Пункт о персональных данных в договоре: рабочие формулировки

Пункт о персональных данных в договоре почти всегда выглядит одинаково: где-то ближе к концу документа, среди прочих условий, стоит строка «стороны дают согласие на обработку своих персональных данных в соответствии с законодательством Российской Федерации». Формулировку скопировали из старого шаблона, и ее ни разу не меняли под конкретный договор. При проверке или в споре такая фраза почти ничего не подтверждает: в ней нет цели обработки, нет перечня данных, нет срока хранения - только общие слова.

Разберем, чем пункт о персональных данных в договоре отличается от отдельного согласия на обработку, почему формулировка о персональных данных в договоре должна быть конкретной, и как прописать персональные данные в договоре под четыре типовые ситуации: договор с физлицом-заказчиком, договор с юрлицом, чьи сотрудники попадают в переписку по сделке, договор с подрядчиком, который сам обрабатывает данные, и договор с самозанятым.

Пункт о персональных данных в договоре и согласие на обработку - разные документы

У большинства споров вокруг этой темы одна причина: пункт в договоре путают с согласием на обработку персональных данных. Это разные инструменты с разной юридической функцией.

Закон от 27.07.2006 № 152-ФЗ «О персональных данных» называет несколько оснований для обработки, и получение согласия - лишь одно из них. Другое основание, которое чаще всего применяется в договорных отношениях: обработка необходима для заключения или исполнения договора, стороной которого является субъект персональных данных (пункт 5 части 1 статьи 6 закона). Если компания собирает у клиента имя, телефон и адрес доставки, чтобы выполнить заказ по этому же договору, отдельное согласие на такую обработку не требуется - основанием служит сам договор.

Оговорка о пдн в договоре в этом случае решает другую задачу: она фиксирует, какие именно данные обрабатываются, с какой целью и сколько хранятся, чтобы при проверке было видно, что обработка ограничена нуждами сделки, а не выходит за ее пределы. Это не согласие, а описание условий обработки, привязанных к конкретному договору.

Отдельное согласие нужно, когда цель выходит за рамки исполнения этого договора: например, компания хочет использовать телефон клиента еще и для рекламных звонков после сделки, или передать данные партнеру, который к договору отношения не имеет. С 1 сентября 2025 года по закону от 24.06.2025 № 156-ФЗ такое согласие должно оформляться отдельным документом, а не абзацем внутри другого текста. Формулировку «клиент также дает согласие на обработку в маркетинговых целях», вписанную одним из последних пунктов в договор оказания услуг, в 2026 году лучше не использовать: юридически это уже не отдельный документ, а часть другого. Рабочий бланк такого согласия и требования к его содержанию разбирали в статье про образец согласия на обработку персональных данных.

Кто в цепочке заказчик - исполнитель - его подрядчики считается оператором персональных данных, а кто просто получает доступ к ним для разовой задачи, разбирали отдельно, в материале про оператора персональных данных. Для формулировок ниже это разделение пригодится.

Почему формулировка «сторона согласна на любую обработку» не работает

Вариант «сторона согласна на любую обработку своих персональных данных» - самая частая находка в старых шаблонах и самая слабая формулировка с точки зрения закона.

Часть 2 статьи 5 закона № 152-ФЗ требует, чтобы обработка ограничивалась достижением конкретных, заранее определенных и законных целей. Формулировка без цели этому требованию не соответствует по определению: цель не названа, значит ограничить обработку нечем. То же с перечнем данных: «любая обработка» не говорит, о каких данных речь - только о фамилии и телефоне или еще и о паспортных данных, платежных реквизитах, истории заказов.

На практике это означает, что при проверке или в споре такой пункт инспектор или суд, скорее всего, не примет как подтверждение законного основания обработки. Формально получится, что компания обрабатывала данные без ясно зафиксированной цели, а это уже основание для предписания или штрафа. При системных нарушениях и утечке речь может пойти и об оборотном штрафе: с 30.05.2025 действуют повышенные штрафы по закону от 30.11.2024 № 420-ФЗ, а за отдельные тяжелые случаи предусмотрена статья 272.1 Уголовного кодекса.

