Как в договоре поставки прописать ответственность поставщика за разглашение персональных данных физических лиц и ИП: формулировка пункта

Законное основание обязать поставщика не разглашать ПДн — включается в договор или поручение обработки

ПДн физлиц защищаются ФЗ-152 независимо от того, прописано ли это в договоре — обязанность установлена законом для любых лиц, получивших доступ к данным:

Операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом. (Статья в редакции Федерального закона от 25.07.2011 № 261-ФЗ)
— ст. 7 ФЗ-152 «О персональных данных»

Для вашего договора это означает: даже без отдельного пункта поставщик, получив доступ к ПДн (например, к ФИО, адресу, телефону получателей товара при исполнении поставки), уже юридически обязан не раскрывать их третьим лицам. Однако закон обязывает — а вот зафиксировать обязанность в самом договоре и подкрепить её санкцией за нарушение вы вправе и должны, поскольку проект договора, где нет такого пункта, не даёт вам прямого договорного механизма взыскания.

Сама структура включения — законодательно предусмотренное «поручение оператора»: если вы передаёте поставщику ПДн своих контрагентов/получателей, надо оформить это как поручение обработки (в договоре поставки отдельным пунктом), в котором прямо определяется перечень данных, цели, действия и обязанность соблюдать конфиденциальность:

В поручении оператора должны быть определены перечень персональных данных, перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, цели их обработки, должна быть установлена обязанность такого лица соблюдать конфиденциальность персональных данных, требования, предусмотренные частью 5 статьи 18 и статьей 18 1 настоящего Федерального закона, обязанность по запросу оператора персональных данных в течение срока действия поручения оператора, в том числе до обработки персональных данных, предоставлять документы и иную информацию, подтверждающие принятие мер и соблюдение в целях исполнения поручения оператора требований, установленных в соответствии с настоящей статьей, обязанность обеспечивать безопасность персональных данных при их обработке, а также должны быть указаны требования к защите обрабатываемых персональных данных в соответствии со статьей 19 настоящего Федерального закона, в том числе требование об уведомлении оператора о случаях, предусмотренных частью 3 1 статьи 21 настоящего Федерального закона. (В редакции Федерального закона от 14.07.2022 № 266-ФЗ) 4. Лицо, осуществляющее обработку персональных данных по поручению оператора, не обязано получать согласие субъекта персональных данных на обработку его персональных данных. 5.
— ч. 3 ст. 6 ФЗ-152 «О персональных данных»

Право установить договорную ответственность поставщика (свобода договора и неустойка)

Стороны свободны в определении условий договора (ст. 421 ГК), а неустойка — инструмент, не требующий доказывания убытков (ст. 330 ГК):

Статья 421. Свобода договора 1. Граждане и юридические лица свободны в заключении договора. Понуждение к заключению договора не допускается, за исключением случаев, когда обязанность заключить договор предусмотрена настоящим Кодексом, законом или добровольно принятым обязательством. 2. Стороны могут заключить договор, как предусмотренный, так и не предусмотренный законом или иными правовыми актами. К договору, не предусмотренному законом или иными правовыми актами, при отсутствии признаков, указанных в пункте 3 настоящей статьи, правила об отдельных видах договоров, предусмотренных законом или иными правовыми актами, не применяются, что не исключает возможности применения правил об аналогии закона (пункт 1 статьи 6) к отдельным отношениям сторон по договору. (В редакции Федерального закона от 08.03.2015 № 42-ФЗ) 3. Стороны могут заключить договор, в котором содержатся элементы различных договоров, предусмотренных законом или иными правовыми актами (смешанный договор). К отношениям сторон по смешанному договору применяются в соответствующих частях правила о договорах, элементы которых содержатся в смешанном договоре, если иное не вытекает из соглашения сторон или существа смешанного договора. 4. Условия договора определяются по усмотрению сторон, кроме случаев, когда содержание соответствующего условия предписано законом или иными правовыми актами (статья 422).
— ст. 421 ГК РФ

Статья 330. Понятие неустойки 1. Неустойкой (штрафом, пеней) признается определенная законом или договором денежная сумма, которую должник обязан уплатить кредитору в случае неисполнения или ненадлежащего исполнения обязательства, в частности в случае просрочки исполнения. По требованию об уплате неустойки кредитор не обязан доказывать причинение ему убытков. 2. Кредитор не вправе требовать уплаты неустойки, если должник не несет ответственности за неисполнение или ненадлежащее исполнение обязательства.
— ст. 330 ГК РФ

Для вашей ситуации третий пункт ст. 330 — ключевой практический плюс: неустойка за разглашение ПДн взыскивается с поставщика просто по факту нарушения, без доказывания вашего ущерба. Удобная формула: «За разглашение и/или предоставление третьим лицам ПДн, доверенных на обработку Поставщику, Поставщик уплачивает Заказчику штраф в размере ___ руб. за каждый случай выявленного нарушения, а также возмещает убытки в части, превышающей штраф». Размер неустойки вы определяете по своему усмотрению (например, 100 000–500 000 руб. за нарушение) — суд по ст. 333 ГК сможет лишь уменьшить её при явной несоразмерности, но само соглашение о неустойке действует.

