Поручение определяет перечень данных, операции, цели, конфиденциальность, меры, документы по запросу, безопасность и уведомление об инцидентах.
Документы для сайта · актуально на август 2026
Договор на обработку персональных данных с подрядчиком — образец 2026
Соберите поручение оператору и подрядчику по реальной схеме обработки: какие данные получает подрядчик, зачем, что именно с ними делает, где обрабатывает и хранит, какие меры подтверждает и как сообщает оператору об инциденте. Подрядчик не получает право использовать данные для собственных целей.
БесплатноWord (DOCX)Заполнение на сайтеБез отправки данных
Скачать договор поручения на обработку персональных данных в Word
Можно скачать пустой DOCX или заполнить документ прямо на странице. Конструктор собран именно под этот сценарий: его поля формируют структурированный Word-файл по введённым данным, а не универсальный текст с неподходящими реквизитами.
Данные обрабатываются в браузере. Перед использованием сверьте стороны, даты, суммы, исходные документы и фактическую ситуацию.
Как собрать поручение подрядчику без пробелов в ответственности
Выбирайте документ по реальной юридической и фактической ситуации, а не только по похожему названию.
ПоручениеЧто именно разрешено делать
Цели, категории данных и операции должны быть перечислены, а не скрыты за фразой «обработка ПД».
КонтрольКак оператор проверяет меры
Документы, аудит, сотрудники и субподрядчики должны быть управляемыми.
ИнцидентЧто происходит при утечке
Подрядчик сообщает оператору быстро и передаёт данные для обязательного внешнего уведомления.
Актуализировано на август 2026
Шаблон, подсказки и конструктор проверены на актуальность. Введённые в конструктор данные обрабатываются в браузере на вашем устройстве и не отправляются на сервер. Перед подписанием проверьте документ под вашу ситуацию.
Подойдёт, если
- CRM, хостинг, колл-центр, бухгалтерия или другой подрядчик обрабатывает ПД по указанию оператора
- нужно закрепить обязательные условия поручения по статье 6 Закона № 152-ФЗ
- оператору важно контролировать меры, инциденты и уничтожение данных
Лучше проверить отдельно
- подрядчик сам определяет цели и использует данные для собственных продуктов
- есть иностранный обработчик или сложная трансграничная инфраструктура
- обрабатываются биометрические или специальные категории данных
Короткий ответ
Что обязательно включить в поручение на обработку персональных данных подрядчику
Договор с обработчиком персональных данных должен быть не приложением «о конфиденциальности», а полноценным поручением: оператор задаёт цели, перечень данных и операции, подрядчик действует только по этим инструкциям, подтверждает меры защиты, сообщает об инцидентах и после завершения возвращает или уничтожает данные. Если подрядчик начинает использовать данные для собственных целей, его роль уже требует отдельной правовой оценки.
Главная проверка. В поручении перечислите конкретные персональные данные, операции и цели обработки.
Что проверить перед передачей персональных данных подрядчику
01
Цели и данные
Для каждой цели понятны субъекты, перечень ПД и допустимые операции.
02
Инструкции
Подрядчик не вправе использовать данные для собственных целей.
03
Безопасность
Требования, локализация, доступ сотрудников и документы по запросу определены.
04
Инциденты
Есть быстрый канал, внутренний срок и состав сообщения оператору.
Почему одного пункта о конфиденциальности недостаточно для поручения по 152-ФЗ
Закон прямо перечисляет, что должно быть в поручении. Общая фраза «подрядчик соблюдает 152-ФЗ» не описывает ни данные, ни операции, ни инструкции.
Постройте документ от конкретного процесса: CRM получает имя и телефон для обработки заявки; колл-центр звонит по определённой цели; хостинг хранит базу. Для каждого подрядчика ограничьте операции, инфраструктуру и срок. Затем задайте контроль, реакцию на инцидент и завершение обработки.
Данные по списку
Не пишите «любые персональные данные» — перечислите конкретные категории.
Операции по задаче
Сбор, хранение, доступ, передача, удаление и иные действия связывайте с порученной функцией.
Выход из договора
Удаление, возврат, резервные копии и подтверждение завершения должны быть заранее согласованы.
Ошибки в договоре с обработчиком персональных данных
01Только NDA
Есть конфиденциальность, но нет перечня данных, операций и целей.
02Собственные цели подрядчика
Подрядчик может использовать базу для аналитики, рекламы или обучения без отдельного основания.
03Инцидент без срока
Не установлено, как быстро подрядчик сообщает оператору и что именно передаёт.
