Передача персональных данных третьим лицам: что нужно знать бизнесу

Передача персональных данных третьим лицам давно стала обычной частью бизнес-процессов. Компании используют CRM, облачные сервисы, сервисы рассылок, коллтрекинг, телефонию, платежные системы, службы доставки, подрядчиков по ИТ, бухгалтерский аутсорсинг, HR-платформы и внешнюю техническую поддержку.
Во всех этих случаях персональные данные клиентов, сотрудников, пользователей сайта или контрагентов могут попадать за пределы компании. И здесь возникает главный вопрос: можно ли так делать?

Короткий ответ: можно, но только при наличии законного основания, корректных документов, понятного распределения ролей и мер защиты.
Проблема в том, что многие компании относятся к передаче ПДн как к технической детали: «подключили сервис», «дали подрядчику доступ», «выгрузили базу», «отправили файл в облако». Но с точки зрения закона и информационной безопасности это полноценная обработка персональных данных, за которую оператор продолжает нести ответственность.

Особенно важно учитывать, что требования к ПДн в России стали строже. С 30 мая 2025 года действуют новые штрафы за утечки персональных данных, включая многомиллионные штрафы и оборотные санкции при повторных нарушениях. По ст. 13.11 КоАП РФ повторная утечка может повлечь штраф для юридического лица от 1% до 3% годовой выручки, но не менее 20 млн и не более 500 млн рублей.

Поэтому передача персональных данных третьим лицам — это уже не формальность «для юристов». Это зона риска для бизнеса, репутации и устойчивости процессов.

Содержание:

Что считается передачей персональных данных третьим лицам
С чего начать работу с персональными данными
Когда можно передавать персональные данные третьим лицам
Оператор и обработчик: почему важно различать роли
Что должно быть в договоре с третьим лицом
Типичные ошибки при передаче ПДн третьим лицам
Трансграничная передача персональных данных
Как защитить персональные данные при передаче третьим лицам
Что делать при инциденте у подрядчика
Ответственность и санкции
Чек-лист: как безопасно передавать ПДн третьим лицам
Чем можем быть полезны мы
Заключение

Команда редакторов "Гладиаторы ИБ"

Дата публикации: 19.01.2026
Время прочтения 8 минут

Что считается передачей персональных данных третьим лицам

Передача персональных данных третьим лицам — это ситуация, когда данные становятся доступны другой организации, индивидуальному предпринимателю, сервису, подрядчику или физическому лицу вне вашей компании.

На практике это может выглядеть по-разному:

клиентские данные передаются в службу доставки;
платежные данные уходят платежному провайдеру;
база заявок загружается в CRM;
email-адреса передаются в сервис рассылок;
подрядчик получает доступ к сайту, базе данных или админ-панели;
бухгалтерский аутсорсер обрабатывает данные сотрудников;
ИТ-компания администрирует серверы с ПДн;
данные пользователей сайта передаются в аналитические и рекламные сервисы;
облачный провайдер хранит резервные копии или документы;
техподдержка получает доступ к системе с клиентскими карточками.

Важно: передача — это не только отправка файла по почте. Доступ подрядчика к системе, где находятся персональные данные, тоже может считаться обработкой ПДн.

Например, если ИТ-подрядчик подключается к серверу, на котором хранится база клиентов, он фактически получает возможность обрабатывать персональные данные. Даже если он «только обслуживает инфраструктуру» и не работает с клиентской базой напрямую.

С чего начать работу с персональными данными

Перед тем как передавать данные третьим лицам, нужно понять, какие персональные данные компания вообще обрабатывает и зачем.

Без этого невозможно корректно оформить документы, выбрать правовое основание, определить подрядчиков и понять, какие меры защиты нужны.

1. Определить категории данных

Нужно зафиксировать, какие данные обрабатываются:

ФИО;
телефон;
email;
адрес доставки;
паспортные данные;
данные сотрудников;
данные клиентов;
данные пользователей сайта;
платежная информация;
сведения о заказах;
история обращений;
IP-адреса, cookie и иные онлайн-идентификаторы;
специальные категории данных, если они есть;
биометрические данные, если они используются.

Чем чувствительнее данные, тем выше требования к их защите и тем серьезнее последствия при утечке.

2. Определить цели обработки

Цель должна быть конкретной и понятной.

Нормальные формулировки:

оформление и доставка заказа;
заключение и исполнение договора;
обработка обращений пользователей;
ведение кадрового учета;
начисление заработной платы;
предоставление доступа к личному кабинету;
направление информационных сообщений при наличии законного основания.

Плохие формулировки:

«для любых целей»;
«для улучшения сервиса» без конкретизации;
«для передачи партнерам» без объяснения;
«для иных целей по усмотрению оператора».

