Поручение и передача персональных данных: где грань?

В работе НКО постоянно приходится делиться персональными данными - с банками, бухгалтерией, сервисами рассылок, грантодателями. Но есть важный нюанс: не всякая «передача» данных одинаковая с точки зрения закона. Иногда это поручение, иногда - именно передача.

🖊️ Поручение на обработку ПДн (ч. 3 ст. 6 Закона «О персональных данных»)
Суть: организация остается оператором данных и нанимает подрядчика, чтобы тот сделал часть работы с информацией в интересах самой организации. Подрядчик ничего не придумывает сам, он действует строго по вашим инструкциям.
Примеры для НКО:
☑ облачный сервис хранит базу благополучателей,
☑ бухгалтерия на аутсорсе считает зарплаты,
☑ сервис рассылок отправляет письма вашим подписчикам.
В этих случаях именно НКО определяет, какие данные собирать и зачем, а подрядчик лишь помогает (берет какую-то часть работы с ПДн на себя).
❗ Важный момент: если подрядчик хочет привлечь кого-то еще (субпоручение) - это возможно только с вашего разрешения и с отдельным прописанным условием.

🖊️ Передача ПДн (ч. 1 ст. 6 Закона «О персональных данных»)
Здесь ситуация иная: данные вы отдаете другому лицу, и оно начинает использовать их для своих целей. Такое лицо становится самостоятельным оператором.
Примеры:
☑ банк получает данные сотрудника, чтобы открыть ему зарплатную карту,
☑ грантодатель получает перечень привлекаемых для реализации гранта специалистов.
Разница тонкая, но принципиальная: при поручении подрядчик помогает вам, при передаче - работает уже для себя.

🖊️ Где чаще всего ошибаются:
📎 В договоре с подрядчиком не прописали условия поручения → Роскомнадзор квалифицирует это как неправомерную передачу.
📎 Согласие человека не охватывает факт передачи его данных «третьим лицам» → снова нарушение.

🖊️ Для НКО - как действовать на практике
☑ Разделите потоки данных: где подрядчик работает «по поручению», а где вы действительно «передаете» информацию.
☑ Договоры поручения на обработку ПДн: пропишите цели, действия, меры защиты, условия возврата/уничтожения данных.
☑ Согласия: проверьте, чтобы в них были указаны лица-обработчики (если требуется), а при передаче третьим лицам - четкое основание.
☑ Минимизируйте: отдавайте только то, что реально нужно для цели.

Простая проверка:
«Кто решает, зачем нужны данные?» - если вы → поручение, а если другое лицо → передача.