Роли и основания обработки данных

Компания, которая решила собирать заявки и превращать их в продажи, обычно остаётся оператором, даже если сайт, CRM и рассылку обслуживают три подрядчика. Но название стороны в договоре ещё не решает вопрос. По статье 3 Закона № 152-ФЗ существенны организация обработки, определение её целей, состава данных и операций. Один поставщик может быть обработчиком клиентской базы по поручению и самостоятельным оператором сведений о собственных заказчиках и сотрудниках.

Как установить роли по операциям

Начните с реального пути одной заявки. Кто решил запросить телефон, куда браузер отправляет его первым, кто видит запись, кто может выгрузить её, объединить с другой базой и определить срок хранения? Зафиксируйте юридических лиц, адреса серверов, учётные записи и решения о целях. Утверждение «всем занимается агентство» без этих фактов ничего не объясняет.

Если агентство только выполняет заданную рассылку по согласованной базе, это поручение. Если оно берёт контакты для собственного продвижения либо строит общий профиль потребителя для других заказчиков, возникает самостоятельная цель и нужно отдельное правовое основание. Банк, которому передают сведения для исполнения его законных обязанностей, также не превращается в обработчика магазина только потому, что он подключён через API. Доступ сотрудника своего оператора регулируется полномочиями и внутренними правилами; передача внешнему работодателю того же специалиста требует отдельной квалификации.

Поручение по части 3 статьи 6 должно охватывать перечень данных и операций, цели, конфиденциальность, локализацию, меры выполнения обязанностей и безопасности, предоставление подтверждающих документов до начала и в течение обработки, сообщения об инцидентах. Практически к этому добавляют реестр субподрядчиков, порядок изменения инфраструктуры, помощь по запросам субъектов, возврат и уничтожение выгрузок. Эти договорные условия делают исполнение управляемым, но не дают заказчику полномочий разрешить незаконную обработку.

Закон допускает поручение с согласия субъекта, если иное не установлено федеральным законом. Не следует считать договор компании с облаком таким исключением. Сам обработчик по поручению отдельное согласие не получает; наличие основания организует оператор. Перед субъектом за действия обработчика отвечает оператор; обработчик отвечает перед оператором. Для иностранного физического или юридического лица часть 6 статьи 6 отдельно предусматривает ответственность перед субъектом и оператора, и обработчика. Перенос всей ответственности на иностранного поставщика в пользовательском соглашении эту норму не устраняет. Закон № 152-ФЗ, статьи 3, 6, 7.

Если участники спорят, чья это база

Сначала сохраняют договоры и версии условий, поручения, схемы интеграций, письма о целях, записи доступа и настройки экспорта. Затем разграничивают спорные операции: сбор, хранение, дополнительное использование и утечку. Субъект может потребовать сведения у предполагаемого оператора; оператор обязан доказать согласие либо иное основание. При нарушении доступны обращение в Роскомнадзор и судебная защита по статье 17, включая убытки и моральный вред. Договорное требование заказчика к подрядчику оценивается отдельно: нарушение поручения, причинная связь, предусмотренная ответственность и действительный размер потерь. Штраф компании не следует заранее обещать взыскать с подрядчика целиком.

На прекращении договора сначала устанавливают законный объём выгрузки и безопасный получающий контур, затем подтверждают удаление рабочих копий и судьбу резервов. Блокировка SaaS при споре об оплате не освобождает оператора от ответа человеку или исполнения законного требования органа. Нужные способы договорной защиты связаны с процедурой судебной защиты и с характером конкретного требования.

Что показывает практика

В пункте 18 Обзора ВС от 27.09.2017 разобрана передача банком адреса и телефона заёмщика коллекторской организации по агентскому договору. Нижестоящие суды сочли её допустимой; ВС признал их вывод ошибочным: заёмщик не был стороной агентского договора, согласие на такую передачу не подтверждалось. Это объясняет, почему договор между двумя компаниями сам по себе не создаёт основания для данных третьего человека. Речь шла об агентировании, а не об уступке требования; специальные современные правила взыскания проверяются отдельно. Обзор не подтверждает окончательно присуждённую сумму. Обзор, пункт 18; определение № 78-КГ17-45.

В деле LinkedIn Мосгорсуд 10.11.2016 отклонил довод о том, что обработкой за пределами США занимается другая компания группы. Суд учитывал организацию ресурса и совместную обработку; решение о нарушении и ограничении доступа оставлено в силе. Это конкретное нижестоящее дело с редакцией 2016 года, а не правило, что любой держатель домена всегда оператор. Его современная польза — проверять фактическое управление вместе с условиями сервиса. Дело № 33-38783/16.

