Поручение на обработку персональных данных: образец
Передали кадры на аутсорс, поставили облачную CRM, наняли оператора рассылки — данные обрабатывает другое лицо, и это поручение по части 3 статьи 6 152-ФЗ. Ответственность перед субъектом при этом остаётся на операторе, а обработчик отвечает перед оператором. Ниже — форма условий, собранная конструктором для вымышленной организации.
Это документ 12 «Поручение обработчику» —
один из девятнадцати в пакете. Показан целиком: скрытых частей
у образца нет.
Образец
Вымышленная организация ООО «Пример», кадровая
информационная система. Прочерками и подписями «__________» отмечено
то, что вписывается при подписании либо чего у сервиса нет: реквизиты
организации, фамилии должностных лиц, номера и даты.
Настоящим поручением ООО «Пример» поручает обработку персональных данных другому лицу. Поручение определяет перечень действий с персональными данными, цели обработки, обязанность соблюдать конфиденциальность и требования к защите персональных данных, а также ответственность обработчика перед оператором.
Условия поручения
Условие
Значение
Обработчик
__________ (наименование, адрес, ИНН)
Реквизиты договора
договор от 12.01.2026 № 7
Перечень персональных данных, передаваемых обработчику
__________ (состав данных по категориям субъектов)
Обязанность соблюдать конфиденциальность и обеспечивать безопасность персональных данных
устанавливается настоящим поручением (ч. 3 ст. 6)
Требования к защите по статье 19 152-ФЗ
__________ (меры, которые обработчик обязан обеспечить)
Обязанность уведомлять оператора об инцидентах (ч. 3.1 ст. 21 152-ФЗ)
устанавливается настоящим поручением
Обязанность по запросу оператора предоставлять документы, подтверждающие принятие мер
устанавливается настоящим поручением (ч. 3 ст. 6)
Работники обработчика, допущенные к системе
два специалиста расчётной группы подрядчика
Согласие субъекта на поручение
__________ (форма получения согласия либо иное основание)
Подписи сторон
__________ (должности и Ф.И.О. подписантов сторон — вписать в своём файле)
Оператор: __________
Обработчик: __________
дата подписания: __________
Что в документе обязано быть
Перечень передаваемых данных и поручаемых действий — часть 3 статьи 6 152-ФЗ
Закрытый список условий: обработчику позволено ровно то, что перечислено, и ничего сверх.
Цели обработки — часть 3 статьи 6 152-ФЗ
Обработчик не вправе определять цели сам — иначе он становится самостоятельным оператором со всеми обязанностями.
Обязанность соблюдать конфиденциальность и обеспечивать безопасность — часть 3 статьи 6 и статья 19 152-ФЗ
Требования к защите переносятся на обработчика договором: без этой строки меры защиты заканчиваются на границе организации.
Обязанность уведомлять оператора об инцидентах — часть 3.1 статьи 21 152-ФЗ
Сроки уведомления уполномоченного органа — 24 и 72 часа — идут от момента выявления, и оператор должен узнать об утечке у обработчика вовремя.
Основание передачи: согласие субъекта либо иное — часть 3 статьи 6 152-ФЗ
Обработка по поручению ведётся с согласия субъекта, если иное не предусмотрено федеральным законом; в форме согласия для этого есть отдельный пункт.
Чем плох шаблон из интернета
В шаблонном договоре обычно нет перечня действий и целей — и тогда поручение не ограничивает обработчика ничем.
Ответственность перед субъектом остаётся на операторе, как бы ни был написан договор: переложить её на подрядчика нельзя.
Про уведомление оператора об инцидентах в старых шаблонах не написано вовсе — часть 3.1 статьи 21 появилась позже.
Материал опирается на редакцию нормативной базы
от 11.09.2026 — что в неё вошло и по каким актам
считает конструктор, перечислено в
составе пакета.
Коротко
Поручение — это отдельный документ или часть договора?
Может быть и тем, и другим: закон требует не отдельного документа, а наличия условий в договоре либо ином акте. Удобнее приложением к основному договору — тогда его легко предъявить при проверке.
Нужно ли согласие субъекта на передачу обработчику?
Обработка по поручению ведётся с согласия субъекта, если иное не предусмотрено законом (часть 3 статьи 6 152-ФЗ). Поэтому в форме согласия предусмотрен пункт 6 части 4 статьи 9 — сведения о лице, обрабатывающем данные по поручению.
Отвечает ли обработчик перед субъектом?
Перед субъектом отвечает оператор. Обработчик отвечает перед оператором — по договору и в размере, который договором установлен.
Нужно ли указывать обработчика в уведомлении в Роскомнадзор?
Отдельная строка о лицах, обрабатывающих данные по договору, предусмотрена пунктом 10.2 части 3 статьи 22 для государственных и муниципальных систем. Остальным операторам сведения об обработчике в уведомлении не требуются.
Такой же документ по вашей организации
Образец выше собран по ответам вымышленной организации. Ответьте
на вопросы о своей — конструктор соберёт этот документ с вашими
целями, составом данных и сроками, а вместе с ним и расчётную часть:
уровень защищённости, класс СКЗИ, перечень мер и частную модель угроз
со сверкой 227 угроз банка данных ФСТЭК.
