Договор поручения на обработку персональных данных: образец

Договор поручения на обработку персональных данных заключают, когда оператор передаёт данные подрядчику: бухгалтерии, колл-центру, сервису рассылок, облачному хранилищу. Ниже — образец и разбор: что обязательно указать по ст. 6 152-ФЗ, чем договор отличается от согласия субъекта и от договора об обработке персональных данных.

Бланк в WordWord, 11 КБ Образец в WordWord, 12 КБ Образец в PDFPDF, 67 КБ

Проверка актуальности

Проверьте документ перед подписанием

Законы меняются быстрее, чем бланки в интернете: образцы составляют в разное время, и обновить их все не успевает никто. Чтобы документ работал на вас сегодня, мы настроили ИИ для проверки актуальности: он сам возьмёт этот образец, сверит его с действующей редакцией законов и пришлёт, что поправить.

Образец заполнения

г. Москва

«16» ноября 2026 г.

Договор поручения на обработку персональных данных

№ ____

ООО «Ромашка», именуемое в дальнейшем «Оператор», в лице генерального директора Петрова Петра Петровича, действующего на основании устава, с одной стороны, и ООО «Облако», именуемое в дальнейшем «Обработчик», в лице директора Сидорова Ивана Ивановича, действующего на основании устава, с другой стороны, заключили настоящий договор о нижеследующем.

1. Предмет договора. 1.1. Оператор поручает, а Обработчик принимает на себя обработку персональных данных, перечисленных в Приложении № 1 к настоящему договору, в целях: ________________________________________.

1.2. Перечень действий (операций) с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), блокирование, удаление, уничтожение.

1.3. Обработчик обрабатывает персональные данные по поручению Оператора и обязан соблюдать принципы и правила обработки, предусмотренные Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», и конфиденциальность персональных данных.

2. Обязанности сторон. 2.1. Обработчик обязуется: принимать необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения; не передавать персональные данные третьим лицам без письменного согласия Оператора; по запросу Оператора в течение ____ рабочих дней предоставлять документы и сведения об обработке; по достижении цели обработки или отзыве поручения уничтожить персональные данные и направить Оператору подтверждение.

2.2. Оператор обязуется: предоставить Обработчику персональные данные с соблюдением требований 152-ФЗ, включая наличие правовых оснований и уведомление субъектов персональных данных о передаче; давать Обработчику указания по обработке; принимать и оплачивать услуги в порядке, предусмотренном настоящим договором.

3. Ответственность. 3.1. Лицо, осуществляющее обработку персональных данных по поручению Оператора, отвечает перед Оператором за нарушение требований 152-ФЗ. 3.2. Оператор отвечает перед субъектом персональных данных за действия Обработчика.

4. Срок действия и прочие условия. 4.1. Договор вступает в силу с даты подписания и действует до «___» __________ 20__ г. 4.2. Во всём, что не предусмотрено договором, стороны руководствуются законодательством Российской Федерации.

Оператор

Генеральный директор ООО «Ромашка»

____________ / П. П. Петров /

Обработчик

Директор ООО «Облако»

____________ / И. И. Сидоров /

Что такое договор поручения на обработку персональных данных

Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта, если иное не предусмотрено федеральным законом. Поручение оформляют договором, в том числе государственным или муниципальным контрактом, либо актом органа власти (ч. 3 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»).

В поручении оператора должны быть определены перечень персональных данных, перечень действий (операций) с ними, цели обработки, обязанность обработчика соблюдать конфиденциальность и требования к защите данных. Без этих пунктов документ не выполняет функцию поручения.

Договор об обработке персональных данных — то же самое поручение, только название короче. В законе такого отдельного вида договора нет: юристы и сервисы называют документ по-разному, а требования к содержанию одинаковые.

Что обязательно указать в договоре

Стороны: оператор (заказчик) и обработчик (исполнитель) с реквизитами и подписантами.
Перечень персональных данных: какие именно данные передаются — ФИО, телефон, адрес, паспортные данные, данные о здоровье.
Перечень действий с данными: сбор, запись, хранение, уточнение, использование, передача, блокирование, удаление, уничтожение.
Цели обработки: для чего обработчик получает данные — рассылка, доставка, бухгалтерское обслуживание, техподдержка.
Обязанности соблюдать конфиденциальность, обеспечивать безопасность данных, по запросу предоставлять оператору подтверждающие документы и сведения и уведомлять его об инцидентах по ч. 3.1 ст. 21 152-ФЗ; требования ч. 5 ст. 18, ст. 18.1 и 19 152-ФЗ.
Запрет передавать данные третьим лицам без письменного согласия оператора.
Порядок уничтожения данных по достижении цели и подтверждение уничтожения.
Ответственность сторон и срок действия.