Похожая история регулярно повторяется на практике: интернет-магазин ограничился в договоре с покупателем фразой «стороны согласны на обработку персональных данных» без конкретики. Пока данные использовались только для доставки заказов, вопросов не возникало. Когда отдел маркетинга подключил ту же базу к смс-рассылке про акции, выяснилось, что пункт эту цель не покрывает, а отдельного согласия на рассылку никто не собирал. Пришлось в срочном порядке дособирать согласия у действующих клиентов - дороже и дольше, чем сразу развести пункт о персональных данных в договоре и отдельное согласие на маркетинг.

Встречается и обратная крайность: пункт расписан слишком подробно, на полстраницы, с перечислением двадцати видов операций и десятка целей про запас. Само по себе это не нарушение, но избыточный текст создает похожие риски: если реальная обработка уже не соответствует заявленному перечню, у проверяющего появляется вопрос, зачем компания собирала данные, которые нигде не использует. Разумный ориентир - писать пункт под фактическую практику компании, а не переписывать в него весь список операций из закона.

Договор с физическим лицом - клиентом или заказчиком

Самая частая ситуация: договор оказания услуг, поставки или подряда, где стороной выступает физическое лицо - не самозанятый и не ИП, а обычный клиент. Компания получает его имя, телефон, адрес доставки или адрес электронной почты, чтобы исполнить заказ.

Здесь основание для обработки - сам договор, отдельное согласие не требуется, если данные не выходят за пределы того, что нужно для сделки. Формулировка может выглядеть так:

Исполнитель обрабатывает персональные данные Заказчика (фамилия, имя, отчество, контактный телефон, адрес электронной почты, почтовый адрес доставки) в целях заключения, исполнения и прекращения настоящего договора, включая направление документов, счетов и информации о ходе исполнения обязательств. Обработка ведется в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» на основании пункта 5 части 1 статьи 6 указанного закона, без получения отдельного согласия Заказчика. Персональные данные хранятся в течение срока действия договора и трех лет после его исполнения, если иной срок не установлен требованиями бухгалтерского и налогового учета.

В этой формулировке названа цель, перечислены данные, указан срок хранения и основание - четыре вещи, которых не хватает в общей фразе про любую обработку. Если компания планирует после сделки звонить клиенту с предложениями по другим товарам или добавлять его в рассылку, для этого нужно отдельное согласие - оно оформляется не здесь, а отдельным документом, о котором шла речь выше.

Отдельный случай - интернет-магазин, где договор заключается не подписью на бумаге, а кликом по кнопке оформить заказ, то есть акцептом публичной оферты. В этой схеме пункт о персональных данных встраивается в текст самой оферты, размещенной на сайте, а не в отдельный файл, который клиент никогда не увидит. Эту связку - оферта и обработка данных покупателя - разбирали подробно в статье про персональные данные в оферте интернет-магазина.

Договор с юрлицом, если в дело попадают данные его сотрудников

В B2B-договорах данные физлиц появляются не только напрямую. Часто в приложении к договору или в разделе уполномоченные представители указывают ФИО, должность, телефон и почту сотрудников контрагента - тех, кто будет вести переписку, подписывать акты, принимать звонки.

Эти люди не являются стороной договора, поэтому основание «обработка нужна для исполнения договора» к их данным напрямую не применяется - стороной договора выступает юридическое лицо, а не его сотрудник. Компания, получающая такие контакты, оказывается в положении, где законность их дальнейшей обработки зависит от действий контрагента: получил ли он согласие своего сотрудника на передачу его данных третьей стороне, или у него есть иное основание для этого.

Рабочий вариант - переложить эту обязанность на контрагента прямо в тексте договора:

Сторона 2 гарантирует, что до передачи Стороне 1 персональных данных своих работников и представителей (фамилия, имя, отчество, должность, номер телефона, адрес электронной почты), необходимых для исполнения настоящего договора, получила от них согласие на такую передачу либо располагает иным законным основанием для нее, и несет ответственность за соблюдение требований законодательства о персональных данных в этой части. Сторона 1 обрабатывает переданные данные исключительно в целях исполнения настоящего договора и не передает их третьим лицам, кроме случаев, прямо предусмотренных законодательством.

