Согласие на передачу персональных данных третьим лицам
Отдельный документ, которым человек разрешает передать свои данные названному получателю: банку, страховой компании, партнёру, заказчику услуги. Действует он ровно до границы вашей организации.
Зачем нужен документ
Данные редко остаются там, где их собрали. Бухгалтерию ведёт подрядчик, зарплату перечисляет банк, полисы оформляет страховая, доставку везёт транспортная компания. Каждый такой шаг — это выход данных за периметр организации, и закон смотрит на него не как на технический обмен файлами, а как на самостоятельное действие с персональными данными.
Ключевое различие, которое решает всё остальное: кем становится получатель. Если он делает что-то ЗА ВАС и по вашим правилам — это поручение обработки: подрядчик работает внутри вашего основания, собственного согласия от людей не собирает, а перед человеком за его действия отвечаете вы. Если же получатель начинает использовать данные ДЛЯ СЕБЯ — рассылать свои предложения, оценивать риски, вести свою базу, — он становится самостоятельным оператором, и ему нужно собственное основание.
Эта форма нужна для второго случая. Она фиксирует, что человек знал, кому именно уходят его данные, в каком объёме и зачем. Именно поэтому получатель называется в ней поимённо: «третьим лицам», «партнёрам компании», «уполномоченным организациям» — это не получатель, а его отсутствие.
Чем грозит отсутствие
Передача данных без основания — это обработка в случаях, не предусмотренных законодательством. Наказывается она не как порок бумаги, а как сама передача, и ответственность возникает у обеих сторон: у вас — за то, что отдали, у получателя — за то, что начал обрабатывать без основания.
Исключение — работники. Статья 88 Трудового кодекса прямо запрещает сообщать данные работника третьей стороне без его письменного согласия и отдельным пунктом запрещает сообщать их в коммерческих целях. В кадровом контуре письменная форма обязательна, а значит, включается уже ч. 2 ст. 13.11 — тот же состав, который разбирает карточка согласия субъекта на обработку ПДн.
Как ещё называют этот документ
Что должно быть в документе
Отдельного перечня для согласия на передачу закон не устанавливает — работает общий состав сведений письменного согласия из ч. 4 ст. 9 152-ФЗ, дополненный тем, что делает передачу передачей: названным получателем и объёмом.
Требования законодательства
Как связан с другими документами
Передача — это стык двух организаций, и документы по обе стороны стыка должны говорить одно и то же.
Когда обновлять документ
Форма живёт вместе со списком получателей. Меняется получатель — меняется предмет согласия, и старая подпись к новому адресату не относится.
Что спросит проверяющий
Передачу проверяют не по бумагам, а по следам: выгрузкам, интеграциям, договорам с подрядчиками. Бумаги смотрят потом — чтобы понять, было ли у следа основание.
Разбор эксперта
Почти все споры о передаче данных начинаются с одного и того же управленческого жеста: коммерческий директор договорился с партнёром о совместной акции и попросил «выгрузить базу». Внутри компании это выглядит обменом файлами между двумя приличными юридическими лицами. Юридически в этот момент возникает новый оператор, который начинает обрабатывать чужие данные для собственной цели без всякого основания. Нарушителей сразу двое, и разбираться будут с обоими.
Мы обычно предлагаем клиенту простой тест на роль получателя. Спросите, что он будет делать с данными, когда ваш договор закончится. Если ответ «удалю или верну по вашему указанию» — перед вами обработчик по поручению, и согласие людей на него отдельно не собирают: он работает внутри вашего основания, а отвечаете за него вы. Если ответ «оставлю у себя, это же мои клиенты тоже» — это передача самостоятельному оператору, и без названного в согласии получателя она неправомерна. Этот вопрос стоит задавать до подписания договора, а не после запроса Роскомнадзора.
И о фразе, которая встречается в каждой второй форме: «согласен на передачу моих данных третьим лицам». Она не работает. Согласие обязано быть информированным, а человек, подписавший такую строку, не знает ни кто получит его данные, ни зачем. При этом писать поимённо страшно только на первый взгляд: получателей у обычной компании три-пять, они меняются раз в несколько лет, и назвать их — работа на один вечер. Гораздо дороже обходится обратная ситуация, когда после отзыва согласия выясняется, что данные разошлись по контрагентам, о которых никто не помнит.
Начните с инвентаризации: выпишите всех, кому данные уходят наружу, включая облачные сервисы и разовые выгрузки. По каждому определите роль — обработчик по поручению или самостоятельный оператор. Для обработчиков закройте вопрос договором: перечень действий, цели, конфиденциальность, требования к защите. Для самостоятельных получателей сделайте форму согласия, где получатель назван поимённо, а перечень передаваемых данных короче перечня обрабатываемых. Отдельно разберите кадры: там письменная форма обязательна по статье 88 Трудового кодекса. И заведите порядок извещения получателей об отзыве согласия — без него отзыв останется вашей внутренней историей.
Александр КеллерманнГенеральный директор, ведущий аудитор ISO/IEC 27001, Комитет по информационной и правовой безопасностиПодробнее об экспертеЧастые вопросы
Если подрядчик обрабатывает данные по вашему поручению и в ваших целях, отдельное согласие от людей он не собирает — он действует внутри вашего основания. Согласие нужно, когда получатель начинает обрабатывать данные для себя.
Нет. Такое согласие не информированное: человек не знает, кто получит его данные. Получателей называют поимённо.
Ролью получателя. Обработчик по поручению работает по вашему договору и в ваших целях, ответственность перед человеком остаётся на вас. Самостоятельный оператор обрабатывает данные для своих целей и отвечает сам.
Да. Статья 88 Трудового кодекса запрещает сообщать данные работника третьей стороне без его письменного согласия, кроме случаев, прямо предусмотренных законом.
Прекратить обработку у себя и известить получателя. Порядок такого извещения лучше описать заранее и закрепить в договоре с получателем.
Данные покидают ваш периметр, поэтому вопрос тот же: в какой роли выступает сервис. Обычно это обработка по поручению, и тогда всё решается договором.
Нет. Когда передача прямо предусмотрена федеральным законом, основанием служит сам закон, а не согласие человека.
Строка «в том числе передача третьим лицам» проблему не решает: получатель и цель передачи должны быть определены, а с сентября 2025 года согласие оформляется отдельно от иных документов.