ФИО менеджера, который прислал счет с почты ivanov@postavshik.ru, номер телефона курьера, который привозит товар со склада, паспортные данные представителя, подписавшего договор по доверенности - все это персональные данные контрагента, хотя сам контрагент юридическое лицо, а не человек. Организация как таковая под определение персональных данных не подпадает: закон защищает не компанию, а живого человека, который ее представляет. И такой человек есть у любого контрагента, даже если в реквизитах указано только название ООО и ИНН.
Вопрос, который на этом месте задают чаще всего: нужно ли собирать с каждого менеджера партнера отдельное согласие, прежде чем вписать его имя и телефон в договор или переслать юристу копию доверенности с паспортными данными. Ответ зависит от того, кто перед вами: сам предприниматель, представитель по доверенности или просто контактное лицо для переписки. У каждого случая свое основание в законе, и почти везде согласие на обработку персональных данных контрагента не требуется - но по разным причинам, и путать их не стоит: от этого зависит, что писать в уведомлении в Роскомнадзор и как вести себя при проверке.
С этим сталкивается любой бизнес, у которого больше одного поставщика или клиента-юрлица: интернет-магазин получает счета от десятка поставщиков, клиника заключает договоры на поставку расходников и обслуживание оборудования, школа работает с подрядчиками по питанию и охране, а самозанятый бухгалтер ведет клиентскую базу компаний, каждая из которых представлена конкретным человеком с телефоном и почтой. Масштаб разный, а вопросы одни и те же.
Три ситуации, когда в договоре появляются чужие персональные данные
В любом гражданско-правовом договоре с юридическим лицом или ИП фигурируют данные минимум одного, а обычно двух-трех живых людей. Прежде чем разбирать основания, стоит развести их по ролям, потому что закон реагирует на роль человека в сделке, а не на сам факт упоминания его имени в документе.
Первая ситуация - контрагент сам является физическим лицом, то есть индивидуальным предпринимателем. Тогда его персональные данные - это данные стороны договора, и вопрос решается иначе, чем для юридического лица. Сюда же по сути примыкает и самозанятый, если он выступает исполнителем по гражданско-правовому договору: юридической разницы в статусе физического лица для целей этой статьи между ИП и плательщиком налога на профессиональный доход нет.
Вторая ситуация - контрагент юридическое лицо, а договор подписывает представитель по доверенности или руководитель по уставу. Его ФИО и должность попадают в преамбулу договора, а нередко и паспортные данные - в текст самой доверенности, которую прикладывают к делу или требуют показать при подписании.
Третья ситуация - в договоре или переписке указано контактное лицо, которое ничего не подписывает и доверенности не имеет: сотрудник, который согласовывает поставки, отвечает на письма или принимает товар по накладной. Его данные оказываются в блоке реквизитов, в переписке по электронной почте, в CRM компании-заказчика, а иногда и в журнале пропусков на территорию, если контрагент регулярно присылает разных людей.
Дальше каждая ситуация разобрана отдельно, потому что основание для обработки и объем необходимых действий у них разные.
ИП как сторона договора: ваш партнер и есть субъект персональных данных
Если контрагент - индивидуальный предприниматель, никакого юридического лица за ним нет: с точки зрения закона о персональных данных это тот же человек, что и в паспорте, только выступающий в статусе ИП. Его ФИО, ИНН, ОГРНИП, адрес регистрации и номер телефона попадают в реквизиты договора, счета и акты не потому что кто-то запросил у него согласие, а потому что без этого договор не заключить и не исполнить.
Основание здесь - пункт 5 части 1 статьи 6 закона 152-ФЗ: обработка необходима для исполнения договора, стороной которого является субъект персональных данных. Это тот случай, когда закон прямо разрешает работать с данными физического лица без отдельного согласия, если данные нужны именно для сделки с этим лицом. Интернет-магазин, который платит частному мастеру за ремонт витрины по договору подряда, обрабатывает его паспортные данные и номер счета совершенно законно, хотя мастер никакого согласия не подписывал и подписывать не должен.
Из этого основания есть практический вывод про персональные данные ИП в договоре: оно закрывает только то, что действительно нужно для заключения, исполнения и закрытия конкретной сделки - реквизиты, платежи, переписку по предмету договора. Если вы решите добавить телефон этого ИП в рассылку с акциями для других клиентов, это уже другая цель обработки. Для нее нужно отдельное основание - либо согласие, либо иной пункт статьи 6, но никак не то же самое основание, что действует для исполнения конкретного договора. Кадровику или бухгалтеру, который ведет реестр контрагентов-физлиц, стоит помнить об этой границе: закрыть сделку и переиспользовать номер телефона для других целей - разные истории с разными правилами.
Отдельно стоит разница между самозанятым и обычным ИП, которая иногда путает кадровиков при заполнении договора: юридически это разные статусы, но с точки зрения обработки персональных данных оба - физические лица, выступающие стороной гражданско-правового договора, и на обоих распространяется одно и то же основание. Разница появляется в другом месте - в том, какие налоги платит заказчик и какую отчетность сдает, а не в объеме персональных данных, который можно законно обрабатывать.
Представитель по доверенности: чьи это данные и нужно ли отдельное согласие
Когда договор от имени ООО подписывает не руководитель, а сотрудник по доверенности, в документах появляются персональные данные представителя юридического лица: ФИО, должность, а в самой доверенности - часто и паспортные данные, если того требует форма документа или практика конкретной компании. В клинике, которая закупает медицинское оборудование у поставщика, договор нередко подписывает не главный врач, а завхоз или заместитель по административным вопросам - именно его данные и попадают в текст.
Эти данные принадлежат не организации, а конкретному человеку, и формально это отдельный субъект персональных данных, чьи данные вы, как вторая сторона договора, тоже обрабатываете: храните доверенность в деле, вносите ФИО представителя в текст договора, иногда переносите паспортные данные в свою систему учета контрагентов или в 1С.
Прямой нормы именно под этот случай в законе нет: представитель формально не является стороной сделки, поэтому основание про исполнение договора описывает его положение не совсем буквально. На практике поступают по-разному: одни компании считают, что оформление доверенности и подписание договора представителем - часть процедуры заключения сделки и подпадает под то же основание, что и для ИП. Другие для надежности опираются на законный интерес оператора - то самое основание, что действует для контактных лиц без доверенности. Обе позиции встречаются, единого разъяснения регулятора на этот счет нет, но в любом случае отдельное согласие с представителя на этом этапе на практике никто не берет.
Другой вопрос - что делать с паспортными данными из доверенности после того, как сделка закрыта. Держать скан паспорта представителя в общей папке с доступом всего отдела продаж не стоит: это данные повышенной чувствительности с практической точки зрения, даже если формально не отнесены к специальным категориям. Разумная практика - ограничить доступ к таким сканам, хранить их отдельно от общей переписки и не пересылать по почте без необходимости. Если доверенность нужна была только для сверки полномочий в момент подписания, саму копию паспорта из нее спустя время стоит удалить, оставив в деле только реквизиты доверенности - номер, дату и срок действия.
Стоит различать и то, кто подписывает договор по уставу, а кто по доверенности. Руководитель компании действует от ее имени без доверенности - его полномочия следуют прямо из выписки из реестра юридических лиц, и это отдельная тема. Доверенность нужна именно тогда, когда договор подписывает кто-то другой: заместитель, начальник отдела закупок, юрист компании. Перед подписанием стоит свериться, не отозвана ли доверенность и не истек ли ее срок - это уже вопрос гражданского права, а не персональных данных, но именно из-за него в делах компаний годами хранятся копии старых доверенностей с чужими паспортными данными без всякой надобности.
