Обработка персональных данных необходима для исполнения договора стороной которого либо да или нет

Вопрос о том, можно ли обрабатывать персональные данные (ПДн) без согласия субъекта, когда речь идёт об исполнении договора, стоит перед многими организациями – от небольших компаний, работающих с физическими лицами, до крупных корпораций. В этой статье мы разберём, какие требования предъявляет Федеральный закон № 152‑ФЗ «О персональных данных», какие случаи подпадают под исключения из правила получения согласия, и как правильно оформить процесс обработки, чтобы избежать штрафов от Роскомнадзора.

Содержание

1. Законодательная база: статья 6 ФЗ 152‑ФЗ
2. Когда обработка без согласия допускается
3. Обработка ПДн для исполнения договора
4. Требования к согласию и его отозванию
5. Практические примеры
6. Шаблон согласия и пунктов договора
7. Риски и типичные нарушения

Законодательная база: статья 6 ФЗ 152‑ФЗ

Согласно статье 6 закона № 152‑ФЗ от  г. (в редакции от ), обработка персональных данных допускается без отдельного согласия субъекта в следующих случаях:

• Обработка необходима для исполнения договора, стороной которого является субъект ПДн, либо выгодоприобретателем или поручителем по такому договору;
• Обработка требуется для заключения договора по инициативе субъекта ПДн;
• Обработка необходима для выполнения обязанностей оператора, установленных законом или международным договором РФ;
• Другие случаи, прямо предусмотренные законом (например, защита жизни и здоровья и т;п.).

Эти положения «исчерпывающим образом» определяют, когда согласие не требуется; При этом оператор обязан доказать, что обработка действительно необходима для указанных целей.

Когда обработка без согласия допускается

Для практического применения важно различать два уровня необходимости:

1. Необходимость для исполнения уже заключённого договора. Пример: клиент оплатил услугу, и оператору нужны реквизиты для проведения платежа.
2. Необходимость для заключения договора. Пример: потенциальный клиент заполняет форму заявки, и оператор использует полученные данные для подготовки коммерческого предложения.

В обоих случаях обработка считается законной, если:

• Данные собираются строго в объёме, необходимом для достижения цели;
• Субъект информирован о целях обработки (например, в политике конфиденциальности или в договоре);
• Обработка не выходит за рамки, указанные в пункте 6 закона.

Обработка ПДн для исполнения договора

Ключевые требования

• Сторона договора – физическое лицо (физическое лицо‑ИП) должно быть выгодоприобретателем или поручителем по договору.
• Обрабатываемые данные должны быть необходимыми для исполнения обязательств (например, ФИО, паспортные данные, банковские реквизиты, контактный телефон).
• Оператор обязан вести регистр обработки и хранить доказательства необходимости (копии договора, внутренние регистры).

Что считается «необходимым»?

Судебная практика (Гарант.РУ, решения судов 2023‑2025 гг.) показывает, что «необходимость» трактуется сугубо узко. Например, сбор данных о семейном положении или доходах, если они не требуются для выполнения обязательств, считается избыточным и нарушающим закон.

Примеры типовых обязательств

Требования к согласию и его отозванию

Если оператор всё‑же решает получить согласие (например, для маркетинговой рассылки), то согласие должно быть:

• Данным в свободной форме (не принудительно, без скрытых условий);
• Оформленным письменно или в электронном виде с подтверждением (клик «Согласен», цифровая подпись);
• Содержать конкретные цели обработки (перечень целей, сроки, категории получателей);
• Подлежать отзыву в любой момент (пользователь может отозвать согласие без объяснения причин, за исключением случаев, когда обработка обязательна по закону).

Отзыв согласия должен быть оформлен так же просто, как и его получение – например, ссылка «Отозвать согласие» в личном кабинете.

Практические примеры

Пример 1. Оказание услуг ИТ‑поддержки

Компания «ТехСервис» заключает договор с ИП Ивановым на обслуживание компьютеров. Для исполнения договора ей нужны:

• ФИО и ИНН ИП (для выставления счёта);
• Контактный телефон (для связи);
• Адрес места установки техники (для выезда специалистов).

