В современной экономике, где цифровые технологии и электронные договоры стали нормой, соблюдение требований законодательства о персональных данных (ПДн) — не просто формальность, а критически важный элемент правовой безопасности бизнеса. Особенно актуально это при заключении и исполнении договоров, где обработка персональных данных сопряжена с выполнением обязательств сторон. В этой статье мы подробно разберём, как правильно учитывать персональные данные в договорах, на каких основаниях их можно обрабатывать без согласия, какие риски существуют и как избежать штрафов Роскомнадзора.

Основания для обработки персональных данных в договоре

Согласно Федеральному закону № 152-ФЗ «О персональных данных», оператор (лицо, организующее обработку ПДн) вправе обрабатывать персональные данные без согласия субъекта в следующих случаях, прямо связанных с договорными отношениями:

• Пункт 5 ч. 1 ст; 6 Закона № 152-ФЗ: обработка необходима для исполнения договора, стороной которого, выгодоприобретателем или поручителем является субъект персональных данных;
• То же положение распространяется и на заключение договора по инициативе субъекта или договора, по которому субъект станет выгодоприобретателем или поручителем.

Это означает, что если вы заключаете договор с физическим лицом (например, покупатель товара, клиент услуги, арендатор помещения), то обработка его ФИО, адреса, телефона, email, паспортных данных — не требует отдельного согласия, если эти данные необходимы для исполнения договора.

Примеры из практики:

1. Интернет-магазин: при оформлении заказа клиент указывает ФИО, адрес доставки и телефон, это необходимо для исполнения договора купли-продажи. Согласие не требуется, но необходимо уведомить о целях обработки (например, через политику конфиденциальности).
2. Аренда жилья: арендодатель собирает паспортные данные арендатора для идентификации и обеспечения исполнения договора найма — это законно без отдельного согласия.
3. Услуги банка: при оформлении кредита банк обрабатывает данные клиента (доходы, место работы, паспорт) для оценки кредитоспособности, это прямо связано с исполнением договора займа.

Что делать, если договор заключается между юридическими лицами?

Часто возникает вопрос: можно ли включать в договор между ООО и ООО персональные данные сотрудников (ФИО, телефоны, email)?

Ответ: можно, но с оговорками.

Согласно позиции Роскомнадзора и судебной практике, если персональные данные сотрудников (например, менеджера по продажам, исполнителя по договору поставки) включены в договор исключительно для целей исполнения обязательств (связь, передача документов, координация), то такая обработка не требует согласия самого сотрудника, поскольку он не является стороной договора, а лишь участником процесса исполнения.

Однако! Если юридическое лицо собирает персональные данные сотрудника контрагента для иных целей — например, для маркетинга, создания базы клиентов, рассылок — то это уже выходит за рамки исполнения договора, и тогда требуется согласие субъекта ПДн.

Важно!

Даже если персональные данные сотрудников контрагента включены в договор, оператор (организация, обрабатывающая данные) обязана соблюдать принципы законности, добросовестности и минимизации (ст. 5 Закона № 152-ФЗ). Это значит:

• Собирать только те данные, которые действительно необходимы для исполнения договора;
• Не хранить их дольше, чем требуется для исполнения обязательств (ст. 11 Закона № 152-ФЗ);
• Обеспечить безопасность этих данных (шифрование, доступ по ролевым правам и т.д;).

Как правильно оформить обработку ПДн в договоре?

Чтобы избежать претензий со стороны Роскомнадзора и судебных исков, в договоре необходимо чётко прописать следующие положения:

Цели обработки персональных данных

Укажите, какие именно данные обрабатываются и зачем:

«Стороны соглашаются, что персональные данные, предоставляемые в рамках настоящего договора (ФИО, контактные телефоны, электронные адреса, паспортные данные), обрабатываются исключительно для целей исполнения обязательств по договору, включая: доставку товаров, оформление актов выполненных работ, взаимодействие с ответственными лицами, ведение бухгалтерского и налогового учёта».

Срок хранения

Срок хранения ПДн не должен превышать срок исполнения договора, если иное не установлено законом (например, налоговое законодательство требует хранить документы 5 лет).

«Персональные данные хранятся не дольше, чем это необходимо для исполнения обязательств по настоящему договору, но не более 5 лет с момента его завершения, если иное не предусмотрено законодательством Российской Федерации».

Передача третьим лицам

Если вы передаёте данные бухгалтерии, курьерской службе, облачному хранилищу — это уже поручение обработки. Тогда необходимо:

• Заключить с третьим лицом договор о передаче обработки ПДн (ст. 6.1 Закона № 152-ФЗ);
• Включить в договор с контрагентом положение о том, что «Сторона обязана обеспечить, чтобы третьи лица, привлекаемые для исполнения договора, соблюдали требования законодательства о персональных данных».

Согласие — когда оно всё же нужно

Согласие субъекта ПДн требуется, если:

• Вы используете данные для маркетинга, рассылок, аналитики;
• Вы передаёте данные за пределы РФ;
• Вы собираете данные, не связанные с исполнением договора (например, данные о здоровье, религии, политических взглядах);
• Вы обрабатываете биометрические или специальные категории ПДн.

В таких случаях необходимо получить письменное согласие субъекта, содержащее:

• Цели обработки;
• Список действий по обработке;
• Срок действия согласия;
• Право отзыва согласия;
• Информацию об операторе.

Риски и штрафы за нарушения

Несоблюдение требований Закона № 152-ФЗ ведёт к серьёзным последствиям:

• Штрафы Роскомнадзора: до 750 000 рублей для юридических лиц (ст. 13.11 КоАП РФ);
• Иски от субъектов ПДн о возмещении морального вреда;
• Приостановление обработки персональных данных;
• Репутационные потери — потеря доверия клиентов и партнёров.

Особенно опасны случаи, когда компании принуждают контрагентов предоставлять персональные данные руководителя (например, паспорт генерального директора) без законных оснований. Это нарушение ст. 6 Закона № 152-ФЗ и может повлечь административную ответственность.

Исключение

Единственное законное основание для требования персональных данных руководителя — если это прямо предусмотрено законом (например, при регистрации юридического лица в налоговой или при заключении государственного контракта).

Рекомендации для бизнеса

1. Проведите аудит договоров: проверьте, какие ПДн вы собираете и зачем.
2. Включите в шаблоны договоров раздел «Обработка персональных данных» с указанием целей, сроков и ответственности сторон.
3. Не требуйте лишних данных: если для доставки товара достаточно адреса и телефона — не запрашивайте паспорт.
4. Обучите сотрудников: менеджеры по продажам и юристы должны понимать, что можно и нельзя запрашивать у клиентов и контрагентов.
5. Заключайте договоры о передаче ПДн с бухгалтерами, курьерами, IT-провайдерами.
6. Публикуйте политику конфиденциальности на сайте и в договорах — это обязательное требование Закона № 152-ФЗ.

Соблюдение требований законодательства о персональных данных в договорах — это не только вопрос юридической грамотности, но и ключевой элемент доверия между бизнесом и клиентами. Закон позволяет обрабатывать ПДн без согласия, если это необходимо для исполнения договора — но это право не является безграничным. Каждое действие должно быть обоснованным, пропорциональным и прозрачным.

Правильно оформленный договор с чётким описанием целей, сроков и условий обработки персональных данных — это ваша защита от штрафов, претензий и судебных исков. Не превращайте юридические формальности в рутину — сделайте их частью культуры вашей компании.

Помните: персональные данные — это не просто информация. Это права и свободы человека. И ваша задача, уважать их.