по обработке данных
Комплект собран под передачу данных подрядчику: начните с согласия, затем сверьте с ним правила обработки и договорную обвязку.
| Документ | Скачать |
|---|---|
| Согласие на обработку персональных данных | Скачать |
| Правила обработки персональных данных | Скачать |
| Шаблон соглашения по электронному документообороту | Скачать |
| Регламент двустороннего обмена документами | Скачать |
| Положение о ведении КЭДО | Скачать |
Как проверить подрядчика до подписания договора
Проверка начинается с реестра: компания, которая обрабатывает данные собственных работников и клиентов, обязана уведомить надзорный орган о начале обработки, и запись об этом видна в реестре операторов, осуществляющих обработку персональных данных, поиск идёт по ИНН или названию. Отсутствие записи — не приговор, но первый вопрос к контрагенту.
Как проверить подрядчика по персональным данным: пошаговая инструкция
- Шаг 1. Найдите компанию в реестре операторов по ИНН и сверьте заявленные цели обработки с тем, что вы собираетесь ему поручить.
- Шаг 2. Запросите лицензии. Деятельность по технической защите конфиденциальной информации и по разработке средств защиты лицензируется, и информационная система, где реализована хотя бы одна функция безопасности, попадает под лицензирование при продаже в России. Без лицензии разработчик может лишиться права поставлять продукт, а вы — системы.
- Шаг 3. Уточните по сертификату, на что он выдан: на конкретную версию продукта или на процессы безопасной разработки. Версии меняются, и сертификат на прошлую версию не переносится на текущую автоматически.
- Шаг 4. Спросите, где физически находятся серверы, кто имеет к ним административный доступ и какая модель поставки предлагается: облако подрядчика, ваш контур или гибрид.
- Шаг 5. Проверьте журналирование: система должна выгружать журналы действий и отслеживать действия пользователя, иначе в споре нечем подтвердить факты отправки, доставки и подписания документа.
- Шаг 6. Соберите обратную связь по инцидентам: как подрядчик фиксирует их, кто уведомляет оператора, за какой срок и в каком составе сведений.
Мария Ж, специалист по цифровой подписи и КЭДО: «Наличие лицензии у разработчика проверяют редко, а последствия у этого неприятные: регуляторы вправе прекратить деятельность организации или запретить использование продукта, и вы остаётесь без поставщика, а иногда и без информационной системы. Лицензионные требования серьёзные, но выполнимые, поэтому нормальный подрядчик документы показывает спокойно. Запросите копии до подписания договора.»
На внедрении мы закладываем пилотную группу из одного подразделения до раскатки на всю компанию: на ней видно, какие поля данных реально уходят в сервис, и перечень в поручении корректируется до того, как в системе появятся тысячи учётных записей.
Что подготовить до переговоров
Половина правок в договор появляется из-за того, что оператор сам не описал, что передаёт. До встречи с подрядчиком соберите:
- перечень категорий субъектов: работники, кандидаты, бывшие работники, исполнители по договорам ГПХ, члены семьи работников;
- перечень полей данных по каждой категории, отдельно отметив специальные категории и биометрию;
- цель, ради которой данные уходят подрядчику, в одной фразе;
- перечень операций, которые подрядчик реально выполняет, без запаса на будущее;
- срок обработки и событие, при котором она прекращается;
- ответственного за организацию обработки персональных данных в вашей компании.
Когда поручение оформлять не нужно
Не каждый контрагент, который что-то знает о ваших работниках, требует договора поручения.
Подрядчик не получает персональных данных. Аналитик работает с обезличенными выгрузками, а подрядчик по обслуживанию помещений видит только список отделов. Нет данных, позволяющих определить конкретного человека, — нет и обработки персональных данных.
Подрядчик — самостоятельный оператор. Удостоверяющий центр, банк в рамках зарплатного проекта, медицинская организация при проведении медосмотра работают по собственным основаниям. Здесь оформляется передача данных и согласие работника, а не поручение.
Обработку ведёт ваш собственный работник. Бухгалтер, кадровик, руководитель подразделения — не третья сторона. Им оформляется допуск, обязательство о неразглашении и роль в системе, и договор поручения тут неуместен.
Отдельно про коммерческую тайну: режим по 98-ФЗ поручение не заменяет. Он про иной объект и не распространяется на сведения о численности и составе работников, системе оплаты труда, условиях труда и задолженности по заработной плате — эти сведения коммерческой тайной быть не могут. NDA с подрядчиком остаётся полезным, но обязанность соблюдать конфиденциальность персональных данных должна стоять в самом поручении.
Сколько стоит ошибка в договоре с подрядчиком
Расходы считаются не по стоимости услуг подрядчика, а по последствиям, которые остаются у оператора. Санкции статьи 13.11 КоАП РФ после поправок, действующих с 30 мая 2025 года, для юридических лиц выглядят так: обработка персональных данных без согласия — от 300 до 700 тысяч рублей, повторно — от 1 до 1,5 миллиона; неуведомление о начале обработки — от 100 до 300 тысяч рублей; неуведомление об утечке в установленный срок — от 1 до 3 миллионов рублей.
Сама утечка тарифицируется по числу затронутых субъектов: от 1 000 до 10 000 — от 3 до 5 миллионов рублей, от 10 000 до 100 000 — от 5 до 10 миллионов, свыше 100 000 — от 10 до 15 миллионов. Утечка биометрии — от 15 до 20 миллионов. Повторное нарушение переводит штраф в оборотный, от 1 до 3 процентов выручки за предшествующий год.
