Передача персональных данных третьим лицам

Юрист компании знает про передачу персональных данных третьим лицам ровно две вещи: нужно согласие и нужен договор. Оба документа обычно есть. Проблема в том, что данные уходят наружу не через папку с договорами, а через код: скрипт аналитики на странице заявки, коннектор CRM с облачным сервисом, вебхук в мессенджер, промпт, который улетает в чужую языковую модель. Ни одна из этих передач не проходит через юриста и почти никогда не попадает в реестр. Разбираем, что закон считает передачей, где она случается в реальной инфраструктуре и как найти ее у себя за один вечер.

Передача третьему лицу и поручение обработки: граница, которую стирают

В законе это две разные конструкции, и от того, какая у вас, зависит, кто отвечает перед человеком.

Часть 3 статьи 6 закона 152-ФЗ (части 3, 5 и 6 в редакции от 14.07.2022) описывает поручение: оператор поручает обработку другому лицу по договору или акту, с согласия субъекта. Цели остаются вашими, исполнитель работает по вашему заданию и своих целей в этих данных не имеет. Часть 5 закрепляет ответственность: перед субъектом отвечает оператор, исполнитель отвечает перед оператором.

Передача самостоятельному оператору устроена иначе. Получатель берет данные под свои цели, дальше распоряжается ими сам и сам держит ответ перед человеком. Разница видна по одному признаку: может ли получатель написать этим людям от своего имени или подмешать их в собственную базу. Может, значит это передача, и нужно основание из части 1 статьи 6. Не может, трогает данные только ради вашей задачи, значит поручение. Что писать в самом документе поручения, мы разобрали в материале про обработку персональных данных по поручению оператора.

Часть 6 добавляет отдельный случай: если обработка поручена иностранному лицу, перед субъектом отвечают оба, и оператор, и обработчик. Зарубежная облачная CRM или сервис рассылок с юрлицом за границей попадают сюда автоматически.

Когда согласие нужно, а когда нет

Часть 1 статьи 6 перечисляет одиннадцать оснований обработки. Согласие субъекта стоит первым, но оно не единственное, и это важно: компании часто собирают согласие там, где хватило бы договора, и не собирают там, где оно обязательно.

Отдельно про формулировку. Согласие, где получатель описан словами «третьим лицам», получателя не называет. Проверяющий читает это как отсутствие получателя, и основание рассыпается. Пишите юрлицо и цель: кому именно, зачем, на какой срок.

Где передача происходит без всякого документа

Здесь начинается разрыв между документами и системами. Юридический комплект описывает передачи, о которых знает юрист. Инженерная реальность богаче: часть каналов появилась при разработке, часть подключил маркетолог, часть достался вместе с коробочным решением.

Последняя строка самая частая и самая тихая. Копия для отладки живет на ноутбуке, не входит ни в один реестр, не удаляется по расписанию и переживает окончание договора. Что происходит с такими копиями внутри самой компании, мы разобрали отдельно в материале про места, где персональные данные лежат помимо основной базы.

Как посчитать, что уходит из вашего контура наружу

Замер делается за один заход. По рабочему каталогу инструментов, где лежат скрипты развертывания и разовых операций, идет поиск вхождений имен полей заявки: идентификатор записи, телефон, почта. Найденное сверяется со списком файлов под контролем версий, и разница между двумя списками показывает, сколько точек доступа к контактам никем не учтено.

Файлы вне контроля версий никто не ревьюил, они не попадали в историю изменений и их никто не удалял. Каждый из них может отправить данные наружу, и никакой договор этого не остановил бы, потому что договор про такие скрипты ничего не знает.

Повторить у себя можно за вечер, инструментов покупать не нужно. Возьмите имена полей, в которых лежат контакты, и пройдите поиском по каталогам разработки, деплоя и по конфигурации CI. Отдельно проверьте список исходящих HTTP-адресов в коде: любой домен, который вы не узнаете, это кандидат в получатели данных. Разница между числом найденных мест и числом мест, которые вы можете назвать по памяти, и есть размер слепой зоны.

Почему автоматический поиск данных находит не все

Следующий шаг после инвентаризации каналов это понять, какие данные по ним ходят. Здесь компании обычно надеются на автоматику, и здесь стоит заранее знать ее предел.

Движок обнаружения персональных данных замеряется на боевой выборке с ручной разметкой: сколько сущностей найдено, сколько пропущено, сколько отмечено зря. Сводная цифра при этом самая бесполезная из трех, и вот почему.

Закономерность видна сразу. Данные с жестким форматом, где есть маска и контрольные цифры, находятся почти всегда. Данные без формата находятся хуже: 287 пропусков из 344 приходятся на ФИО, адреса и названия организаций. Полноту автоматического обнаружения мы не гарантируем и пишем это в договор. Автоматика годится как вспомогательный слой, а решение о том, что считать персональными данными в конкретном тексте, принимает человек.

Практический вывод для реестра получателей: канал, по которому ходит свободный текст (обращение клиента, комментарий к заявке, переписка), опаснее канала со структурированной карточкой. В структурированном поле вы знаете, что там лежит. В свободном тексте лежит все, что человек решил написать, включая паспорт в приложении.

Запрет и отзыв согласия: что должно произойти в системах

Субъект вправе отозвать согласие, и запрос «прекратите передавать мои данные» приходит все чаще. С точки зрения закона все просто: отозвал, значит основание отпало и передачу нужно прекратить. С точки зрения инженерии начинается работа.

1. Найти все копии

   Отзыв касается основной базы и заодно всех получателей, которым данные уже ушли. Без реестра получателей этот шаг невыполним.

2. Разослать требование получателям

   Каждому названному в согласии получателю уходит требование прекратить обработку. Срок ответа и формат должны быть в договоре с ним, иначе спрашивать будет нечем.

3. Погасить автоматические каналы

   Коннекторы, вебхуки и выгрузки по расписанию продолжают работать, пока их не выключат явно. Флажок в карточке клиента их не останавливает.

4. Зафиксировать факт

   Дата обращения, дата прекращения, список уведомленных получателей. Это единственное доказательство того, что требование исполнено.

Шаг три чаще всего и проваливается. Клиент отозвал согласие, менеджер поставил галку в CRM, а ночная выгрузка в рекламный кабинет отработала как обычно, потому что она читает таблицу напрямую и про галку не знает.

Что стоит на кону

Цена вопроса выросла дважды за последние два года, и оба раза в сторону тех, кто отдает данные наружу.

По части 1 статьи 13.11 КоАП обработка без правовых оснований стоит до 30 000 ₽ должностному лицу и от 150 000 до 300 000 ₽ юридическому. Федеральный закон от 30.11.2024 № 420-ФЗ, действующий с 30 мая 2025 года, переписал ответственность за утечку: суммы считаются по числу пострадавших субъектов и доходят до 15 млн ₽ за первый случай, а за повторный применяется оборотный штраф от 1 % до 3 % годовой выручки, но не менее 25 млн и не более 500 млн ₽. Разбор сумм по составам мы собрали в материале про штрафы за утечку персональных данных.

Вторая часть касается уже конкретных людей. Федеральный закон от 30.11.2024 № 421-ФЗ ввел в Уголовный кодекс статью 272.1 про незаконные использование и передачу компьютерной информации, содержащей персональные данные.

Одна оговорка, которую стоит держать в голове. Статья 272.1 применяется к компьютерной информации: передача в устной или бумажной форме под нее не подпадает, там работает КоАП. Для компании, у которой данные ходят по интеграциям, это означает, что именно ее случай статьей покрыт полностью.

Сколько стоит закрыть вопрос

Рынок делится на две части, и между ними остается дыра. Цены ниже сняты с живых страниц вендоров 1 сентября 2026 года.

Юридические бюро продают документы и в код не заходят. Системы контроля продаются за рабочее место и следят за человеком, а обмен между системами идет без человека. Автоматическая передача из CRM в аналитику, рассылку и внешний ассистент не покрыта ни документом, ни агентом на ноутбуке. Закрывается она разбором интеграций: что куда ходит, с каким составом полей и на каком основании. Как выглядит такой разбор целиком, описано в чек-листе аудита персональных данных.

Частые вопросы