🛡 Как передать ПДн подрядчику и не остаться крайним? Бухгалтер на аутсорсинге спрашивает: «чем мне это грозит?» А через неделю владелец фирмы: «нам что-то нужно оформлять?» Оба чувствуют, что с персональными данными что-то не так. Посчитайте, сколько посторонних компаний прямо сейчас видят паспорта и зарплаты ваших сотрудников. Обычно набирается четыре-пять. У каждой — подписанный договор на услуги. Только договор на услуги не заменяет основание для обработки ПДн. Роль подрядчика определяет тот, кто ставит цель обработки. Вариантов два. Подрядчик-обработчик работает по вашим инструкциям, собственных целей нет — нужно поручение по ч. 3 ст. 6 152-ФЗ. Подрядчик-оператор исполняет собственную обязанность, как банк или страховая, — поручение не подходит, нужна передача между двумя операторами. По данным habr_infosec, один и тот же подрядчик бывает и тем, и другим — в разных процессах. Отсюда два вопроса: кто решает, зачем обрабатываются данные, и что подрядчик обязан делать сам. Если цель у подрядчика своя — он самостоятельный оператор. Если нет — обработчик, и вам нужно поручение. В поручении должен быть перечень условий: какие данные, кому передаются, цели, условия привлечения субподрядчиков. Привлечение третьих лиц можно запретить или обусловить вашим согласием — иначе узнаете о субподрядчике, когда данные утекут именно у него. Отдельная история — данные работников. Здесь действует ст. 88 ТК РФ, и поручения мало. Нужно письменное согласие каждого на передачу в конкретную бухгалтерскую или кадровую компанию. Штраф за бездействие — 100–300 тыс. ₽ на должностное лицо и 300–700 тыс. ₽ на организацию по ч. 2 ст. 13.11 КоАП РФ. Срок давности — год, но нарушение повторяется с каждой передачей: отсчёт начинается заново. Я бы не стал полагаться на слова «у нас типовой договор». Подрядчик, который отказывается подписать поручение, — это тот подрядчик, за чью утечку платить будете вы. Большинство штрафов по 13.11 КоАП РФ — это не злой умысел, а договор на услуги, принятый за основание для обработки. Проверьте порядок работы, а не название услуги: одна и та же строка «IT-сопровождение» может означать и обработчика, и оператора. Ошибка в этом месте стоит дороже, чем час юриста. #152ФЗ #ПДн #аутсорсинг #ТрудовойКодекс #штрафы