Иконка поиска
Логотип Все адвокаты
Иконка поиска
Вопрос
Корпоративное и предпринимательское право

Ответственность за передачу персональных данных контрагентам при оказании услуг

Приветствую! Я работаю как индивидуальный предприниматель и занимаюсь бухгалтерскими услугами для разных фирм и ИП по договорам подряда. В процессе работы мне передают сведения о сотрудниках, например, их ФИО, данные паспортов, информацию о доходах и стаже, чтобы я мог подготовить отчеты для налоговой и пенсионного фонда. Возникли непонятки с персональными данными: 1. Надо ли мне регистрироваться как оператору персональных данных, если я всего лишь обрабатываю их по указанию заказчиков? 2. Если я не в реестре, а мои клиенты передали мне данные своих работников, кто ответит, если что-то пойдет не так, скажем, при утечке информации? Они или я?

Вопрос №12751Ответы: 115.10.2025

Нейроадвокат

Рекомендуемые действия

  1. 1
    Заключите с каждым заказчиком договор подряда с положениями о конфиденциальности и поручении на обработку персональных данных.descriptionДоговор подряда с бухгалтером
  2. 2
    Включите в договор перечень данных, цели обработки и обязанность обеспечивать их безопасность.descriptionДоговор возмездного оказания бухгалтерских услуг
  3. 3
    Разработайте и утвердите внутренние процедуры и документацию о мерах защиты данных.
  4. 4
    Обеспечьте организационные и технические меры защиты данных от неправомерного доступа и утечек.
  5. 5
    Проконсультируйтесь с адвокатом для разработки типовых договорных положений с учетом вашей специфики.
  6. 6
    Регулярно проводите оценку соответствия вашей деятельности требованиям законодательства о персональных данных.

Документы и доказательства

  • Договоры подряда с клиентами, содержащие положения о конфиденциальности и обработке персональных данных
  • Поручения операторов (клиентов) с перечнем данных, действий и целей обработки
  • Если клиенты предоставят такие согласия или они уже получены: Согласия сотрудников клиентов на обработку персональных данных
  • Документы, подтверждающие организационные и технические меры защиты данных
  • Внутренние процедуры и инструкции по обработке и защите персональных данных
  • Акты и журналы учета мер безопасности при работе с данными

  • Срочно: первые шаги

    • Немедленно проверьте действующие договоры подряда на наличие положений о конфиденциальности и поручении на обработку персональных данных.
    • Запросите у заказчиков письменные поручения на обработку данных с перечнем сведений, целей и действий.
    • Зафиксируйте факт передачи данных актом приема-передачи, чтобы подтвердить объем полученной информации.
    • Ограничьте доступ к данным сотрудников: пароли, шифрование, хранение на защищенных носителях.
    • При обнаружении утечки незамедлительно уведомите заказчика-оператора для принятия мер.
    • Не передавайте полученные данные третьим лицам без письменного согласия оператора.

  • Сроки и риски

    • Вы отвечаете перед клиентами по договору подряда, поэтому закрепите условия обработки данных.
    • Обеспечьте технические и организационные меры защиты данных, ведите документацию о них.
    • Регулярно оценивайте соответствие ваших процедур требованиям законодательства о персональных данных.

  • Чего не делать

    • Не регистрируйтесь как оператор персональных данных — вы лишь исполняете поручения клиентов.
    • Не обрабатывайте данные без письменного поручения от клиента с перечнем данных и целей.
    • Не пренебрегайте конфиденциальностью: не раскрывайте и не передавайте данные третьим лицам.
    • Не рассчитывайте, что ответственность лежит только на клиентах: при утечке возможны санкции для обеих сторон.
    • Не работайте без документального подтверждения мер безопасности — ведите записи о защите данных.

  • Когда нужен адвокат

    • Обратитесь к адвокату для разработки типовых договорных положений о конфиденциальности и обработке персональных данных.
    • Проконсультируйтесь с адвокатом при подготовке внутренних процедур обработки и защиты персональных данных.
    • Привлеките адвоката для оценки соответствия вашей деятельности требованиям законодательства о персональных данных.
    • Заручитесь юридической поддержкой при возникновении спора с заказчиком о распределении ответственности за утечку данных.
    • Обратитесь к адвокату, если в отношении вас или ваших заказчиков начата проверка или возбуждено дело об административном правонарушении.
    • Участие адвоката обязательно, если у другой стороны спора есть представитель, а цена ошибки — ваша деловая репутация и штрафы.

Столкнулись с похожей ситуацией?

Подробно опишите детали, и Нейроадвокат подберёт решение

Обработка персональных данных при оказании бухгалтерских услуг

Анализ вашей ситуации

Вы как индивидуальный предприниматель обрабатываете персональные данные сотрудников ваших клиентов для подготовки отчетности в государственные органы. Ключевой момент — обработка осуществляется по указанию заказчиков.

Правовой статус и обязанность регистрации

"Оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными" (Источник: Федеральный закон "О персональных данных", статья 3)

"Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора" (Источник: Федеральный закон "О персональных данных", статья 6)

"Лицо, осуществляющее обработку персональных данных по поручению оператора, не обязано получать согласие субъекта персональных данных на обработку его персональных данных" (Источник: Федеральный закон "О персональных данных", статья 6)

Вывод: Вы не являетесь оператором персональных данных, а действуете как лицо, обрабатывающее данные по поручению операторов (ваших клиентов). Соответственно, обязанность регистрироваться в качестве оператора у вас отсутствует.

Ответственность при нарушениях

"В случае, если оператор поручает обработку персональных данных другому лицу, ответственность перед субъектом персональных данных за действия указанного лица несет оператор. Лицо, осуществляющее обработку персональных данных по поручению оператора, несет ответственность перед оператором" (Источник: Федеральный закон "О персональных данных", статья 6)

"Лица, виновные в нарушении требований настоящего Федерального закона, несут предусмотренную законодательством Российской Федерации ответственность" (Источник: Федеральный закон "О персональных данных", статья 24)

Вывод: При утечке информации первоначальная ответственность перед субъектами персональных данных лежит на ваших клиентах (операторах). Однако вы несете ответственность перед вашими клиентами по договору подряда.

Требования к договорам

"В поручении оператора должны быть определены перечень персональных данных, перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, цели их обработки, должна быть установлена обязанность такого лица соблюдать конфиденциальность персональных данных, требования, предусмотренные частью 5 статьи 18 и статьей 18.1 настоящего Федерального закона, обязанность по запросу оператора персональных данных в течение срока действия поручения оператора, в том числе до обработки персональных данных, предоставлять документы и иную информацию, подтверждающие принятие мер и соблюдение в целях исполнения поручения оператора требований, установленных в соответствии с настоящей статьей, обязанность обеспечивать безопасность персональных данных при их обработке, а также должны быть указаны требования к защите обрабатываемых персональных данных в соответствии со статьей 19 настоящего Федерального закона" (Источник: Федеральный закон "О персональных данных", статья 6)

Меры по обеспечению безопасности

"Оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных" (Источник: Федеральный закон "О персональных данных", статья 19)

Выводы и рекомендации

  1. Регистрация как оператора не требуется — вы действуете как лицо, обрабатывающее данные по поручению операторов.

  2. Распределение ответственности:

    • Перед субъектами персональных данных отвечают ваши клиенты (операторы)
    • Вы несете ответственность перед клиентами по договору подряда
    • При утечке информации административная ответственность может наступить для обеих сторон

  3. Обязательные меры:

    • Включите в договоры подряда положения о конфиденциальности и обработке персональных данных
    • Обеспечьте организационные и технические меры защиты данных
    • Ведите документацию о мерах безопасности

  4. Рекомендации:

    • Проконсультируйтесь с адвокатом для разработки типовых договорных положений
    • Разработайте внутренние процедуры обработки и защиты персональных данных
    • Регулярно проводите оценку соответствия требованиям законодательства

Даже не будучи оператором, вы обязаны соблюдать требования к защите персональных данных, установленные законодательством.

Столкнулись с похожей ситуацией?

Подробно опишите детали,
и Нейроадвокат подберёт решение