Передача персональных данных третьим лицам: что происходит, когда заказ уходит курьерской службе

Когда интернет-магазин отдаёт заказ курьерской службе, данные покупателя не «переходят» к ней вместе с коробкой. В большинстве случаев служба обрабатывает их по поручению магазина: для его цели, в его интересах и на условиях его договора. Часть 3 статьи 6 152-ФЗ разрешает такое поручение с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, и требует, чтобы в договоре были названы перечень данных, перечень действий, цели, обязанность соблюдать конфиденциальность и требования к защите. Ответственность перед покупателем при этом остаётся на магазине.

Проверить бесплатно, какие данные собирает ваш сайт и что обещает посетителю политика ←

Поручение или передача: в чём разница?

Это первая развилка, и от неё зависит всё остальное. Критерий один: в чьих целях получатель обрабатывает данные.

Курьерская служба и пункт выдачи в типовой схеме — обработчики по поручению. Маркетплейс — как правило нет: он обрабатывает данные покупателя и в своих целях тоже, а значит выступает самостоятельным оператором на своём участке. Кто за что отвечает в этой схеме — в статье «Маркетплейс и персональные данные: кто здесь оператор».

Проверить принадлежность к одной из колонок помогает простой вопрос: что подрядчик вправе сделать с данными такого, о чём вы его не просили? Если ничего — он связан вашим поручением, это первая колонка. Если он может добавить получателя в собственную базу, показать ему рекламу или посчитать по нему свою аналитику, — на этом участке он обрабатывает данные в своих целях, и оформлять это надо иначе.

Что обязательно должно быть в договоре поручения?

Часть 3 статьи 6 152-ФЗ называет обязательный минимум. Его нельзя заменить общей фразой про соблюдение законодательства.

1. Перечень персональных данных, которые передаются обработчику. Не «данные клиентов», а конкретно: фамилия и имя, телефон, адрес доставки, состав заказа, сумма к оплате.
2. Перечень действий (операций) с этими данными, которые будет совершать обработчик: получение, хранение, использование для доставки, передача курьеру, уничтожение по завершении.
3. Цели обработки — именно ваши цели, а не абстрактное «оказание услуг».
4. Обязанность соблюдать конфиденциальность персональных данных.
5. Обязанность обеспечивать безопасность данных при обработке.
6. Требования к защите обрабатываемых данных в соответствии со статьёй 19 152-ФЗ.

Закон добавляет к этому прямое правило: лицо, обрабатывающее данные по поручению оператора, обязано соблюдать принципы и правила обработки, предусмотренные 152-ФЗ.

Ещё три условия закон прямо не требует, но без них поручение остаётся бумажным:

• Срок уведомления об инциденте. Обязанность сообщить Роскомнадзору об утечке лежит на вас и отсчитывается от момента выявления — если подрядчик расскажет через неделю, ваши двадцать четыре часа это не продлит.
• Запрет на привлечение субподрядчиков без вашего согласия — иначе цепочка получателей растёт незаметно, а отвечать за неё вам.
• Порядок возврата или уничтожения данных по окончании договора и подтверждение уничтожения.

Отдельно — место хранения данных. Это уже не договорная предосторожность: локализация по части 5 статьи 18 152-ФЗ остаётся вашей обязанностью как оператора, и выполнить её, не зная, где лежит база подрядчика и куда пишутся его резервные копии, нельзя. Поэтому размещение данных и копий на территории России фиксируется в договоре не «по желанию», а как условие исполнимости требования закона; подробнее — в статье «Хранение персональных данных: серверы на территории РФ».

Какие данные курьерской службе действительно нужны?

Основание передачи не отменяет принципа минимизации. Часть 5 статьи 5 152-ФЗ требует, чтобы содержание и объём обрабатываемых данных соответствовали заявленным целям, а избыточность по отношению к этим целям была недопустима.

Последние две строки — типичная избыточность: подрядчику выгружают карточку клиента целиком, потому что так проще настроить интеграцию. Разбор того, что и на каком основании магазин собирает на каждом шаге воронки, — в статье «Персональные данные покупателей интернет-магазина».

Кому ещё магазин передаёт данные, кроме доставки?

Доставка — самый заметный получатель, но редко единственный. Обычный интернет-магазин раздаёт данные покупателя в пять-шесть мест, и по каждому надо отдельно ответить на вопрос из первого раздела: в чьих целях получатель обрабатывает данные. Там, где в ваших, — нужно поручение; там, где в своих, — у получателя должно быть собственное основание.

