Как оформить договор с иностранным фрилансером, чтобы защитить персональные данные клиентов из заявок сайта

Кто оператор и можно ли вообще поручать обработку заявок зарубежному фрилансеру

Заказчик-самозанятый сам собирает через форму на сайте имя, телефон, e-mail и текст обращения, определяет цели и состав данных — значит, он является оператором персональных данных (ПДн), а фрилансер — лицом, обрабатывающим данные по его поручению.

1. оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
   — п. 2 ст. 3 ФЗ-152

Таким образом, именно заказчик, а не фрилансер, отвечает перед субъектами и перед Роскомнадзором за судьбу данных из заявок; фрилансер — привлечённое обработчиком лицо, и через него оператор отвечает как за свои действия.

Поручение обработки возможно, но только при наличии законного основания обработки. Заявки обычно собираются либо с согласия субъекта, либо в связи с заключением договора.

1. обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных; 2) обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей; 3) обработка персональных данных осуществляется в связи с участием лица в конституционном, гражданском, административном, уголовном судопроизводстве, судопроизводстве в арбитражных судах; (В редакции Федерального закона от 29.07.2017 № 223-ФЗ) 3 1 ) обработка персональных данных необходима для исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве (далее - исполнение судебного акта); (Дополнение пунктом - Федеральный закон от 29.07.2017 № 223-ФЗ) 4) обработка персональных данных необходима для исполнения полномочий федеральных органов исполнительной власти, органов государственных внебюджетных фондов, исполнительных органов государственной власти субъектов Российской Федерации, органов местного самоуправления и функций организаций, участвующих в предоставлении соответственно государственных и муниципальных услуг, предусмотренных Федеральным законом от 27 июля 2010 года № 210-ФЗ "Об организации предоставления государственных и муниципальных услуг", включая регистрацию субъекта персональных данных на едином портале государственных и муниципальных услуг и (или) региональных порталах государственных и муниципальных услуг; (В редакции Федерального закона от 05.04.2013 № 43-ФЗ ) 5) обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем. Заключаемый с субъектом персональных данных договор не может содержать положения, ограничивающие права и свободы субъекта персональных данных, устанавливающие случаи обработки персональных данных несовершеннолетних, если иное не предусмотрено законодательством Российской Федерации, а также положения, допускающие в качестве условия заключения договора бездействие субъекта персональных данных
   — п. 1, п. 5 ч. 1 ст. 6 ФЗ-152

Если сайт собирает заявки потенциальных клиентов, а не исполняет уже заключённый с ними договор, безопаснее опираться на согласие (п. 1 ч. 1 ст. 6), полученное у субъекта при отправке формы. Само согласие должно быть конкретным и подтверждаемым, а при поручении обработки — прямо называть обработчика.

Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным . Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. В случае получения согласия на обработку персональных данных от представителя субъекта персональных данных полномочия данного представителя на дачу согласия от имени субъекта персональных данных проверяются оператором. (В редакции Федерального закона от 14.07.2022 № 266-ФЗ) 2. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных. В случае отзыва субъектом персональных данных согласия на обработку персональных данных оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона. 3. Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных или доказательство наличия оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона, возлагается на оператора. 4.
— ч. 1 ст. 9 ФЗ-152

Обратите внимание: если обработка передаётся другому лицу, письменное согласие субъекта должно включать сведения о таком лице — это прямо предусмотрено для письменной формы.

1. наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу; 7) перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных; 8) срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом; 9) подпись субъекта персональных данных. 5. Порядок получения в форме электронного документа согласия субъекта персональных данных на обработку его персональных данных в целях предоставления государственных и муниципальных услуг, а также услуг, которые являются необходимыми и обязательными для предоставления государственных и муниципальных услуг, устанавливается Правительством Российской Федерации. 6. В случае недееспособности субъекта персональных данных согласие на обработку его персональных данных дает законный представитель субъекта персональных данных. 7. В случае смерти субъекта персональных данных согласие на обработку его персональных данных дают наследники субъекта персональных данных, если такое согласие не было дано субъектом персональных данных при его жизни. 8.
   — п. 6 ч. 4 ст. 9 ФЗ-152

Для письменного согласия закон требует указать Ф.И.О. и адрес лица, осуществляющего обработку по поручению оператора. Практический вывод для клиента: в тексте согласия на сайте (галочка/чек-бокс) и в политике обработки ПДн нужно назвать фрилансера как обработчика — с указанием, что часть обработки выполняется привлечённым лицом, в том числе за пределами РФ. Если субъект не информирован о передаче за границу, согласие не будет «информированным» и «предметным».