Чем шире и неопределеннее цель, тем выше риск претензий.

3. Собрать только необходимые данные

Один из базовых принципов — минимизация. Компания не должна собирать данные «на всякий случай».

Простой пример: для подписки на рассылку обычно достаточно email. Если в такой форме запрашиваются паспортные данные, дата рождения и адрес регистрации, это выглядит избыточно.

Минимизация важна не только для соблюдения закона. Чем меньше лишних данных хранит компания, тем ниже ущерб при возможной утечке.

Когда можно передавать персональные данные третьим лицам

Передача ПДн допустима только при наличии законного основания. На практике чаще всего встречаются три варианта.

1. Согласие субъекта персональных данных

Согласие часто используется, когда данные передаются подрядчикам, маркетинговым платформам, внешним сервисам, партнерам или иным получателям, которые не очевидны для субъекта данных.

Но согласие должно быть не формальным, а конкретным.

В нем нужно указать:

кто является оператором;
какие данные передаются;
кому именно или какой категории лиц они передаются;
с какой целью;
какие действия будут выполняться с данными;
срок обработки;
порядок отзыва согласия;
информацию о трансграничной передаче, если она есть.

Формулировка «согласен на передачу данных третьим лицам в любых целях» — плохой вариант. Такое согласие может быть признано недостаточно конкретным.

2. Исполнение договора

Если передача данных необходима для исполнения договора с субъектом, отдельное согласие может не требоваться.

Примеры:

передача адреса и телефона в службу доставки;
передача данных платежному сервису для оплаты;
передача данных в сервис электронного документооборота;
передача сведений подрядчику, который обеспечивает исполнение услуги.

Но важно: передача должна быть действительно связана с договором. Нельзя под видом исполнения договора передавать данные партнерам для рекламы или аналитики, если это не связано с основной услугой.

3. Требование закона

Иногда передача данных прямо предусмотрена законом.

Например:

передача сведений в налоговые органы;
передача данных в рамках трудового законодательства;
предоставление информации по законному запросу государственных органов;
выполнение требований отраслевого регулирования.

В таком случае компания должна понимать, на какую норму закона она опирается.

Оператор и обработчик: почему важно различать роли

Одна из самых частых ошибок — не понимать, кем является третье лицо: самостоятельным оператором или обработчиком по поручению.

Оператор

Оператор определяет цели и способы обработки персональных данных.
Проще говоря, оператор решает:

зачем собираются данные;
какие данные нужны;
как долго они хранятся;
кому они передаются;
какие действия с ними выполняются.

Например, интернет-магазин, который собирает данные клиентов для оформления заказов, обычно является оператором.

Обработчик

Обработчик действует по поручению оператора и не должен использовать данные в своих целях.

Например:

сервис рассылок отправляет письма по базе оператора;
ИТ-подрядчик обслуживает систему с ПДн;
облачный провайдер хранит данные;
колл-центр обрабатывает обращения клиентов по поручению компании.

Обработчик не должен решать, что делать с данными самостоятельно. Его действия должны быть ограничены договором и поручением оператора.

Самостоятельный оператор

Иногда третье лицо не является обработчиком, а выступает самостоятельным оператором.

Например, платежный сервис может самостоятельно определять часть целей обработки транзакционных данных, поскольку работает в собственной регулируемой модели.

Почему это важно? Потому что от роли зависит договорная конструкция, набор обязанностей, информирование субъекта и распределение ответственности.

Что должно быть в договоре с третьим лицом

Передавать персональные данные подрядчику без договора или без условий об обработке ПДн — рискованно.

В договоре или отдельном поручении на обработку ПДн нужно закрепить:

цель обработки;
перечень передаваемых данных;
категории субъектов;
какие действия можно выполнять с данными;
срок обработки;
требования к защите данных;
запрет использовать данные в собственных целях;
порядок привлечения субподрядчиков;
порядок уведомления об инцидентах;
обязанность содействовать расследованию;
порядок возврата или уничтожения данных после завершения договора;
ответственность сторон;
право оператора проверять выполнение требований.

Особое внимание стоит уделить окончанию отношений с подрядчиком. Если договор закончился, а база клиентов осталась у внешнего сервиса или подрядчика «на всякий случай», это серьезный риск.

Хорошая практика — прямо прописывать:

когда данные должны быть удалены;
как подтверждается удаление;
кто отвечает за резервные копии;
можно ли хранить архивы;
в какой срок подрядчик обязан вернуть носители или выгрузки.

Типичные ошибки при передаче ПДн третьим лицам

На практике проблемы часто возникают не из-за злого умысла, а из-за хаоса в процессах.