Сильное возражение поставщика: он действительно только исполняет документированные команды клиента. Его проверяют журналами, отсутствием собственных целей и границами доступа. Если возражение подтверждается, клиент не должен искусственно приписывать поставщику самостоятельную роль. Прямой позиции ВС о любой связке современной CRM, агентства и облака в проверенных источниках не найдено; вывод строится на статье 6 и фактах каждой операции.

Связанные материалы: карта обработки и поручений, основания, трансграничная передача, инцидент у подрядчика.

Начинать следует с действия, которое компания намерена совершить. Телефон может быть нужен для ответа на заявку, доставки, проверки спорного заказа или рекламы. Одно и то же значение в CRM не делает эти цели одинаковыми. Статья 5 Закона № 152-ФЗ требует заранее определённых законных целей, соразмерности объёма и срока, точности сведений; запрещает несовместимое использование и объединение баз с несовместимыми целями.

Основание выбирают для цели, а не для всей компании

Исполнение договора с самим человеком и заключение договора по его инициативе могут опираться на пункт 5 части 1 статьи 6: например, ответ на его запрос расчёта и доставка оплаченного товара. Нельзя распространить это основание на любое действие, полезное продавцу. Массовое продвижение через прямые контакты требует предварительного согласия по статье 15; наличие прошлой покупки этого не заменяет.

Обязанность по закону подтверждают точной нормой и необходимым набором данных. Для судопроизводства и исполнения судебного акта предусмотрены самостоятельные основания. Законный интерес оператора или третьих лиц по пункту 7 требует доказать необходимость и соблюдение прав человека; фраза «интерес бизнеса» не завершает эту оценку. Представитель контрагента обычно не является стороной договора двух организаций: его деловой контакт квалифицируют по действительной цели и полномочиям, а не механически по договорному основанию.

В матрице каждой цели должны быть категории людей, поля, операции, получатели, основание, событие начала и окончания, правило хранения и подтверждающие документы. Если для ответа на вопрос хватит электронной почты, паспортные данные требуют самостоятельного объяснения. Согласие не устраняет избыточность и не разрешает всё, что напечатано мелким шрифтом. Закон № 152-ФЗ, статьи 5, 6, 9, 15.

Что изменилось в оформлении согласия

С 1 сентября 2025 года статья 9 прямо требует оформлять согласие отдельно от иной информации и документов, которые человек подтверждает или подписывает. Это изменение внесено Законом № 156-ФЗ, статьи 5 и 7. Поэтому фраза внутри оферты «оплата означает согласие со всем» не обеспечивает отдельное согласие. Но закон не требует согласия для каждой операции, уже имеющей другое действительное основание, и не предписывает единственный графический вид кнопки.

В обычном случае допустима форма, позволяющая подтвердить получение согласия; оно должно быть свободным, конкретным, предметным, информированным, сознательным и однозначным. Сохраните самостоятельный текст и его версию, время и действие пользователя, связь события с лицом, обозначенные цели и возможность отзыва. Заранее отмеченный флажок и ссылка на документ, изменённый после события, слабо подтверждают эти обстоятельства.

Когда федеральный закон требует письменного согласия, действуют реквизиты части 4 статьи 9: субъект и представитель, полномочия, оператор, цель, перечень данных, обработчик по поручению, операции, срок, способ отзыва и подпись. Электронный документ должен быть подписан электронной подписью по закону. Обычный безымянный клик не следует приравнивать к такому документу без проверки применимой модели подписи. Для распространения действует ещё отдельный режим статьи 10.1 и требования приказа РКН № 18: человек определяет данные, запреты и условия. Поправка 2025 года, приказ № 18.

Что предъявлять при споре

Оператор несёт бремя доказывания согласия либо обстоятельств, допускающих обработку без него. Архивируйте доказательства вместе с версией интерфейса; таблица «согласие: да» без содержания согласия не показывает, с чем согласился человек. В ответ на запрос раскройте действительное основание конкретной цели. При спорной цели прекратите её или ограничьте обработку на период проверки по применимому основанию; не исправляйте старый журнал задним числом.

Сильное возражение компании состоит в том, что требуемые сведения необходимы для её законной обязанности или договора. Это может быть верно: тогда объясняют норму, необходимость каждого поля и оставшийся срок, а не просят фиктивное согласие на то, от чего человек не может отказаться. Альтернатива добровольному дополнительному сервису — основной сервис без необязательного сбора.

