В офертах сервисов, которые продаются бизнесу – CRM, рассылки, HR-платформы, трекеры задач, сервисы расшифровки созвонов, – раздел про персональные данные есть почти всегда. Поручения на обработку в нем почти никогда нет, хотя авторы оферт обычно уверены в обратном.
Это не спор о формулировках. Поручение – то основание, по которому вы вообще держите у себя данные людей, которых вам передал клиент. Без него вы не «обработчик, действующий по чужой воле», а просто лицо, которое обрабатывает чужие персональные данные.
Дальше: что требует закон дословно, почему привычные формулировки не подходят и какая часть требований вообще не про текст договора, а про то, как устроен продукт.
Про какую ситуацию речь
Ваш сервис подключается к рабочим аккаунтам клиента-юрлица и видит данные его сотрудников. Или клиент грузит к вам базу своих покупателей. Или вы пишете созвоны, а на созвонах сидят кандидаты, подрядчики и клиенты клиента.
Общее одно: субъекты данных – не ваши пользователи. Они вас не выбирали и чаще всего о вашем существовании не знают.
Если вы собираете данные сами у своих же пользователей, это другая конструкция, и статья не про нее.
Текст нормы
Поручение описано в части 3 статьи 6 152-ФЗ. Длинно, одним предложением, но без него разговаривать не о чем:
Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора, в том числе государственного или муниципального контракта, либо путем принятия государственным органом или муниципальным органом соответствующего акта (далее – поручение оператора). <…> В поручении оператора должны быть определены перечень персональных данных, перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, цели их обработки, должна быть установлена обязанность такого лица соблюдать конфиденциальность персональных данных, требования, предусмотренные частью 5 статьи 18 и статьей 18.1 настоящего Федерального закона, обязанность по запросу оператора персональных данных в течение срока действия поручения оператора, в том числе до обработки персональных данных, предоставлять документы и иную информацию, подтверждающие принятие мер и соблюдение в целях исполнения поручения оператора требований, установленных в соответствии с настоящей статьей, обязанность обеспечивать безопасность персональных данных при их обработке, а также должны быть указаны требования к защите обрабатываемых персональных данных в соответствии со статьей 19 настоящего Федерального закона, в том числе требование об уведомлении оператора о случаях, предусмотренных частью 3.1 статьи 21 настоящего Федерального закона.
Из этого вытаскиваются две разные вещи: форма и состав.
Форма
«На основании заключаемого с этим лицом договора». Отдельной бумагой, письмом в почте или устной договоренностью поручение не оформляется – оно живет внутри договора: разделом, приложением или блоком в оферте.
И сразу отвечу на вопрос, ради которого часть читателей открыла статью. Оферта подходит. Акцепт конклюдентными действиями – оплатой, регистрацией, началом использования – по пункту 3 статьи 438 Гражданского кодекса считается принятием оферты, письменная форма при этом считается соблюденной. Если клиент принял вашу оферту, договор между вами заключен, и поручение внутри него работает ровно так же, как подписанное приложение на бумаге.
Проблема не в способе заключения. Проблема в том, что внутри.
Состав
Я выписал требования списком, потому что в сплошном тексте нормы их неудобно считать:
перечень персональных данных;
перечень действий (операций) с ними;
цели обработки;
обязанность соблюдать конфиденциальность;
обязанность соблюдать часть 5 статьи 18 (локализация) и статью 18.1;
обязанность по запросу оператора предоставлять документы и информацию, подтверждающие принятие мер, в том числе до начала обработки;
обязанность обеспечивать безопасность данных при обработке;
требования к защите по статье 19;
требование уведомлять оператора о случаях из части 3.1 статьи 21.
По этому списку свою оферту можно сверить прямо сейчас, не дочитывая. Если не находятся первые три – дальше можно не проверять, поручения нет.
Что обычно написано вместо
Четыре формулировки, которые встречаются чаще всего. Все четыре – реальные, только обезличенные.
«Исполнитель обязуется не разглашать ставшие ему известными персональные данные Заказчика и его работников». Самая частая. Это пункт 4 из списка выше – один из девяти. Обязательство молчать не описывает, что вы с данными делаете, в каком объеме и зачем, то есть не задает ни одной границы.
«Исполнитель обрабатывает персональные данные Заказчика в целях оказания Услуг по Договору». Выглядит как цель, но целью обработки не является: это описание отношений сторон. Под «оказание услуг» подводится что угодно, и на проверке выясняется, что цель в вашей оферте не совпала с целью, ради которой данные собирал клиент.
Здесь же – отдельный нюанс, на который редко обращают внимание. Формулировка «Исполнитель обрабатывает» односторонняя. Поручение дает клиент, а не вы, и это должно быть видно из текста: «Заказчик поручает Исполнителю обработку персональных данных». Разница не стилистическая – в первом случае из договора не следует, что волеизъявление оператора вообще было.
«Обработка персональных данных осуществляется в соответствии с Политикой, размещенной по адресу…». Политика – ваш односторонний документ, адресованный субъектам и регулятору. Поручение двустороннее по определению, и односторонним документом оно не заменяется. Отдельно замечу, что ссылка на политику в этом месте часто означает, что к клиенту применяют документ, написанный вообще про других людей – про посетителей вашего сайта.
«Заказчик подтверждает, что получил все необходимые согласия субъектов персональных данных». Нужная гарантия, но не поручение. Согласие субъекта – основание обработки у оператора, то есть у клиента, и дается оно конкретному оператору на конкретные цели. Ваших прав и ваших обязанностей из него не возникает: гарантия закрывает законность передачи, а не ваш статус.
Что из этого нельзя написать в договоре
Вот ради чего я вообще сел это писать. Часть требований из списка выполняется не текстом, а продуктом, и если про них вспомнить на этапе «надо подписать документ с клиентом», будет поздно.
Доказательство акцепта
Прямого требования в части 3 статьи 6 нет, оно вытекает из формы: поручение существует постольку, поскольку заключен договор. Значит, вы должны уметь показать, какую редакцию и когда принял конкретный клиент.
На практике это отдельная неизменяемая таблица: идентификатор аккаунта, код документа, номер редакции, момент акцепта, способ (регистрация, оплата, отметка в интерфейсе), технические атрибуты. Текст самой редакции хранится рядом как артефакт – файл с контрольной суммой, а не «то, что сейчас лежит на проде по этому URL». Прод меняется, а доказывать придется состояние на дату.
Проверка простая: если завтра клиент спросит, какую версию он принял в марте позапрошлого года, вы сможете ответить, не поднимая бэкапы?
Порядок смены редакции
Поручение устаревает быстрее, чем кажется: добавили интеграцию, расширили состав полей, завели новый тип обработки – и перечень операций перестал совпадать с реальностью.
Обновить его в оферте можно, только если в самой оферте описано, как вводится новая редакция: с какого момента, как вы уведомляете, что считается принятием. Если этого нет, вы возвращаетесь к индивидуальным переговорам с каждым клиентом – и главное преимущество оферты пропадает ровно тогда, когда оно нужно.
Уведомление об инциденте
Пункт 9 списка отсылает к части 3.1 статьи 21. Там у оператора два срока: 24 часа на первое уведомление Роскомнадзора об инциденте и 72 часа – на второе, о результатах внутреннего расследования.
У вас обязанности сообщить клиенту о случившемся нет вообще, пока она не установлена поручением. Без нее клиент узнает об инциденте последним и в свои 24 часа не укладывается ни при каких условиях.
Слово «незамедлительно» здесь бесполезно: в реальном инциденте оно превращается в спор о том, что считать незамедлительным, когда у клиента уже идут часы. Ставьте число, заведомо меньшее суток.
И это процесс, а не пункт договора: кто детектит, кому эскалирует, по какому каналу уходит клиенту (именно ответственному лицу, а не «в поддержку»), какой состав сведений уходит. Если этого нет, срок в договоре – просто более точная формулировка невыполнимого обязательства.
Блокирование по запросу
Часть 1 статьи 21 обязывает оператора при выявлении неправомерной обработки заблокировать данные субъекта или обеспечить их блокирование, если обработка идет у лица, действующего по его поручению. То есть по запросу клиента вы должны уметь заблокировать данные конкретного человека. Не удалить аккаунт целиком, не выгрузить и не «пометить флагом в основной таблице» – именно прекратить обработку по конкретному субъекту на период проверки, сохранив сами данные.
В большинстве продуктов такой операции нет, и обнаруживается это в момент, когда она понадобилась.
Перечень операций
Инстинкт подсказывает написать пошире, чтобы ничего не ограничивать. Инстинкт неправ. Широкая формулировка не дает границы, а на проверке именно граница доказывает, что вы делали только порученное. Закрытый перечень – это ваша защита, а не уступка клиенту.
Обратная сторона: перечень должен переживать релизы. Если он написан на уровне «просмотр, хранение, передача внутри сервиса», он проживет годы; если на уровне названий конкретных фич – будет переписываться каждый квартал.
Когда поручение есть, но перестает соответствовать
Отдельный сюжет, который обычно не замечают.
Даже корректно составленное поручение перестает описывать реальность, если продукт начинает использовать клиентские данные в собственных целях: обучает на них модели, строит сквозную аналитику по всем клиентам, собирает общий стоп-лист, обогащает записи из внешних источников.
Проверяется по определению оператора – пункт 2 статьи 3: оператор это тот, кто организует или осуществляет обработку, а также определяет цели обработки, состав данных и совершаемые действия. Если по какой-то функции цели, состав и операции определяете вы, по этой функции вы оператор, а не обработчик, и поручение ее не покрывает. Оператор физически не может поручить то, что делается не в его интересах.
Это не катастрофа. Это значит, что по такой функции нужна своя правовая модель – свое основание обработки, свое информирование, возможно, свое уведомление. Плохо не быть оператором, плохо быть им, не зная об этом.
Если поручение прислал клиент
Вторая половина случаев: клиент приходит со своим договором и своим поручением. Документ обычно корректный – и написан целиком в интересах той стороны.
Смотреть стоит на совпадение перечня и целей с тем, что вы реально делаете. Формулировка шире реальности означает, что вы приняли ответственность за операции, которых не совершаете. Уже реальности – хуже: любая ваша штатная функция оказывается за границей поручения, и вы нарушаете договор просто работая.
Есть еще норма, про которую почти никто не вспоминает. По части 6 статьи 6, если оператор поручает обработку иностранному физическому или юридическому лицу, перед субъектом отвечают оба – и оператор, и обработчик. Общее правило части 5 (перед субъектом отвечает оператор, обработчик отвечает перед оператором) в этом случае не работает. Для сервисов с иностранным юрлицом в контуре или с иностранным субпроцессором это меняет расклад целиком.
Чем проверить свою оферту
Открыть и поискать ответы на несколько вопросов:
есть ли фраза, из которой видно, что именно заказчик поручает вам обработку;
перечислены ли данные и действия с ними;
названа ли цель – не «оказание услуг», а то, ради чего обрабатываются именно эти данные;
есть ли ваша обязанность уведомить клиента об инциденте и стоит ли в ней число;
сможете ли вы показать, какую редакцию и когда принял конкретный клиент.
Последний вопрос – единственный, на который отвечает не юрист, а бэкенд. Обычно на нем все и заканчивается.
Напоследок
Штраф по части 1 статьи 13.11 КоАП за обработку в случаях, не предусмотренных законодательством, – от 150 000 до 300 000 рублей на юридическое лицо. Я специально оставил его в самом конце, потому что он здесь наименее интересная часть.
Отсутствие поручения годами никому не мешает. Оно обнаруживается не на проверке Роскомнадзора, а в анкете службы безопасности заказчика, который крупнее всех предыдущих, – то есть ровно в тот момент, когда сервис пытается вырасти. Это, пожалуй, единственная причина заниматься им заранее.