Что учесть при передаче обработки персданных аутсорсеру

При передаче ведения бухгалтерского или кадрового учета на аутсорсинг, оператор персданных может передать и полномочия по обработке персданных сотрудников. В этом случае нужно соблюдать ряд требований.

Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», (далее – Закон № 152-ФЗ) допускает возможность делегирования оператором полномочий по обработке персданных.

При этом делегирование оператором персональных данных своих полномочий или обязанностей, установленных законодательством, по обработке персональных данных, предполагает оформление поручения в соответствии с частью 3 статьи 6 Федерального закона № 152-ФЗ. На это обратил внимание Роскомнадзор в письме от 14.03.2025 г. № 08-119850.

Условия документа, на основании которого происходит передача полномочий по обработке персданных, перечислены в пункте 3 статьи 6 Закона № 152-ФЗ.

Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, на основании:

• заключаемого с этим лицом договора, в том числе государственного или муниципального контракта;
• либо путем принятия государственным органом или муниципальным органом соответствующего акта.

Лицо, осуществляющее обработку персональных данных по поручению оператора, обязано:

• соблюдать принципы и правила обработки персональных данных, предусмотренные Законом № 152-ФЗ;
• соблюдать конфиденциальность персональных данных;
• принимать необходимые меры, направленные на обеспечение выполнения обязанностей, предусмотренных Законом № 152-ФЗ.

В поручении оператора должны быть определены:

• перечень персональных данных и перечень действий (операций) с персональными данными, которые будут совершаться лицом, которому делегируются полномочия по обработке данных;
• цели обработки персданных;
• обязанность лица, которому переданы полномочия, соблюдать конфиденциальность персональных данных;
• обязанность обработчика соблюдать требования, предусмотренные частью 5 статьи 18 Закона № 152-ФЗ, в частности, о необходимости при сборе персональных данных, в том числе посредством сети интернет, обязаны обеспечивать запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных с использованием баз данных, находящихся на территории Российской Федерации;
• обязанность обработчика соблюдать требования, предусмотренные статьей 18.1 Закона № 152-ФЗ. К примеру, о необходимости издать приказ о назначении лица, ответственного за организацию обработки персональных данных;
• обязанность по запросу оператора персональных данных в течение срока действия поручения оператора, в том числе до обработки персональных данных, предоставлять документы и иную информацию, подтверждающие принятие мер и соблюдение в целях исполнения поручения оператора требований;
• обязанность обеспечивать безопасность персональных данных при их обработке;
• требования к защите обрабатываемых персональных данных, в том числе требование об уведомлении оператора о случаях неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекших нарушение прав субъектов персональных данных.

По общему правилу обработка персданных осуществляется оператором с согласия субъекта персональных данных на такую обработку.

Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных. А вот лицо, осуществляющее обработку персональных данных по поручению оператора, не обязано получать согласие субъекта персональных данных на обработку его персональных данных (ч. 4 ст. 6 Закона № 152-ФЗ).

В случае, если оператор поручает обработку персональных данных другому лицу, ответственность перед субъектом персональных данных за действия указанного лица несет оператор. Лицо, осуществляющее обработку персональных данных по поручению оператора, несет ответственность перед оператором.