Практика и её предел

ВС в пункте 18 Обзора от 27.09.2017 потребовал доказуемого основания передачи заёмщика агенту: договор банка с агентом не сделал заёмщика его стороной. Однако из изолированной фразы этого обзора нельзя вывести, что всякая обработка всегда требует согласия. Уже пункт 9 гражданского раздела Обзора ВС за III квартал 2012 года объяснял законное основание предоставления профсоюзу сведений для контроля коллективного договора: отказ нижестоящих судов отменён. Здесь два разных фактических основания, а не две взаимоисключающие позиции. Обзор 2017 года, Обзор 2012 года, определение № 56-КГ12-3.

Прямое мотивированное решение высшего суда, исчерпывающе определяющее каждый допустимый интерфейс отдельного согласия после 01.09.2025, в проверенных материалах не установлено. Разделение документов — норма закона; конкретная схема интерфейса — способ её исполнения, нуждающийся в фактической проверке.

Связанные материалы: матрица целей, формы и cookies, отзыв, изображение и биометрия.

Политика должна описывать существующую обработку и понятные человеку способы защиты. Её публикация не заменяет настройку CRM, полномочия сотрудников и выполнение уведомлений. Работа начинается с инвентаризации форм, кадровых систем, переписки, телефонии, приложений, аналитики и резервных копий. Даже небольшой предприниматель может обрабатывать данные автоматически; размер бизнеса не освобождает от правил.

Документы, которые соединяют обязанность с исполнителем

Юридическое лицо назначает ответственного за организацию обработки; он подотчётен исполнительному органу, получает нужные сведения и организует контроль, обучение, приём запросов. Назначить человека без доступа к договорам и журналам недостаточно. В локальных актах для каждой цели определяют данные, категории субъектов, способы и сроки обработки и хранения, уничтожение, предупреждение и устранение нарушений. Отдельно устанавливают доступ, работу с подрядчиками, запросами и инцидентами; оценивают возможный вред, сопоставляют его с мерами защиты и проверяют исполнение. Обязанности в статьях 18.1 и 22.1, прямо адресованные юридическим лицам, не следует механически переносить на ИП как требование «приказать самому себе». Общие обязанности оператора, включая защиту и публикацию политики, распространяются и на него. Закон № 152-ФЗ.

При сборе через сеть политику и сведения о реализуемых требованиях к защите размещают в соответствующей сети, в том числе на страницах сайта, которыми собирают данные, с возможностью доступа к документу. Читателю нужны действительный оператор, цели, основания, категории, сроки и способ обращения. Публичный документ не должен раскрывать пароли, уязвимости или внутреннюю схему защиты. Кнопка «ознакомлен» не превращает политику в согласие на произвольные операции.

Уведомление: до начала, затем при изменениях

Статья 22 требует уведомить РКН до начала обработки, кроме конкретных исключений части 2. Старые исключения для обычной обработки данных работников или исполнения договора утратили силу с 1 сентября 2022 года. На дату среза сохранились специальные случаи государственных систем безопасности, деятельности исключительно без средств автоматизации и обработки по законодательству о транспортной безопасности. Если компания ведёт бумажный журнал и одновременно рабочую CRM, ссылка на исключительно неавтоматизированную деятельность требует пересмотра.

По каждой цели уведомление отражает категории данных и субъектов, основание, операции и способы. Также нужны начало и условие прекращения, расположение базы, наличие трансграничной передачи, ответственный и меры безопасности. Данные должны совпадать с действительностью, а не с рекламой облачного провайдера. Для формы используют приказ РКН № 180 и официальный портал; подача бесплатна. Сведения вносятся органом в реестр в течение 30 дней с поступления уведомления, но уведомительный порядок не является предварительным разрешением органа и не подтверждает законность всей обработки.

При изменении сведений уведомляют не позднее 15-го числа следующего месяца; о прекращении обработки — в течение десяти рабочих дней с даты прекращения. Если остаётся архив с персональными данными, прекращение рекламной рассылки не означает прекращения всей обработки. Отдельное уведомление о трансграничной передаче подчиняется статье 12. Статья 22 и временные изменения, форма № 180.

