Подключение CRM, облака или внешнего бухгалтера не снимает обязанности с оператора персональных данных. Значение имеют роль получателя, основание передачи, договор, размещение баз и фактические доступы. Обещание сервиса «соблюдаем 152-ФЗ» не заменяет проверки этих условий.
Кто получает данные: исполнитель или оператор
Обработчик по поручению действует для целей, определённых заказчиком, в согласованных пределах. Самостоятельный оператор определяет собственные цели и содержание обработки. Один поставщик может совмещать разные роли; название отрасли или услуги само по себе не даёт ответа.
| Ситуация | Возможная роль |
|---|---|
| CRM хранит клиентскую базу по заданию компании | Обработчик по поручению в отношении этой базы |
| Бухгалтер ведёт учёт заказчика | Возможна обработка по поручению; учитываются переданные функции и закон |
| Банк исполняет свои обязанности по финансовой операции | Самостоятельный оператор для соответствующих целей |
| Подрядчик использует базу для собственной рекламы | Выход за пределы технического поручения, требующий самостоятельного основания |
Часть 3 статьи 6 Закона № 152-ФЗ предусматривает поручение другому лицу с согласия субъекта, если иное не установлено федеральным законом. Законность обработки самим оператором и условия её поручения — отдельные вопросы. Договор с клиентом не позволяет пропустить анализ передачи исполнителю.
Даже удалённый просмотр базы без скачивания может быть обработкой. Поэтому временный доступ разработчика, поддержка сервиса и постоянная работа бухгалтера должны учитываться по фактическим полномочиям. Отсутствие собственной копии у подрядчика не означает отсутствия обязанностей.
Что закрепляет поручение
Поручение может быть частью договора или связанным документом. Важно содержание, а не название «DPA». Условия должны распространяться именно на вашу обработку: общая оговорка о соблюдении законодательства не раскрывает цели, допустимые действия и распределение обязанностей.
- Цели обработки, перечень данных и поручаемых действий.
- Конфиденциальность и применимые требования части 5 статьи 18, статьи 18.1.
- Обязанности по обеспечению безопасности и требования к защите по статье 19.
- Предоставление документов и информации, подтверждающих меры, по запросу оператора, в том числе до обработки.
- Уведомление о случаях, предусмотренных частью 3.1 статьи 21.
Дополнительно существенны привлечение других исполнителей, доступ поддержки, изменения инфраструктуры, возврат и удаление данных. Если условия размещены по ссылке, нужна применимая редакция и понятный порядок её изменения. Маркетинговая страница не становится частью договора автоматически.
Стандартная оферта крупного сервиса не обязательно непригодна. Нужно установить, какие документы входят в договор и покрывают ли они ваш тариф и операции. Сертификат также оценивают по области действия: он может относиться к отдельному продукту или версии, а не ко всем настройкам вашей компании.
Российские реквизиты не определяют место хранения
Юридический адрес поставщика и размещение баз — разные сведения. Основное хранилище, резервные копии, журналы, тестовые среды и интеграции могут находиться в разных местах. Российская CRM не исключает передачу через подключённый плагин иностранному получателю.
Действующая часть 5 статьи 18 запрещает при сборе данных граждан РФ перечисленные в ней операции с использованием баз за пределами РФ, кроме установленных исключений. Схема «сначала иностранный сервис, затем копия в России» не является универсальным способом соблюдения локализации.
Трансграничная передача рассматривается отдельно: важны маршрут, страна, получатель, требования статьи 12 и предварительное уведомление. Наличие российской базы не разрешает любые последующие передачи за рубеж. Доступ зарубежной поддержки тоже требует оценки, а иностранное название программы само по себе не доказывает нарушение.
От поставщика нужна достаточная информация о вашей обработке, а не секретные детали его защиты или сведения других клиентов. Невозможность назвать получателя и страну хранения — конкретный пробел до загрузки базы. Рекламное описание защищённости не отвечает на эти вопросы.
Договор должен совпадать с настройками
Индивидуальные учётные записи, необходимые роли, ограничения выгрузок и административного доступа позволяют реализовать договорные условия. Многофакторная аутентификация и журналирование полезны, но конкретный набор мер зависит от требований и угроз. Выдача всем роли администратора лишает договорные ограничения практического смысла.
Типичная проблема — постоянный токен агентства после разовой настройки формы. Работы завершились, но доступ ко всей клиентской базе остался. Для интеграции нужны ограниченные полномочия, понятный владелец и фактический отзыв доступа. Отмена подписки или закрытие учётной записи сотрудника не всегда отключают API-ключи.
Тестовые среды также входят в обработку. Реальную базу не стоит передавать разработчику, если задачу решают искусственные данные. Когда реальные сведения необходимы, требуются законное оформление, ограниченный состав и защита, а не исключение «это только для тестирования».
Инцидент и завершение договора
По части 5 статьи 6 оператор отвечает перед субъектом за действия лица, которому поручена обработка, а исполнитель — перед оператором; для иностранного исполнителя есть особенности. Условие «все претензии только провайдеру» не освобождает компанию от предусмотренной законом ответственности.
Для событий, подпадающих под часть 3.1 статьи 21, предусмотрены уведомление регулятора в течение 24 часов и результаты расследования в течение 72 часов. Канал обмена с подрядчиком должен позволять выполнить эти обязанности. При этом не каждое падение сервиса является таким инцидентом: квалификация зависит от обстоятельств.
За отсутствие или просрочку обязательного уведомления об инциденте часть 11 статьи 13.11 КоАП предусматривает для коммерческих юрлиц 1–3 миллиона рублей; ИП здесь отвечает как юрлицо. Ответственность за саму неправомерную передачу оценивается отдельно.
При смене CRM экспорт не прекращает обработку в прежней системе. Нужно различать перенос необходимых сведений, отключение доступов и интеграций, удаление базы и судьбу резервных копий. Если провайдер сохраняет отдельные сведения по собственной законной обязанности, должны быть понятны основание, срок и ограничения. Это не равно бессрочному хранению всей базы «на случай возвращения клиента».
