Передаёте данные компании исполнителю: как согласовать конфиденциальность в договоре услуг

Дарья Мельникова

Автор статьи, юрист (г. Санкт-Петербург)

Консультант просит выгрузку продаж, бухгалтерская фирма — договоры с клиентами, техническая поддержка — доступ к рабочей системе. Даже добросовестный исполнитель может переслать файл помощнику или сохранить после проекта. Договор должен описывать весь путь информации: от первого доступа до удаления копий.

Разберём передачу непубличных деловых данных между компанией и внешним исполнителем. Примеры условий нужно согласовать под конкретный проект. Для банковской, врачебной и иной охраняемой законом тайны дополнительно проверяют специальные правила.

1. Сначала определите, какие данные действительно нужны для услуги

Начните с задания. Для сравнения рентабельности товарных групп могут хватить сводных цифр без имён покупателей и контактов менеджеров. Передача всей базы увеличивает число мест, где придётся контролировать доступ и удалять копии. Объём информации и разрешённые действия определяйте под задачу.

В задании на оказание услуг удобно связать этапы работы с необходимыми исходными данными. Например: для анализа закупок передаются обезличенная сводка затрат и пять согласованных договоров, для подготовки рекомендаций — утверждённые внутренние регламенты. Если позднее понадобится новый массив, запрос должен объяснять его назначение и круг пользователей.

Проверьте и собственное право раскрывать сведения. В базе могут оказаться документы партнёра, полученные под обязательство не передавать их дальше. Договор с новым исполнителем сам по себе не отменяет прежнее ограничение. До отправки выясните, разрешено ли привлечение такого получателя, нужно ли согласие обладателя и можно ли убрать лишние сведения из копии.

Если секретные сведения нужны ещё для оценки стоимости услуг, обязательство о конфиденциальности оформляют до их передачи. Затем его согласуют с основным договором: проверяют состав сведений, сроки защиты и ответственность, чтобы документы не противоречили друг другу.

2. Разделите договорную конфиденциальность и режим коммерческой тайны

По статье 421 ГК РФ стороны вправе согласовать обязанность беречь определённые непубличные сведения и использовать их только для услуги. Можно охватить финансовые модели, внутренние отчёты, переговорные позиции и планы. Границы обязательства должны быть понятны исполнителю и соответствовать закону.

Для информации о новых решениях и технических знаниях, а также сведений с установленным режимом коммерческой тайны есть статья 727 ГК РФ. Общие положения о подряде применяются к услугам через статью 783, если совместимы с правилами главы об услугах и особенностями её предмета. Поэтому нельзя автоматически считать любую информацию по любому договору услуг защищённой статьёй 727 в одинаковом объёме.

Для договора о предоставлении информации статья 783.1 ГК РФ прямо допускает согласовать на определённый период ограничение действий, которые могут привести к раскрытию сведений третьим лицам.

Режим коммерческой тайны требует предусмотренных Законом № 98-ФЗ мер. По статье 10 это, в частности, перечень защищаемых сведений, правила доступа и его учёт, договорное регулирование и маркировка носителей либо документов с указанием обладателя. Одна фраза «вся информация является коммерческой тайной» в договоре не подтверждает, что компания выполнила эти требования.

Если такого режима у заказчика нет, не описывайте его как уже установленный. Согласуйте самостоятельные договорные обязанности применительно к обозначенным сведениям. Если режим есть, передайте исполнителю применимые правила обращения и согласуйте, как он будет их соблюдать. При этом NDA не делает закрытой информацию, доступ к которой нельзя ограничить по закону.

Нажмите на схему, чтобы увеличить. Затем листайте вбок.Нажмите ещё раз, чтобы уменьшить.

3. Опишите сведения так, чтобы их можно было узнать

Фраза «любая информация о заказчике» плохо помогает решить, можно ли приложить файл к письму или назвать проект в портфолио. Перечислите категории и привяжите их к договору: отчётность за согласованный период, непубличные цены, переговорные позиции, схема информационной системы, выгрузки из реестра передачи.