• CRM и системы поддержки. Получают всё: контакты, историю заказов, переписку. Часто это и есть основная база — тогда вопрос о месте её хранения становится вопросом о локализации.
• Сервисы рассылок. Получают адрес электронной почты и имя. Здесь легко выйти за рамки поручения: рассылка по своей базе для собственного продвижения сервисом — это уже его обработка в своих целях.
• Коллтрекинг и телефония. Получают номер телефона и записи разговоров. Записи разговоров — отдельная категория риска: у них редко определён срок хранения и они часто не упомянуты в политике.
• Бухгалтерский подрядчик. Получает реквизиты операций в первичных документах. Основание здесь другое — обязанность оператора, предусмотренная законом, — но поручение всё равно нужно.
• Аналитика и рекламные системы. Получают идентификаторы и поведение. Для них главный вопрос не поручение, а согласие посетителя до загрузки скрипта.
• Подрядчик по разработке и поддержке сайта. Получает доступ к базе целиком — и именно про него в договорах чаще всего нет ни строчки об обработке персональных данных, потому что договор писали про работы, а не про данные. Начинать ревизию стоит с него.

Простое правило для ревизии: выпишите всех, у кого есть доступ к базе заказов или кому из неё что-то выгружается, и сверьте список с договорами. Список, как правило, оказывается длиннее.

Кто отвечает, если данные утекли у подрядчика?

Ответственность перед покупателем несёт оператор. Часть 5 статьи 6 152-ФЗ формулирует это прямо: за действия лица, которому поручена обработка, перед субъектом персональных данных отвечает оператор. Обработчик отвечает перед оператором — по договору.

Из этого следуют три практических вывода.

• Уведомление регулятора — ваша обязанность. Статья 21 152-ФЗ: не позднее двадцати четырёх часов с момента выявления инцидента оператор сообщает Роскомнадзору о факте, предполагаемых причинах и вреде, о принятых мерах и контактном лице, а не позднее семидесяти двух часов — о результатах внутреннего расследования. Порядок действий разобран в статье «Расследование утечки персональных данных».
• Договор — единственный способ вернуть убытки. Если в нём нет ни требований к защите, ни ответственности обработчика, предъявлять будет нечего.
• Выбор подрядчика — часть ваших мер по статье 19 152-ФЗ. «Мы не знали, что у них всё плохо» — не аргумент, если вы ничего не спрашивали и не проверяли.

Что об этом должно быть написано в политике?

Передача данных подрядчикам — то, что человек вправе узнать. Часть 7 статьи 14 152-ФЗ включает в перечень сведений и лиц, которые имеют доступ к данным или которым данные могут быть раскрыты, и наименование и адрес лица, обрабатывающего данные по поручению оператора. Подробный разбор перечня — в статье «Право субъекта на информацию об операторе».

Что это значит для сайта:

• в политике обработки есть раздел о передаче данных третьим лицам с указанием категорий получателей — службы доставки, платёжные сервисы, сервисы рассылок;
• перечень категорий данных в политике совпадает с тем, что реально собирают формы заказа;
• текст рядом с галочкой согласия не умалчивает о передаче данных для доставки;
• при запросе покупателя вы готовы назвать конкретного подрядчика, а не «наших партнёров».

Расхождение политики и форм — одно из самых частых внешних нарушений, и проверяется оно без всякого запроса: бесплатный скан на rkn-ok.ru показывает, что именно собирают формы вашего сайта и что об этом написано в политике.

Что делать, если доставка идёт за границу?

Тогда к поручению добавляется трансграничная передача. Статья 12 152-ФЗ требует подать в Роскомнадзор отдельное уведомление о намерении такой передачи — до её начала. Дальше многое зависит от страны получателя: перечень стран, обеспечивающих адекватную защиту прав субъектов, утверждён приказом Роскомнадзора №128, и для них порядок проще. Если страна в перечень не входит, уведомления мало: регулятор вправе ограничить или запретить передачу. Порядок и альтернативы разобраны в статье «Трансграничная передача ПДн».

Важно, что поручение и трансграничная передача — независимые требования: оформленный по всем правилам договор с иностранным перевозчиком не заменяет уведомления, а поданное уведомление не заменяет условий поручения.

Чек-лист: что сверить перед подписанием и раз в год после

Состав самого договора — по шести пунктам части 3 статьи 6 152-ФЗ из раздела выше. Отдельно стоит регулярно проверять то, что в договоре не видно:

• Совпадает ли фактическая выгрузка подрядчику с перечнем данных в договоре?
• Появились ли у подрядчика субподрядчики, о которых вы не знали?
• Подтверждал ли он уничтожение данных по завершённым заказам?
• Знаете ли вы, где физически лежат его база и резервные копии?
• Есть ли у вас контакт, по которому он обязан сообщить об инциденте, и за какой срок?

Возврат товара — отдельный круг тех же вопросов: там подрядчик получает данные повторно, а иногда и новые. Разбор — в статье «Возврат товара и персональные данные покупателя».

Что читать дальше

• Персональные данные покупателей интернет-магазина — что собирается на каждом шаге и на каком основании
• Маркетплейс и персональные данные: кто здесь оператор — когда получатель становится самостоятельным оператором
• Право субъекта на информацию об операторе — что придётся рассказать покупателю о подрядчиках

Источники: Федеральный закон №152-ФЗ «О персональных данных» — статьи 5, 6, 12, 14, 18, 19, 21; приказ Роскомнадзора №128. Реестр операторов — pd.rkn.gov.ru.