Обработка персональных данных третьим лицам по поручению оператора оформляется договором. По ч. 3 ст. 6 152-ФЗ в нём должны быть перечень данных, операции и цели обработки, обязанность соблюдать конфиденциальность, меры защиты по ст. 19 и обязанность сообщать оператору об инцидентах. Если работодатель передаёт данные работника подрядчику, нужно письменное согласие работника по ст. 88 ТК РФ. С 1 сентября 2025 года его оформляют отдельным документом и указывают в нём наименование и адрес обработчика. Перед работником за ошибки подрядчика отвечает оператор, а обработчик отвечает перед оператором. Если получатель обрабатывает данные по прямой обязанности из закона, как СФР и ФНС, поручение не оформляется: у такой передачи своё основание.
Материал помогает определить, кто из ваших контрагентов работает по поручению, составить договор без пропущенных условий и получить согласие, которое выдержит проверку Роскомнадзора. Отдельно разобраны облачный КЭДО-провайдер, иностранный обработчик, локализация баз данных и то, как поручение соотносится с режимом коммерческой тайны. Во второй половине статьи собраны штрафы по ст. 13.11 КоАП РФ в редакции 2025 года, тарифы, образцы документов и ответы на частые вопросы.
Поручение или передача: как определить роль третьего лица
Оператор вправе поручить обработку персональных данных другому лицу на основании договора с этим лицом. Согласие субъекта для этого нужно, если федеральный закон не предусматривает иного. Цели обработки при поручении задаёт оператор, поэтому в договоре они перечислены. Если получатель обрабатывает данные в своих целях, поручения нет: это передача, и у неё должно быть своё законное основание.
Для работодателя к 152-ФЗ добавляется ст. 88 ТК РФ. Сообщать данные работника третьей стороне без его письменного согласия нельзя. Исключения: угроза жизни и здоровью работника и случаи, прямо предусмотренные ТК РФ или другими федеральными законами. Получатель обязан использовать данные только в той цели, ради которой они переданы, и только в объёме, который нужен для его функций.
По бухгалтерскому и кадровому аутсорсингу позиция ведомства однозначная. В разъяснениях Роскомнадзора по обработке персональных данных работников от 14.12.2012 сказано, что при привлечении сторонних организаций работодатель обязан получить согласие работников. Там же указано, что передача сведений в Пенсионный фонд идёт без согласия. Разъяснение старое, поэтому ПФР в нём нужно читать как нынешний Социальный фонд России.
Таблица ниже показывает основание передачи для типовых получателей кадровых данных.
| Получатель данных | Основание передачи | Согласие работника | Поручение по ч. 3 ст. 6 152-ФЗ |
|---|---|---|---|
| Бухгалтерский или кадровый аутсорсинг | Договор с оператором, ст. 88 ТК РФ | Нужно, письменное (позиция Роскомнадзора) | Нужно |
| Провайдер облачного КЭДО, владелец серверов, удостоверяющий центр | Договор с оператором, ст. 88 ТК РФ; хранение — тоже операция обработки | Нужно, на передачу третьим лицам | Нужно |
| Социальный фонд России | П. 2 ч. 1 ст. 6 152-ФЗ, ст. 11 Федерального закона от 01.04.1996 № 27-ФЗ | Не нужно для сведений, которые работодатель обязан представить | Не оформляется |
| ФНС | П. 2 ст. 230 НК РФ, п. 2 ч. 1 ст. 6 152-ФЗ | Не нужно для сведений о доходах и НДФЛ; сверх них — нужно | Не оформляется |
| Банк по зарплатному проекту | Ст. 88 ТК РФ; официального исключения нет | Безопаснее получить письменное | Зависит от условий договора с банком |
| Страховщик по ДМС | Ст. 88 ТК РФ; сведения о здоровье — ст. 10 152-ФЗ | Безопаснее получить письменное | Зависит от условий договора со страховщиком |
Две нижние строки остаются зоной оценки. Официального разъяснения Роскомнадзора или Минтруда, которое разрешало бы передавать данные в банк зарплатного проекта или страховщику ДМС без согласия, на дату публикации нет. Пока его нет, письменное согласие закрывает риск по ст. 88 ТК РФ при любой квалификации договора.
