Если обработка персональных данных производится организацией по поручению оператора персональных данных, применению подлежит ч. 3 ст. 6 Федеральный закон от 27.07.2006 № 152-ФЗ:
«Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора, в том числе государственного или муниципального контракта, либо путем принятия государственным органом или муниципальным органом соответствующего акта (далее — поручение оператора). Лицо, осуществляющее обработку персональных данных по поручению оператора, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные настоящим Федеральным законом, соблюдать конфиденциальность персональных данных, принимать необходимые меры, направленные на обеспечение выполнения обязанностей, предусмотренных настоящим Федеральным законом. В поручении оператора должны быть определены перечень персональных данных, перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, цели их обработки, должна быть установлена обязанность такого лица соблюдать конфиденциальность персональных данных, требования, предусмотренные частью 5 статьи 18 и статьей 18.1 настоящего Федерального закона, обязанность по запросу оператора персональных данных в течение срока действия поручения оператора, в том числе до обработки персональных данных, предоставлять документы и иную информацию, подтверждающие принятие мер и соблюдение в целях исполнения поручения оператора требований, установленных в соответствии с настоящей статьей, обязанность обеспечивать безопасность персональных данных при их обработке, а также должны быть указаны требования к защите обрабатываемых персональных данных в соответствии со статьей 19 настоящего Федерального закона, в том числе требование об уведомлении оператора о случаях, предусмотренных частью 3.1 статьи 21 настоящего Федерального закона».
Исполнитель поручения в такой ситуации не приобретает статуса самостоятельного оператора. Это дополнительно подчеркивается в п. 1 Постановления Правительства РФ от 29.06.2021 № 1046:
«Под оператором понимается контролируемое лицо, самостоятельно или совместно с другими контролируемыми лицами организующее и (или) осуществляющее обработку персональных данных, в том числе на основании поручения, а также определяющее цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными».
То есть, несмотря на физическую обработку персональных данных третьим лицом, оператором ПД остается доверитель.
Поручение оформляется специальным документом. Лицу, исполняющему поручение, отдельное согласие субъекта персональных данных не требуется. Надлежащее оформление сводится к заключению договора с указанием сведений, поименованных в законе № 152-ФЗ и согласия на обработку и передачу персональных данных, выданного субъектом ПД непосредственному оператору. Исполнение поручения закрывается отчетом исполнителя.
Документ: ч. 3 ст. 6 Федеральный закон от 27.07.2006 № 152-ФЗ, в п. 1 Постановления Правительства РФ от 29.06.2021 № 1046