Уведомление о начале обработки подаётся через электронные формы уведомлений на портале персональных данных: на бумаге, с квалифицированной подписью или через учётную запись госуслуг. Это тот случай, когда обязанность закрывается за один вечер, а её отсутствие стоит сотен тысяч рублей.
Внимание: в каждом первом проекте внедрения информационная безопасность идёт отдельным разделом, а специалисты по безопасности приходят на первые же встречи и задают вопросы раньше, чем бизнес-подразделения переходят к функциональности.
Мария Ж, судебный эксперт по трудовому праву: «В споре по электронным кадровым документам доказывают четыре обстоятельства: получено ли согласие работника на КЭДО, ознакомлен ли он с локальным актом, использовал ли электронную подпись, получил ли документ. Всё это подтверждается выгрузками из системы подрядчика, поэтому право на получение журналов надо закреплять в договоре заранее. Проверьте, есть ли у вас такой пункт и в какой срок подрядчик обязан отдать выгрузку.»
Стоимость подключения и тарифы на КЭДО
Стоимость зависит от численности сотрудников, набора подписей и того, нужна ли интеграция с учётной системой.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 ₽ за сотрудника в месяц | подключение за 5 минут |
| Тариф «Бизнес»: без ограничения численности, ПЭП, УНЭП и УКЭП, электронный архив | от 50 ₽ за сотрудника в месяц | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 30 000 ₽ в год за 50 сотрудников | оплата за год |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
| Электронные подписи ПЭП и УНЭП для сотрудников | входят в тариф | по мере подключения |
| Интеграция с 1С:ЗУП готовым модулем | входит в тариф «Бизнес» | один день |
| Выпуск УКЭП | через партнёрские удостоверяющие центры | по запросу |
Итоговая сумма складывается из численности и выбранного тарифа, а переход между тарифами пересчитывается пропорционально оставшемуся периоду. Состав каждого тарифа и условия минимальной оплаты указаны на странице тарифов ДОБЫТО КЭДО.
Выводы
Договор с подрядчиком по персональным данным держится на двух вещах: правильно определённой роли контрагента и полном составе условий поручения. Пять пунктов требует закон, остальные семь — практика инцидентов и расторжений: сроки уведомления, запрет на субподряд, место хранения, возврат данных, доступ к архиву, право проверки и механизм возмещения. Согласие работника и поручение должны совпадать по перечню данных, целям и операциям, иначе расхождение всплывёт при первой же проверке.
Мы в Добыто выступаем лицом, обрабатывающим данные по поручению работодателя, поэтому поручение, перечень передаваемых данных и порядок выгрузки архива обсуждаем на старте, до массовой регистрации сотрудников.
Частые вопросы
Можно ли оформить поручение отдельным документом, а не разделом договора?
Да. Закон требует, чтобы поручение выдавалось на основании договора, государственного или муниципального контракта либо акта государственного или муниципального органа, но не диктует, в каком разделе разместить условия. Приложение к договору удобнее: при изменении состава данных или перечня операций правится один документ, а не весь контракт. Главное — сохранить все пять обязательных условий и подписать приложение теми же лицами, что и основной договор.
Обязан ли подрядчик подавать своё уведомление в Роскомнадзор по нашим данным?
Уведомление о начале обработки подаёт оператор, то есть тот, кто определяет цели. По данным ваших работников это вы, и подрядчик за вас эту обязанность не закрывает. При этом сам подрядчик как компания обрабатывает данные своих работников и клиентов и подаёт уведомление по ним. Поэтому запись о нём в реестре операторов — признак порядка в его собственных процессах, а не подтверждение вашей обработки.
Что делать, если у подрядчика меняется облачный провайдер?
Смотреть условие о привлечении третьих лиц. Если в договоре записано согласование, подрядчик обязан запросить письменное согласие до переноса данных, и у вас есть время проверить новую площадку: страну размещения, модель поставки, наличие лицензий. Если условие отсутствует, юридически переезд состоится без вашего участия, а ответственность перед работниками останется на вас как на операторе.
Нужно ли переоформлять согласия работников при смене подрядчика?
Если в согласии назван конкретный подрядчик, то да: на нового исполнителя старое согласие не распространяется. Практический вывод — собирать согласия до, а не после запуска нового сервиса, и закладывать на это время в план перехода. Сбор согласий по численности идёт дольше технической настройки, и именно он обычно сдвигает сроки проекта.
Распространяются ли эти правила на самозанятых и исполнителей по договорам ГПХ?
Персональные данные исполнителя по гражданско-правовому договору защищаются 152-ФЗ так же, как данные работника, и передача их подрядчику требует поручения и согласия. Разница в том, что глава 14 ТК РФ и статья 88 к исполнителям не применяются: основанием служат 152-ФЗ и условия самого договора. Состав данных обычно уже: фамилия, имя, отчество, паспорт, ИНН, реквизиты для выплат.
Что писать в поручении про срок обработки, если договор бессрочный?
Привязывайте срок не к календарю, а к событию: обработка прекращается при достижении цели, расторжении договора или отзыве согласия субъекта, после чего данные возвращаются или уничтожаются в согласованный срок с оформлением акта. Отдельно оговаривается судьба резервных копий и архивных выгрузок, потому что кадровые документы хранятся десятилетиями и физическое удаление всего массива в день расторжения невозможно.