Контактное лицо без доверенности: телефон и почта менеджера
Самый частый случай - не сторона договора и не представитель по доверенности, а просто человек, с которым удобнее решать рабочие вопросы: специалист по продажам поставщика, бухгалтер, который присылает акты сверки, логист, согласовывающий даты отгрузки. Его ФИО, рабочий телефон и почта попадают в переписку, в подпись письма, часто в отдельный блок контактов в самом договоре или приложении к нему. Школа, которая заключила договор с подрядчиком на организацию питания, обычно указывает в приложении не только реквизиты юрлица, но и телефон конкретного сотрудника, отвечающего за меню и поставки - это и есть контактное лицо в чистом виде.
Согласие контрагента на обработку персональных данных этого человека в классическом виде - отдельная подпись под текстом согласия - на практике почти никогда не берут, и закон этого не требует. Основание - пункт 7 части 1 статьи 6: обработка необходима для реализации законных интересов оператора или третьих лиц, если при этом не нарушаются права и свободы субъекта персональных данных. Вести деловую переписку, хранить контакты партнеров в CRM и передавать их своим сотрудникам, которые работают с этим контрагентом, - типичный законный интерес, не требующий согласия каждого упомянутого человека.
Граница здесь простая: пока данные контактного лица используются для того, ради чего он и был назван контактным лицом - обсуждение поставки, решение спорных вопросов, документооборот, - обработка укладывается в законный интерес. Если вы начинаете звонить ему по темам, не связанным с этим договором, или добавляете его личную почту в общую рекламную рассылку компании, законный интерес такую обработку уже не покрывает, и придется искать другое основание или спрашивать согласие отдельно.
Что писать в самом договоре про данные представителей
Формального требования включать в договор отдельный пункт про персональные данные закон не ставит, но на практике это снимает сразу два вопроса: у юриста при проверке шаблона и у контрагента, если он вдруг спросит, откуда вы взяли данные его менеджера.
Рабочая формулировка обычно короткая: стороны подтверждают, что проинформировали своих работников и представителей, чьи персональные данные указаны в договоре, о факте и целях передачи этих данных другой стороне, и что каждая сторона самостоятельно отвечает за законность обработки данных своих сотрудников. Иногда туда же добавляют фразу о том, что данные используются исключительно в целях исполнения договора и не передаются третьим лицам, кроме случаев, предусмотренных законом. Такой пункт не заменяет согласие там, где оно действительно нужно, но фиксирует распределение ответственности между компаниями и снимает часть вопросов при проверке.
Если раскладывать формулировку на составные части, в ней обычно есть три элемента: подтверждение, что представитель или сотрудник уведомлен о передаче своих данных другой стороне; указание цели - исполнение и сопровождение конкретного договора; и оговорка про ответственность каждой стороны за законность обработки данных именно своего персонала. Никакой обязательной формы для такого пункта нет, и переписывать его слово в слово из чужого шаблона не обязательно - важно, чтобы смысл сохранился.
Отдельно стоит блок реквизитов и подписей в конце договора - именно там чаще всего указывают ФИО, должность и телефон подписанта и контактного лица. Если в компании есть типовой шаблон, стоит один раз свериться, включена ли в него такая оговорка, и добавить ее, если нет: проще сделать это один раз в шаблоне, чем объяснять контрагенту задним числом, зачем вы храните его контакты. Рабочие формулировки для разных ситуаций разобраны в материале про пункт о персональных данных в договоре.
Нужен ли договор поручения на обработку персональных данных
Все, что описано выше, - это обмен контактами двух самостоятельных операторов персональных данных, каждый из которых отвечает за свою часть. Ситуация меняется, если контрагент не просто упомянут в договоре, а по вашему поручению обрабатывает чужие персональные данные, которые вы ему передаете сами.
Классические примеры: курьерская служба получает от интернет-магазина базу адресов и телефонов покупателей, чтобы развезти заказы; подрядчик на аутсорсе бухгалтерии получает доступ к данным сотрудников заказчика для расчета зарплаты и справок 2-НДФЛ; маркетинговое агентство получает от клиники список пациентов, записанных на конкретную акцию, чтобы обзвонить их и напомнить о визите. Во всех трех случаях контрагент не сам собрал эти данные, а получил их от вас, чтобы что-то с ними сделать по вашему заданию.
В этом случае обычного пункта о конфиденциальности в основном договоре недостаточно. Часть 3 статьи 6 закона требует оформить отдельные условия: перечень действий с данными, которые поручены обработчику, цель обработки, обязанность соблюдать конфиденциальность и обеспечивать безопасность данных, а также ответственность за нарушение этих условий. Такие условия можно включить разделом в основной договор или оформить приложением, но по содержанию это всегда договор поручения на обработку персональных данных, а не просто соглашение о неразглашении.
Разница на практике ощутима. Если вы просто указали в договоре контакты представителя контрагента - это первая ситуация из этой статьи, и отдельного оформления не нужно. Если вы передали контрагенту базу своих клиентов или сотрудников, чтобы он что-то сделал с ней по вашему заданию, - это уже поручение, и обычной оговорки про информирование сотрудников недостаточно: нужен отдельный раздел или документ с перечнем действий и целей обработки.
Стоит помнить и про ответственность перед субъектами персональных данных: если обработчик нарушит условия поручения и допустит утечку переданной ему базы, отвечать перед клиентами и сотрудниками в первую очередь будет оператор, который эту базу передал, а не сам обработчик. Поэтому в договоре поручения имеет смысл прописать не только перечень разрешенных действий, но и обязанность обработчика немедленно сообщать о любых инцидентах с переданными данными.
Уведомление в Роскомнадзор: указывать ли представителей контрагентов отдельной категорией
В уведомлении об обработке персональных данных, которое операторы подают в Роскомнадзор, есть поле с категориями субъектов, чьи данные обрабатывает компания: клиенты, работники, соискатели и так далее. Вопрос, который часто пропускают: нужно ли отдельно вписывать туда представителей и контактных лиц контрагентов.
Формально обработка их данных в объеме телефон-почта-должность для целей исполнения конкретного договора может укладываться в общую категорию контрагентов или партнеров, если она уже указана в уведомлении. Но если компания системно ведет базу контактов десятков и сотен поставщиков и клиентов-юрлиц в CRM, хранит доверенности и переписку с их представителями, разумнее указать эту категорию отдельно и явно, а не полагаться на то, что при проверке ее сочтут охваченной общей формулировкой.
Расхождение здесь ровно в масштабе: разовый обмен контактами с менеджером поставщика едва ли требует правки уведомления, а постоянная работа с растущей базой контрагентов - повод свериться с действующим текстом и, если нужно, подать в него изменения. Кто обязан подавать такое уведомление и как часто его нужно обновлять, подробно разобрано в материале о том, кто должен подавать уведомление об обработке персональных данных.
На проверке несовпадение категорий в уведомлении обычно не оборачивается само по себе крупным штрафом - это скорее пункт из общего чек-листа, который инспектор отмечает и просит устранить. Но дешевле один раз свериться и дополнить формулировку заранее, чем объяснять на месте, почему база контактов контрагентов в CRM не упомянута ни в одной категории субъектов из поданного уведомления.
