Образец поручения на обработку персональных данных

Что должно быть в документе

• перечень персональных данных, обрабатываемых по поручению;
• перечень действий (операций) с данными и цели обработки;
• обязанность обработчика соблюдать конфиденциальность и обеспечивать безопасность (статья 19 152-ФЗ);
• требования к защите данных и соблюдение локализации (часть 5 статьи 18);
• обязанность по запросу предоставлять оператору подтверждающие документы;
• обязанность уведомлять оператора об инцидентах (часть 3.1 статьи 21) и ответственность обработчика.

Как оформить

1. Определите, действительно ли контрагент обрабатывает данные по вашему поручению (а не как самостоятельный оператор).
2. Включите в договор обязательные условия по части 3 статьи 6 152-ФЗ.
3. Зафиксируйте требования к безопасности, локализации и уведомлению об инцидентах.
4. Убедитесь, что при сборе данных граждан РФ их запись и хранение идут в базах на территории России (часть 5 статьи 18).

Типовой образец, актуален на 2026 год. Это ориентир — заполните поля в квадратных скобках и адаптируйте под свои процессы. Чтобы собрать документ под ваш профиль, с подстановкой реквизитов и в актуальной редакции, воспользуйтесь сервисом.

ПРИЛОЖЕНИЕ № ___
к договору [наименование, номер и дата]

ПОРУЧЕНИЕ НА ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ

1. [Наименование оператора] (Оператор) поручает [наименование обработчика, адрес, ИНН/ОГРН] (Обработчик) обработку персональных данных исключительно для цели: [конкретная цель поручения].
2. Категории субъектов: [работники / клиенты / представители контрагентов / иные].
3. Перечень персональных данных: [исчерпывающий перечень].
4. Операции с данными: [сбор, запись, систематизация, хранение, уточнение, извлечение, использование, передача, блокирование, удаление, уничтожение]. Способ обработки: [автоматизированный / неавтоматизированный / смешанный].
5. Обработчик обязан:
5.1. соблюдать принципы и правила обработки персональных данных, конфиденциальность и требования статьи 19 Федерального закона от 27.07.2006 № 152-ФЗ;
5.2. обрабатывать данные только по документированным указаниям Оператора и не использовать их в собственных целях;
5.3. обеспечить запись, систематизацию, накопление, хранение, уточнение и извлечение данных граждан РФ с использованием баз данных на территории РФ, если применимо;
5.4. принять следующие меры защиты: [организационные и технические меры, требования к доступу, журналированию, резервному копированию и шифрованию];
5.5. по запросу Оператора предоставить документы и сведения, подтверждающие принятые меры;
5.6. уведомить Оператора о компьютерном инциденте или неправомерной передаче данных без неоправданной задержки, но не позднее [срок], сообщив известные обстоятельства, последствия и принятые меры;
5.7. привлекать субобработчиков только с [предварительного письменного согласия / уведомления] Оператора и возлагать на них равнозначные обязанности;
5.8. после прекращения поручения вернуть или уничтожить данные и их копии в срок [срок], подтвердив уничтожение актом.
6. Оператор вправе контролировать соблюдение поручения посредством [отчётов, запросов документов, аудита].
7. Обработчик отвечает перед Оператором за нарушение настоящего поручения и возмещает причинённые убытки в порядке, установленном договором и законом.
8. Срок поручения: с [дата] до [дата/условие прекращения].

Реквизиты и подписи сторон:
[Оператор] __________________ / [ФИО]
[Обработчик] ________________ / [ФИО]

Частые вопросы

Этот документ нужен не сам по себе — посмотрите, что ещё требуется вашей организации: