Поручение и передача третьим лицам

1

Основание передачи

у передающей стороны по ч.1 ст.6: согласие, договор с субъектом, закон

2

Возникает ли роль

ответ органу и собственная услуга субъекту поручения не образуют

3

Критерий цели

нет своей цели - обработчик, своя цель и отношения с субъектом - оператор

4

Поток за потоком

одно лицо бывает обработчиком и оператором по разным потокам

5

Документ

поручение, соглашение о передаче или письменный вывод

• Исход
• Признак
• Типичные примеры
• Документ

• обработчик
• нет собственной цели, обслуживающая функция
• бухгалтерия и расчет зарплаты, колл-центр, хостинг и техподдержка, рассылки, пропускной режим
• поручение по ч.3 ст.6

• оператор
• своя цель и прямые отношения с субъектом
• банк зарплатного проекта, ДМС, медосмотры, корпоративное такси, кадровое агентство (РКН, 19.08.2025)
• DTA и основание передачи

• без новой роли
• собственная обязанность каждого по закону
• ответ на запрос органа (п.2 ч.1 ст.6), клиринг и центральный контрагент (Банк России, 27.08.2024)
• вывод в реестре обработки

Важно: отдельного режима обработчика в России нет: он тоже оператор (п.7 ПП-1046) и получает лишь три послабления - согласие не собирает, перед субъектом за него отвечает оператор, сам он отвечает перед оператором

• Четыре признака обработчика
• цель в отношении содержания
• осведомленность о ПД
• доступ к содержанию

самостоятельные действия с данными

• Контрагент
• Экспертный подход
• Регулятор и суды

• SaaS: CRM, кадровый ЭДО, аналитика, модели ИИ
• обработчик
• поручение

• IaaS и выделенный сервер без доступа к данным
• посредник
• поручение и без доступа: Управление Роскомнадзора по Курской области, 18.06.2026

• Хостинг и техподдержка сайта
• обработчик
• поручение, предписание устояло в первой инстанции (А49-14214/2022)

• Обслуживание ПО при парольном разграничении
• не обработчик
• доступ не доказан, предписание недействительно (А16-1293/2011, апелляция 15.05.2012)

• Архив с описью, поиском и сканированием
• обработчик
• доступ выведен из прайс-листа, предписание законно (А40-32030/2016, апелляция 02.08.2016)

Довод: презумпцию доступа опровергает архитектура, например ключ шифрования только у клиента, а не договорный запрет. Уклониться от поручения ради меньшей ответственности нельзя

• Условие
• Норма
• Как сформулировать

• Цель и перечень ПД
• ч.3 ст.6
• дословно по согласию субъекта или уже: выйти за рамки согласия нельзя

• Перечень действий
• ч.3 ст.6
• без него поручение нарушает закон, такой пункт предписания устоял в кассации (А40-81171/2017)

• Конфиденциальность и меры
• ст.7, 18.1, 19
• уровень защищенности по ПП-1119, а для бумаги правила ПП-687 вместо требований к ИСПД

• Документы по запросу
• ч.3 ст.6
• право на аудит: сроки ответа, выезд, сторонний аудитор, расходы при нарушениях

• Инциденты
• ч.3.1 ст.21
• обработчик сообщает за 12 и 48 часов при 24 и 72 у оператора и без решения оператора молчит вовне

• Локализация
• ч.5 ст.18
• по редакции с 01.07.2025, поручения, заключенные раньше, обновляют

• Прекращение
• ст.21, приказ № 179
• уничтожение за 5 рабочих дней с подтверждением, срок не привязан к сроку услуг

Риск: Роскомнадзор 07.08.2025 назвал отсылочное поручение недостаточным. Дефект обычно наказывают предписанием, а затем ст.19.5 КоАП, и зарубежный шаблон без российского минимума этот риск не снимает

vs

Письменная форма

Работники, спецкатегории, биометрия

одна цель и одно лицо по поручению с наименованием и адресом (п.6 ч.4 ст.9)

