Передача персональных данных (ПДн) третьим лицам — одна из самых рискованных операций для оператора. Нарушение процедуры влечет за собой серьезные штрафы по ст. 13.11 КоАП РФ (до 15 млн рублей за повторное нарушение) и репутационные потери. В этой статье мы подробно разберем, как правильно оформить передачу данных в 2026 году, какие существуют правовые формы (согласие субъекта или договор поручения), и приведем структуру актуального документа с учетом последних разъяснений Роскомнадзора и судебной практики.

Правовые основания передачи ПДн третьим лицам (ст. 6, 10, 11 ФЗ-152)

Согласно Федеральному закону от № 152-ФЗ «О персональных данных», передача данных третьему лицу законна только при наличии одного из оснований:

1. Письменное согласие субъекта ПДн (п. 1 ч. 1 ст. 6, п. 1 ч. 1 ст. 9). Оформляется отдельным документом — «Согласие на передачу персональных данных третьей стороне».
2. Договор поручения (Договор на обработку ПДн) (ч. 2 ст. 10, ч. 2 ст. 11 152-ФЗ). Заключается между оператором (Доверяющим) и обработчиком (Поверенным/Третьим лицом). В этом случае согласие субъекта на передачу не требуется, но обязательно наличие согласия на саму обработку (если нет иных оснований).
3. Иные основания, предусмотренные законом (исполнение договора, стороной которого является субъект; защита жизни/здоровья; исполнение законодательства и т.д.).

Два основных сценария оформления: что выбрать?

Сценарий А: Согласие субъекта на передачу третьей стороне

Применяется, если третье лицо является независимым оператором (определяет цели и способы обработки самостоятельно).

• Форма: Свободная письменная форма (простая письменная), но с обязательными реквизитами ст. 9 152-ФЗ.
• Ключевой нюанс 2026: Согласие должно быть специфическим, информированным и волеизъявленным. Общие фразы вроде «на передачу партнерам» признаются недействительными (пояснения Роскомнадзора, судебная практика 2024–2025 гг.).
• Срок действия: Указывается явно (например, «до достижения целей обработки и истечения сроков хранения по закону») или бессрочно с правом отзыва.

Сценарий Б: Договор поручения на обработку ПДн (Аутсорсинг)

Применяется, если третье лицо, обработчик (облачный сервис, колл-центр, HR-агентство, бухгалтерия), действующее по инструкции оператора.

• Форма: Письменная (договор). Может быть самостоятельным документом или приложением к основному договору (Договору оказания услуг).
• Преимущество: Не нужно собирать отдельное согласие сотрудников/клиентов на передачу именно этому подрядчику.
• Обязательное условие: Передача данных фиксируется Актом приема-передачи персональных данных.

Обязательные условия Договора поручения (Образец структуры 2026)

Ниже приведена рекомендуемая структура договора, основанная на требованиях ч. 2 ст. 10 и ч. 2 ст. 11 152-ФЗ, а также типовых формах Роскомнадзора (Приказ ОД-79). Конфиденциальные данные в примерах замаскированы.

Преамбула

Г.  «___» _________ 202_ г.

Оператор персональных данных: ООО «» (ОГРН 1027739507, ИНН 77), именуемое в дальнейшем «Доверяющее лицо», в лице Генерального директора Иванова И.И., действующего на основании Устава, с одной стороны,

и

Обработчик персональных данных: ИП  / АО «» (ОГРНИП/ОГРН ), именуемое в дальнейшем «Поверенное лицо», в лице Петрова П.П., действующего на основании Устава / Доверенности №  от *, с другой стороны,

Предмет договора

• Доверяющее лицо поручает, а Поверенное лицо принимает на себя обязательство обработать персональные данные, переданные Доверяющим лицом, в целях и порядке, определенных настоящим Договором.
• Состав персональных данных: ФИО, дата рождения, СНИЛС, контактные данные (телефон +7 () —, email *@*.ru), данные паспорта, трудовые функции, заработная плата, медицинские сведения (при наличии оснований) — вписать нужный перечень в соответствии с уведомлением в реестре Роскомнадзора.
• Категории субъектов: Сотрудники Доверяющего лица / Клиенты / Соискатели.
• Цели обработки: Расчет заработной платы, начисление налогов, формирование отчетности в ФНС/СФР, учет рабочего времени — вписать нужное, строго в рамках целей Доверяющего лица.
• Срок обработки: С момента передачи (по акту приема-передачи) до достижения целей обработки и истечения сроков хранения, установленных законодательством РФ / до «___» 202_ г. — вписать нужное.