Облачный КЭДО добавляет получателей, о которых кадровая служба часто не думает. Кадровые документы уходят к провайдеру в облако, а если подписи выпускает сторонний удостоверяющий центр, данные получает и он. При аренде серверов к ним добавляется владелец инфраструктуры. С каждым сотрудником нужно согласие на такую передачу третьим лицам.
Мария Ж, специалист по цифровой подписи и КЭДО: «Кадровые документы — это чувствительные персональные данные: сведения о семье, здоровье, доходах. Как только они уходят к внешнему провайдеру, появляется третье лицо, и передавать ему данные можно на основании согласия работника. Поэтому выбор облачной системы касается не только техники: вместе с ним работодатель берёт на себя сбор согласий на передачу третьим лицам и обязанность объяснить людям, кому именно уходят их данные.»
Для провайдера КЭДО, включая Добыто, конструкция стандартная: работодатель остаётся оператором и отвечает перед работниками, а сервис обрабатывает кадровые документы по его поручению. Перечень операций, цели и меры защиты фиксируются в договоре, а работник видит наименование и адрес провайдера в своём согласии.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Полезно знать: за формулировкой «данные хранятся у провайдера» обычно стоит не одна компания, а три: сам провайдер, владелец инфраструктуры и удостоверяющий центр. Каждого из них нужно назвать в согласии и учесть в договорах.
Когда поручение не нужно
Поручение не оформляется в двух ситуациях. Первая: получатель получает данные по обязанности, прямо установленной законом. Так работодатель направляет сведения персонифицированного учёта в СФР и сведения о доходах и НДФЛ в ФНС. Эта передача ограничена составом, который требует закон, и не разрешает отдавать ведомству любые кадровые сведения. Вторая: получатель обрабатывает данные в своих целях и сам становится оператором. Тогда договор поручения подменяет реальные отношения сторон, а основание передачи нужно искать в ч. 1 ст. 6 152-ФЗ и ст. 88 ТК РФ. Сверьте с этими двумя случаями каждого получателя из вашего списка контрагентов, прежде чем готовить договор.
Обязательные условия поручения по ч. 3 ст. 6 152-ФЗ
Состав поручения закрытый: закон перечисляет условия, без которых договор не выполняет функцию поручения, даже если в нём есть общий пункт о конфиденциальности. Формулировки норм удобно сверять по тексту 152-ФЗ на сайте Минтруда: там действующая редакция статей 6, 9, 18, 18.1, 19 и 21.
| № | Условие поручения | Что записать в договоре |
|---|---|---|
| 1 | Перечень персональных данных | Конкретные категории и состав сведений, которые получает обработчик |
| 2 | Перечень действий (операций) | Сбор, запись, систематизация, хранение, передача и иные операции, которые обработчику разрешены |
| 3 | Цели обработки | Цели оператора, ради которых обработчик работает с данными |
| 4 | Конфиденциальность | Обязанность обработчика соблюдать конфиденциальность персональных данных |
| 5 | Локализация, ч. 5 ст. 18 | Обязанность использовать базы данных, находящиеся в России, при сборе данных граждан РФ |
| 6 | Требования ст. 18.1 | Обязанность принимать меры для выполнения обязанностей по 152-ФЗ |
| 7 | Документы по запросу оператора | Обязанность предоставлять документы и информацию, подтверждающие принятые меры, в течение срока поручения, в том числе до начала обработки |
| 8 | Меры безопасности, ст. 19 | Обязанность обеспечивать безопасность данных и требования к их защите |
| 9 | Уведомление об инцидентах, ч. 3.1 ст. 21 | Обязанность сообщать оператору о неправомерной или случайной передаче данных |
Пункты 7 и 9 в типовых договорах с подрядчиками пропускают чаще остальных. Без п. 7 оператор не сможет показать Роскомнадзору, что проверял обработчика, а без п. 9 он узнает об утечке позже, чем истекут его собственные сроки уведомления. Требование об уведомлении оператора об инциденте действует с редакции Федерального закона от 14.07.2022 № 266-ФЗ, поэтому договоры, подписанные до неё, стоит пересмотреть.
Условие о мерах безопасности не заполняется общей фразой. Требования к защите данных в информационных системах задаёт постановление Правительства РФ от 01.11.2012 № 1119, и оно распространяется на оператора и на лицо, обрабатывающее данные по поручению. Отдельного порядка оформления поручения постановление не устанавливает, но меры, которые обработчик обязуется принять, удобно описывать в его терминах.
Важный нюанс из практики: в системах КЭДО трудовой договор можно зашифровать так, что ключ доступа к нему будет только у сотрудника отдела кадров и у самого работника, а документы будут храниться в зашифрованном виде даже на внутреннем сервере. Если провайдер это поддерживает, механизм стоит назвать в условии о мерах безопасности.
Отдельный пункт о мерах безопасности — разграничение доступа внутри самой компании-оператора. Поручение не исправит ситуацию, если у оператора к данным открыт доступ всем подряд.
Мария Ж, юрист со стажем более 20 лет: «Требование разграничить доступ работает для КЭДО так же, как для бумажного архива. Когда весь кадровый массив открыт всей кадровой службе целиком, это типовая ситуация и одновременно типовое нарушение. Проверьте, какие роли настроены в вашей системе и кто видит личные дела, прежде чем описывать меры защиты в договоре с обработчиком.»
Согласие работника на передачу данных обработчику
Если поручение требует согласия, в письменном согласии по п. 6 ч. 4 ст. 9 152-ФЗ указывают наименование или фамилию, имя, отчество и адрес лица, которое обрабатывает данные по поручению оператора. Согласие без этих сведений не соответствует установленному составу, и по ч. 2 ст. 13.11 КоАП РФ это такое же нарушение, как отсутствие согласия.
С 1 сентября 2025 года согласие на обработку персональных данных оформляется отдельно от иной информации и документов, которые субъект подтверждает или подписывает. Изменение ч. 1 ст. 9 152-ФЗ внёс Федеральный закон от 24.06.2025 № 156-ФЗ. Пункт о согласии внутри трудового договора или анкеты кандидата этому требованию не отвечает. Согласие в форме электронного документа, подписанного электронной подписью, 152-ФЗ признаёт равнозначным согласию на бумаге с собственноручной подписью.
Внимание: в кадровых документах есть сведения о семье, здоровье и доходах работника. Когда эти документы уходят к внешнему провайдеру, согласие нужно именно на передачу третьим лицам, а работникам стоит объяснить, кому конкретно передаются их данные.
Состав согласия лучше собирать от поручения, а не наоборот. Цели и перечень данных в согласии не должны быть уже, чем в договоре с обработчиком, иначе часть операций подрядчика останется без основания. При смене подрядчика согласие с наименованием прежнего обработчика нового не покрывает.
В Добыто согласие оформляется отдельным документом в маршруте подписания, и сотрудник подписывает его ПЭП или УНЭП. Эти подписи для сотрудников на всех тарифах выпускаются бесплатно.
Соберите согласие на обработку персональных данных с целями и сроком
Образцы согласия и правил обработки персональных данных
Начните с образца согласия: в него нужно вписать наименование и адрес обработчика, а правила обработки пригодятся как основа локального акта оператора.
| Документ | Скачать |
|---|---|
| Согласие на обработку персональных данных (DOCX) | Скачать |
| Правила обработки персональных данных (PDF) | Скачать |
Как оформить поручение третьему лицу: подготовка и порядок
Условия поручения можно включить разделом в основной договор с подрядчиком или оформить дополнительным соглашением. Закон требует договор, но не требует отдельного документа. Порядок действий одинаков для аутсорсера, провайдера КЭДО и любого другого обработчика.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Как оформить поручение на обработку персональных данных: пошаговая инструкция
- Шаг 1. Составьте список получателей кадровых данных и для каждого определите основание: поручение, обязанность по закону или самостоятельная обработка в целях получателя.
- Шаг 2. Для каждого обработчика выпишите перечень данных, операций и целей. Запросите у него полный список лиц, которые получат доступ: владельца серверов, удостоверяющий центр, субподрядчиков.