перечень возможных обработчиков наименования не заменяет (А40-32030/2016)

при замене подрядчика согласие переоформляют, а не дополняют

Роскомнадзор ждет подписи по каждому обработчику или категории получателей

Обычная форма

Иные случаи согласия

обработчика можно раскрыть отсылкой к списку на сайте (позиции 27.07.2023, 22.10.2025, 14.08.2026)

с 01.09.2025 согласие оформляют отдельным документом, а не строкой договора

договор с субъектом сам бывает основанием, но Роскомнадзор 07.08.2025 называл согласие

субобработчик допустим, только если право предусмотрено поручением и охвачено согласием

Подход PA: в согласии работника цели объединяют в блоки, третьих лиц - в категории с обработчиками поименно и получателями без имен, а подпись или отметку ставят по каждой категории. Поручение без согласия ведет к предписанию об уничтожении (А56-82428/2022, апелляция 20.03.2023)

до

доступ

Проверка и минимизация

чек-лист по типу передачи, лишние поля не передают, передачу отражают в реестре и политике

во время

контроль

Аудит и карта цепочки

аудит раз в 1-3 года, перечень субобработчиков, сверка договора с фактическим потоком

инцидент

сроки

Сообщить раньше закона

отсчет 24 и 72 часов может запустить сам обработчик, совместного уведомления нет

после

выход

Уничтожить и подтвердить

уничтожение по любому основанию прекращения, блокирование до 6 месяцев, возврат носителей

чч.5, 6 ст.6

Перед субъектом отвечает оператор

утечка у подрядчика - ответственность оператора перед субъектом и Роскомнадзором

к подрядчику после возмещения остается регресс

иностранный обработчик отвечает перед субъектом вместе с оператором

Договор

Распределить последствия заранее

предел ответственности подрядчика - не ниже первого вероятного штрафа оператора

обработчику штраф может прийти самостоятельно, хотя Роскомнадзор относит его на оператора

аффилированность в группе ни одной обязанности не снимает

• ?
• Одно поручение нескольким обработчикам?

Роскомнадзор 01.03.2023 требовал отдельное поручение на каждого, а устно 14.08.2026 допустил нескольких при общей цели в договоре. Осторожно - отдельный документ

• ?
• Нужно ли называть субобработчика?

закон молчит, а Роскомнадзор требует предусмотреть право привлечения в поручении и согласии. Осторожно - раскрывать цепочку перечнем

• ?
• Можно ли поручить без согласия, на законном интересе?

единичные дела допускали пп.5 и 7 ч.1 ст.6, но ч.3 ст.6 требует согласия, если закон не говорит иное. Устойчивой практики нет

• ?
• Возникает ли поручение без подписанного договора?

письменная форма соблюдается и набором документов, например офертой и перепиской. Отсутствие единого текста поручения не отменяет

• ?
• Отвечает ли оператор за невиновную утечку у подрядчика?

судья ВС 21.01.2026 оставил штраф Минтруда: доказательств внутреннего контроля и защиты в деле не было. Вину оценивают через собственные меры

• ?
• Поручение или передача по данным работников?

ст.88 ТК требует от получателя подтверждения целей, что неисполнимо для банка или страховщика. Практика норму фактически не применяет

Data Transfer Agreement

Соглашение о передаче без поручения

двустороннее, взаимное, бессрочное, подписывается однократно. Прямой нормы нет, но передачу вне поручения подпирают ст.7, п.1 ч.4 ст.18, ч.3 ст.20 и п.11 ст.3

NDA защищает коммерческую тайну и правомерность передачи ПД не покрывает

основание остается у передающей стороны: договорное - только если субъект сторона или выгодоприобретатель (п.5 ч.1 ст.6)

