Передача ПДн подрядчикам (кадровики, бухгалтерия, CRM): как оформить и не нарушить закон

Современный бизнес активно использует аутсорсинг для оптимизации процессов. Бухгалтерский учет, кадровое делопроизводство, работа с CRM-системами, маркетинговые рассылки — эти функции часто передают внешним исполнителям. Однако при такой передаче персональных данных подрядчику компания неизбежно сталкивается с необходимостью обрабатывать личную информацию сотрудников и клиентов через третьих лиц. В этой статье разберем, как легально организовать этот процесс и защитить организацию от многомиллионных штрафов.

Когда требуется поручение обработки персональных данных

Поручение на обработку персональных данных необходимо оформлять каждый раз, когда ваша компания передает конфиденциальную информацию о работниках или клиентах внешнему исполнителю. Согласно действующему законодательству РФ, оператор вправе привлекать третьих лиц к обработке персональных данных по поручению оператора только при соблюдении определенных условий.

Типичная ошибка многих организаций — считать, что достаточно простого договора на оказание услуг. На практике отсутствие правильно оформленногодоговора поручения на обработку ПДн может привести к штрафу.

Обязательные элементы договора с подрядчиком

Договор поручения на обработку ПДн должен содержать четкие формулировки о целях, сроках и объеме передаваемой информации. Важно указать конкретные действия, которые исполнитель вправе совершать с полученными данными. Например, если аутсорсинговая бухгалтерия будет только начислять зарплату, не стоит давать ей право на передачу информации другим лицам.

Обязательно прописывают меры защиты персональных данных в договоре:

• требования к помещениям, где хранятся документы;
• использование сертифицированных средств защиты информации;
• порядок уничтожения данных после окончания сотрудничества.

Также аутсорсер должен гарантировать, что его сотрудники, имеющие доступ к информации, подписали соглашение о конфиденциальности персональных данных.

Основные требования к содержанию договора

При составлении договора следует учитывать специфику передаваемых данных и характер услуг подрядчика. Документ должен содержать следующие обязательные разделы:

1. Перечень категорий субъектов, чьи данные будут обрабатываться (сотрудники, соискатели, клиенты).
2. Виды персональных данных (ФИО, паспортные данные, СНИЛС, контактная информация).
3. Цели обработки для каждой категории данных.
4. Сроки обработки и условия прекращения.
5. Права и обязанности сторон по обеспечению безопасности.
6. Ответственность подрядчика за утечку персональных данных.
7. Порядок возврата или уничтожения данных после завершения работ.

Распределение ответственности между сторонами

Законный способ работы с аутсорсером предполагает четкое разграничение зон ответственности. Оператор (ваша компания) отвечает за получение согласия субъектов на обработку их данных, включая передачу третьим лицам. При этом согласие работника на обработку ПДн работодателем не означает автоматического разрешения передавать эти данные подрядным организациям.

Исполнитель несет ответственность за утечку персональных данных, если она произошла по его вине. В случае инцидента именно он будет отвечать перед надзорными органами. Однако это не освобождает оператора от обязанности проверить надежность партнера перед заключением контракта.

Особенности работы с различными типами подрядчиков

Каждый вид аутсорсинга имеет свою специфику рисков и требует индивидуального подхода к оформлению поручения на обработку данных. Рассмотрим наиболее частые ситуации.

Бухгалтерский аутсорсинг

При передаче ПДн в бухгалтерию на аутсорсе важно ограничить доступ только теми данными, которые необходимы для расчета заработной платы, налогов и подготовки отчетности. В договоре следует четко указать, что подрядчик не вправе использовать переданные сведения для каких-либо иных целей, включая консультирование третьих лиц или аналитику.

На что обратить внимание:

Кадровое делопроизводство (HR-аутсорсинг)

Передача ПДн кадровику на аутсорс — зона повышенного риска, поскольку здесь фигурирует максимально полный объем информации о сотрудниках: от паспортных данных до сведений о здоровье (при оформлении больничных) и судимости.

Особые условия договора:

1. Подрядчик должен обеспечить многофакторную аутентификацию для доступа к базам данных своих сотрудников.
2. Все действия с документами (прием, обработка, хранение) должны логироваться.
3. Необходимо четко прописать процедуры при увольнении: в течение 3 дней с момента получения уведомления от оператора подрядчик обязан уничтожить все копии документов уволенного и предоставить акт об уничтожении.

CRM-системы и облачные сервисы

Чтобы использовать персональные данные в CRM законно, необходимо понимать: если CRM работает по модели SaaS (программа как услуга) и данные хранятся на серверах разработчика, то разработчик автоматически становится подрядчиком, осуществляющим обработку.

Ключевые моменты:

1. В договоре с провайдером CRM должно быть явно указано, что он обрабатывает данные только для обеспечения функциональности системы и не вправе использовать их в своих целях (например, для обучения своих алгоритмов или таргетинга).
2. Если серверы CRM находятся за пределами РФ, требуется дополнительное согласие субъектов на трансграничную передачу.
3. Провайдер обязан обеспечивать шифрование данных при хранении и передаче, а также регулярно предоставлять отчеты о пентестах (тестировании на проникновение).

Практические рекомендации по минимизации рисков

Перед заключением договора проведите аудит подрядчика:

• запросите документы о мерах защиты информации (политики, положения, акты);
• проверьте наличие приказа о назначении ответственного за обработку ПДн;
• убедитесь в отсутствии нарушений в прошлом (проверьте картотеку арбитражных дел и реестр штрафов Роскомнадзора).

Регулярно контролируйте соблюдение условий соглашения — это право и обязанность оператора.

1. Разработайте внутренний регламент взаимодействия с подрядчиками, определите ответственных лиц с обеих сторон, настройте защищенные каналы передачи данных. Помните, что электронная почта без шифрования не является безопасным способом передачи персональных данных.
2. Особое внимание уделите процедуре прекращения сотрудничества. В договоре должны быть четко прописаны сроки возврата или уничтожения всех носителей с персональными данными, включая резервные копии. Подрядчик обязан предоставить акт об уничтожении информации.
3. Грамотно оформленное поручение обработки персональных данных — это не формальность, а реальная защита бизнеса от штрафов и репутационных потерь. Инвестиции в правильное юридическое оформление отношений с подрядчиками окупаются отсутствием проблем с надзорными органами и доверием клиентов.

Помните: экономия на юридическом сопровождении при передаче ПДн может обернуться штрафами, во много раз превышающими стоимость качественной подготовки документов. Подходите к выбору аутсорсеров ответственно, тщательно прорабатывайте договоры и регулярно контролируйте соблюдение установленных требований.