Обработка персональных данных в Российской Федерации строго регулируется Федеральным законом № 152-ФЗ «О персональных данных». Передача данных третьим лицам (операторам‚ подрядчикам‚ партнерам) требует безусловного соблюдения процедуры получения согласия субъекта персональных данных (СПД). В данной статье мы подробно разберем структуру правильного шаблона‚ обязательные реквизиты‚ юридические нюансы и типичные ошибки.

Правовые основания передачи данных третьим лицам

Согласно ст. 6 и ст. 7 Закона № 152-ФЗ‚ передача персональных данных третьему лицу допускается в двух основных случаях:

1. На основании согласия субъекта персональных данных (п. 1 ст. 6‚ п. 1 ст. 7). Это самый частый сценарий для коммерческих организаций.
2. Без согласия — только в исключительно установленных законом случаях (исполнение закона‚ защита жизни/здоровья‚ судебные решения‚ статистические цели в обезличенном виде и др.).

Важно: Если передача не подпадает под исключения закона‚ отсутствие грамотно оформленного согласия влечет за собой административную ответственность (ст. 13.11 КоАП РФ — штрафы до 18 млн руб. для юрлиц за повторные нарушения).

Обязательные реквизиты согласия (по ст. 9 Закона № 152-ФЗ)

Любой шаблон‚ будь то бумажный документ или электронная форма (чек-бокс на сайте)‚ должен содержать следующие сведения:

• ФИО‚ адрес места жительства (пребывания)‚ номер основного документа‚ удостоверяющего личность СПД (в шаблоне оставляются поля для заполнения: ).
• Наименование и адрес оператора (вашей организации/ИП)‚ получающего согласие (например: ООО «Ромашка»‚ г. Москва‚ ул. Примерная‚ д. ).
• Наименование и адрес третьего лица (лиц)‚ которому планируется передача данных. Критически важно: если третьих лиц несколько‚ их нужно перечислить всех или сослаться на приложение/реестр‚ доступный СПД.
• Цели обработки персональных данных третьим лицом (например: «доставка заказа»‚ «оценка кредитоспособности»‚ «рассылка рекламы от имени партнера»). Цели должны быть конкретными‚ а не абстрактными («для бизнес-целей» — недопустимо).
• Перечень обрабатываемых персональных данных (ФИО‚ телефон‚ email‚ адрес доставки‚ паспортные данные‚ ИНН‚ СНИЛС и т.д.). Нельзя писать «все данные», нужен точный перечень.
• Срок действия согласия и способ его отзыва. Срок не может быть бессрочным (судебная практика считает это нарушением). Обычно указывают: «до достижения целей обработки» или конкретную дату (например‚ 3 года). Способ отзыва: письменное заявление по адресу оператора или через личный кабинет.
• Подпись СПД (или ЭЦП/простой ЭП при электронном согласии) и дата.

Структура идеального шаблона (Пример оформления)

Ниже приведена рекомендуемая структура документа. Текст в квадратных скобках […] подлежит замене на реальные данные (скрыты маской в публичных образцах).

СОГЛАСИЕ НА ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ ТРЕТЬИМИ ЛИЦАМИ

г. [Город] «___» [Месяц] 202_ г.

Я‚ [ФИО полностью ]‚ дата рождения [ДД.ММ.ГГГГ ]‚ паспорт: серия [] № []‚ выдан [Кем выдан ] [Дата выдачи ]‚ код подразделения []‚ прописка/проживание: [Адрес ]‚ действующий на основании [Основание: доверенность/устав/закон ]‚ именуемый в дальнейшем «Субъект»‚ выражаю свое свободное‚ конкретное‚ информированное и безусловное согласие [Наименование Оператора‚ напр. ООО «Вектор» ] (далее, Оператор)‚ расположенному по адресу: [Адрес оператора ]‚ на обработку моих персональных данных и передачу их следующим третьим лицам:

Перечень третьих лиц (получателей данных):