Состав соглашения

• 1
• стороны как самостоятельные операторы

• 2
• предмет и состав передаваемых ПД

• 3
• заверения об основаниях и уведомлении субъектов

• 4
• прекращение при утрате оснований

• 5
• конфиденциальность и меры безопасности

• 6
• инциденты: взаимно 12 и 48 часов, вовне после консультаций

• 7
• содействие при обращениях и проверках

• 8
• право получателя обрабатывать самостоятельно и поручать

• 9
• приложение о ТПД по условию

• 10
• заверения, ответственность, право

• 11
• бессрочность и действие на прошлые отношения

Срок: разумный срок взаимодействия привязывают к законным срокам зависящей стороны, иначе обязательство без срока исполняется за 7 дней по ст.314 ГК. Опосредованную передачу через третье лицо соглашением тоже охватывают

vs

Так можно

зарплата идет в банк из письменного заявления работника (ч.3 ст.136 ТК)

работник меняет банк, сообщив реквизиты не позднее чем за 15 календарных дней до выплаты

данные для выпуска карты передают в банк только после заявления работника

Так нельзя

перечислять зарплату в выбранный работодателем банк без волеизъявления

выпускать карту и передавать данные в банк до заявления и согласия

ежемесячно самому выбирать банк-получатель

Оговорка: Роструд оценивал по трудовому законодательству и оценку по 152-ФЗ оставил Роскомнадзору. Нужна ли отдельная письменная форма согласия, спорно: Роструд в 2015 году требовал ее, Роскомнадзор устно считает достаточным заявление

сделка с массивом

Не купля-продажа

конструкции - услуга по обработке, доступ или лицензия на базу данных

заверения об основаниях по категориям субъектов (ст.431.2 ГК)

отозвавших согласие исключают на дату передачи, а не выгрузки

покупка без проверки происхождения - риск ничтожности (п.2 ст.168 ГК), истцом выступит регулятор

M&A

Изъятия для сделки нет

до перехода контроля покупателю дают обезличенные и агрегированные показатели

юридическая проверка сделки аудит ПД не заменяет

выявленное закрывают заверениями и возмещением потерь (ст.406.1 ГК)

реорганизация повторного согласия не требует

группа компаний

Группа - не субъект права

каждое юрлицо - оператор, внутригрупповые потоки инвентаризируют и оформляют

передача иностранной материнской компании - ТПД

справочник группы без согласия - только при общем функционале (позиция 22.08.2025)

совместное предприятие оформляют как внешний контур

• 1
• Процесс и основания

передача есть в реестре обработки, совместима с целью сбора, субъект о ней знает

• 2
• Договорная модель

роли сторон и базовые условия, если передача идет не в силу закона

• 3
• Учет передач

единое описание и перечень внешних интерфейсов: тип, направление, частота, объем

• 4
• Прозрачность

политика и реестр до начала передачи, контекстное уведомление в момент действия

• 5
• Риски и безопасность

оценка как операции повышенного риска, договорные меры реализованы технически

Передача

ключ к API, учетная запись подрядчика, VPN, общая папка или дашборд - с момента выдачи доступа

учетная запись работника во внешней системе - передача ее оператору

Не передача

доступ только на запись, например бот, регистрирующий обращения

поступление данных от своего обработчика: их собрал сам оператор

Типовой пробел: в учет часто попадает только отправка файлов, а доступы бывших подрядчиков годами нигде не значатся. В политике получателей записывают функцией, органы - поименно

Жирным - обязательные критерии: без них одобрения нет

любая передача

Базовые

реестр операторов или уведомление

политика с целями и сроками

нет санкций и предписаний за год

назначен ответственный

готов подписать DTA

нет утечек за 3 года

сертификаты и аттестаты ИБ

поручение

Плюс для обработчика

готов подписать DPA с аудитом, субподрядом и инцидентами

подтвердил уровень защищенности по ПП-1119

план реагирования на инциденты

обучение персонала

нет санкций за год

страховка или гарантия

ТПД

Плюс для иностранного получателя

не запрещен и не нежелателен, нет запрета ТПД

готов подписать приложение о ТПД со сведениями ч.5 ст.12 и уничтожением при запрете

