Передача персональных данных: какие требования для обработки персональных данных третьими лицами

Передача персональных данных третьим лицам — неотъемлемая часть многих бизнес-процессов. Однако такие действия требуют строгого соблюдения ФЗ от 27.07.2006 №152-ФЗ. Операторы должны четко понимать, в каких случаях допустима передача информации, как правильно все оформить и какие меры защиты применить. В данной статье мы также рассмотрим, какие есть требования к передаче личных сведений клиентов или сотрудников третьему лицу, что входит в обязанности агентов и какие документы оформляются между сторонами.

Когда может понадобиться передача обработки ПДн третьему лицу

Для начала разберемся, что значит передача персональных данных. Это действие, направленное на раскрытие информации, позволяющей идентифицировать человека. В результате ПДн попадают к третьему лицу. Согласно ФЗ №152-ФЗ, передача возможна только с согласия владельца данных, за исключением случаев, предусмотренных законом: например, если сведения передаются для предупреждения угрозы жизни и здоровью работника (ст. 88 ТК РФ).

Примеры ситуаций, когда происходит передача персональных данных работодателем:

1. В компании нет бухгалтерии, поэтому она поручает ведение документов и финансовые операции третьему лицу по договору аутсорсинга.
2. Планируется аудиторская проверка. Аудиторы получают доступ к ПДн персонала и клиентов.
3. Для маркетинговых рассылок по базе клиентских email-адресов и телефонов компания нанимает стороннюю организацию, которая получает доступ к ПДн.
4. Для перечисления зарплаты работодатель передает ПДн сотрудников в банк.
5. В компании при оформлении полиса ДМС также данные передаются в страховую организацию.

Третье лицо, которое получает данные от оператора, называется обработчиком или лицом, которому поручена обработка. В отличие от оператора, у него в отношении персданных гораздо меньше полномочий — он может работать с ними только в рамках договора с оператором.

Обязанности обработчика

Данные передаются обработчику в рамках основного договора между ним и оператором на основании согласия работника. Унифицированной формы договора нет, но при составлении нужно учитывать положения ФЗ №152-ФЗ.

Обязанности агента(поверенного) указываются в договоре:

1. Лично исполнить поручение оператора (доверителя).
2. Соблюдать правила и принципы работы с данными, установленные законодательством.
3. Хранить сведения не дольше, чем это требуется для реализации целей обработки.
4. Обеспечить безопасность ПДн.
5. Уничтожить сведения при достижении целей в установленный договором срок.
6. Прекратить работу с данными в случае отзыва согласия субъекта.
7. Предоставлять информацию доверителю о ходе исполнения поручения.
8. При исполнении поручения или расторжении договора вернуть оператору ПДн, предоставить отчет о проделанной работе и приложить подтверждающие документы.

Правила передачи обработки ПДн

В первую очередь оператор должен взять у субъекта согласие на передачу персональных данных, если по закону оно обязательно. Оно оформляется письменно отдельным документом.

Что еще должен выполнить оператор:

• Заключить договор с третьей стороной, которая получит ПДн.
• Обеспечить защиту ПДн при хранении и передаче.
• Запросить акт уничтожения и выгрузку из информационной системы после окончания работы агента с данными.

Для осуществления трансграничной передачи персональных данных понадобится согласие субъекта. Также необходимо подать соответствующее уведомление в Роскомнадзор.

Проведем бесплатный аудит вашей организации или ИП на предмет соблюдения новых требований закона «О персональных данных»

Сделаем заключение на соблюдение требований Роскомнадзора

Запишитесь на бесплатный аудит

Заполните форму и мы свяжемся с вами

Мессенджер:

Telegram WA Max Viber SMS

Нажимая кнопку "Отправить", я соглашаюсь на обработку моих персональных данных в соотв. с ФЗ от 27.07.2006 №152-ФЗ на условиях и для целей, определенных Согласием на обработку персональных данных

Нажимая кнопку "Отправить", я соглашаюсь на получение рассылки в соотв. с ФЗ от 13.03.2006 №38-ФЗ на условиях и для целей, определенных Политикой конфиденциальности

Отправить

Как оформить договор-поручение

Требования к поручению есть в ч. 3 ст. 6 ФЗ №152-ФЗ. Что в нем нужно указать:

1. перечень ПДН и действий с ними, которые может совершать агент;
2. цели передачи и обработки ПДн;
3. обязанность агента соблюдать конфиденциальность, уведомить оператора о несанкционированном доступе;
4. требования к защите ПДн;
5. обязанность предоставить по запросу оператора документы, подтверждающие принятие мер для исполнения договора;
6. срок, на который поручена обработка.

Все эти пункты обязательно должны быть в документе.

Как составить согласие

Согласие на передачу требуется не всегда. Например, если оператор по закону обязан передать информацию третьему лицу (органам МВД, прокуратуры, ФНС, СФР и т.д.). Если же оно обязательно, документ должен соответствовать ч. 4 ст. 9 ФЗ №152-ФЗ. Какие сведения в нем указываются:

1. ФИО, адрес проживания, реквизиты удостоверения личности (серия, номер, дата выдачи и наименование выдавшего органа) субъекта ПДн.
2. ФИО, адрес и паспортные данные представителя субъекта (при его наличии), а также реквизиты документа, подтверждающего полномочия представителя;
3. Полное наименование и адрес оператора.
4. Четко сформулированную цель передачи ПДн.
5. Конкретный перечень данных, которые будут передаваться;
6. Наименование и адрес третьего лица, которому может быть поручена обработка, а также ИНН.
7. Перечень конкретных операций с данными и общее описание методов их обработки;
8. Срок действия согласия и процедура его отзыва.
9. Личную подпись субъекта.

Заключение

Незаконная передача персональных данных может повлечь серьезные последствия, включая административную и уголовную ответственность. Чтобы минимизировать риски, оператор должен получить согласие субъектов ПДн (за исключением некоторых случаев), правильно оформить договор с агентом, обеспечить защиту данных на всех этапах работы. Если есть какие-либо сомнения, стоит обратиться к юристам, которые знают тонкости ФЗ №152-ФЗ. Они помогут с оформлением документов и проверят, не нарушает ли ваша компания правила работы с ПДн. Это позволит избежать крупных штрафов и спокойно вести бизнес.