04Неизвестные субподрядчики
Данные могут уходить дальше без согласования и переноса обязательных требований.
Чем поручение обработчику отличается от политики ПД и NDA
Поручение обработчику
Регулирует обработку ПД другим лицом по инструкциям оператора.
Политика ПД
Публично описывает процессы самого оператора.
Согласие субъекта
Даёт волеизъявление субъекта, если выбранное основание требует согласия.
Соглашение о конфиденциальности
Защищает секретность шире, но не заменяет обязательные элементы поручения по 152-ФЗ.
Что сделать после подписания поручения на обработку ПД
- приложите к договору фактический перечень систем, доступов и категорий данных
- назначьте контактных лиц оператора и подрядчика для запросов и инцидентов
- зафиксируйте допустимых субподрядчиков и инфраструктуру, включая страны размещения
- при прекращении договора получите подтверждение возврата или уничтожения данных и закрытия доступов
Какие требования 152-ФЗ действуют для обработки по поручению
Ниже — нормы, на которых проверена логика документа. Для нестандартной ситуации проверьте применимость правила к вашим отношениям.
Требует необходимых правовых, организационных и технических мер для защиты персональных данных.
Для инцидентов предусмотрено уведомление уполномоченного органа оператором в установленные законом сроки; подрядчик должен оперативно сообщать оператору.
Меры оператора по выполнению обязанностей по защите и организации обработки учитываются и в поручении в предусмотренном законом объёме.
При иностранной инфраструктуре отдельно проверяются действующие правила трансграничной передачи персональных данных.
Документы оператора, связанные с обработкой персональных данных
Связанный документПолитика обработки ПДПоказывает цели и процессы самого оператора.→Связанный документСогласие на обработку ПДОснование обработки, если в конкретном процессе требуется согласие.→Связанный документПолитика конфиденциальностиПользовательская информация о приватности; не заменяет поручение подрядчику.→Связанный документСогласие на рассылкуОтдельный документ для рекламных сообщений, а не обработки подрядчиком вообще.→
Вопросы о договоре с обработчиком персональных данных
Что обязательно включить в договор поручения на обработку персональных данных?
В поручении нужно определить перечень персональных данных, действия или операции с ними и цели обработки, установить конфиденциальность, требования по локализации и внутренним мерам в предусмотренном законом объёме, обязанность подтверждать меры по запросу оператора, требования безопасности и порядок уведомления оператора об инцидентах.
Кто остаётся оператором персональных данных после передачи обработки подрядчику?
Если подрядчик действует по поручению, оператором перед субъектом персональных данных остаётся заказчик, который определяет цели обработки. По Закону № 152-ФЗ ответственность перед субъектом за действия обработчика по общему правилу несёт оператор, а обработчик отвечает перед оператором.
Должен ли подрядчик сам получать согласия у субъектов?
Лицо, обрабатывающее персональные данные по поручению оператора, не обязано получать отдельное согласие субъекта именно на свою обработку. Но оператор должен иметь законное основание для обработки и для привлечения другого лица с учётом требований статьи 6 Закона № 152-ФЗ.
Можно ли подрядчику использовать данные для собственных целей?
Если подрядчик начинает самостоятельно определять цели обработки и использовать данные вне поручения, это уже выходит за рамки роли обработчика по поручению. В договоре стоит прямо ограничить обработку целями и инструкциями оператора.
Можно ли привлекать субподрядчиков к обработке персональных данных?
Лучше прямо определить, допускается ли привлечение других лиц, как оператор согласует их, какие требования переносятся в нижестоящее поручение и кто контролирует соблюдение режима. Сам факт субподряда не должен размывать инструкции и ответственность.
Что написать про инциденты с персональными данными?
Поручение должно требовать уведомлять оператора о случаях, указанных в части 3.1 статьи 21 Закона № 152-ФЗ. В договоре полезно установить внутренний срок сообщения подрядчика оператору короче внешнего срока оператора, а также состав первичной информации и порядок расследования.
Нужно ли учитывать локализацию и иностранную инфраструктуру?
Да. Если подрядчик использует базы, облака или сотрудников за пределами России, нужно отдельно проверить локализацию первичного сбора и действующие правила трансграничной передачи. В типовом договоре лучше явно указать страны, инфраструктуру и запрет на несанкционированный перенос данных.
Что должно произойти с данными после прекращения поручения?
Договор должен определить возврат или уничтожение данных, резервных копий и носителей, срок завершения обработки и документальное подтверждение. Исключения допустимы только когда дальнейшее хранение требуется по закону или иному самостоятельному правовому основанию.