сведения о мерах защиты, а для стран вне перечня и о правовом режиме, получают до уведомления о ТПД

Зачем: отметку "неприменимо" ставят с обоснованием, оценку пересматривают раз в 3 года. Задокументированная осмотрительность - довод о принятии всех мер (ч.2 ст.2.1 КоАП)

Основание

законный интерес (п.7 ч.1 ст.6), а идентификация по 115-ФЗ - в силу закона (п.2 ч.1 ст.6)

Объем по цели

для полномочий хватает данных руководителя и представителя, бенефициары - для аффилированности и противолегализационных проверок

Не собирать

копии паспортов работников контрагента вне 115-ФЗ и профили соцсетей как общедоступные

Представители

данные доверенности обрабатывают в силу представительства, согласие представителя не требуют

Сроки

данные несостоявшегося контрагента уничтожают, материалы проверки хранят на срок договора и давности

Справка из базы

основание поставщика комплаенс-сервиса к клиенту не переходит

Кейс Privacy Advocates

Аутсорсинг проверки сервисной компании группы

вынос преддоговорной проверки вовне - поручение с ответственностью оператора по ч.5 ст.6

нужны согласия проверяемых лиц, с которыми отношений еще нет и которые вправе их отозвать

на операторе остаются аудит исполнителя, сроки по инцидентам и уничтожение у него

аффилированность компаний рисков не снимает

выход - оставить проверку в периметре или строить исполнителя самостоятельным оператором

• Поток
• Квалификация
• Что оформить

• Централизованный кадровый и бухгалтерский учет
• делегирование полномочий оператора, то есть поручение (РКН устно, 28.01.2022 и 22.10.2025)
• договор поручения и согласие работников на передачу

• Филиал, представительство, иное обособленное подразделение
• филиал оператором не является, иное подразделение РКН устно (22.08.2025) считает отдельным оператором, что спорно по п.2 ст.3
• вести такие подразделения самостоятельными операторами

• Общий справочник и мессенджер группы
• без согласия при общем функционале или едином процессе (РКН устно, 22.08.2025)
• письменная позиция строже: письмо РКН от 20.02.2025 № 08-72692 требует согласия по ст.8, опора на устную рискованна

• Обучение работников франчайзи в учебном центре
• обеспечение трудовой функции (РКН устно, 22.08.2025)
• договор описывает процесс и третье лицо, а передача вне функции требует согласия

• Доступ иностранной компании группы к справочнику или системе
• ТПД без всякой пересылки (письмо РКН № 02-11-9606, 2023)
• уведомление о ТПД обновляют при смене круга стран, локализация сохраняется (РКН устно, 22.10.2025)

Спорно: письменные позиции строже устной 22.08.2025 и при передаче вовне: письмо Управления РКН по Курской области от 18.06.2026 № 2467-02/46 требует согласия каждого работника при поручении подрядчику

• Кто запрашивает
• Объем права
• Предел

• Участник ООО
• любые документы общества (ст.8 и 50 закона об ООО), устав задает порядок, но не перечень (п.3 письма ВАС № 144)
• статус на день обращения, при расхождении со списком участников по ЕГРЮЛ

• Акционер
• перечень п.1 ст.91 открыт всем, документы п.2 ст.91 с 1% акций, бухгалтерский учет с 25%
• ниже 25% для пп.2 и 3 ст.91 нужна разумная деловая цель, период владения отсекает часть запроса

• Член коллегиального органа
• самостоятельное право (п.4 ст.65.3 ГК), суды применяют ст.91 по аналогии
• за период до избрания только с обоснованием необходимости

• Бывший участник, бенефициар, контролирующее лицо
• по общему правилу нет
• бывшему сведения для расчета доли или выкупа (Обобщение ВС от 15.11.2023, п.4), бенефициару при утрате контроля спорно (п.7)