Охватите бумажные документы, файлы, доступ к системе, демонстрацию экрана и устные объяснения. Для устной передачи предусмотрите обозначение конфиденциальности на встрече и последующее письменное описание раскрытого. Уточните срок подтверждения и действует ли защита до его получения.

Сочетайте определённые категории с маркировкой новых материалов. Например, сведения из перечисленных систем защищаются независимо от метки, дополнительные материалы включаются в перечень через согласованный канал. Это снижает риск спора из-за забытого грифа. Изменения оформляют в предусмотренном договором порядке.

Добавьте исключения: сведения были правомерно известны получателю до передачи; стали общедоступными без нарушения обязательства; получены законно от независимого источника без ограничения; самостоятельно разработаны без использования материалов заказчика. Укажите, что получатель подтверждает обстоятельства, на которые ссылается. Сам факт наличия похожих цифр в интернете ещё не делает открытым весь внутренний отчёт.

4. Зафиксируйте передачу и настройте доступ под задачу

При споре важно показать, что именно получил исполнитель, когда и через какой канал. Для бумажных документов подойдёт опись; для файлов — реестр с наименованиями, версиями, датами и способом передачи. Для доступа в систему фиксируют учётную запись, разрешённые разделы, набор действий и срок. Пароли в общую опись не включают: их передают отдельно безопасным способом.

В качестве основы можно использовать перечень передаваемой документации, дополнив его полями для электронных материалов и доступа. Запись «передана бухгалтерия» малоинформативна. Лучше указать конкретный архив, отчётный период, состав папок и дату версии; для большой выгрузки пригодится контрольная сумма файла, если стороны умеют её проверять.

Отдельно обсудите инструменты автоматической обработки: распознавание документов, переводчики, чат-боты и сервисы искусственного интеллекта. Загрузка файла во внешний сервис может означать предоставление доступа ещё одному лицу. Согласуйте допустимые инструменты и ограничения заранее; указания «не публиковать» недостаточно для контроля такой передачи.

Назначьте лиц, которые согласуют новые массивы и каналы, перечислите их корпоративные адреса. Изменения оформляют в форме, предусмотренной договором и законом. Сообщение рядового участника проекта «отправляйте куда удобно» не должно подменять согласование уполномоченного лица.

5. Разведите доступ работников и привлечение соисполнителей

По статье 780 ГК РФ услуги оказываются лично, если стороны не договорились иначе. Для исполнителя-организации это не означает запрет выполнять работу силами собственных работников. Но приглашение другой компании или самостоятельного специалиста требует проверки условий о привлечении третьих лиц. Одновременно нужно решить вопрос о раскрытии им информации: разрешение привлечь помощника ещё не определяет, какие данные можно ему открыть.

В договоре оказания консультационных услуг можно выбрать порядок привлечения третьих лиц. Затем его следует согласовать с разделом о конфиденциальности. Противоречие между «исполнитель вправе свободно привлекать соисполнителей» и «доступ любым третьим лицам запрещён» создаёт ненужный спор в момент, когда работа уже началась.

Для работников исполнителя предусмотрите доступ по необходимости, обязанности о неразглашении и отключение при смене задач или увольнении. Обычно достаточно согласованных ролей, руководителя и актуального списка допущенных к чувствительным массивам лиц; собирать данные обо всём штате не нужно.

По статье 403 ГК РФ должник обычно отвечает за ненадлежащее исполнение привлечёнными им лицами, если закон не устанавливает иное. Проверьте исключения в общих условиях и приложениях. Прямое требование заказчика к соисполнителю не возникает автоматически из соглашения заказчика с основным исполнителем.

Нажмите на схему, чтобы увеличить. Затем листайте вбок.Нажмите ещё раз, чтобы уменьшить.

6. Ограничьте использование вне проекта и предусмотрите обязательное раскрытие

Ограничьте цель использования. Исполнитель может никому не отправить файл, но применить цены заказчика в работе для конкурента. Укажите: материалы используются только для согласованных услуг; включение в другие проекты, обучающие наборы и базы для иных клиентов требует отдельного разрешения.

Отдельно согласуйте портфолио. Разрешение назвать клиента не означает разрешения публиковать логотип, скриншоты системы и показатели из внутреннего отчёта. Определите допустимый состав публикации и лицо, которое её согласует. Для чувствительных материалов предусмотрите явное разрешение.