Таблица: кто есть кто и что делать с его данными
Чтобы не листать текст заново при каждом новом договоре, ниже сведены основные ситуации в одну таблицу: кто перед вами, какие данные вы обрабатываете, на каком основании и нужно ли согласие.
| Кто | Какие данные обычно есть | Основание обработки | Нужно ли согласие | Где фиксируется |
|---|---|---|---|---|
| ИП или самозанятый - сторона договора | ФИО, ИНН, ОГРНИП, адрес, телефон | П. 5 ч. 1 ст. 6 - исполнение договора | Не требуется для целей сделки | Реквизиты договора, счета, акты |
| Представитель по доверенности | ФИО, должность, паспортные данные | По аналогии с п. 5 ч. 1 ст. 6 либо законный интерес по п. 7 ч. 1 ст. 6 | На практике не берут | Доверенность, преамбула договора |
| Контактное лицо без доверенности | ФИО, телефон, email, должность | П. 7 ч. 1 ст. 6 - законный интерес оператора | Не требуется, нужна оговорка в договоре | Блок контактов, переписка, CRM |
| Контрагент-обработчик по вашему поручению | Данные ваших клиентов или сотрудников | Ч. 3 ст. 6 - договор поручения | Согласие субъектов получает оператор-заказчик заранее | Отдельный договор поручения или приложение |
Что сделать прямо сейчас
Порядок, который закрывает практическую часть вопроса за один проход по своим документам:
- Открыть типовой шаблон договора и проверить, есть ли в нем пункт про информирование сотрудников и представителей о передаче их данных другой стороне. Если нет - добавить короткую формулировку из раздела выше.
- Свериться, не превращается ли обмен контактами с конкретным контрагентом в обработку по поручению: передаете ли вы ему базу клиентов или сотрудников для выполнения работы, а не просто указываете контакты друг друга.
- Проверить действующее уведомление в Роскомнадзор на предмет категории представителей и контактных лиц контрагентов, если база партнеров ведется системно и растет.
- Ограничить доступ к сканам паспортов из доверенностей: хранить их отдельно от общей переписки и CRM, не пересылать без необходимости и удалять после того, как надобность в проверке полномочий отпала.
- Оставлять в договоре только те данные представителя, которые действительно нужны для сделки, и не переиспользовать их для рассылок или задач за пределами работы с этим контрагентом.
Ни один из пяти пунктов не требует переписывать все действующие договоры разом: достаточно поправить шаблон, по которому заключаются новые, и постепенно привести к нему те, что продлеваются или перезаключаются. Если по итогам ревизии выяснится, что типовые договоры и формы на сайте пора привести в порядок под требования закона о персональных данных, с этим можно обратиться на 152fzpro.ru: там занимаются доработкой документов и сайтов под 152-ФЗ.
Частые вопросы
Нужно ли согласие контрагента-ИП на обработку его персональных данных в договоре?
Нет, если данные нужны для заключения и исполнения именно этого договора: основание - пункт 5 части 1 статьи 6 закона о персональных данных, обработка необходима для исполнения договора со стороной сделки. Это закрывает реквизиты, платежи и переписку по предмету договора, но не разрешает переиспользовать контакт ИП для рекламной рассылки без отдельного основания.
Нужно ли брать согласие с представителя контрагента, который подписывает договор по доверенности?
На практике отдельное согласие с такого представителя обычно не берут. Одни компании считают подписание договора частью процедуры заключения сделки, другие опираются на законный интерес оператора, единого разъяснения регулятора здесь нет. Паспортные данные из доверенности стоит хранить с ограниченным доступом и удалять после того, как надобность в проверке полномочий отпала.
На каком основании можно хранить телефон и почту контактного лица контрагента без его согласия?
На основании законного интереса оператора по пункту 7 части 1 статьи 6 закона: вести переписку, хранить контакты партнеров в CRM и передавать их своим сотрудникам не требует отдельного согласия каждого упомянутого человека. Граница проходит по цели: пока контакт используют для работы по этому договору, обработка укладывается в законный интерес.
Когда с контрагентом нужен отдельный договор поручения на обработку персональных данных?
Когда контрагент не просто упомянут в договоре, а обрабатывает по вашему заданию данные, которые вы ему сами передали: курьер получает базу адресов покупателей, подрядчик по бухгалтерии получает доступ к данным сотрудников. Часть 3 статьи 6 требует прописать перечень действий, цель обработки и ответственность за нарушение условий поручения отдельным разделом или документом.