• Арбитражный управляющий
• сведения о должнике, органах и контрагентах вне корпоративного режима, ответ за 7 дней (ст.20.3 закона о банкротстве)
• переписку только через суд, отказ по мотиву 152-ФЗ суд счел поводом для дела по ч.4 ст.14.13 КоАП (А41-10789/2018)

Основание: выдача участнику закрыта п.2 ч.1 ст.6 152-ФЗ без согласия работников и контрагентов, если сведения нужны для защиты его прав (п.15 информационного письма ВАС от 18.01.2011 № 144)

1

Статус

на день обращения: участник ООО по списку и ЕГРЮЛ, акционер по выписке из реестра или со счета депо

2

Объем и период

по форме общества, доле и категории документа, для АО по справке о периоде владения

3

Разметка

обычная информация, конфиденциальная информация общества, охраняемая тайна, ПД третьих лиц

4

Выдача

обычное сразу, конфиденциальное после соглашения, тайну выпиской с изъятием, ПД при доказанной необходимости

5

Форма

выбирает запрашивающий: ознакомление, заверенные копии или сведения о содержании, выдачу фиксируют описью

vs

Нельзя

вымарывать ПД: п.7.5 указания № 7199-У касается тайн, в деле А43-1536/2016 (указание 3388-У) устояло предписание выдать договор директора без изъятий

по экспертному подходу ссылаться на риск канала передачи как на основание отказа

давать учетную запись вместо копий (п.13 Обобщения ВС), хотя просмотр клиент-банка присужден однажды (А41-81863/2022), спорно

Можно

потребовать соглашение о нераспространении до выдачи (п.5 ст.50 закона об ООО)

выдать с предупреждением о запрете разглашения (п.4 ст.65.2 ГК)

отказать в документах с ПД работников, если необходимость не доказана (Обобщение ВС от 15.11.2023, п.12), роль ст.88 ТК спорна

Реестр открыт не целиком

ФИО и ИНН учредителей и руководителя открыты по закону, паспортные данные выдают только госорганам, фондам, судам и АСВ (ст.6 закона о госрегистрации)

Руководитель в двух ролях

он орган общества и субъект ПД, договор за его подписью контрагент обрабатывает без согласия (РКН устно, 22.08.2025)

Сделка с заинтересованностью тянет родственников

сведения о супругах, родителях, детях, братьях и сестрах должностных лиц в составе п.1 ст.81 закона об АО и п.1 ст.45 закона об ООО

Судимость только по перечню должностей

например по ст.11.1 закона о банках, согласие проверяемого случая ч.3 ст.10 152-ФЗ не создает

Конфликт интересов

родственников в объеме антикоррупционного закона обрабатывают по п.2 ч.1 ст.6 (письмо РКН от 24.12.2025 № 08-657776), сверх него с их согласия (РКН устно, 22.08.2025, 14.08.2026). Обязанность коммерческой организации спорна

Ст.431.2 ГК и ППВС № 49

Заверения вместо истребования

примеры в п.34 ППВС от 25.12.2018 № 49: структура контроля, отсутствие крупности и конфликта интересов руководителя

Рекомендация: по экспертному подходу родственные связи руководства держат вне общей кадровой системы, а о доходах запрашивают третьих лиц только по норме (письмо РКН от 15.03.2022 № 08-16351 о госслужащих)

01

Цель решает роль

нет своей цели - обработчик, своя цель и отношения с субъектом - самостоятельный оператор, а статус считают по каждому потоку

02

Доступ решает поручение

облако, хостинг и обслуживание квалифицируют по доступу к содержанию, а Роскомнадзор - и без доступа

03

Поручение предметно

перечень действий, меры, аудит, сжатые сроки по инцидентам и уничтожение с подтверждением

04

Между операторами - DTA

основание передачи, взаимные заверения и одиннадцать блоков вместо обычного NDA

05

Проверка до доступа

чек-лист по типу передачи, обязательные критерии и пересмотр раз в 3 года

06

Цепочка до последнего звена

субобработчики, компании группы и доступы бывших подрядчиков учитывают так же, как прямые передачи