- Шаг 3. Проверьте, где физически находятся базы данных, в которых обработчик записывает и хранит данные граждан РФ. Если за рубежом, до начала обработки нужно отдельно разобраться с ч. 5 ст. 18 и ст. 12 152-ФЗ.
- Шаг 4. Внесите в договор все 9 условий ч. 3 ст. 6 152-ФЗ. Отдельно установите срок, в который обработчик сообщает оператору об инциденте, и порядок возврата или уничтожения данных после окончания договора.
- Шаг 5. Запросите у обработчика документы, подтверждающие меры защиты, до начала обработки и приложите их к договору или к делу.
- Шаг 6. Получите у работников отдельные письменные согласия с наименованием и адресом обработчика. Передавать данные подрядчику можно только после того, как согласие подписано.
- Шаг 7. Обновите локальные акты о персональных данных и проверьте сведения об операторе в реестре Роскомнадзора: об изменении сведений оператор уведомляет не позднее 15-го числа следующего месяца.
Важный нюанс из практики: на вебинаре по выбору систем КЭДО самым популярным критерием у аудитории оказалось хранение персональных данных только на своих серверах, он обошёл и стоимость, и интерфейс. За хранение данных отвечает конкретный человек в компании, и по этому вопросу бывают проверки, поэтому шаги 2 и 3 стоит закрыть до выбора подрядчика, а не после.
Лайфхак: не принимайте от вендора ответ «данные хранятся защищённо». Попросите письменный перечень всех лиц, которые получат доступ к данным, и уточните, есть ли разграничение доступа по ролям и журнал обращений.
Что предусмотреть на случай расторжения договора
Поручение заканчивается вместе с договором, а обязанность оператора хранить кадровые документы остаётся. Сроки хранения при переходе на электронный архив не меняются, поэтому в договоре с обработчиком прописывают, в каком виде и в какой срок он отдаёт документы оператору и что делает с копиями у себя.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Спрашивайте у вендора, что происходит с архивом при расторжении договора и в каком виде отдаются документы. Нужна именно выгрузка, а не хранение: при проверке, при споре или при смене оператора вам понадобится не картинка на экране, а файлы. Комплект включает сам документ, отдельный файл подписи и машиночитаемую доверенность, если документ подписан по ней.»
Ответственность оператора и обработчика
По ч. 5 ст. 6 152-ФЗ ответственность перед субъектом за действия обработчика несёт оператор. Обработчик отвечает перед оператором, то есть претензии работника, жалоба в Роскомнадзор и административное дело адресованы работодателю, а возместить свои потери он может только по договору поручения. Если обработку поручили иностранному лицу, по ч. 6 ст. 6 перед субъектом отвечают и оператор, и обработчик.
Отсюда практический вывод для договора: условия о возмещении убытков, о сроке уведомления об инциденте и о документах по запросу оператора — единственный инструмент, которым оператор может переложить на подрядчика последствия его ошибок.
Штрафы по ст. 13.11 КоАП РФ после изменений 2023-2025 годов выглядят так.
| Нарушение | Юридическое лицо | Должностное лицо | Основание |
|---|---|---|---|
| Обработка без законного основания или несовместимая с целями сбора | 150 000-300 000 руб. | 50 000-100 000 руб. | Ч. 1 ст. 13.11, ред. 420-ФЗ, с 30.05.2025 |
| Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к составу согласия | 300 000-700 000 руб. | 100 000-300 000 руб. | Ч. 2 ст. 13.11, ред. 589-ФЗ, с 23.12.2023 |
| Несвоевременное уведомление Роскомнадзора об инциденте | 1-3 млн руб. | — | Ст. 13.11, ред. 420-ФЗ, с 30.05.2025 |
| Утечка персональных данных | 3-15 млн руб. в зависимости от масштаба | — | Ст. 13.11, ред. 420-ФЗ, с 30.05.2025 |
| Повторная утечка | 1-3% выручки, не менее 25 млн и не более 500 млн руб. | — | Ст. 13.11, ред. 420-ФЗ, с 30.05.2025 |
Для поручения без согласия работника актуальна вторая строка: ошибка в одном документе, согласии без наименования обработчика, стоит до 700 000 руб. Утечка у подрядчика по ч. 5 ст. 6 152-ФЗ остаётся проблемой оператора, и штраф за неё считается от масштаба, а не от того, на чьих серверах она произошла.