Когда предметом договора является предоставление информационного материала, исходные данные заказчика и итоговый результат могут иметь разный режим использования. В договоре на оказание информационных услуг стоит отдельно описать, кому можно передать готовый обзор, что разрешено цитировать и какие сведения заказчика должны быть исключены из распространяемой версии.

В договоре нельзя перекрывать законное раскрытие суду или компетентному органу. Предусмотрите исключение для обязательной передачи на законном основании: исполнитель проверяет требование, раскрывает необходимый объём, сохраняет подтверждения и, если это допустимо, заранее уведомляет заказчика. Не устанавливайте обязанность получить согласие заказчика там, где закон требует исполнить запрос независимо от такого согласия.

7. Если передаются данные людей, добавьте поручение на обработку

Контакты покупателей, сведения о сотрудниках, обращения пользователей и другие данные, относящиеся к определённому или определяемому человеку, требуют отдельной проверки по Закону № 152-ФЗ. Договорная конфиденциальность не создаёт законного основания обработки и не заменяет согласие там, где оно необходимо. Сначала определите роли: исполнитель действует по поручению заказчика либо сам устанавливает цели обработки и выступает самостоятельным оператором.

Если обработка поручается исполнителю, часть 3 статьи 6 Закона № 152-ФЗ требует договорного оформления и, по общему правилу, согласия субъекта на поручение, если федеральный закон не предусматривает иное. В поручении определяют данные, операции, цели, конфиденциальность, требования по частям 5 статьи 18 и статье 18.1, защите по статье 19, предоставлению подтверждающих документов и уведомлению об инцидентах. Эти условия можно включить в отдельное приложение.

Для бухгалтерского сопровождения полезно увязать договор оказания бухгалтерских услуг с перечнем передаваемых кадровых и расчётных сведений. Не нужно автоматически открывать исполнителю все личные документы сотрудников только потому, что он считает зарплату. Состав данных, операции и круг доступа определяют под порученную функцию.

Дополнительно проверяют требования к размещению баз и трансграничной передаче, основания хранения и внешние платформы. Один файл может подпадать под несколько режимов; условие о коммерческой тайне не снимает обязанностей в отношении персональных данных.

8. Установите порядок действий при утечке или ошибочном доступе

Сообщение об инциденте нужно получить до того, как закончится расследование. Иначе исполнитель может несколько дней выяснять, кто открыл ссылку, пока заказчик не знает о риске. Опишите события для уведомления: отправка не тому адресату, потеря носителя, публичная ссылка, обнаруженный посторонний доступ, компрометация учётной записи. Подозрение можно обозначить отдельно от подтверждённого нарушения.

Первое сообщение должно содержать известные сведения: время обнаружения, затронутую систему или файл, возможных получателей, принятые меры и контакт специалиста. Сохраните необходимые журналы и переписку; неизвестные обстоятельства уточняют позднее. Четыре часа в примере ниже — договорный срок, а не универсальное требование закона.

Для определённых инцидентов с персональными данными действует отдельный порядок. Часть 3.1 статьи 21 Закона № 152-ФЗ предусматривает уведомление Роскомнадзора в течение 24 часов и сообщение результатов внутреннего расследования в течение 72 часов. Оба срока отсчитываются от момента выявления указанного в законе инцидента, а не один за другим. Речь о неправомерной или случайной передаче либо доступе, повлёкших нарушение прав субъектов.

В схеме поручения исполнитель оперативно сообщает оператору; обязанности оператора перед органом не заменяются внутренним письмом исполнителя. Именно поэтому договорной срок оповещения обычно нужен короче внешнего срока. Для обычных деловых данных без персональных сведений эти 24 и 72 часа автоматически не применяются.

Нажмите на схему, чтобы увеличить. Затем листайте вбок.Нажмите ещё раз, чтобы уменьшить.

9. Договоритесь о возврате, удалении и оставленных копиях

Закрытие проекта должно прекращать не только оказание услуги, но и лишний доступ к данным. Укажите события: завершение соответствующего этапа, прекращение договора, замена работника, письменное требование заказчика. Для каждого определите действия и срок: остановить использование, выгрузить заказчику результат, вернуть носители, удалить рабочие копии и подтвердить исполнение.