Права и обязанности сторон (Ключевой раздел)

Обязанности Поверенного лица (Обработчика):

1. Обрабатывать ПДн исключительно в целях и способами, определенными Доверяющим лицом (запрет на целевое перенаправление).
2. Обеспечить конфиденциальность ПДн (в т.ч. после окончания договора).
3. Применять меры защиты информации согласно Указу Президента РФ № 1119 и приказам ФСТЭК/ФСБ (в зависимости от уровня угроз).
4. Не передавать ПДн подвластным лицам/субподрядчикам без предварительного письменного согласия Доверяющего лица.
5. Уведомлять Доверяющее лицо о запросах субъектов ПДн, обращениях Роскомнадзора, инцидентах безопасности (утечках) в течение 24 часов / 3 рабочих дней.
6. Предоставить Доверяющему лицу возможность аудита/проверки соблюдения требований 152-ФЗ.
7. По окончании договора: уничтожить или вернуть ПДн (по выбору Доверяющего) и подтвердить это актом.

Обязанности Доверяющего лица (Оператора):

1. Передать ПДн по акту приема-передачи (на бумажном или электронном носителе с ЭП).
2. Гарантировать, что получены необходимые согласия субъектов на обработку (если требуется) и что передача Поверенному законна.
3. Своевременно информировать Поверенное об изменении составов ПДн, целях, отзывах согласий субъектов.
4. Оплатить услуги (если возмездно).

Меры защиты персональных данных (Технические и организационные)

Рекомендуется сослаться на Приложение к договору — «Политику безопасности ПДн при передаче третьему лицу» или перечислить минимальный набор:

• Шифрование каналов передачи (VPN, TLS 1.2+), шифрование хранилищ (БД, бэкапы).
• Разграничение доступа по ролям (RBAC), учетная запись * для администрирования.
• Журналирование всех действий с ПДн (SIEM / логи БД / ОС).
• Антивирусная защита, обновление ПО, защита от утечек (DLP-система, при необходимости).
• Физическая защита серверной / дата-центра (если на стороне Поверенного).
• Обучение персонала Поверенного, имеющего доступ к ПДн (под роспись в журнале/ЛМС).

Трансграничная передача (если применимо)

Если серверы Поверенного лица находятся за рубежом (облако AWS, Google, Azure, дата-центры в Казахстане, Армении и т.д.):

• Обязательно указание страны-получателя.
• Наличие решения о достаточности защиты в стране-получателе (список Роскомнадзора) ИЛИ наличия Стандартных договорных условий (СДУ) / Binding Corporate Rules (BCR) ИЛИ согласия субъекта на трансграничную передачу.
• Уведомление Роскомнадзора о трансграничной передаче (до 2024 г. — обязательно, сейчас порядок меняется, следите за Постановлением Правительства РФ).

Ответственность сторон

• Штрафные санкции за утечку/нарушение конфиденциальности (фиксированная сумма или % от стоимости договора).
• Возмещение реальных убытков (штрафы Роскомнадзора, судебные издержки, репутационный вред, если доказано).
• Солидарная ответственность перед субъектами ПДн (ст. 15 152-ФЗ).

Порядок разрешения споров и срок действия

• Претензионный порядок (обязателен для юрлиц/ИП).
• Судебный порядок (Арбитражный суд г. * по месту нахождения Доверяющего лица).
• Договор действует с «___» ________ 202_ г. до «___» ________ 202_ г. / до исполнения обязательств.

Реквизиты и подписи

Адреса, банковские реквизиты, контактные телефоны (+7 () —), email (*@*.ru) сторон.

Образец Согласия на передачу ПДн третьей стороне (Сценарий А)

Если третье лицо — независимый оператор (например, банк для зарплатного проекта, страховая компания ДМС, рекрутинговое агентство для проверки), используется Согласие субъекта.

Обязательные реквизиты (ст. 9 152-ФЗ + Постановление Правительства РФ № 1019):

1. ФИО, паспортные данные, адрес регистрации субъекта ПДн (г. , ул. , д. , кв. ).
2. Наименование и адрес оператора, передающего данные (ООО «*», г. , ул. , д. ).
3. Наименование и адрес третьего лица (получателя): ПАО «Сбербанк» / ООО «Страховая компания «», г. *.
4. Цель передачи (например: «Оформление зарплатной карты», «Оформление полиса ДМС», «Проверка достоверности сведений при приеме на работу»).
5. Перечень передаваемых данных (ФИО, СНИЛС, телефон, паспорт, ТК и т.д.);
6. Срок действия согласия и порядок отзыва (например: «Действует 3 года с момента подписания. Отзыв путем направления заявления оператору по адресу: г. , ул. , д. * или на email privacy@*.ru»).
7. Подпись субъекта с расшифровкой и датой.