Эти данные обрабатываются без отдельного согласия, потому что они необходимы для исполнения договора. В договоре в пункте 5 «Персональные данные» указано, что оператор будет использовать их только в целях выполнения обязательств.

Пример 2. Приём лома металла

Организация «Металл‑Приём» собирает лома от физических лиц. При сдаче лома клиент подписывает акт, где указываются ФИО, паспортные данные и ИНН (для выдачи чека). Обработка этих данных оправдана пунктом 6 закона, так как клиент является выгодоприобретателем договора (получает денежную компенсацию).

Пример 3. Маркетинговая рассылка

Тот же «ТехСервис» хочет отправлять клиентам новости о новых продуктах. Здесь требуется отдельное согласие, потому что цель не связана с исполнением договора. Без согласия рассылка будет нарушать закон.

Шаблон пункта договора и согласия

Пункт договора «Персональные данные»

Персональные данные

Сторона‑поставщик (именуемая «Оператор») обязуется обрабатывать персональные данные Субъекта (ФИО, паспортные данные, ИНН, контактный телефон, адрес) исключительно в целях исполнения настоящего договора, а именно:
 ⎯ оформление и выставление счетов;
 ⎯ проведение платежей;
 ⎯ доставка и установка товаров/услуг;
 ‒ предоставление отчетных документов.

Оператор не имеет права использовать полученные персональные данные в иных целях без предварительного письменного согласия Субъекта.

Субъект имеет право в любой момент потребовать уточнения, изменения или удаления своих персональных данных, за исключением случаев, когда их обработка необходима для исполнения договора.

Форма согласия (для маркетинга)

Согласие на обработку персональных данных

Я, _________________________ (ФИО), даю согласие ООО «ТехСервис» на обработку моих персональных данных (ФИО, электронная почта, телефон) с целью получения рекламных материалов, новостей о продуктах и акций.

☐ Согласен
☐ Не согласен

Риски и типичные нарушения

• Сбор избыточных данных. Если в договоре указаны данные, не требуемые для исполнения (например, сведения о семье), это считается нарушением.
• Отсутствие информирования. Оператор обязан информировать субъектов о целях обработки (политика конфиденциальности, пункт договора).
• Отсутствие реестра обработки. Неведение реестра может стать основанием для штрафа.
• Неправильное хранение. Доступ к ПДн должен быть ограничен, а хранение – защищено от несанкционированного доступа.
• Отсутствие возможности отзыва согласия. Если согласие получено, но субъект не может отозвать его легко – нарушение прав субъектов.

Штрафы Роскомнадзора за нарушение ФЗ 152‑ФЗ могут достигать 5 млн рублей для юридических лиц и до 500 тыс. рублей для индивидуальных предпринимателей.

Ответ на вопрос «Обработка персональных данных необходима для исполнения договора стороной которого либо да или нет?» однозначен:

• Если субъект ПДн является стороной договора, выгодоприобретателем или поручителем, а данные нужны для исполнения или заключения договора – обработка разрешена без отдельного согласия (статья 6 ФЗ 152‑ФЗ).
• Обработка должна быть ограничена объёмом, необходимым для конкретных обязательств.
• Для целей, не связанных с исполнением договора (маркетинг, аналитика, передача третьим лицам без правовых оснований) необходимо получить явное согласие субъекта.

Для минимизации рисков рекомендуется:

1. Чётко прописывать в договоре пункт о персональных данных;
2. Вести реестр обработки и документировать правовые основания;
3. Обеспечить возможность отзыва согласия и информировать субъектов о их правах;
4. Проводить регулярные аудиты безопасности данных.

Соблюдая эти рекомендации, вы сможете законно использовать персональные данные в рамках исполнения договоров и избежать штрафных санкций со стороны регулятора.

Дата публикации: . Информация актуальна на момент написания и основана на действующем тексте ФЗ 152‑ФЗ (ред. от ) и разъяснениях Роскомнадзора.