Гражданско-правовые денежные последствия за разглашение — убытки, неустойка и регресс от регуляторных штрафов

За разглашение ПДн поставщик отвечает перед вами (оператором) убытками и штрафами, которые вы уплатите регулятору:

Лицо, осуществляющее обработку персональных данных по поручению оператора, несет ответственность перед оператором. 6. В случае, если оператор поручает обработку персональных данных иностранному физическому лицу или иностранному юридическому лицу, ответственность перед субъектом персональных данных за действия указанных лиц несет оператор и лицо, осуществляющее обработку персональных данных по поручению оператора. (Дополнение частью - Федеральный закон от 14.07.2022 № 266-ФЗ) (Статья в редакции Федерального закона от 25.07.2011 № 261-ФЗ)
— ч. 5 ст. 6 ФЗ-152 «О персональных данных»

Статья 393. Обязанность должника возместить убытки 1. Должник обязан возместить кредитору убытки, причиненные неисполнением или ненадлежащим исполнением обязательства. Если иное не установлено законом, использование кредитором иных способов защиты нарушенных прав, предусмотренных законом или договором, не лишает его права требовать от должника возмещения убытков, причиненных неисполнением или ненадлежащим исполнением обязательства. (Дополнение абзацем - Федеральный закон от 08.03.2015 № 42-ФЗ) 2. Убытки определяются в соответствии с правилами, предусмотренными статьей 15 настоящего Кодекса. Возмещение убытков в полном размере означает, что в результате их возмещения кредитор должен быть поставлен в положение, в котором он находился бы, если бы обязательство было исполнено надлежащим образом. (Дополнение абзацем - Федеральный закон от 08.03.2015 № 42-ФЗ) 3. Если иное не предусмотрено законом, иными правовыми актами или договором, при определении убытков принимаются во внимание цены, существовавшие в том месте, где обязательство должно было быть исполнено, в день добровольного удовлетворения должником требования кредитора, а если требование добровольно удовлетворено не было, - в день предъявления иска. Исходя из обстоятельств, суд может удовлетворить требование о возмещении убытков, принимая во внимание цены, существующие в день вынесения решения. 4.
— ст. 393 ГК РФ

Сочетание ст. 393 и ст. 15 ГК даёт вам право требовать от поставщика полные убытки (реальный ущерб и упущенную выгоду), а ч. 5 ст. 6 ФЗ-152 прямо возлагает на лицо, обрабатывающее ПДн по поручению, ответственность перед оператором. Это законное основание для регресса: если Роскомнадзор оштрафует вас (оператора) как юридическое лицо по ст. 13.11 КоАП за утечку, допущенную вашим поставщиком, вы вправе переложить эти суммы на поставщика. Поэтому в пункт договора стоит включить обязательство поставщика возместить все штрафы, предъявленные оператору в связи с нарушениями, допущенными по вине поставщика.

Вывод: пункт об ответственности поставщика за разглашение ПДн законен и правомерен, он опирается на ст. 421, 330, 393, 15 ГК РФ в связке с ч. 3 и ч. 5 ст. 6 и ст. 24 ФЗ-152. Рекомендуемая структура: (1) определить поставщика как лицо, которому по договору поручена обработка ПДн; (2) перечислить данные и цель; (3) запрет использовать ПДн вне целей договора и передавать третьим лицам, обязанность обеспечить конфиденциальность, в т.ч. силами своих работников; (4) сохранение обязанности после окончания договора (указать срок действия — например, 5 лет после прекращения либо бессрочно для уже полученных данных); (5) ответственность — неустойка за каждый случай нарушении + возмещение убытков и предъявленных оператору штрафов.

Важная правовая развилка: распространяется ли режим ПДн на данные индивидуальных предпринимателей («ПДн физлиц и ИП»)

Ключевой нюанс, который надо учесть при формулировке: персональные данные по ФЗ-152 — это информация о физических лицах (гражданах), а не о лицах в их предпринимательском статусе:

персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных); 1 1 ) персональные данные, разрешенные субъектом персональных данных для распространения, - персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном настоящим Федеральным законом; (Дополнение пунктом - Федеральный закон от 30.12.2020 № 519-ФЗ) 2) оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными; 3) обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
— п. 1 ст. 3 ФЗ-152 «О персональных данных»

Как это влияет на ваш договор: данные, которые вы и поставщик получаете об индивидуальных предпринимателях как участниках оборота (ОГРНИП, ИНН, данные из ЕГРИП, сведения об их деятельности), формально не охватываются ФЗ-152 как ПДн, если они относятся к ИП именно как к бизнес-субъектам. Но:

• личные контактные данные ИП как человека (телефон, e-mail, паспортные данные) могут защищаться как ПДн — ИП является физлицом;
• поэтому при разглашении «ПДн ИП» у вас два защитных слоя: закон о ПДн (для личных данных) и — что надёжнее в вашем случае — коммерческая тайна / конфиденциальность, которую можно распространить на ЛЮБЫЕ сведения, включая сведения об ИП, по свободному соглашению сторон (ст. 421 ГК).

Публично-правовой фон этого различия: административная ответственность за утечку ПДн построена вокруг понятия «оператор» — юридического лица, обрабатывающего данные; причём примечание 1 к ст. 13.11 КоАП приравнивает ИП к юридическим лицам для самых тяжких составов утечек:

За административные правонарушения, предусмотренные частями 1 1 , 8 - 18 настоящей статьи, статьями 13.31, 13.35 - 13.37, 13.39, 13.40 и 13.46 настоящего Кодекса, индивидуальные предприниматели несут административную ответственность как юридические лица. 2. В частях 10 - 18 настоящей статьи под должностным лицом понимается должностное лицо государственного или муниципального органа либо некоммерческой организации. 3. В частях 10 - 18 настоящей статьи под юридическим лицом понимается оператор - юридическое лицо, не являющееся государственным или муниципальным органом либо некоммерческой организацией. 4. В целях настоящей статьи под идентификатором понимается уникальное обозначение сведений о физическом лице, содержащееся в информационной системе персональных данных оператора и относящееся к такому лицу. 5.
— примечание 1 к ст. 13.11 КоАП РФ, п. 1

Для вас это означает практическую формулу надёжного пункта: формулируйте обязанность не через узкое «не разглашать персональные данные» (которое по закону не покрывает данные ИП как предпринимателей), а через более широкое «не раскрывать третьим лицам и не использовать вне целей договора любые сведения о контрагентах, получателях товара, физических лицах и индивидуальных предпринимателях, ставшие известными при исполнении договора, включая персональные данные по ФЗ-152». Тогда режим защищённости ПДн (по закону) и данных об ИП (по договору) объединяется в одну норму с единой санкцией.

Вывод: включайте в договор два уровня: (а) обязательство по ФЗ-152 в отношении ПДн физических лиц; (б) договорная конфиденциальность любых сведений, включая сведения об индивидуальных предпринимателях, с единой неустойкой за нарушение. Только «пункт про коммерческую тайну» без прямого упоминания ПДн не защитит от регуляторных рисков и не даст вам договорного механизма регресса — его надо дополнить отдельным блоком об обработке ПДн и ответственности.

Почему одного пункта о коммерческой тайне недостаточно — и как правильно связать оба режима

Режим коммерческой тайны и режим защиты ПДн — это два разных правовых института с разными условиями возникновения. Коммерческая тайна требует от обладателя введения специального режима (гриф, перечень, учёт), а само её понятие привязано к «коммерческой ценности в силу неизвестности третьим лицам»:

информация, составляющая коммерческую тайну, - сведения любого характера (производственные, технические, экономические, организационные и другие), в том числе о результатах интеллектуальной деятельности в научно-технической сфере, а также сведения о способах осуществления профессиональной деятельности, которые имеют действительную или потенциальную коммерческую ценность в силу неизвестности их третьим лицам, к которым у третьих лиц нет свободного доступа на законном основании и в отношении которых обладателем таких сведений введен режим коммерческой тайны; (В редакции Федерального закона от 12.03.2014 № 35-ФЗ) 3) (Пункт утратил силу - Федеральный закон от 18.12.2006 № 231-ФЗ) 4) обладатель информации, составляющей коммерческую тайну, - лицо, которое владеет информацией, составляющей коммерческую тайну, на законном основании, ограничило доступ к этой информации и установило в отношении ее режим коммерческой тайны; 5) доступ к информации, составляющей коммерческую тайну, - ознакомление определенных лиц с информацией, составляющей коммерческую тайну, с согласия ее обладателя или на ином законном основании при условии сохранения конфиденциальности этой информации;
— ст. 3 ФЗ-98 «О коммерческой тайне»

Из этой нормы ключевой юридический момент для вашей ситуации: персональные данные физлиц в большинстве случаев не подпадают под определение коммерческой тайны — они не приобретают «коммерческую ценность в силу неизвестности третьим лицам», а защищаются по самостоятельному основанию (ст. 7 ФЗ-152). Поэтому пункт «про коммерческую тайну», который прислал поставщик, юридически не включает ПДн и не обязывает поставщика к конфиденциальности ПДн в гражданско-правовом (договорном) смысле, хотя закон о ПДн и действует сам по себе. Отсюда вывод: нельзя полагаться только на пункт о коммерческой тайне — нужен отдельный пункт об обработке и неразглашении ПДн.

Практический вывод по конструкции: в договоре целесообразно объединить в одном разделе «Конфиденциальность и персональные данные» две самостоятельные обязанности — (1) режим коммерческой тайны (по ст. 3 ФЗ-98) для сведений, которым вы сами придали статус коммерческой ценности; и (2) режим неразглашения ПДн физических лиц и сведений об ИП (по ст. 7 и ч. 3 ст. 6 ФЗ-152 + ст. 421 ГК). К обеим обязанностям применяется одна неустойка. Такой раздел закрывает сразу оба защитных контура и даёт вам полноценный договорной механизм взыскания за разглашение любой категории сведений.