1. [Наименование получателя 1‚ напр. ООО «КурьерСервис» ]‚ адрес: [Адрес ]‚ ИНН [*] — цель: доставка товаров.
2. [Наименование получателя 2‚ напр. АО «Банк РНКО» ]‚ адрес: [Адрес ]‚ ИНН [*] — цель: проведение платежей‚ эквайринг.
3. [Наименование получателя 3‚ напр. ООО «МаркетингПлюс» ]‚ адрес: [Адрес ]‚ ИНН [*] — цель: рассылка информационных и рекламных материалов (только при отдельной отметке согласия на маркетинг).

Перечень персональных данных‚ подлежащих обработке и передаче:

• Фамилия‚ Имя‚ Отчество;
• Контактный телефон: [];
• Адрес электронной почты: [];
• Адрес доставки/проживания: [*];
• Паспортные данные (серия‚ номер‚ кем выдан‚ дата выдачи‚ код подразделения) — только при необходимости для договора/доставки;
• ИНН / СНИЛС — только для кадровых/бухгалтерских целей.

Цели обработки персональных данных третьими лицами:

• Исполнение договора № [] от [Дата ] (доставка‚ оплата‚ сервисное обслуживание);
• Осуществление расчетов по договору;
• Информирование о статусе заказа/услуги (SMS‚ Email‚ Push-уведомления);
• (При наличии отдельного чек-бокса) Направление рекламно-информационных материалов от имени партнеров.

Виды действий с персональными данными‚ на которые дается согласие:

Сбор‚ запись‚ систематизация‚ накопление‚ хранение‚ уточнение (обновление‚ изменение)‚ извлечение‚ использование‚ передача (распространение‚ предоставление‚ доступ) третьим лицам‚ указанным выше‚ обезличивание‚ блокирование‚ удаление‚ уничтожение персональных данных. Обработка может осуществляться как с использованием средств автоматизации‚ так и без них.

Срок действия согласия и порядок отзыва:

Настоящее согласие действует с момента его подписания до достижения целей обработки‚ указанных выше‚ либо до момента отзыва согласия‚ но не дольше [Срок‚ напр. 3 (трех) лет] с даты подписания.

Субъект имеет право отозвать настоящее согласие в любой момент путем направления письменного уведомления Оператору по адресу: [Адрес оператора для почты ] или через Личный кабинет на сайте [Сайт оператора ]. Отзыв согласия влечет за собой прекращение обработки и удаление данных в срок‚ не превышающий 30 (тридцати) календарных дней с даты получения уведомления об отзыве‚ если иное не установлено законом.

Права Субъекта персональных данных:

Я ознакомлен(а) со своими правами в соответствии со ст. 14 Закона № 152-ФЗ‚ в т.ч. правом на получение информации об обработке моих данных‚ правом на уточнение‚ блокирование или уничтожение данных‚ а также правом на обращение в Роскомнадзор или в суд при нарушении прав.

Подпись Субъекта: _______________ / [ФИО *] /

Особенности электронного согласия (Сайт/Приложение)

Для онлайн-сервисов согласие оформляется через чек-бокс (флажок) и ссылку на полный текст политики/согласия. Требования Роскомнадзора:

• Чек-бокс не должен быть предустановлен (галочка не стоит по умолчанию).
• Текст рядом с чек-боксом должен быть кратким‚ но содержать суть: «Нажимая кнопку «Зарегистрироваться»‚ я даю согласие на обработку и передачу моих персональных данных третьим лицам (перечень и цели указаны в Согласии)».
• Обязательно фиксируется лог действий (кто‚ когда‚ с какого IP‚ какую версию текста согласия принял).
• В тексте согласия на сайте должен быть гиперссылка на страницу с перечнем третьих лиц (или перечень прямо в тексте).

Типичные ошибки‚ приводящие к штрафам

Передача по поручению (ст. 28 Закона № 152-ФЗ) vs Передача третьему лицу (ст. 7)

Это ключевой момент для снижения рисков.