Как оформить поручение

Проверьте основание. Убедитесь, что у вас есть правовое основание обрабатывать данные и что субъекты уведомлены о передаче обработчику. Если основание — согласие, проверьте, допускает ли оно передачу.
Опишите данные и действия. Составьте приложение с перечнем данных и операций. Формулировки «любые данные, необходимые для исполнения договора» не годятся: перечень должен быть закрытым.
Назовите цель. Цель обработки должна совпадать с той, ради которой данные собирали у субъекта. Иначе обработчик обрабатывает их незаконно.
Закрепите защиту и уничтожение. Пропишите меры защиты, запрет передачи третьим лицам, срок хранения и порядок уничтожения с подтверждением.
Подпишите и храните. Подпишите договор и приложение, храните вместе с документами об обработке. При проверке Роскомнадзора договор подтверждает законность передачи.

Чем отличается от согласия субъекта и от договора с субъектом

Согласие субъекта — документ, которым человек разрешает оператору обрабатывать свои данные. Договор поручения — документ между оператором и обработчиком: субъект в нём не участвует. Одно другого не заменяет: поручение законно, только если у оператора есть основание обрабатывать данные и субъект уведомлён о передаче.

Договор с субъектом (например, договор оказания услуг) тоже не заменяет поручение: в нём человек выступает стороной, а не предметом обработки. Если компания передаёт данные подрядчику, нужен отдельный договор поручения с этим подрядчиком.

Частые вопросы

Нужно ли согласие субъекта на передачу данных обработчику?

По ч. 3 ст. 6 152-ФЗ оператор вправе поручить обработку с согласия субъекта, если федеральный закон не предусматривает иное. Если обработка идёт на другом основании — например, для исполнения договора с субъектом или по закону — отдельное согласие на поручение не требуется, но субъекта нужно уведомить о передаче.

Можно ли назвать документ «договор об обработке персональных данных»?

Да. Закон не устанавливает обязательного названия: важно содержание — перечень данных, действий, цели, конфиденциальность и меры защиты. Название «договор об обработке персональных данных» встречается так же часто, как «договор поручения».

Обязательно ли приложение с перечнем данных?

Перечень данных и действий должен быть определён в поручении. Удобно вынести его в приложение, которое подписывают вместе с договором: при изменении состава данных меняют только приложение.

Что будет, если в договоре нет цели обработки?

Поручение не будет соответствовать требованиям ч. 3 ст. 6 152-ФЗ. При проверке Роскомнадзор может расценить передачу как обработку без законного основания, а оператор и обработчик — получить предписание об устранении нарушения.

Нужно ли указывать срок хранения данных в договоре?

Срок напрямую в законе для поручения не назван, но обработчик обязан уничтожить данные по достижении цели или при отзыве поручения. Поэтому в договоре указывают срок действия, порядок уничтожения и обязанность подтвердить его оператору.

Кто отвечает перед субъектом, если обработчик нарушил правила?

Обычно перед субъектом отвечает оператор, а обработчик — перед оператором. Если обработку поручили иностранному физическому или юридическому лицу, перед субъектом отвечают и оператор, и обработчик. Это следует из ч. 3 ст. 6: обработчик обязан соблюдать принципы и правила обработки и конфиденциальность.

Когда данные ходят между сервисами и подрядчиками

Чтобы передача данных не превращалась в ручную работу

Каждый новый сервис — рассылки, CRM, поддержка — получает копию базы, и договоры поручения приходится обновлять вручную. Ошибка в перечне данных или забытое приложение оборачиваются претензией.

Я собираю ИИ-агентов, которые готовят такие документы по шаблону, сверяют перечень данных с тем, что реально уходит в сервис, и приносят на подпись готовый комплект.

Читать об услуге «ИИ-агенты под задачу компании»