- DPA фиксирует условия обработки данных подрядчиком по поручению оператора
- Обязательные блоки: предмет, цели, защита, субподрядчики, локализация, удаление
- Договор должен ограничивать использование данных только поручением оператора
- Важно урегулировать привлечение субподрядчиков и трансграничную передачу
- Проверяйте договоры подрядчиков, а не подписывайте их вслепую
Договор поручения на обработку — это документ, который связывает вас с каждым подрядчиком, видящим персональные данные ваших клиентов. От его качества зависит, защищены ли вы, если подрядчик ошибётся. Разберём структуру договора по блокам, чтобы вы могли составить свой или грамотно проверить тот, что предлагает подрядчик.
Договор поручения переводит часть рисков на подрядчика и доказывает регулятору, что вы ответственно подошли к выбору обработчика. Без него передача данных подрядчику — это пробел, который инспектор заметит, а в случае утечки вам нечем будет защититься.
Когда нужен договор поручения
Договор нужен всегда, когда вы передаёте обработку данных стороннему лицу: CRM, облако, рассылка, колл-центр, аутсорс бухгалтерии, логистика. Если подрядчик видит персональные данные ваших клиентов и обрабатывает их по вашему заданию — между вами должен быть DPA.
Обязательные блоки договора
Грамотный договор поручения покрывает несколько обязательных блоков. Пропуск любого ослабляет вашу защиту.
| Блок | Что фиксирует |
|---|---|
| Предмет | Какие данные обрабатываются |
| Цели | Для чего, в рамках поручения |
| Перечень действий | Что делает подрядчик с данными |
| Защита | Меры безопасности подрядчика |
| Конфиденциальность | Запрет использования в своих целях |
| Субподрядчики | Условия привлечения третьих лиц |
| Локализация | Хранение данных россиян в РФ |
| Удаление | Что с данными при расторжении |
Блок «цели и ограничение использования»
Сердце договора — условие, что подрядчик обрабатывает данные только по вашему поручению и только для оговорённых целей, не используя их в своих интересах.
Базовая формулировка:
Исполнитель обрабатывает персональные данные исключительно по поручению Заказчика и для целей, указанных в настоящем договоре, не используя их в собственных интересах и не передавая третьим лицам без согласия Заказчика.
Многие сервисы в своих пользовательских соглашениях оставляют право использовать данные «для улучшения сервиса». Это противоречит логике поручения. Прежде чем подписать договор, проверьте, не разрешает ли подрядчик себе использовать ваши данные в своих целях — и если да, ограничьте это отдельным условием.
Блок «субподрядчики»
Ваш подрядчик может привлекать своих подрядчиков. Если это не урегулировать, данные уйдут к третьим лицам без вашего ведома.
Договор должен требовать вашего предварительного согласия на привлечение субподрядчиков и распространения на них тех же обязательств по защите. Иначе ваша цепочка обработки уходит в неизвестность: вы отвечаете за данные, но не знаете, у кого они в итоге оказались.
Формулировка для этого блока:
Исполнитель вправе привлекать третьих лиц к обработке только с предварительного письменного согласия Заказчика и при условии возложения на них обязательств по защите данных не ниже предусмотренных настоящим договором.
Блок «локализация»
Если подрядчик хранит данные россиян за рубежом, нарушение локализации становится вашей проблемой. Договор должен обязывать подрядчика хранить данные граждан РФ на серверах в России.
Блок «удаление»
При расторжении договора данные должны быть удалены или возвращены. Это закрывает риск, что подрядчик продолжит держать ваши данные после окончания сотрудничества.
При расторжении договора Исполнитель обязуется удалить все переданные персональные данные в течение 30 дней, за исключением случаев, когда хранение предписано законом.
Проверяйте, а не подписывайте вслепую
Часто подрядчик предлагает свой типовой договор. Не подписывайте его, не прочитав.
Типовой договор подрядчика составлен в его интересах, а не в ваших. Проверьте, покрыты ли все обязательные блоки, не разрешает ли подрядчик себе лишнего, урегулированы ли субподрядчики и локализация. При необходимости вносите правки — это нормальная практика.
Чек-лист договора поручения
- Указан предмет: какие данные обрабатываютсяобязательно
- Обработка ограничена поручением и целями оператораобязательно
- Есть обязательство по защите и конфиденциальностиобязательно
- Урегулировано привлечение субподрядчиковобязательно
- Есть обязательство хранить данные россиян в РФобязательно
- Прописаны условия удаления при расторжении
- Проверены Terms of Service подрядчика на скрытое использование данных
Договор поручения — это не формальная бумага, а реальный инструмент защиты. Когда с каждым подрядчиком заключён грамотный DPA, ваша цепочка обработки данных прозрачна и управляема, а в случае инцидента вам есть на что опереться. Несколько хорошо составленных договоров стоят куда меньше, чем последствия утечки через подрядчика, с которым не было нормальных условий.