Сроки уведомления об инциденте жёсткие. По ч. 3.1 ст. 21 152-ФЗ оператор в течение 24 часов сообщает Роскомнадзору о происшествии и предварительные сведения, а в течение 72 часов — результаты внутреннего расследования. Срок для обработчика закон не фиксирует, поэтому в поручении его ставят так, чтобы у оператора осталось время уложиться в свои 24 часа.
Масштаб таких дел виден по судебной практике. В решении от 9 марта 2026 года арбитражный суд рассматривал утечку после неправомерного доступа к базе: в открытый доступ попали ФИО, должности, служебные телефоны и адреса электронной почты 70 000 представителей организаций, дело квалифицировали по ч. 13 ст. 13.11 КоАП РФ. Даже служебные контакты без паспортных данных образуют массив, который считается по числу записей.
Локализация, трансграничная передача и иностранный обработчик
С 1 июля 2025 года ч. 5 ст. 18 152-ФЗ в редакции Федерального закона от 28.02.2025 № 23-ФЗ запрещает при сборе данных граждан РФ записывать, систематизировать, накапливать, хранить, уточнять и извлекать их с использованием баз данных за пределами России, кроме прямо названных в законе случаев. Это условие входит в поручение, поэтому обработчик с зарубежной инфраструктурой не сможет его выполнить для первичной записи кадровых данных.
Трансграничная передача — отдельная процедура. По ст. 12 152-ФЗ уведомление Роскомнадзора о намерении её осуществлять направляется отдельно от уведомления об обработке и до начала передачи. С 26 июля 2026 года Федеральный закон № 265-ФЗ уточнил критерии, по которым страны включают в перечень обеспечивающих адекватную защиту данных. Если обработчик — иностранное лицо, к этому добавляется солидарная ответственность по ч. 6 ст. 6: перед работником отвечают обе стороны.
Для компаний, которым важно, чтобы данные не выходили за пределы собственной инфраструктуры, Добыто на тарифе «Корпорация» разворачивает платформу на выделенном сервере с SLA 99,9%. Где именно находятся базы данных, проверяется до подписания договора, а не после первого запроса Роскомнадзора.
Коммерческая тайна и персональные данные: почему NDA не заменяет поручение
Соглашение о конфиденциальности с подрядчиком закрывает только одно из 9 условий поручения — обязанность соблюдать конфиденциальность. Перечня данных, операций, целей, требований к локализации, мер защиты по ст. 19 и обязанности уведомлять об инцидентах в типовом NDA нет, поэтому договор поручения оно не заменяет.
Режимы у персональных данных и коммерческой тайны разные. Персональные данные защищаются в силу 152-ФЗ независимо от того, ввела компания какой-либо режим или нет. Для коммерческой тайны одного NDA недостаточно: по ст. 10 Федерального закона от 29.07.2004 № 98-ФЗ обладатель информации определяет перечень секретных сведений, ограничивает и контролирует доступ к ним, ведёт учёт лиц, получивших доступ, и регулирует использование информации работниками и контрагентами. Если подрядчик получает и кадровые данные, и сведения, составляющие коммерческую тайну, в договоре нужны оба блока: условия поручения по ч. 3 ст. 6 152-ФЗ и условия режима коммерческой тайны.
