Кому оператор вправе поручить обработку персональных данных

Если оператор хочет передать обработку персональных данных исполнителю, он может поручить её другому лицу. Субъект персональных данных — это человек, к которому относятся сведения. По общему правилу требуется его согласие на такое поручение; отступление возможно, когда оно предусмотрено федеральным законом. Поручение оформляют договором, включая государственный или муниципальный контракт, либо соответствующим актом государственного или муниципального органа — ч. 3 ст. 6 152-ФЗ.

Выбирая, кому доверить сведения, учитывайте и возможность привлечь иностранного исполнителя. Закон прямо предусматривает поручение иностранному физическому лицу или иностранному юридическому лицу. Для такого варианта установлено особое распределение ответственности: перед человеком за действия исполнителя отвечают и оператор, и лицо, которое обрабатывает данные по его поручению, — ч. 6 ст. 6 152-ФЗ.

В договоре или акте нужно описать границы работы исполнителя. Укажите конкретные персональные данные, разрешённые действия с ними и цели обработки. Это позволяет связать поручение с задачей оператора: исполнитель получает определённый объём работы, а не неограниченное право использовать переданные сведения. Все три элемента должны быть определены в поручении по ч. 3 ст. 6 152-ФЗ.

Отдельно закрепите обязанности по конфиденциальности и безопасности сведений, а также требования к их защите. Исполнитель должен соблюдать принципы и правила обработки и принимать меры для выполнения установленных законом обязанностей. В поручение также включают предусмотренные законом требования к обработке и обязанность уведомлять оператора о соответствующих случаях нарушения безопасности. Эти условия обязательны для поручения по ч. 3 ст. 6 152-ФЗ.

Оператору нужны подтверждения того, что исполнитель соблюдает требования при работе с данными. Закрепите его обязанность предоставлять по запросу документы и другую информацию о принятых мерах. Запрашивать такие подтверждения можно в течение срока действия поручения, в том числе до начала обработки. Получение документов до передачи сведений позволяет оценить подготовку исполнителя к порученной работе — ч. 3 ст. 6 152-ФЗ.

Исполнителю, действующему по поручению, не требуется получать у человека отдельное согласие на обработку его данных. Это правило касается обязанности исполнителя; требование к согласию на поручение оператор проверяет при его оформлении. Различие между этими обязанностями следует учитывать при подготовке документов по ч. 3 и 4 ст. 6 152-ФЗ.

Передача обработки не снимает с оператора ответственность перед субъектом. Если исполнитель нарушает обязанности при выполнении поручения, перед человеком за его действия отвечает оператор, а исполнитель отвечает перед оператором. Такое распределение закреплено в ч. 5 ст. 6 152-ФЗ. При привлечении иностранного лица действует указанное выше правило ч. 6 той же статьи об ответственности обоих участников перед субъектом.