Акт приема-передачи персональных данных — обязательный сателлит

Ни Договор поручения, ни Согласие не заменяют Акта приема-передачи. Это первичный учетный документ, фиксирующий факт передачи конкретного массива данных в конкретный момент времени.

Структура Акта:

• Номер, дата, место составления.
• Ссылка на основание (Договор поручения № от или Согласие субъекта Иванова И.И. от ).
• Перечень переданных данных (можно сослаться на приложение/реестр).
• Способ передачи: защищенный канал связи (SFTP/VPN/ЭДО с КЭП) / зашифрованный носитель (флешка с паролем, переданный курьером по доверенности № *).
• Хеш-суммы файлов (MD5/SHA-256) для контроля целостности.
• Подписи уполномоченных лиц сторон (с печатью, если есть) и даты.

Типичные ошибки и риски (Чек-лист для проверки)

Актуальные изменения 2024–2026 годов, которые нужно учесть

1. ФЗ-230 от (ред. от 2024 г.): Ужесточены требования к форме согласия (обязательность указания способа отзыва), введены новые основания обработки без согласия (исполнение договора, защита прав).
2. Приказ Роскомнадзора ОД-79 от : Утверждены новые типовые формы уведомлений и приложений (в т.ч. Приложение 10 — сведения о передаче ПДн при поручении). При подаче уведомления в реестр нужно заполнять раздел о передаче третьим лицам.
3. Постановление Правительства РФ № 1019 от : Детализированы требования к содержанию и форме согласия субъекта ПДн (в т.ч. на передачу).
4. Судебная практика (Обзор ВС РФ 2024-2025): Суды все чаще встают на сторону субъектов при спорных формулировках «передача аффилированным лицам», «передача партнерам для маркетинга» без раздельного согласия на каждую цель/лицо.
5. Штрафы: Для юрлиц — до 6 млн руб. (первичное) и до 15 млн руб. (повторное) за нарушение режима обработки/передачи (ст. 13.11 КоАП РФ). Для должностных лиц — до 75 тыс. руб. / дисквалификация.

Резюме: алгоритм действий перед передачей

1. Классифицируйте получателя: Обработчик (Договор поручения) или Оператор (Согласие субъекта / Основание закона).
2. Проверьте базу: Есть ли уведомление в реестре Роскомнадзора с указанием категории получателей? Соответствуют ли цели передачи целям в уведомлении?
3. Подготовьте документ: Договор поручения (с п.п. 1.2–1.5, мерами защиты, актом приема-передачи) ИЛИ форму Согласия (с реквизитами ст. 9 152-ФЗ и п. отзыва).
4. Оцените риски (DPIA): Если обработка создает угрозу прав субъектов (биометрия, медданные, дети, массовый мониторинг), проведите оценку последствий (ст. 18.1 152-ФЗ) до передачи.
5. Настройте технику: Шифрование, контроль доступа, логирование, DLP.
6. Передайте и зафиксируйте: Подпишите Акт приема-передачи. Сохраните его вместе с договором/согласием не менее 3 лет (или дольше по архивному делу).
7. Обновите реестр: При изменении списка обработчиков/получателей — обновите уведомление в Роскомнадзор в 30-дневный срок.

Грамотное оформление передачи персональных данных в 2026 году, это не просто «галочка» для проверки, а система управления рисками. Договор поручения остает предпочтительным инструментом для аутсорсинга (бухгалтерия, IT, HR, колл-центры), так как он оставляет контроль у оператора и не требует сбора сотен согласий от сотрудников. Однако он требует детальной проработки мер защиты и обязательного Акта приема-передачи.

Если же данные уходят к независимому партнеру (банк, страховщик, госорган), незаменимо Согласие субъекта в актуальной форме с указанием конкретного получателя, цели и простой процедуры отзыва.

Рекомендация: Используйте приведенные выше структуры как чек-лист для юридической экспертизы ваших проектов договоров. Типовые формы из «КонсультантПлюс», «Гарант» или сайта Роскомнадзора (раздел «Бланки и формы») можно брать за основу, но обязательно адаптируйте их под реальные бизнес-процессы, состав ПДн и ИТ-инфраструктуру вашей компании.

Статья подготовлена на основе актуального законодательства (152-ФЗ, 230-ФЗ, Постановления Правительства РФ, Приказы Роскомнадзора) и судебной практики на . Данная информация носит справочный характер и не заменяет консультацию квалифицированного юриста по защите персональных данных.