Ошибка 1. Данные передаются «по умолчанию»

Компания подключает CRM, сервис рассылок, телефонию или облако, но не проверяет, какие данные туда уходят, где они хранятся и кто имеет к ним доступ.

Ошибка 2. Нет договора или поручения на обработку

Подрядчик получает доступ к ПДн, но в договоре нет требований к защите, сроков хранения, запрета на использование данных в своих целях и порядка действий при инциденте.

Ошибка 3. Согласие слишком общее

Формулировки вроде «передача третьим лицам для любых целей» не дают субъекту понятного представления, кому и зачем передаются его данные.

Ошибка 4. Не учитывается трансграничная передача

Компания использует зарубежный SaaS, облачный сервис, аналитику или рассылку, но не проверяет, уходит ли информация за пределы России и соблюдены ли требования к трансграничной передаче.

Ошибка 5. Подрядчику выдают слишком широкие права

Например, внешнему специалисту дают административный доступ ко всей CRM, хотя ему нужно посмотреть одну интеграцию. Или подрядчику оставляют доступ после завершения проекта.

Ошибка 6. Нет контроля после передачи

Передали данные — и забыли. Не проводится аудит подрядчика, не проверяются доступы, не контролируются субподрядчики, не обновляются договоры и политики.

Трансграничная передача персональных данных

Трансграничная передача — это передача персональных данных на территорию иностранного государства иностранному физическому лицу, иностранной организации или иностранному государственному органу.

Такая ситуация возникает чаще, чем кажется.

Примеры:

зарубежная CRM;
иностранный облачный сервис;
сервис email-рассылок с хранением данных за рубежом;
иностранная аналитическая платформа;
международная служба поддержки;
зарубежный подрядчик;
SaaS-сервис, который использует иностранные дата-центры;
передача данных в головную компанию за пределами РФ.

С 1 марта 2023 года оператор до начала трансграничной передачи обязан направить в Роскомнадзор уведомление о намерении осуществлять такую передачу. Это отдельное уведомление, не равное обычному уведомлению об обработке ПДн. Перед трансграничной передачей нужно:

определить страну получателя;
проверить правовой режим и уровень защиты прав субъектов;
определить категории передаваемых данных;
понять, кто получатель — оператор или обработчик;
проверить договор с иностранным контрагентом;
оценить технические и организационные меры защиты;
уведомить Роскомнадзор в предусмотренных случаях;
отразить трансграничную передачу в документах для субъектов.

Для ПДн граждан РФ важно также учитывать требование локализации: при сборе персональных данных граждан РФ оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение и извлечение данных с использованием баз данных, находящихся на территории РФ. Это требование продолжает оставаться одним из ключевых при использовании зарубежных сервисов.

Как защитить персональные данные при передаче третьим лицам

Защита ПДн — это не только юридические документы. Если договор оформлен идеально, но подрядчику выдали общий логин администратора без MFA, реальная защита слабая.

Нужен комплексный подход.

Технические меры

Базовый набор:

шифрование данных при передаче;
защищенные каналы связи;
MFA для административного и удаленного доступа;
разграничение прав по ролям;
уникальные учетные записи для сотрудников и подрядчиков;
запрет общих аккаунтов;
журналирование действий пользователей и администраторов;
контроль выгрузок и массового скачивания данных;
защита от вредоносного ПО;
регулярные обновления;
резервное копирование;
мониторинг подозрительной активности.

Особенно важно контролировать подрядчиков, у которых есть технический доступ. Часто именно такие доступы становятся слабым местом: их редко пересматривают, забывают отключать и не всегда логируют.

Организационные меры

Нужно выстроить понятные правила:

кто имеет право передавать данные подрядчикам;
кто согласует новые сервисы;
кто проверяет договоры;
кто оценивает риски ИБ;
кто ведет реестр подрядчиков;
как отзываются доступы;
как проводится аудит;
как фиксируются инциденты;
кто отвечает за взаимодействие с субъектами и регулятором.

Отдельно стоит обучать сотрудников. Они должны понимать, что нельзя просто так отправить базу клиентов в мессенджер, загрузить файл в личное облако или дать подрядчику доступ «на пару дней» без оформления.

Что делать при инциденте у подрядчика

Если у подрядчика произошла утечка или компрометация системы, это не значит, что оператор может сказать: «Это не у нас, мы не виноваты».

Если данные переданы по поручению оператора, инцидент у обработчика может создать риски и для оператора.

Поэтому в договоре нужно заранее закрепить:

срок уведомления об инциденте;
канал уведомления;
состав информации в уведомлении;
обязанность локализовать инцидент;
обязанность содействовать расследованию;
порядок предоставления логов и технических данных;
порядок уведомления субъектов и регулятора, если это требуется;
ответственность за нарушение сроков и сокрытие инцидента.