Отдельно закон налагает режим конфиденциальности на любое лицо, получившее доступ, — это распространяется на фрилансера независимо от того, подписан ли NDA.

Операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом. (Статья в редакции Федерального закона от 25.07.2011 № 261-ФЗ)
— ст. 7 ФЗ-152

Это означает: сведения из заявок нельзя разглашать или использовать в своих целях, и эта обязанность ложится и на фрилансера, и на привлечённых им третьих лиц. Поскольку в договоре упоминается право передавать доступы или привлекать других людей, именно этот риск и является ключевым: каждый такой привлечённый человек формально тоже обязан соблюдать конфиденциальность, но фактически оператор его не контролирует.

Вывод: заказчик — оператор, фрилансер — обработчик по поручению; поручение допустимо, но требует (1) законного основания (лучше — согласие субъектов), (2) оформленного поручения, (3) уведомления субъектов о привлечённом обработчике. Давать доступ к самим заявкам не запрещено, но принцип минимизации (см. блок 4) делает предпочтительным вариант, когда фрилансер видит инфраструктуру, а не содержимое заявок. Исключительные права на сайт оформляются договором авторского заказа — см. блок 6.

Обязательно ли оформлять поручение на обработку ПДн, NDA и договор — или достаточно одного соглашения

Поручение обработки не обязано быть отдельным документом, но его содержание должно быть зафиксировано. Оператор обязан обеспечить правовые, организационные и технические меры, включая режим доступа и контроль.

1. Оператор обязан принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами. Оператор самостоятельно определяет состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено настоящим Федеральным законом или другими федеральными законами. К таким мерам , в частности, относятся : (В редакции Федерального закона от 14.07.2022 № 266-ФЗ) 1) назначение оператором, являющимся юридическим лицом, ответственного за организацию обработки персональных данных; 2) издание оператором, являющимся юридическим лицом, документов, определяющих политику оператора в отношении обработки персональных данных, локальных актов по вопросам обработки персональных данных, определяющих для каждой цели обработки персональных данных категории и перечень обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, способы, сроки их обработки и хранения, порядок уничтожения персональных данных при достижении целей их обработки или при наступлении иных законных оснований, а также локальных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений.
   — ч. 1 и ч. 2 ст. 18.1 ФЗ-152

Для самозанятого-физлица (не юрлица) формальные пункты 1 и 2 (назначение ответственного, локальные акты) в части «оператором, являющимся юридическим лицом» прямо не требуются, но меры из пунктов 3–5 (меры безопасности, внутренний контроль, оценка вреда) обязательны в силу части 1. Практически это означает: у заказчика должны быть (а) политика обработки ПДн на сайте, (б) документ-поручение фрилансеру, (в) режим доступа, (г) документация о мерах.

Конфиденциальность доступа — это самостоятельная обязанность.

Операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом. (Статья в редакции Федерального закона от 25.07.2011 № 261-ФЗ)
— ст. 7 ФЗ-152

Поэтому NDA в виде отдельного соглашения не обязателен как отдельный документ, но условие о неразглашении должно существовать: его можно включить в договор либо оформить как поручение с разделом о конфиденциальности. Если данные используются и как коммерческая тайна заказчика, режим коммерческой тайны вводится отдельно; в этом вопросе безопаснее описать закрытый перечень данных, запрет передачи третьим лицам без письменного согласия оператора и обязанность уничтожить данные по прекращении договора.

Важный практический момент — эти документы нельзя подписывать «по памяти»: в поручении нужно прямо запретить привлекать субагентов без письменного согласия оператора, ограничить цели обработки (только техническая поддержка сайта и продвижение), указать место обработки и запрет вывоза данных, срок обработки и порядок уничтожения, а также ответственность за утечку.

Вывод: отдельное «соглашение о конфиденциальности» и отдельное «поручение на обработку» — не единственно верный путь; правомерно объединить всё в один документ (договор + приложение «Поручение на обработку ПДн и условия конфиденциальности»), но три элемента обязаны быть в письменной форме: (1) поручение с целями/составом/перечнем действий, (2) запрет передачи доступов третьим лицам без согласия, (3) обязанность уничтожить/вернуть данные по окончании договора. Без поручения фрилансер будет обрабатывать данные вне закона, и ответственность ляжет на оператора (блок 5).

Трансграничная передача: фрилансер — гражданин Кыргызстана за границей

Если фрилансер физически находится за пределами РФ, то предоставление ему доступа к ПДн из заявок — это трансграничная передача, и закон называет её прямо.

1. трансграничная передача персональных данных - передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу. (Статья в редакции Федерального закона от 25.07.2011 № 261-ФЗ)
   — п. 11 ст. 3 ФЗ-152

Кыргызстан относится к участникам Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных (через вхождение в соответствующие международные договорённости и включение в перечень адекватной защиты), однако сама по себе «адекватная защита» не отменяет уведомительную процедуру для оператора.

1. Оператор до начала осуществления деятельности по трансграничной передаче персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять трансграничную передачу персональных данных. Указанное уведомление направляется отдельно от уведомления о намерении осуществлять обработку персональных данных, предусмотренного статьей 22 настоящего Федерального закона.
   — ч. 3 ст. 12 ФЗ-152

Уведомление о намерении осуществлять трансграничную передачу направляется в Роскомнадзор ОТДЕЛЬНО от общего уведомления об обработке ПДн. Если фрилансер привлекает третьих лиц в третьих странах или данные уходят не только в Кыргызстан, оператор обязан указать все страны.

Перед подачей уведомления оператор обязан получить от иностранного лица сведения о мерах защиты и об условиях прекращения обработки.

1. Оператор до подачи уведомления, предусмотренного частью 3 настоящей статьи, обязан получить от органов власти иностранного государства, иностранных физических лиц, иностранных юридических лиц, которым планируется трансграничная передача персональных данных, следующие сведения: 1) сведения о принимаемых органами власти иностранного государства, иностранными физическими лицами, иностранными юридическими лицами, которым планируется трансграничная передача персональных данных, мерах по защите передаваемых персональных данных и об условиях прекращения их обработки; 2) информация о правовом регулировании в области персональных данных иностранного государства, под юрисдикцией которого находятся органы власти иностранного государства, иностранные физические лица, иностранные юридические лица, которым планируется трансграничная передача персональных данных (в случае, если предполагается осуществление трансграничной передачи персональных данных органам власти иностранного государства, иностранным физическим лицам, иностранным юридическим лицам, находящимся под юрисдикцией иностранного государства, не являющегося стороной Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных и не включенного в перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных);
   — ч. 5 ст. 12 ФЗ-152

Это значит: у заказчика в договоре/поручении должны быть получены от фрилансера письменные заверения о мерах защиты, об условиях прекращения обработки и о юрисдикции; эти сведения — основание для уведомления Роскомнадзора. Также важно, что базы данных ПДн граждан РФ по общему правилу должны размещаться на территории России.

1. При сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети "Интернет", запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся за пределами территории Российской Федерации, не допускаются, за исключением случаев, указанных в пунктах 2, 3, 4, 8 части 1 статьи 6 настоящего Федерального закона.
   — ч. 5 ст. 18 ФЗ-152

Локализация не запрещает сам доступ иностранного специалиста, но запрещает запись и хранение данных россиян в зарубежных базах вне исключений п. 2, 3, 4, 8 ч. 1 ст. 6. Поэтому правильная схема — данные заявок хранятся в российской CRM на российском хостинге, а фрилансеру даётся удалённый доступ к российской системе либо доступ по VPN без выгрузки данных на зарубежные носители и в зарубежные сервисы. Если фрилансер работает через свой зарубежный сервис-хостинг или выгружает заявки к себе — это уже риск нарушения локализации (ч. 8 ст. 13.11 КоАП, блок 5).

В уведомлении об обработке отдельно отражаются сведения о трансграничной передаче и о месте нахождения базы.

1. сведения о наличии или об отсутствии трансграничной передачи персональных данных в процессе их обработки; (Дополнение пунктом - Федеральный закон от 25.07.2011 № 261-ФЗ) 10 1 ) сведения о месте нахождения базы данных информации, содержащей персональные данные граждан Российской Федерации;
   — п. 10 ч. 3 ст. 22 ФЗ-152

Вывод: доступ фрилансера-иностранца к заявкам = трансграничная передача. До начала такой передачи заказчик обязан (1) получить от фрилансера сведения о мерах защиты и условиях прекращения обработки, (2) направить в Роскомнадзор отдельное уведомление о намерении осуществлять трансграничную передачу, (3) обеспечить, чтобы база/хранение оставались в РФ, а выгрузка данных за рубеж исключалась. Если данные остаются только в российской системе, а фрилансер подключается к ней удалённо без скачивания — риск существенно ниже, но уведомление всё равно требуется, поскольку сам доступ с территории иностранного государства закон трактует как передачу.

Меры защиты и минимизация: стоит ли вообще давать доступ к самим заявкам

Оператор обязан принять правовые, организационные и технические меры против неправомерного доступа и копирования данных.

1. Оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.
   — ч. 1 ст. 19 ФЗ-152

Закон не запрещает дать фрилансеру доступ к админке и CRM, но обязывает ограничить его ровно тем объёмом, который нужен для работы. Это основание для технической минимизации, а не формальность: требование ч. 1 ст. 19 включает защиту от копирования и предоставления данных.

Пункт 8 ч. 2 ст. 19 прямо называет установление правил доступа и регистрацию (учёт) всех действий с данными.

1. Оператор обязан принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами. Оператор самостоятельно определяет состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено настоящим Федеральным законом или другими федеральными законами. К таким мерам , в частности, относятся : (В редакции Федерального закона от 14.07.2022 № 266-ФЗ) 1) назначение оператором, являющимся юридическим лицом, ответственного за организацию обработки персональных данных; 2) издание оператором, являющимся юридическим лицом, документов, определяющих политику оператора в отношении обработки персональных данных, локальных актов по вопросам обработки персональных данных, определяющих для каждой цели обработки персональных данных категории и перечень обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, способы, сроки их обработки и хранения, порядок уничтожения персональных данных при достижении целей их обработки или при наступлении иных законных оснований, а также локальных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений.
   — ч. 1 и ч. 2 ст. 18.1 ФЗ-152

Отсюда конкретный набор мер, который закрывает вопрос клиента «не лучше ли вообще не давать доступ к заявкам»: правильнее не «не давать доступ», а разграничить роли. Фрилансеру, который делает сайт и продвижение, достаточно доступа к движку сайта, форме, шаблонам, коду, но не к содержимому заявок. Если фирме нужна обработка заявок, доступ к персональным данным можно дать через отдельную учётную запись с ограниченным просмотром (маскирование телефона/почты, доступ только к дате обращения) и с логированием каждого входа. Для разработки и вёрстки CRM данные заявок не требуются — можно передать фрилансеру тестовые записи, а не реальные ПДн. Такой подход прямо опирается на обязанность ограничивать состав и доступ к первсональным данным и является лучшей защитой для заказчика.

Вывод: доступ к самим заявкам давать не обязательно и обычно не рекомендуется. Оптимально — раздельные учётные записи, минимизация (маскирование полей), полное логирование действий и запрет выгрузки; доступ к «боевым» ПДн — только если без него нельзя выполнить конкретную задачу и только на время. Меры из ст. 18.1 и 19 ФЗ-152 обязательны, их отсутствие создаёт самостоятельный состав нарушения (блок 5), даже если утечки не произошло.

Что делать, если фрилансер уже работает и доступ у него уже есть

Если доступ уже предоставлен без поручения, без уведомления о трансграничной передаче и без информирования субъектов — это устранимое нарушение, но действовать нужно быстро.

Первое: если был инцидент — неправомерная или случайная передача/распространение/доступ к данным, оператор обязан уведомить Роскомнадзор в жёсткие сроки.

3 1 . В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, оператор обязан с момента выявления такого инцидента оператором, уполномоченным органом по защите прав субъектов персональных данных или иным заинтересованным лицом уведомить уполномоченный орган по защите прав субъектов персональных данных: 1) в течение двадцати четырех часов о произошедшем инциденте, о предполагаемых причинах, повлекших нарушение прав субъектов персональных данных, и предполагаемом вреде, нанесенном правам субъектов персональных данных, о принятых мерах по устранению последствий соответствующего инцидента, а также предоставить сведения о лице, уполномоченном оператором на взаимодействие с уполномоченным органом по защите прав субъектов персональных данных, по вопросам, связанным с выявленным инцидентом; 2) в течение семидесяти двух часов о результатах внутреннего расследования выявленного инцидента, а также предоставить сведения о лицах, действия которых стали причиной выявленного инцидента (при наличии). (Дополнение частью - Федеральный закон от 14.07.2022 № 266-ФЗ) 4.
— ч. 3.1 ст. 21 ФЗ-152

Второе: при выявлении неправомерной обработки, в том числе лицом, действующим по поручению, оператор обязан обеспечить её прекращение.

