Генератор152ФЗ · Журнал
АналитикаПоручение обработки персональных данных: правовая конструкция части 3 статьи 6 Федерального закона «О персональных данных»
В грамматическом и системном измерении
Аннотация
Проанализирована правовая конструкция поручения обработки персональных данных по ч. 3 ст. 6 152-ФЗ (ред. от 24.06.2025). Методом грамматического и системного толкования установлено наличие четырёх самостоятельных альтернативных оснований поручения. Исследовано соотношение согласия субъекта, указания федерального закона, договора и властного акта. Подтверждена системная связь ч. 3 ст. 6 с п. 9 ч. 7 ст. 14 Закона. Сформулирован вывод об альтернативности оснований и отсутствии обязанности их совокупного применения.
Ключевые слова: персональные данные, поручение оператора, обработка персональных данных, согласие субъекта, федеральный закон, договор на обработку, акт государственного органа, грамматическое толкование, системное толкование, Единая биометрическая система.
Abstract
Abstract. The legal construction of entrusting personal data processing under Part 3 of Article 6 of Federal Law No. 152-FZ (as amended on 24.06.2025) was analysed. By grammatical and systemic interpretation, four independent alternative grounds for entrustment were established. The relationship between the data subject's consent, federal law, contract, and act of a public authority was examined. The systemic link between Part 3 of Article 6 and paragraph 9 of Part 7 of Article 14 of the Law was confirmed. A conclusion was formulated on the alternative nature of the grounds and the absence of an obligation to apply them jointly.
Keywords: personal data, operator’s entrustment, personal data processing, subject’s consent, federal law, processing contract, act of a state body, grammatical interpretation, systemic interpretation, Unified Biometric System.
Введение
Институт поручения обработки персональных данных другому лицу является одним из наиболее востребованных в правоприменительной деятельности. Операторы всех форм собственности и организационно-правовых форм регулярно привлекают сторонние организации для ведения бухгалтерского и кадрового учёта, IT-обслуживания, обеспечения пропускного режима, облачной обработки данных. Востребованность поручения делает критически важным ясное и непротиворечивое понимание его правовой конструкции, закреплённой в ч. 3 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон).
Несмотря на внешнюю простоту, данная норма допускает различные прочтения. В настоящей статье предпринята попытка установить истинное содержание ч. 3 ст. 6 Закона исключительно на основании грамматического и системного толкования, а также с привлечением примеров из специального законодательства, где поручение реализуется на различных основаниях. Цель работы – доказать, что конструкция поручения строится на четырёх альтернативных и самостоятельных основаниях, каждое из которых является достаточным для правомерного поручения обработки персональных данных другому лицу.
Предварительное уточнение о природе поручения
Предварительно следует сделать важное уточнение о природе поручения. Поручение оператора, вопреки распространённому заблуждению, не является действием (операцией) с персональными данными – оно отсутствует в перечне действий, приведённом в ст. 3 Закона (сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение). Поручение – это право оператора организовать (обеспечить) обработку персональных данных силами третьего лица на одном из предусмотренных законом оснований. Такое понимание принципиально, поскольку смещение акцентов на «действие» порождает ошибочные требования о необходимости согласия на само поручение как на отдельную операцию, тогда как закон требует согласия лишь на определённые действия (например, на передачу), но не на сам факт привлечения обработчика.
1. Текст нормы и его грамматический анализ
Приведём полный текст ч. 3 ст. 6 Закона (в редакции от 24.06.2025, действующей на момент подготовки статьи):
«3. Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора, в том числе государственного или муниципального контракта, либо путём принятия государственным органом или муниципальным органом соответствующего акта (далее – поручение оператора).»
Грамматически данное предложение представляет собой сложную синтаксическую конструкцию, где главное сказуемое «вправе поручить» распространяется на несколько обстоятельств, объединённых однородными отношениями.
Вычленим элементы, отделённые друг от друга запятыми и союзами:
- «с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом» – обстоятельство образа действия (условие);
- «на основании заключаемого с этим лицом договора, в том числе государственного или муниципального контракта» – обстоятельство основания;
- «либо путём принятия государственным органом или муниципальным органом соответствующего акта» – обстоятельство основания (альтернативное второму).
Союз «либо» соединяет элементы 2 и 3, указывая на их альтернативность. Отсутствие союза «и» между элементом 1 и элементами 2–3 свидетельствует о том, что законодатель не связывал согласие субъекта и договор/акт в одну обязательную совокупность.
При последовательном чтении конструкция раскрывает перечень четырёх самостоятельных юридических составов, которые в равной степени наделяют оператора правом поручить обработку. «Согласие субъекта» не является обязательным дополнением к договору или акту; договор или акт сами по себе, при наличии соответствующего федерального закона (в случае акта – он сам и есть такое предписание) или даже без оговорки о законе, могут служить самостоятельным основанием.
2. Четыре самостоятельных основания поручения
Из грамматической структуры вытекают следующие четыре случая (основания), при наличии каждого из которых оператор вправе поручить обработку.
2.1. Поручение с согласия субъекта персональных данных
Этот случай реализуется, когда оператор получил от субъекта добровольное, конкретное, информированное и однозначное согласие на поручение обработки конкретному лицу, что закреплено в требованиях к содержанию согласия, в том числе п. 6 ч. 4 ст. 9 Закона. В случае если изначально в согласии на обработку не указано конкретное лицо, то согласие на поручение другому лицу обработки персональных данных должно быть оформлено отдельным документом. Здесь не требуется дополнительного федерального закона – согласие является самодостаточным основанием.
2.2. Поручение, когда иное предусмотрено федеральным законом (поручение без согласия в силу прямого указания закона)
Фраза «если иное не предусмотрено федеральным законом» относится к предшествующему «с согласия субъекта». Её смысл: по умолчанию согласие нужно, но если федеральный закон устанавливает иное (т.е. допускает поручение без согласия субъекта), то действует закон, а не требование согласия. Иные федеральные законы могут прямо или косвенно возлагать на оператора обязанность поручить обработку третьему лицу либо разрешать это без получения отдельного согласия субъекта.
Пример 1. В соответствии с Федеральным законом от 10.01.2003 № 20-ФЗ «О Государственной автоматизированной системе Российской Федерации "Выборы"» персональные данные передаются избирательными комиссиями (самостоятельными юридическими лицами, выступающими в этом смысле самостоятельными операторами) в ГАС «Выборы» без какого-либо согласия субъекта. Закон прямо предписывает такой порядок, и поручение обработки (по сути – передача данных для обработки в рамках системы) осуществляется именно в силу федерального закона, а не на основании согласия граждан.
Пример 2. Федеральным законом от 29.12.2022 № 572-ФЗ установлена обязанность разместить биометрические персональные данные в Единой биометрической системе (ЕБС). Если установленные субъекты не разместили данные, они обязаны их уничтожить. Фактически закон определил, что оператор самостоятельно не может осуществлять обработку некоторых биометрических персональных данных – размещение в ЕБС выполняется на основании поручения на обработку персональных данных. При этом в случае с № 572-ФЗ присутствует обязательное согласие, но не на поручение, а на размещение и обработку персональных данных в Единой системе идентификации и аутентификации и биометрических персональных данных в ЕБС, в том числе на передачу векторов ЕБС. Данный закон лишает оператора возможности самостоятельно обрабатывать некоторые биометрические персональные данные, предписывая фактически поручить обработку другому лицу в соответствии с федеральным законом.
2.3. Поручение на основании договора (контракта) с обработчиком
Данная формулировка означает, что сам по себе договор, заключённый оператором с лицом, которому поручается обработка, является самостоятельным правовым основанием для поручения. Не требуется ни согласия субъекта, ни дополнительного акта, ни отсылки к иному федеральному закону – достаточно заключить договор (в том числе государственный или муниципальный контракт) с соблюдением требований к его содержанию (перечень данных, перечень действий, цели обработки, обязанности по конфиденциальности и безопасности). Иное толкование лишало бы слова «на основании заключаемого … договора» самостоятельного значения. Законодатель намеренно поставил договор в один ряд с согласием и актом как равнозначный юридический титул. Это наиболее востребованное основание в коммерческой и бюджетной сферах.
2.4. Поручение путём принятия акта государственным или муниципальным органом
Государственный или муниципальный орган как оператор может установить поручение обработки другому лицу (например, подведомственному учреждению) не договором, а своим властным актом. По буквальному смыслу – поручение оформляется актом, который для оператора и лица, осуществляющего обработку по поручению оператора, является самостоятельным основанием: акт заменяет и согласие субъекта, и договор.
Пример. Распоряжение Губернатора Московской области от 29.12.2025 № 786-РГ «Об образовании призывных комиссий в Московской области» – акт государственного органа. В соответствии с ним военные комиссариаты будут обрабатывать персональные данные членов призывной комиссии. Данное распоряжение рассматривается операторами (работодателями субъектов, перечисленных в распоряжении) как поручение соответствующим военным комиссариатам осуществлять обработку персональных данных, обеспечивая работу призывных комиссий. Это подтверждается, в частности, сведениями из реестра операторов (регистрационный номер 77-17-008246). Здесь поручение возникает не из договора и не из согласия членов комиссии, а из властного акта губернатора.
3. Системная связь с ч. 7 ст. 14 Закона
Пункт 9 ч. 7 ст. 14 Закона устанавливает право субъекта персональных данных на получение от оператора информации, включающей:
«9) наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка поручена или будет поручена такому лицу».
Важнейшая особенность: субъект имеет право узнать об обработчике вне зависимости от того, давал ли он согласие на поручение. Если бы согласие субъекта было необходимым условием любого поручения, то в большинстве случаев субъект уже знал бы об обработчике (поскольку давал согласие именно ему или на передачу неопределённому кругу). Законодатель, вводя безусловное право на получение информации об обработчике, исходил из того, что поручение может быть дано без согласия субъекта – и тогда только через запрос у оператора субъект сможет узнать, кто обрабатывает его данные.
