Персональные данные в договоре оказания услуг: нужно ли отдельное согласие

Клиент подписывает договор оказания услуг и в этот же момент оставляет вам телефон, почту, адрес доставки или паспортные данные для акта. Возникает вопрос, нужно ли отдельно просить согласие на обработку персональных данных в договоре оказания услуг, или самого договора достаточно. Короткий ответ: если данные нужны строго для того, чтобы договор исполнить, отдельное согласие не требуется. Основание есть прямо в законе, и на практике большинство операторов работает именно по нему, часто не подозревая об этом.

Проблема не в самом правиле, а в том, где оно заканчивается. Пункт 5 части 1 статьи 6 федерального закона от 27.07.2006 № 152-ФЗ дает право обрабатывать данные без согласия, если это необходимо для исполнения договора, стороной которого является субъект. Как только компания выходит за эти рамки - отправляет рекламную рассылку, передает базу партнеру, хранит контакты годами после закрытия проекта - основание перестает работать, и без согласия на обработку персональных данных по договору услуг обойтись уже не получится. Ниже - где именно проходит эта граница на практике: рассылки, передача подрядчикам, хранение после завершения работ.

Цена ошибки не абстрактная. При проверке или по жалобе клиента РКН смотрит именно на то, есть ли у оператора основание для каждого конкретного факта обработки, а не на то, было ли у компании вообще какое-то согласие на что-то. Если рассылка ушла без согласия, а компания в ответ показывает подписанный договор оказания услуг, в котором ни слова про эту рассылку, - основание не подтверждается, и это факт с последствиями по статье 13.11 КоАП. Разбираться в границе стоит один раз, до того, как это стало предметом проверки, а не после.

Персональные данные в договоре оказания услуг: какая обработка законна без согласия

Статья 6 федерального закона № 152-ФЗ перечисляет случаи, когда оператор вправе обрабатывать персональные данные без согласия субъекта - таких оснований в законе шесть, и разбор всех шести стоит держать под рукой отдельно. Здесь - только то, что касается договора оказания услуг: обработка необходима для его исполнения, если стороной договора выступает сам субъект персональных данных, либо для мер до заключения договора по его инициативе.

Пример из практики: частное лицо заказывает у мастерской ремонт техники. Мастерская получает его имя, телефон и адрес - это нужно, чтобы принять заявку, согласовать время визита мастера и выставить документы по итогу работ. Отдельное согласие на обработку персональных данных здесь не нужно: обработка прямо укладывается в исполнение договора оказания услуг, и закон это разрешает.

Другая ситуация - юридическое лицо заказывает услугу, а с исполнителем со стороны заказчика взаимодействует конкретный сотрудник: передает ФИО, рабочий телефон, почту. Договор в этом случае заключен между компаниями, а не с этим сотрудником лично, и основание пункта 5 части 1 статьи 6 работает не так однозначно. Часть юристов считает, что обработка контактов представителя все равно укладывается в исполнение договора между компаниями и отдельного согласия не требует, часть настаивает на письменном согласии от самого сотрудника. Единой практики РКН по этому вопросу нет, поэтому безопаснее держать короткое уведомление о целях обработки и не злоупотреблять этими контактами сверх задач самого договора.

Тот же пункт закона разрешает обработку данных не только в рамках уже подписанного договора, но и до его заключения - если инициатива исходит от самого человека. Пример: посетитель сайта оставляет заявку на расчет стоимости услуги через форму обратной связи, компания перезванивает, уточняет детали и присылает коммерческое предложение. Это тоже обработка без согласия на законном основании, потому что человек сам инициировал контакт с целью заключить договор. Как только заявка превращается в холодную базу для рассылок, даже если договор так и не был подписан, основание теряется точно так же, как и после исполнения реального договора.

Что входит в исполнение договора услуг, а что уже нет

Граница определяется не тем, что компании удобно, а тем, что объективно нужно для оказания услуги. В это укладывается: идентификация клиента, согласование условий, сама услуга, прием оплаты, оформление акта или счета-фактуры, гарантийная переписка по этому же договору. Все это - обработка в рамках исполнения, и собирать под нее отдельное согласие не нужно.

За рамки выходит то, что связано с клиентом, но не с конкретным договором. Репетитор ведет базу учеников для расчетов и расписания - это исполнение договора. Тот же репетитор через полгода после окончания занятий присылает бывшему ученику предложение записаться на новый курс - это уже не исполнение старого договора, а маркетинг, и для него нужно отдельное основание, чаще всего согласие.

Правило простое: данные можно использовать только для той цели, ради которой они собраны. Клиника получает данные пациента для оказания медицинской услуги и ведения карты - это одно основание с самостоятельными требованиями к специальным категориям данных. Использовать те же контакты для рассылки о новых процедурах - другая цель, и договор на оказание услуг ее не покрывает.

Похожая логика работает в образовании и медицине, только там выше цена ошибки. Онлайн-школа заключает договор на курс с родителем, а не с ребенком - это ключевой момент: данные ребенка обрабатываются в рамках договора с родителем, но согласие на обработку данных именно несовершеннолетнего часто оформляют отдельно, потому что субъект персональных данных и сторона договора - не одно и то же лицо. В клинике похожая развилка: договор с пациентом покрывает саму медицинскую услугу, а вот данные о состоянии здоровья - специальная категория, и то, что они возникли в рамках договора, само по себе не снимает более строгих требований к их обработке и хранению.

Рассылки и напоминания клиентам: где проходит граница

Сообщение о статусе заказа, напоминание о времени визита, уведомление о том, что акт готов и его можно забрать - это сервисная переписка. Она напрямую связана с исполнением конкретного договора, и отправлять ее можно без отдельного согласия на обработку персональных данных: это то же самое основание, что и вся остальная работа по договору.

Когда рассылка перестает быть сервисной

Как только в сообщении появляется предложение другой услуги, скидка, анонс акции или просьба оценить компанию не по итогам конкретного заказа, а вообще - переписка становится рекламной. Для нее нужно отдельное согласие, причем не только на обработку персональных данных, но и на получение рекламы по правилам федерального закона о рекламе: эти два требования частично пересекаются, но не заменяют друг друга, и разница между ними на практике стоит того, чтобы свериться отдельно, прежде чем запускать рассылку по базе клиентов.

На практике эта граница часто размыта нарочно: под видом напоминания о заказе присылают акцию с призывом привести друга или предложение продлить абонемент. Если сообщение можно было отправить и без этого договора - оно рекламное, и отдельное согласие требуется независимо от того, что клиент когда-то заключал с компанией договор оказания услуг.

У самозанятых и небольших исполнителей этот же вопрос обычно всплывает в мессенджере, а не в почте. Мастер, который переписывался с клиентом в WhatsApp по поводу заказа, годы спустя присылает в тот же чат сообщение с предложением новой услуги - формально это та же рассылка, просто без формального шаблона. То, что переписка велась в личном мессенджере, а не через корпоративную CRM, ничего не меняет: основание для обработки оценивается по содержанию сообщения, а не по каналу, через который оно отправлено. Если сообщение не связано с исполненным договором, для него так же нужно отдельное согласие, даже если это просто короткое сообщение старому клиенту от руки.

Передача данных подрядчику или партнеру по договору услуг

Услугу редко оказывают в одиночку. Мастерская привозит технику курьерской службой, IT-подрядчик размещает данные клиента на стороннем хостинге, агентство передает часть работы фрилансеру. Формально это тоже передача персональных данных третьим лицам, и вопрос в том, нужно ли на нее отдельное согласие.

Если подрядчик обрабатывает данные исключительно для того, чтобы помочь исполнить тот же договор - привезти заказ, разместить базу на сервере, обзвонить клиентов по расписанию - действует то же основание, что и у самого оператора, но оформить это нужно отдельно от согласия клиента. Правильный инструмент - договор поручения на обработку персональных данных с подрядчиком, где прописаны цель обработки, перечень действий и обязанность подрядчика соблюдать те же требования закона. Разбор того, когда такой договор обязателен, стоит держать под рукой у каждого, кто передает данные клиентов сторонним компаниям.

Отдельно стоит платежная система или банк-эквайер, через который клиент оплачивает услугу. Передача данных для проведения платежа - тоже часть исполнения договора: без имени плательщика и суммы платеж просто не пройдет. Но дальше данные уходят в контур платежной системы, и что она делает с ними внутри своих процессов - это уже ее собственная ответственность как отдельного оператора, а не повод для компании собирать дополнительное согласие клиента на сам факт оплаты картой.

Если подрядчик находится за рубежом - например, зарубежный сервис рассылок или зарубежный хостинг, - к передаче добавляется еще один слой требований: трансграничная передача персональных данных регулируется отдельно от вопроса о согласии, и то, что обработка укладывается в исполнение договора внутри России, не снимает обязанность разобраться, можно ли вообще передавать эти данные в конкретную страну и нужно ли уведомлять регулятора. Это отдельная тема, но помнить о ней стоит уже на этапе выбора подрядчика, а не после того, как данные туда уже ушли.

Другое дело - передача данных партнеру, который не участвует в исполнении услуги, а получает базу для собственных целей: агрегатору, рекламной сети, аффилированной компании для перекрестных продаж. Здесь основание исполнения договора не работает вообще, потому что партнер услугу не оказывает и в договоре с клиентом не участвует. Нужно отдельное согласие, и в нем стоит прямо назвать партнера или хотя бы категорию получателей данных, а не ограничиваться общей фразой про третьих лиц.

Хранение персональных данных после окончания договора оказания услуг

Договор закончился, услуга оказана, стороны разошлись - и данные клиента обычно остаются в CRM, в переписке, в бухгалтерских документах. Вопрос в том, на каком основании их можно держать дальше и как долго.

Часть документов хранить обязывает не 152-ФЗ, а другие законы: первичные бухгалтерские документы, счета, акты - хранятся в сроки, установленные требованиями к бухгалтерскому и налоговому учету. Это отдельное законное основание для хранения, и согласие клиента здесь ни при чем - удалить эти документы раньше срока оператор не вправе, даже если клиент попросит.

А вот держать полную базу контактов в CRM годами после закрытия проекта только на всякий случай - обработка, которая уже не привязана ни к исполнению договора, ни к обязанности другого закона. Как только цель, ради которой данные собирались, достигнута, их нужно удалить или обезличить, если нет отдельного основания для дальнейшего хранения. Конкретные сроки и типичная ошибка написать в согласии или политике бессрочно разобраны в материале про сроки обработки персональных данных, там же есть таблица по видам документов, которую удобно сверить с собственным перечнем.

Отдельный вопрос - что делать, если клиент просит удалить данные раньше, чем закончился сам договор, например на середине проекта передумал сотрудничать. Пока договор не расторгнут официально, обработка данных, нужных для его исполнения, остается законной: оператор не обязан прекращать вести проект только потому, что клиент попросил стереть контакты. Но как только договор расторгнут, а нужды в бухгалтерских документах нет, - основание пропадает, и обращение клиента стоит исполнить в разумный срок, а не откладывать на потом просто потому, что технически это неудобно.

Как прописать обработку персональных данных в договоре оказания услуг

Закон не обязывает включать в сам договор отдельный раздел про персональные данные, если обработка укладывается в исполнение договора и без согласия. Но у субъекта персональных данных все равно есть право знать, кто и зачем обрабатывает его данные, поэтому короткое уведомление в тексте договора или в приложении к нему - хорошая практика, а не формальность для галочки.

Обычно это один-два абзаца: какие данные собираются, для какой цели, на каком основании, куда обращаться с вопросами. Формулировки такого пункта и типичные ошибки в них разобраны в материале про пункт о персональных данных в договоре, рабочие варианты текста можно взять оттуда и адаптировать под свой договор, не изобретая заново.

Если часть обработки выходит за рамки исполнения - например, компания хочет присылать клиентам рассылку по этой же базе, - в договоре стоит развести два элемента: уведомление об обработке для исполнения договора без чекбокса, просто информация, и отдельное согласие с явным чекбоксом на все остальное. Смешивать их в одном пункте с одной подписью - частая ошибка: клиент формально согласился на все сразу, но при проверке это согласие могут не признать действительным именно на ту часть, для которой оно требовалось по закону.

На практике удобнее не растягивать эту тему на несколько страниц договора, а вынести общий текст про обработку персональных данных в отдельный документ - политику обработки, на которую договор просто ссылается одной строкой. Тогда сам договор оказания услуг остается коротким и понятным, а все детали про цели, сроки и основания обработки живут в одном месте и их не нужно переписывать в каждом новом договоре при малейшем изменении практики. Исключение - тот самый короткий пункт про основание обработки для исполнения именно этого договора и отдельный чекбокс согласия там, где оно требуется: их лучше оставить в теле договора или в форме на сайте, рядом с тем действием, к которому они относятся, а не прятать в общей политике, которую никто не читает в момент подписания.

Пример: небольшая мастерская и полный цикл договора

Возьмем мастерскую по ремонту бытовой техники на пять человек. Клиент оставляет заявку на сайте - имя, телефон, адрес, описание поломки. Это досоговорная стадия, инициатива клиента, обработка идет без согласия. Мастерская перезванивает, согласовывает визит мастера, клиент подписывает договор оказания услуг на месте, диспетчер вносит его данные в CRM.

Дальше мастер приезжает по адресу, чинит технику, оформляет акт с подписью клиента, бухгалтерия выставляет счет и заносит документ в учетную систему. Все эти действия - прямое исполнение договора, отдельное согласие под них не нужно, а нужен только пункт в договоре или в приложении к нему о том, какие данные собираются и зачем.

Через месяц маркетолог мастерской хочет напомнить клиентам о сезонном обслуживании техники. Для этой рассылки нужен отдельный чекбокс согласия, собранный либо в момент оформления заявки отдельным полем, либо позже - через смс с просьбой подтвердить подписку. Без этого шага рассылка формально нарушает закон, даже если сама мастерская добросовестно оказала услугу и ничего плохого с данными клиента не сделала.

Если через год клиент требует удалить данные, а часть документов по этому договору обязана храниться для бухгалтерии - мастерская вправе оставить именно эти документы, объяснив клиенту, что удаление коснется CRM и маркетинговой базы, но не первичных документов, которые хранятся по отдельному основанию.

Когда без отдельного согласия не обойтись

Соберем случаи, где основание исполнения договора не работает и нужно отдельное согласие:

• рассылки и предложения, не связанные напрямую с этим договором;
• передача данных партнерам, которые не участвуют в оказании услуги;
• хранение данных дольше срока, обоснованного исполнением договора или требованиями бухгалтерского и налогового учета;
• обработка специальных категорий данных - о здоровье, биометрии - даже если формально она связана с услугой, эти категории почти всегда требуют отдельного согласия независимо от договора;
• обработка данных представителя компании-заказчика сверх того, что нужно для делового общения по этому договору.

У каждого пункта есть практическая сторона. Рекламную рассылку проще всего развести с сервисной технически: разные шаблоны, разная отметка в CRM о том, на каком основании отправлено конкретное сообщение, и отдельная галочка при сборе контакта. Передачу партнерам стоит фиксировать не общей фразой в политике, а перечнем в самом согласии - тогда при отзыве согласия понятно, кого именно нужно уведомить об удалении данных. Срок хранения имеет смысл прописывать не одной цифрой на все случаи, а таблицей по видам данных: одни документы должны храниться пять лет по правилам бухгалтерского учета, другие можно удалить сразу после закрытия договора. Специальные категории - здоровье, биометрия, судимость - лучше вообще не собирать через обычный договор оказания услуг без отдельного, четко оформленного согласия, даже если кажется, что данные нужны для самой услуги: цена ошибки здесь выше, чем в остальных случаях, а требования к оформлению строже.

Если сомневаетесь, к какой категории отнести конкретное действие, безопаснее считать, что согласие нужно, и оформить его отдельным документом, а не полагаться на то, что договор его якобы заменяет.

Таблица: что укладывается в исполнение договора, а что нет

Что делать: порядок действий

1. Проверить, кто фактически является стороной договора - сам субъект персональных данных или юридическое лицо, которое он представляет.
2. Составить список данных, которые реально нужны, чтобы услугу оказать, оплату принять и документы оформить - без запаса на будущее.
3. Прописать в договоре или в приложении к нему короткое уведомление о целях обработки со ссылкой на основание из статьи 6 федерального закона № 152-ФЗ.
4. Отдельно, отдельным документом с явным чекбоксом, оформить согласие на все, что выходит за рамки исполнения: рассылки, передачу партнерам, использование в маркетинге.
5. Определить срок хранения данных после окончания договора и зафиксировать, кто и когда должен их удалить или обезличить.
6. Проверить договоры с курьерами, хостингом и другими подрядчиками - если они обрабатывают данные клиентов, нужен договор поручения на обработку, а не устная договоренность.

Эти шесть шагов закрывают большую часть вопросов, которые возникают именно на стыке договора и персональных данных. Если нужно свести формулировки в самом договоре, политике обработки и согласии в одну непротиворечивую картину, посмотреть, чем в этом можно помочь, можно на 152fzpro.ru.