• Передача третьему лицу (ст. 7): Требует отдельного согласия СПД. Третье лицо становится самостоятельным оператором‚ определяет свои цели обработки. Ответственность за законность передачи лежит на первом операторе.
• Поручение обработки (ст. 28): Оператор заключает договор (договор поручения) с подрядчиком. Подрядчик обрабатывает данные только по инструкции оператора и не определяет цели. Согласия СПД на передачу подрядчику НЕ ТРЕБУЕТСЯ (но СПД должен быть информирован об этом в Политике конфиденциальности).

Совет: По возможности оформляйте отношения с курьерами‚ колл-центрами‚ IT-аутсорсерами через договоры поручения (ст. 28). Это снимает необходимость собирать отдельные согласия на каждого подрядчика и упрощает комплаенс.

Межграничная передача данных

Если третье лицо находится за рубежом (облачные CRM‚ рассылки через зарубежные сервисы‚ хостинг за границей):

1. Требуется отдельное письменное согласие на межграничную передачу (п. 2 ст. 12 Закона № 152-ФЗ). Электронное согласие (чек-бокс) допустимо‚ но нагрузка на доказательство информированности выше.
2. Страна-получатель должна обеспечивать адекватную защиту прав (список стран утверждается Роскомнадзором) или должны быть заключены стандартные договорные условия (SCC) / BCR.
3. С 2023-2024 гг. Роскомнадзор усилил контроль за передачей данных в «неадекватные» страны (США‚ ЕС и др. без дополнительных гарантий).

Рекомендации по хранению и аудиту

1. Версионирование: Храните историю версий шаблона согласия. Если текст менялся — нужно получать согласие на новой версии.
2. Архивирование: Бумажные оригиналы храните в защищенном доступе месте. Электронные — в защищенном хранилище с подтверждением целостности (хеш-суммы‚ блокчейн‚ КЭП).
3. Реестр операций обработки: Внесите операцию «Передача третьим лицам» в свой Реестр операций обработки ПДн (обязательный документ для оператора).
4. Аудит получателей: Раз в год проверяйте: существуют ли еще эти компании‚ актуальны ли ИНН/адреса‚ соблюдают ли они безопасность данных (запросите отчет о мерах защиты).

Чек-лист перед внедрением шаблона

• [ ] Перечень третьих лиц точен‚ актуален и содержит ИНН/адреса.
• [ ] Цели обработки для каждого получателя конкретны и понятны обычному человеку.
• [ ] Перечень ПДн минимально необходим (принцип минимизации данных).
• [ ] Указан срок действия (не бессрочный).
• [ ] Прописан простой и доступный способ отзыва (адрес‚ email DPO‚ кнопка в ЛК).
• [ ] Текст согласия не содержит условий‚ ограничивающих права СПД (например‚ «отзыв согласия влечет штраф»).
• [ ] Предусмотрена возможность ознакомления с Полной версией Политики конфиденциальности до дачи согласия.
• [ ] Юридический отдел/ДСП (Должностное лицо по защите ПДн) подписал версию к производству.

Грамотный шаблон согласия на передачу данных третьим лицам — это не просто формальность для инспектора Роскомнадзора‚ а инструмент управления рисками и построения доверия с клиентами. Главные принципы: прозрачность (кто получает)‚ целесообразность (зачем)‚ минимальность (что именно) и контроль (сроки и отзыв).

Используйте приведенную выше структуру как базу‚ адаптируйте под специфику вашего бизнеса (e-commerce‚ финтех‚ медицина‚ HR) и обязательно согласуйте итоговый текст с юристом‚ специализирующимся на 152-ФЗ. Регулярно актуализируйте перечень получателей — это самая частая причина претензий при проверках.

Данная статья носит информационный характер и не является правовой консультацией. Для решения конкретных вопросов обратитесь к квалифицированному юристу или к Должностному лицу по защите персональных данных вашей организации.