Поручение на обработку персональных данных: что должно быть в договоре
Канал в MAXКогда нужно поручение на обработку ПДн (ст. 6 ч. 3 152-ФЗ), какие условия включить в договор с обработчиком и как вести их учёт.
Если оператор поручает обработку персональных данных другому лицу (бухгалтерия на аутсорсе, облачный сервис, колл-центр), это допускается на основании договора — поручения на обработку (статья 6 часть 3 Федерального закона 152-ФЗ).
Когда нужно поручение
Поручение оформляется всякий раз, когда обработку ПДнПерсональные данные — Любая информация, относящаяся к прямо или косвенно определённому физическому лицу (субъекту ПДн). по заданию оператора выполняет сторонний контрагент. Оператор остаётся ответственным перед субъектом, а обработчик — перед оператором.
Что включить в договор поручения
- перечень персональных данных, обрабатываемых по поручению, перечень действий (операций) с ними и цели обработки;
- обязанность обработчика соблюдать конфиденциальность и обеспечивать безопасность ПДн (ст. 19 152-ФЗ);
- требования к защите данных, соблюдение локализации (часть 5 статьи 18) и обязанностей по статье 18.1, а также обязанность по запросу предоставлять оператору подтверждающие документы;
- обязанность уведомлять оператора об инцидентах — неправомерном или случайном доступе и передаче (часть 3.1 статьи 21);
- ответственность обработчика.
Трансграничная передача
Если обработчик находится за рубежом, дополнительно учитываются требования статьи 12 152-ФЗ о трансграничной передаче ПДн.
Как вести учёт
Раздел «Поручения на обработку» ведёт реестр контрагентов-обработчиков: наличие договора, цели, меры защиты, трансграничная передача.