Такой пункт не снимает с получающей стороны всякую ответственность: если она использует контакты сотрудника контрагента не по назначению, отвечать будет она сама. Но он фиксирует зону ответственности за законность самой передачи именно за той стороной, которая эти данные собирала изначально. У работодателя-контрагента здесь появляется собственный набор обязанностей: собрать согласие сотрудника или иное основание до того, как передать его контакты партнеру. Что входит в этот минимум для работодателя, разбирали в статье про обязанности работодателя по персональным данным сотрудников.

На практике эту схему чаще пропускают там, где сотрудников контрагента не воспринимают как отдельных субъектов персональных данных - например, когда кадровик присылает партнеру список из пяти-шести имен и телефонов для организации совместного мероприятия. Получившая список компания не задумывается, откуда взялось согласие этих людей на передачу их данных, а рискует ничуть не меньше, чем при работе с базой клиентов: контакты сотрудников - тоже персональные данные, и правило про исполнение договора к ним напрямую, как сказано выше, не подходит без отдельной оговорки.

Договор с подрядчиком, который будет обрабатывать данные по вашему поручению

Другая ситуация: не подрядчик передает вам данные своих людей, а наоборот - вы, как оператор, поручаете подрядчику обработку данных ваших клиентов. Типичные примеры: колл-центр на аутсорсе, курьерская служба, бухгалтерская компания, интегратор CRM, сервис email-рассылок.

Для этого случая закон предусматривает отдельный порядок: оператор вправе поручить обработку персональных данных другому лицу на основании заключаемого с ним договора (часть 3 статьи 6 закона № 152-ФЗ). В договоре или в отдельном соглашении к нему должны быть перечислены: конкретные действия с данными, которые подрядчик вправе выполнять, цель поручения, обязанность соблюдать конфиденциальность и меры защиты, а также порядок уведомления оператора, если подрядчик допустил нарушение при обработке.

Если объем невелик - например, курьерской службе передают только ФИО, телефон и адрес доставки по конкретным заказам, - пункт можно включить прямо в основной договор:

Подрядчик обрабатывает персональные данные клиентов Заказчика (фамилия, имя, отчество, телефон, адрес доставки) исключительно в целях исполнения настоящего договора по следующему перечню действий: сбор, хранение, использование, передача курьеру для доставки, уничтожение по истечении срока хранения заказа. Подрядчик обязуется обеспечить конфиденциальность и меры защиты персональных данных в соответствии со статьей 19 Федерального закона от 27.07.2006 № 152-ФЗ, не передавать данные третьим лицам без письменного согласия Заказчика и незамедлительно уведомлять Заказчика о ставших ему известными случаях неправомерной обработки данных.

Когда подрядчик получает доступ не к отдельным заказам, а к базе клиентов целиком - например, интегратор CRM или сервис рассылок, - разумнее не встраивать пункт в основной договор, а заключить отдельный документ, полностью посвященный порядку обработки. В каких случаях такой отдельный договор обязателен и что в нем должно быть, разбирали в статье про договор поручения на обработку персональных данных.

Договор с самозанятым: с двух сторон

С самозанятым исполнителем данные идут в двух направлениях, и оба стоит закрыть в договоре по-разному.

Первое направление - его собственные данные. Заказчик получает от самозанятого ФИО, ИНН, номер расчетного счета, иногда паспортные данные - для заключения договора и последующей оплаты. Здесь тоже действует основание исполнения договора, отдельное согласие не нужно:

Заказчик обрабатывает персональные данные Исполнителя (фамилия, имя, отчество, ИНН, номер расчетного счета, паспортные данные) в целях заключения и исполнения настоящего договора, а также для целей налогового и бухгалтерского учета в соответствии с требованиями законодательства Российской Федерации. Отдельное согласие Исполнителя не требуется, поскольку обработка необходима для исполнения договора, стороной которого он является.

Второе направление - обратное: самозанятый сам получает доступ к данным клиентов заказчика. Фотограф на корпоративном мероприятии снимает сотрудников заказчика, маркетолог на подряде получает выгрузку базы клиентов для рассылки, специалист по настройке CRM видит карточки покупателей. В этом случае самозанятый выступает не источником своих данных, а обработчиком чужих, и к нему применяется та же логика, что и к подрядчику из предыдущего раздела: нужен пункт о поручении обработки с перечнем действий, целью и обязанностью соблюдать конфиденциальность, независимо от того, что на другой стороне договора один человек, а не компания со штатом.

На практике этот пункт для самозанятых пропускают чаще всего: кажется, что раз человек один и работает без сотрудников, риски ниже. Юридически это не так: ответственность за то, как обрабатываются данные, привязана к факту доступа к ним, а не к размеру подрядчика.

Типичные ошибки в пункте о персональных данных

Кроме общей фразы про любую обработку, в шаблонах регулярно встречаются еще несколько ошибок. Каждая по отдельности выглядит мелочью, но вместе они превращают пункт в формальность, которая не работает при проверке.

• Пункт скопирован из чужого договора без правки под ситуацию. В договоре с самозанятым фотографом остался абзац про «сотрудников работодателя», перекочевавший из трудового договора: названная цель обработки не имеет отношения к этим отношениям.
• Согласие на маркетинг спрятано внутри пункта об исполнении договора. Клиника указала в договоре на оказание услуг, что пациент согласен на обработку данных, включая информирование о новых услугах - и не завела для этого отдельный документ, хотя цель уже вышла за рамки самого лечения.
• Нет срока хранения данных. Пункт называет цель и перечень данных, но не говорит, сколько они хранятся после окончания договора: школа годами держит анкеты бывших учеников без ограничения по сроку, хотя обработку положено прекращать, когда цель достигнута.
• Пункт про подрядчика есть, а обязанности уведомлять об инцидентах в нем нет. Бухгалтерская компания на аутсорсе обрабатывает кадровые ведомости и зарплатные реестры заказчика, но договор не обязывает ее сообщать о случаях утечки или неправомерного доступа.
• Старая формулировка согласия, оставленная без изменений после 1 сентября 2025 года. Абзац про согласие внутри текста договора продолжает использоваться, хотя по действующим правилам такое согласие должно быть отдельным документом.
• Пункт описывает обработку шире, чем она реально ведется. В договор на всякий случай вписали передачу данных партнерам и аффилированным лицам, хотя по факту такая передача никогда не происходит - при проверке расхождение между документом и практикой сразу бросается в глаза, и вопрос, зачем эта строка вообще нужна, задаст уже инспектор.

Пункт о персональных данных в договоре: сводная таблица по ситуациям

Ниже сводка по всем четырем ситуациям: какое основание применяется, нужно ли отдельное согласие и что обязательно включить в формулировку.

Что делать: порядок действий для своих договоров

Чтобы привести пункт о персональных данных в договорах компании в порядок, не нужно переписывать сразу все шаблоны - достаточно пройти по каждому типу договора и проверить несколько вещей.

1. Определить, для чего в рамках именно этого договора собираются персональные данные - только для его исполнения или шире, включая маркетинг и аналитику.
2. Если только для исполнения - вписать в договор конкретный пункт: перечень данных, цель, срок хранения, ссылку на основание исполнения договора, без слова согласие.
3. Если цель шире рамок сделки - оформить отдельное согласие отдельным документом, не смешивая его с текстом договора и не пряча в один из последних пунктов.
4. Если контрагент передает данные третьих лиц - сотрудников, клиентов, представителей, - прописать его обязанность получить согласие или иное основание заранее и его ответственность за это.
5. Если подрядчик или самозанятый специалист будет сам обрабатывать данные ваших клиентов, а не только свои собственные - включить пункт о поручении обработки с перечнем действий, либо заключить отдельный договор поручения при большом объеме данных.
6. Проверить все действующие шаблоны договоров на формулировки вида «сторона согласна на любую обработку» и заменить их на конкретные - без цели и перечня данных такой пункт не подтверждает ничего.
7. Сверить формулировку с фактической практикой: если пункт в договоре обещает не передавать данные третьим лицам, а компания на деле передает их курьерской службе, текст и практику нужно привести к одному знаменателю.

Если в компании десятки типовых договоров и в каждом свой набор формулировок, разумнее свести их к единому набору шаблонов один раз, чем разбирать каждую ситуацию заново при следующей проверке. Такую доработку документов и шаблонов на сайте делает 152fzpro.ru.