1. Оператор обязан принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами. Оператор самостоятельно определяет состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено настоящим Федеральным законом или другими федеральными законами. К таким мерам , в частности, относятся : (В редакции Федерального закона от 14.07.2022 № 266-ФЗ) 1) назначение оператором, являющимся юридическим лицом, ответственного за организацию обработки персональных данных; 2) издание оператором, являющимся юридическим лицом, документов, определяющих политику оператора в отношении обработки персональных данных, локальных актов по вопросам обработки персональных данных, определяющих для каждой цели обработки персональных данных категории и перечень обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, способы, сроки их обработки и хранения, порядок уничтожения персональных данных при достижении целей их обработки или при наступлении иных законных оснований, а также локальных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений.
   — ч. 1 и ч. 2 ст. 18.1 ФЗ-152

Здесь применима и общая обязанность по ст. 21: если обработка ведётся фрилансером неправомерно, оператор в срок не более трёх рабочих дней с даты выявления обязан прекратить такую обработку или обеспечить её прекращение, а если это невозможно — уничтожить данные в десятидневный срок. Поэтому «ничего не делать» нельзя: продолжающаяся обработка без законного основания — длящееся нарушение.

Ответственность оператора за нарушение:

1. Невыполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по опубликованию или обеспечению иным образом неограниченного доступа к документу, определяющему политику оператора в отношении обработки персональных данных, или сведениям о реализуемых требованиях к защите персональных данных - влечет наложение административного штрафа
   — ч. 3 ст. 13.11 КоАП РФ

Также отдельный состав — невыполнение обязанности по уведомлению об инциденте (ч. 10 ст. 13.11 КоАП) и обработка без согласия (ч. 1, 2 ст. 13.11 КоАП). Дополнительно с 30.11.2024 введена уголовная ответственность за незаконные использование/передачу компьютерной информации с ПДн, особенно если это сопряжено с трансграничной передачей.

1. Незаконные использование и (или) передача (распространение, предоставление, доступ), сбор и (или) хранение компьютерной информации, содержащей персональные данные, полученной путем неправомерного доступа к средствам ее обработки, хранения или иного вмешательства в их функционирование либо иным незаконным путем, за исключением деяний, совершенных в отношении компьютерной информации, содержащей персональные данные, предусмотренные частью второй настоящей статьи, - наказываются штрафом в размере до трехсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до одного года, либо принудительными работами на срок до четырех лет, либо лишением свободы на тот же срок.
   — ст. 272.1 УК РФ, п. 1

1. Деяния, предусмотренные частью первой , второй или третьей настоящей статьи, сопряженные с трансграничной передачей компьютерной информации, содержащей персональные данные, и (или) трансграничным перемещением носителей информации, содержащих персональные данные, - наказываются лишением свободы на срок до восьми лет со штрафом в размере до двух миллионов рублей или в размере заработной платы или иного дохода осужденного за период до трех лет и с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до четырех лет или без такового.
   — ч. 4 ст. 272.1 УК РФ

Это важно для фрилансера и для оператора, который передал ему данные: незаконная передача/предоставление доступа к компьютерной информации с ПДн и трансграничное перемещение носителей с такими данными образуют состав. Для заказчика же риски — административные штрафы, обязанность уведомить Роскомнадзор об инциденте и гражданские иски субъектов.

Гражданско-правовое последствие: если из-за утечки субъектам или заказчику причинён ущерб, убытки возмещаются в полном объёме.

1. Лицо, право которого нарушено, может требовать полного возмещения причиненных ему убытков, если законом или договором не предусмотрено возмещение убытков в меньшем размере. 2. Под убытками понимаются расходы, которые лицо, чье право нарушено, произвело или должно будет произвести для восстановления нарушенного права, утрата или повреждение его имущества ( реальный ущерб ), а также неполученные доходы, которые это лицо получило бы при обычных условиях гражданского оборота, если бы его право не было нарушено (упущенная выгода) . Если лицо, нарушившее право, получило вследствие этого доходы, лицо, право которого нарушено, вправе требовать возмещения наряду с другими убытками упущенной выгоды в размере не меньшем, чем такие доходы
   — ст. 15 ГК РФ, п. 1

Вывод: при уже существующем доступе нужно в короткий срок: (1) заключить с фрилансером поручение + NDA/раздел о конфиденциальности с запретом субагентов; (2) направить в Роскомнадзор уведомление о трансграничной передаче и, если данные передавались за рубеж, оценить необходимость уведомления об инциденте (24 и 72 часа); (3) ограничить/отозвать доступы, сменить пароли, включить логирование; (4) при выявлении неправомерной обработки — прекратить её (не более 3 рабочих дней) или уничтожить данные (не более 10 рабочих дней); (5) при отказе фрилансера сотрудничать — расторгнуть договор, отозвать доступы и уведомить Роскомнадзор, а убытки взыскивать по ст. 15 ГК. Ответственность за нарушения лежит прежде всего на самом заказчике-операторе.

Исключительные права на сайт: как оформить договор с фрилансером

Сайт (код, дизайн, база данных, тексты) — объект авторских прав, поэтому в договоре с фрилансером надо отдельно решить вопрос исключительного права, иначе права останутся у исполнителя.

Если заказывается создание произведения, применяются правила договора авторского заказа.

1. По договору авторского заказа одна сторона (автор) обязуется по заказу другой стороны (заказчика) создать обусловленное договором произведение науки, литературы или искусства на материальном носителе или в иной форме. Материальный носитель произведения передается заказчику в собственность, если соглашением сторон не предусмотрена его передача заказчику во временное пользование. Договор авторского заказа является возмездным, если соглашением сторон не предусмотрено иное.
   — п. 1 ст. 1288 ГК РФ

1. Договором авторского заказа может быть предусмотрено отчуждение заказчику исключительного права на произведение, которое должно быть создано автором, или предоставление заказчику права использования этого произведения в установленных договором пределах. 3. В случае, когда договор авторского заказа предусматривает отчуждение заказчику исключительного права на произведение, которое должно быть создано автором, к такому договору соответственно применяются правила настоящего Кодекса о договоре об отчуждении исключительного права, если из существа договора не вытекает иное. 4. Если договор авторского заказа заключен с условием о предоставлении заказчику права использования произведения в установленных договором пределах, к такому договору соответственно применяются положения, предусмотренные статьями 1286 и 1287 настоящего Кодекса
   — п. 2 ст. 1288 ГК РФ

Если же договор оформлен как подряд/услуги по созданию программы для ЭВМ или базы данных, исключительное право по умолчанию принадлежит заказчику.

1. Исключительное право на программу для ЭВМ, базу данных или иное произведение, созданные по договору, предметом которого было создание такого произведения (по заказу), принадлежит заказчику, если договором между подрядчиком (исполнителем) и заказчиком не предусмотрено иное.
   — п. 1 ст. 1296 ГК РФ

Практический вывод для ситуации клиента: договор с фрилансером нужно строить либо как договор авторского заказа с прямым условием об отчуждении исключительного права на создаваемые элементы сайта заказчику, либо как договор на создание программы для ЭВМ/БД, где по п. 1 ст. 1296 право и так принадлежит заказчику. Формулировку «передаёт все права на результаты работ» недостаточно: нужно перечислить объекты (код, дизайн, тексты, база данных), момент перехода права, право на переработку и запрет использовать элементы сайта для других проектов. Внешне это не связано с защитой заявок, но важно: при отсутствии нормы о правах оператор рискует, что фрилансер после расставания будет иметь права на сайт и на его базу данных с ПДн.

Вывод: право на сайт нужно прямо закрепить в договоре: договор авторского заказа с отчуждением права либо договор на создание программы для ЭВМ/БД. Это отдельное от ПДн условие, и его отсутствие делает всю конструкцию с доступом к заявкам юридически незащищённой.

Дополнительно: правила доступа и учёт действий — нормативная основа для технической минимизации

Пункт 8 ч. 2 ст. 19 ФЗ-152 прямо закрепляет обязанность оператора устанавливать правила доступа и вести регистрацию всех действий с данными — это юридический фундамент для схемы «фрилансеру — доступ к инфраструктуре, а не к содержимому заявок».

1. установлением правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных;
   — п. 8 ч. 2 ст. 19 ФЗ-152

Этот пункт вместе с ч. 1 ст. 19 (c9) означает, что заказчик-оператор не просто «вправе», а обязан технически разграничить доступ и фиксировать (логировать) каждое действие с персональными данными в ИСПДн. Для ситуации клиента это подтверждает вывод блока 4: если фрилансеру для разработки и продвижения сайта не нужны реальные ФИО/телефоны/почты заявителей, доступ к «боевым» данным ему предоставлять не следует — это отвечает принципу минимизации и снижает риск неправомерного предоставления данных третьим лицам, к которым он по договору может привлекать доступы.