Таким образом, п. 9 ч. 7 ст. 14 косвенно, но неопровержимо подтверждает существование поручений, осуществляемых на иных основаниях, помимо согласия – в частности, на основании договора или акта, а также в силу федерального закона.
4. Отсутствие каких-либо обязательных совокупных требований
Из анализа не следует, что согласие субъекта и договор (или акт) должны присутствовать одновременно. Закон не содержит слов «и», «совместно», «одновременно» либо иных указаний на необходимость сочетания нескольких оснований. Напротив, разделительная конструкция «с согласия … на основании … либо путём …» при отсутствии союза «и» между первым и последующими элементами однозначно указывает на альтернативу.
Следовательно, распространённое в некоторых комментариях мнение о том, что для поручения всегда нужно «согласие + договор», не имеет опоры в тексте закона. Такой вывод может быть результатом смешения двух разных требований: к законности обработки (ст. 6) и к поручению. Но законность обработки сама по себе может обеспечиваться иными основаниями, не требующими согласия (п. 2–11 ч. 1 ст. 6). И если обработка законна без согласия, то и поручение такой обработки может быть дано без согласия, на одном из альтернативных оснований – договоре или акте.
Резюмируя, законодатель в ч. 3 ст. 6 Закона установил следующие альтернативы для возникновения у оператора права поручить обработку персональных данных другому лицу:
- с согласия субъекта;
- по закону (когда «иное предусмотрено федеральным законом»);
- в соответствии с договором (контрактом);
- на основании акта государственного (муниципального) органа.
Каждое из этих оснований является самостоятельным и достаточным.
Заключение
На основании грамматического и системного толкования ч. 3 ст. 6 Федерального закона «О персональных данных» (ред. от 24.06.2025), а также с учётом практических примеров из специального законодательства следует сделать следующие выводы.
Поручение обработки персональных данных не является действием (операцией) с персональными данными в смысле ст. 3 Закона. Это право оператора организовать (обеспечить) обработку силами третьего лица на одном из предусмотренных законом основаниях.
Оператор вправе поручить обработку персональных данных другому лицу при наличии любого из четырёх альтернативных оснований:
- получено согласие субъекта персональных данных;
- федеральный закон предусматривает иное (т.е. допускает поручение без согласия);
- заключён договор (контракт) с обработчиком;
- государственным или муниципальным органом принят соответствующий акт.
Ни одно из указанных оснований не требует обязательного дополнения другим. В частности, договор с обработчиком является самостоятельным и достаточным основанием для поручения, даже при отсутствии согласия субъекта (при условии, что сама обработка данных оператором законна по иному основанию, например по п. 5 ч. 1 ст. 6 – исполнение договора с субъектом). При этом поручение должно быть оформлено письменно и содержать все необходимые элементы (перечень данных, действий, целей и т.д.), как того требует ч. 3 ст. 6.
Пункт 9 ч. 7 ст. 14 Закона, предоставляя субъекту безусловное право знать об обработчике, подтверждает законодательное признание поручений, даваемых без согласия субъекта.
Иное толкование, требующее всегда сочетать согласие субъекта и договор, не основано на букве закона и не должно применяться.
Предложенное понимание правовой конструкции поручения позволяет операторам использовать все предусмотренные законом гибкие механизмы привлечения третьих лиц к обработке персональных данных, не возлагая на себя избыточных и не предусмотренных законом обязательств по получению согласия в случаях, когда закон этого не требует. Особенно это актуально для государственных и муниципальных органов, где поручение нередко оформляется властным актом, а также для ситуаций, когда федеральный закон прямо обязывает оператора передать данные для обработки в специализированную информационную систему.
Список литературы
- Федеральный закон от 27.07.2006 № 152-ФЗ (ред. от 24.06.2025) «О персональных данных» // Доступ из справ.-правовой системы «КонсультантПлюс».
- Федеральный закон от 10.01.2003 № 20-ФЗ «О Государственной автоматизированной системе Российской Федерации "Выборы"» (ред. от 23.03.2025) // Доступ из справ.-правовой системы «КонсультантПлюс».
- Федеральный закон от 29.12.2022 № 572-ФЗ «Об осуществлении идентификации и (или) аутентификации физических лиц с использованием биометрических персональных данных, о внесении изменений в отдельные законодательные акты Российской Федерации и признании утратившими силу отдельных положений законодательных актов Российской Федерации» (ред. от 28.12.2024) // Доступ из справ.-правовой системы «КонсультантПлюс».
- Распоряжение Губернатора Московской области от 29.12.2025 № 786-РГ «Об образовании призывных комиссий в Московской области» // Официальный интернет-портал Правительства Московской области.
- Реестр операторов, осуществляющих обработку персональных данных // Официальный сайт Роскомнадзора. – URL: https://pd.rkn.gov.ru/ (дата обращения: 12.05.2026).