Если уведомление пропущено или пришёл запрос

Установите реальную дату начала, действующие цели и состав сведений; исправьте обработку и подайте достоверное уведомление. Не указывайте будущую дату для сокрытия уже начавшейся деятельности. Сохраните подписанную форму, отправку, регистрационные сообщения и последующую запись реестра. По запросу РКН необходимые сведения предоставляют в десять рабочих дней; возможно мотивированное продление максимум на пять. Запрос и сроки по нему отличают от контрольного мероприятия, предписания и производства по КоАП.

С 30.05.2025 часть 10 статьи 13.11 КоАП предусматривает за неуведомление или просрочку для оператора — коммерческого юридического лица штраф 100–300 тысяч рублей; ИП по примечанию отвечает как юридическое лицо. Публикация политики и сообщение об инциденте образуют иные составы. Эти суммы нельзя объединять в единый «штраф за отсутствие документов»: квалификация и доказательства нужны по каждому событию. КоАП, статья 13.11 и примечания, Закон № 420-ФЗ.

Практика и возражения

Прочитанные формы и действующий сервис РКН подтверждают административный порядок уведомления, но не являются решением об одобрении конкретного оператора. Прямой акт высшего суда, из которого следовало бы освобождение малого бизнеса только из-за размера или отсутствия сайта, в проверенных материалах не найден. В деле LinkedIn существенным было фактическое участие в организации обработки; отсутствие прямого договора с каждым человеком не исключило обязанности оператора. Апелляционный акт.

Сильное возражение бизнеса — обработка действительно исключительно бумажная и подпадает под исключение. Его проверяют по всему процессу и по постановлению № 687, а не по отдельной папке. Даже подтверждённое исключение касается уведомления; оно не отменяет требования основания, конфиденциальности и прав человека. Неавтоматизированная обработка.

Связанные материалы: карта процессов, безопасность, запрос субъекта.

Карту заполняют по реальным операциям до составления политики и договоров. Одна строка — цель и поток, который можно проверить технически. Отдельные строки нужны, если меняются оператор, получатель, территория, основание или срок; название CRM не заменяет этих фактов. Основание формы — статьи 3, 5, 6, 18, 18.1, 19 и 22 Закона № 152-ФЗ. Источник.

Проверяемое поручение

В документе с обработчиком указывают перечень данных, действий и целей; конфиденциальность; соблюдение локализации, требований статьи 18.1 и безопасности статьи 19; предоставление доказательств мер до и во время обработки; сообщение оператору об инцидентах. Договорная часть дополнительно определяет субподрядчиков, содействие по запросам, сроки возврата и удаления, ограничения собственного использования, способ подтверждения и изменения инфраструктуры.

Заполняемые условия: «Обработчик выполняет [операции] с [данные] исключительно для [цель] по команде [оператор]. Получатели и территории: [перечень]. Подтверждающие меры документы предоставляются [порядок]. При признаках инцидента связь с [контакт] осуществляется [срок и канал, позволяющие исполнить закон оператору]. При прекращении поручения [возврат/удаление, резерв, акт и журнал]». Значения в скобках устанавливают после проверки; эта заготовка не является готовым поручением.

При совместном самостоятельном определении целей не маскируйте отношения названием «обработчик». Установите отдельные основания и ответственность. Составленная карта должна совпасть с уведомлением РКН и политикой, а затем проверяться при смене интеграций. Роли, локализация, инциденты.

Форма помогает решить, что допустимо хранить после отзыва и какие данные вообще следует собирать. Она не устанавливает за компанию правовые основания. Каждую заполненную строку сверяют с документом и действительным процессом. Закон № 152-ФЗ, статьи 5, 6, 9, 20, 21.

Числа в сроки вписывают после проверки вида документа. Статья 29 Закона № 402-ФЗ устанавливает для определённой бухгалтерской документации минимум пять лет после отчётного года; она не задаёт пяти лет всей CRM. Источник.

Для каждого основания задайте сильный проверочный вопрос. Договор: является ли человек стороной, выгодоприобретателем или поручителем и необходима ли операция? Закон: какая конкретно обязанность требует этого поля? Интерес: какую правомерную цель невозможно разумно достичь меньшим объёмом и как защищены права? Согласие: было ли оно свободным, отдельным, доказуемым и охватывало ли эту цель?

Отдельные графы исполнения: основной контур, резерв, почта, выгрузки, тестовая среда, подрядчик, иностранный получатель; команда, дата, исполнитель, подтверждение, контроль восстановления. При невозможности уничтожения вовремя фиксируют условия блокирования и специальный срок статьи 21, а не молча продлевают хранение. Сроки и уничтожение, отзыв.