Стоимость КЭДО с обработкой кадровых данных по поручению
Стоимость зависит от численности сотрудников, нужных видов подписи и требований к размещению данных: облако или выделенный сервер.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны, email-поддержка | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: без ограничения численности, ПЭП, УНЭП и УКЭП, кастомные шаблоны, интеграция с 1С, электронный архив | от 50 ₽ за сотрудника / мес; минимальная оплата 50 сотрудников за 30 000 ₽ в год | подключение за 5 минут |
| Тариф «Корпорация»: всё из «Бизнеса», выделенный сервер, SLA 99,9%, персональный менеджер, API | по запросу | по запросу |
| ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | входят в тариф |
| УКЭП через партнёров — удостоверяющие центры | по запросу | по запросу |
| Модуль для 1С:ЗУП с автоматической синхронизацией документов | в тарифе «Бизнес» | установка и настройка за 1 день |
Итоговая сумма считается от числа сотрудников и выбранного тарифа; при переходе на тариф выше разница пересчитывается пропорционально оставшемуся периоду. Актуальные условия и состав каждого тарифа — на странице тарифов Добыто КЭДО, цены приведены на дату публикации.
Выводы
Передача кадровых данных подрядчику законна, когда у неё есть основание и правильная форма: договор с полным набором условий ч. 3 ст. 6 152-ФЗ и отдельное письменное согласие работника, в котором назван обработчик. Обязательные передачи в СФР и ФНС идут без поручения и без согласия, а банк и страховщик ДМС требуют осторожности, пока нет официального разъяснения. Перед работником и Роскомнадзором за подрядчика отвечает работодатель, поэтому сроки уведомления об инцидентах, локализацию баз и порядок возврата архива нужно закрепить в договоре заранее.
Добыто работает с кадровыми документами клиентов как обработчик по поручению: согласия оформляются отдельными документами в КЭДО, подписи для сотрудников выпускаются в составе тарифа, а для компаний с повышенными требованиями к размещению данных есть выделенный сервер.
Частые вопросы
Нужно ли получать согласие самому обработчику?
Нет. По ч. 4 ст. 6 152-ФЗ лицо, обрабатывающее данные по поручению оператора, не обязано получать согласие субъекта. Получить согласие и доказать наличие законного основания обработки по ч. 3 ст. 9 152-ФЗ должен оператор. На практике это значит, что подписанные работниками согласия хранятся у работодателя, а обработчик может запросить их подтверждение по договору.
Что делать, если работник отозвал согласие на передачу данных подрядчику?
Отзыв согласия прекращает обработку, основанием которой было только согласие. Оператор вправе продолжить обработку без согласия, если у неё есть другое основание из пп. 2-11 ч. 1 ст. 6 152-ФЗ, например исполнение обязанностей, возложенных на работодателя законом. Передачу данных обработчику в части, где других оснований нет, нужно прекратить и сообщить об этом подрядчику.
Распространяется ли ст. 88 ТК РФ на исполнителей по договору ГПХ?
Нет. Статья 88 ТК РФ регулирует передачу персональных данных работника, то есть лица, с которым заключён трудовой договор. Для исполнителя по гражданско-правовому договору действуют общие правила 152-ФЗ: основание обработки по ч. 1 ст. 6, а при поручении — условия ч. 3 ст. 6 и согласие, если федеральный закон не предусматривает иного.
Нужно ли поручение, если провайдер только хранит документы на своих серверах?
Да. Хранение входит в число операций с персональными данными, которые 152-ФЗ прямо перечисляет, поэтому провайдер облачного хранения или КЭДО обрабатывает данные, даже если не открывает документы. В поручении в перечне операций указывают хранение, а в условии о локализации — что базы данных находятся в России.
Как проверить, есть ли подрядчик в реестре операторов персональных данных?
Реестр операторов ведёт Роскомнадзор, он общедоступен и размещён на портале персональных данных pd.rkn.gov.ru, поиск идёт по наименованию или ИНН. Сведения о новом операторе вносятся в реестр в течение 30 дней после уведомления, а об изменении сведений оператор сообщает не позднее 15-го числа следующего месяца, поэтому свежие изменения могут отображаться с задержкой.
Можно ли включить условия поручения в основной договор оказания услуг?
Да. Часть 3 ст. 6 152-ФЗ требует, чтобы поручение было дано на основании договора, но не требует отдельного документа. Условия можно оформить разделом основного договора или дополнительным соглашением. Главное — чтобы в тексте были все обязательные элементы: перечень данных и операций, цели, конфиденциальность, локализация, требования ст. 18.1 и 19, документы по запросу оператора и уведомление об инцидентах.