Практичный срок первичного уведомления — как можно быстрее после обнаружения, например в течение 24 часов. Даже если у подрядчика еще нет полной картины, оператору важно знать о риске сразу.

Ответственность и санкции

Нарушения при передаче персональных данных могут привести к нескольким видам последствий.

Административные штрафы

Основная статья — 13.11 КоАП РФ. Она предусматривает ответственность за разные нарушения: обработку без законного основания, нарушение требований к согласию, невыполнение обязанностей оператора, нарушения при трансграничной передаче, утечки и другие составы.

С 2025 года особенно выросли риски по утечкам. В зависимости от масштаба, категории данных и повторности нарушения штрафы для юридических лиц могут достигать миллионов рублей, а при повторной утечке — рассчитываться как доля выручки.

Гражданская ответственность

Субъекты персональных данных могут требовать компенсации ущерба или морального вреда, если из-за нарушения их права были затронуты.

Например, если утекли данные клиента, а затем их использовали мошенники, компания может столкнуться не только с проверкой регулятора, но и с претензиями от пострадавших.

Проверки и предписания

Роскомнадзор может запросить документы, проверить процессы обработки, выдать предписание об устранении нарушений, инициировать административное производство.

Поводом для проверки может стать:

жалоба субъекта;
публикация об утечке;
сообщение в СМИ;
данные мониторинга;
обращение другого органа;
инцидент у подрядчика.

Репутационные потери

Иногда репутационный ущерб оказывается серьезнее штрафа. Клиенты и партнеры не всегда разбираются, кто именно допустил ошибку — оператор, подрядчик или сервис. Для них важен факт: данные были переданы или утекли.

Поэтому защита ПДн — это еще и вопрос доверия.

Чек-лист: как безопасно передавать ПДн третьим лицам

Перед передачей данных стоит пройти простой чек-лист.

До передачи

определить цель передачи;
проверить законное основание;
понять роль третьего лица: оператор или обработчик;
проверить, какие именно данные передаются;
убрать лишние данные;
оформить согласие, если оно нужно;
заключить договор или поручение на обработку;
проверить трансграничную передачу;
оценить меры защиты подрядчика;
согласовать доступы с ИТ и ИБ.

Во время работы

выдавать минимально необходимые права;
использовать MFA;
вести журналирование;
контролировать выгрузки;
регулярно пересматривать доступы;
проверять субподрядчиков;
актуализировать договоры;
проводить аудит критичных подрядчиков.

После завершения договора

отключить доступы;
вернуть или удалить данные;
получить подтверждение удаления;
проверить резервные копии у подрядчика;
зафиксировать завершение обработки;
обновить реестр подрядчиков и доступов.

Чем можем быть полезны мы

На практике передача персональных данных третьим лицам находится на стыке юристов, ИТ и информационной безопасности. Юридические документы важны, но они не защитят данные сами по себе. А технические меры без корректного оформления не закроют регуляторные риски.
Мы помогаем выстроить эту систему комплексно:

провести аудит процессов обработки ПДн;
определить, какие данные и кому передаются;
проверить подрядчиков и внешние сервисы;
оценить риски трансграничной передачи;
настроить контроль доступа;
внедрить журналирование и мониторинг;
подобрать и внедрить средства защиты;
проверить готовность к инцидентам;
подготовить дорожную карту устранения нарушений;
выстроить взаимодействие между ИТ, ИБ и ответственными за ПДн.

Наша задача — сделать так, чтобы передача данных третьим лицам была не стихийным процессом, а управляемой частью системы защиты информации.

Заключение

Передача персональных данных третьим лицам — нормальная часть современного бизнеса. Без подрядчиков, облаков, сервисов доставки, платежных систем, CRM и внешней поддержки многим компаниям работать сложно или невозможно.

Но такая передача должна быть законной, прозрачной и защищенной.

Компании нужно понимать:

какие персональные данные она обрабатывает;
кому и зачем они передаются;
на каком основании;
кто является оператором, а кто обработчиком;
какие договоры заключены;
есть ли трансграничная передача;
какие меры защиты применяются;
что делать при инциденте.

Главный риск — не сама передача данных, а отсутствие контроля. Если подрядчики подключаются без проверки, согласия написаны общими словами, доступы не пересматриваются, а данные хранятся где попало, проблема рано или поздно проявится: через жалобу, утечку, проверку или конфликт с клиентом.

Грамотно выстроенная работа с ПДн снижает риск штрафов, защищает клиентов и помогает бизнесу спокойно использовать цифровые сервисы, не превращая каждую интеграцию в потенциальный инцидент.

Вам могут быть интересны наши услуги: