Нужно ли оформлять отдельное согласие на передачу данных третьим лицам?

05/09/25

Ольга Новикова

Б-152

Сегодня многие организации выстроили систему согласий и учли требования 152-ФЗ в своих документах и интерфейсах. Однако, именно в вопросе передачи персональных данных третьим лицам по-прежнему возникает множество правовых пробелов. Нужно ли согласие на передачу персональных данных третьим лицам отдельно? Достаточно ли общей формулировки в договоре? Кого считать третьей стороной?

Чтобы не допустить ошибки, важно четко понимать — не вся передача данных одинакова. Перед тем, как дать доступ к персональным данным за пределами организации, необходимо задать себе три ключевых вопроса: кто является субъектом данных — сотрудник или внешний пользователь? Кто получает эти данные — оператор или обработчик? И есть ли в этом процессе конкретная цель, оправдывающая передачу?

В отличие от трудовых отношений, где передача персональных данных требует обязательного письменного согласия, в случае обработки данных клиентов, пользователей сайта, контрагентов или потенциальных лидов законодательство допускает более гибкий подход. Однако это не означает полную свободу действий.

Да, отдельное письменное согласие на передачу данных в таких случаях действительно не требуется, если оператор соблюдает три ключевых условия:

1. Согласие на передачу данных уже получено и оформлено корректно. Это означает, что пользователь или клиент:

2. В согласии или в другом доступном документе указано право оператора передавать данные третьим лицам. Это может быть:

3. Указана конкретная цель передачи данных третьим лицам и категория получателей. Нельзя ограничиться общей формулировкой вроде «для улучшения сервиса». Закон требует:

Передача данных третьим лицам допустима, если соблюдены следующие условия:

То есть есть лог цифрового действия, скрин формы, зафиксированный ответ или отметка в системе, подтверждающая, что пользователь согласился именно с теми условиями, которые опубликованы на момент сбора данных.

Недопустимо ссылаться на документы, которые не были представлены пользователю до того, как он ввел номер телефона, email или иные данные. Важно, чтобы ссылка на политику или согласие была размещена на форме, в интерфейсе приложения или в тексте договора.

Если согласие охватывает только обработку для предоставления услуги, без передачи третьим лицам, но оператор передает данные подрядчику для проведения маркетинговой кампании — это уже нарушение.

Даже если клиент сам оставил контакт в форме или резюме, это еще не означает согласие на передачу данных третьим лицам. Нарушение возникает, если:

В такой ситуации даже однократная передача данных (например, когда номер клиента отправляется подрядчику или контакт передается для рекламной рассылки через сторонний сервис) будет расцениваться как нарушение режима конфиденциальности, предусмотренного статьей 7 закона № 152-ФЗ.

Причем, это будет считаться неправомерной обработкой независимо от:

Работа с персональными данными работников регулируется не только законом № 152-ФЗ, но и положениями Трудового кодекса. А именно статьей 88 ТК РФ, которая устанавливает: передача персональных данных работника третьим лицам допускается на основании письменного согласия.

Здесь не имеет значения, просил ли сам сотрудник «напечатать ему визитки» или передача осуществляется в рамках внутренних процессов. Формулировка в трудовом договоре также не освобождает работодателя от необходимости оформить отдельный письменный документ.

Такое согласие должно соответствовать требованиям части 4 статьи 9 закона № 152-ФЗ. В документе необходимо указать фамилию, имя, отчество субъекта, его адрес и паспортные данные. Также нужно указать наименование и адрес оператора:  работодателя, сформулировать цель обработки, обозначить перечень передаваемых персональных данных, указать имя или категорию лица, которому передаются данные, а также действия, которые допускается совершать с этими данными. Кроме того, согласие должно содержать срок его действия и условия отзыва, а также подпись субъекта персональных данных.

Если данные передаются обработчику (например, аутсорсинговой бухгалтерии, IT-подрядчику или сервису для массовой рассылки), в согласии обязательно указываются наименование и адрес конкретного получателя.

Если же данные передаются иному оператору (например, банку или страховой компании), то допустимо использовать обобщенную формулировку, указав категорию получателей. Стоит учитывать каждое новое направление. Каждая передача информации третьим лицам требует отдельного согласия, связанного с конкретной целью.

Современные компании активно используют автоматические инструменты для сбора и обработки персональных данных: онлайн-формы на сайте, интеграции с CRM-системами, подключение сервисов рассылок, аналитики, чат-ботов, платежных шлюзов и колл-центров. Все это — элементы цифровой инфраструктуры, которые делают бизнес быстрее и эффективнее.

Однако в правовом поле автоматизация не дает поблажек. Любая операция с персональными данными, будь то сбор, передача, хранение или использование, остаётся обработкой в понимании закона № 152-ФЗ. И, следовательно, требует соблюдения всех юридических процедур, как если бы эти действия выполнялись вручную.

И не после того, как данные уже отправлены в call-центр или загружены в рассылочную платформу, а еще до момента ввода данных пользователем. Иначе оператор нарушает не только принцип законности, но и права субъекта.

1. Четкое указание в согласии на возможную передачу данных третьим лицам. Формулировки типа «для связи по заявке» или «для оказания услуги» недостаточны. Согласие должно включать:

На практике многие бизнес-процессы строятся по следующей логике:

Если при этом:

Сам доступ третьей стороны к данным, будь то подрядчик, SaaS-сервис или технический оператор, уже рассматривается как обработка третьим лицом. А значит, он должен быть законно оформлен:

3. Фиксация факта согласия. Это может быть:

Чтобы законно и безопасно передавать персональные данные третьим лицам (особенно в условиях автоматизации и вовлечения подрядчиков), недостаточно формального согласия или устной договоренности. Необходимо выстроить устойчивую систему обработки ПДн, в которой каждая передача будет юридически обоснована, зафиксирована и управляемая.

1. Перепроверьте шаблоны согласий. Первый и наиболее важный шаг — анализ действующих форм согласий. Нужно убедиться, что каждый шаблон:

– либо поименно (например, ООО «Альфа», И П Иванов И.И.), что актуально для обработчиков по поручению оператора;
– либо через однозначно идентифицируемую категорию («банковские организации», «страховые компании», «типография» и т. д.), что актуально для самостоятельных операторов
– предоставляется субъекту до начала обработки, с возможностью подтвердить волеизъявление.

Без этого даже качественно оформленная форма на сайте или в договоре не дает оператору законного основания для передачи данных.

— Есть ли согласие с упоминанием передачи?
— Заключен ли договор поручения?
— Описаны ли эти действия в политике или пользовательском соглашении?

Важно понимать, что сам факт технической интеграции не легализует обработку. Если, к примеру, сервис рассылок получает данные напрямую из CRM без договора и без указания в согласии, то это уже нарушение.

3. Обеспечьте формальное оформление передачи. Даже если согласие есть, этого недостаточно, если третье лицо является обработчиком. Такое согласие считается актуальным, но без передачи третьим лицам ПДн субъекта. Закон требует:

– целей и объема обработки;
– перечня допустимых действий с данными;
– обязательств по обеспечению конфиденциальности;
– мер по защите данных и условий уничтожения.

Если подрядчик не подписал такой договор, но получает доступ к ПДн, ответственность за это ложится на оператора, включая все риски: от предписания до штрафа за утечку.

Даже неумышленная передача без правового основания может привести к:

Сегодня регулятор уделяет особое внимание не только факту согласия, но и юридическому оформлению всех действий, связанных с передачей данных.

С 30 мая 2025 года вступили в силу поправки в ст. 13.11 КоАП РФ, внесённые Федеральным законом от 30.11.2024 № 420-ФЗ, которые кардинально изменили подход к ответственности за нарушения в сфере персональных данных. Штрафы теперь напрямую зависят от масштаба утечки: за компрометацию данных от 1 000 до 10 000 субъектов организации грозит штраф от 3 до 5 млн рублей, а при объёме свыше 100 000 субъектов — от 15 до 20 млн рублей.

Особого внимания заслуживают оборотные штрафы за повторные утечки: от 1% до 3% годовой выручки компании, но не менее 20 млн и не более 500 млн рублей. Для бизнеса это означает, что даже однократная передача данных подрядчику без надлежащего правового основания — без указания получателя в согласии, без договора поручения — может квалифицироваться как неправомерная обработка и повлечь многомиллионные санкции.

Помимо этого, с 30 мая 2025 года введены отдельные штрафы за неуведомление Роскомнадзора о намерении обрабатывать персональные данные (до 300 000 рублей для организаций) и за несообщение об утечке (до 3 млн рублей). На практике это означает, что выстроить архитектуру передачи данных в соответствии с законом — уже не рекомендация, а финансовая необходимость.

Если вы хотите выстроить надежную систему обработки и передачи персональных данных, понять, нужно ли согласие на передачу персональных данных третьим лицам, специалисты Б-152 помогут:

Своевременно выстроенная архитектура ПДн — это не только требование закона, но и защита вашей репутации и бизнеса.

Ввод оборотных штрафов за утечки откладывается минимум до 1 июля 2023 года

Подписывайтесь на наш Telegram-канал, чтобы быть в курсе последних новостей и событий!

Материалы по теме