Безоговорочное обещание «удалить все копии немедленно» часто не учитывает резервное копирование и обязательное хранение документов. Разделите рабочие экземпляры, резервные копии и материалы, которые исполнитель обязан оставить на определённом правовом основании. Для оставленного укажите состав, основание, срок, ограничение доступа и запрет использования в новых проектах.

Для резервных копий согласуют технический цикл удаления или перезаписи, изоляцию и запрет восстановления в рабочую среду, кроме необходимых процедур восстановления. После восстановления правила удаления применяют снова. Но техническая политика поставщика не вправе отменить обязательные требования к персональным данным: порядок и сроки в таком случае сверяют, в частности, со статьёй 21 Закона № 152-ФЗ.

В подтверждении закрытия перечисляют отключённые записи, обработанные папки и носители, оставленные копии, основание и срок их хранения. Можно предусмотреть разумные подтверждения без доступа к данным других клиентов исполнителя. Формула «претензий нет» в акте услуг этого не заменяет.

Заказчик со своей стороны отключает выданные учётные записи, отменяет общие ссылки, меняет известные исполнителю секреты доступа и проверяет интеграции. Одного письма «всё удалено» недостаточно, если технический доступ по-прежнему активен. Контроль этой части стоит закрепить за конкретным сотрудником заказчика.

10. Согласуйте срок защиты и ответственность за понятные нарушения

Раздел о конфиденциальности должен отвечать, когда обязанности возникают и как долго сохраняются после прекращения услуг. Для обычных деловых сведений стороны могут выбрать определённый срок, например три года после прекращения договора, либо увязать защиту с сохранением непубличного характера. Это договорный выбор, а не установленный для всех услуг срок.

Отдельно сохраните предусмотренные законом обязанности, для которых истечение выбранного срока не служит разрешением раскрыть сведения. Не пишите, что через три года исполнитель вправе свободно передать клиентскую базу: в ней могут сохраняться персональные данные и информация с действующим специальным режимом. Укажите также, какие обязательства о возврате, расследовании и подтверждении удаления переживают прекращение договора.

Убытки от разглашения бывает трудно связать с конкретной передачей и посчитать. По статье 330 ГК РФ можно установить неустойку; для её взыскания не требуется доказывать возникновение убытков. Однако остаются необходимыми основание требования, факт нарушения и применимость ответственности. Само наличие штрафа не доказывает, что именно этот исполнитель раскрыл именно эти данные.

Опишите событие для расчёта. «За каждый факт разглашения» может вызвать спор: одно письмо с десятью файлами считается одним случаем или десятью? Лучше согласовать критерий, например одно действие по передаче неуполномоченному получателю или размещение одного массива в открытом доступе. Нарушение срока уведомления и нарушение срока удаления можно выделить отдельно, исключив неясное многократное начисление за один эпизод.

Размер штрафа соотносят с ценностью данных, масштабом доступа и возможными последствиями. По статье 333 ГК РФ суд вправе снизить неустойку при предусмотренных законом основаниях; для предпринимательского нарушения требуется заявление должника.

Проверьте соотношение неустойки и убытков. По общему правилу статьи 394 ГК РФ убытки покрываются в части сверх неустойки; иной вариант нужно согласовать в допустимых законом пределах. Если в общей части договора ответственность ограничена месячной оплатой, решите, распространяется ли этот предел на разглашение. Заранее исключать или ограничивать ответственность за умышленное нарушение нельзя: пункт 4 статьи 401 ГК РФ признаёт такое соглашение ничтожным.

Для претензии сохраните договор и приложения, подтверждение передачи, журналы доступа, сообщение о раскрытии, сведения о получателях и последствиях. Разделяйте установленные факты и предположения. Укажите обоснованные требования: прекратить раскрытие, удалить копии, сообщить результаты проверки, выплатить причитающуюся сумму.

Конструктор договора оказания услугОснова для согласования услуг, доступа к данным и конфиденциальностиШаблон

11. Проверьте договор перед открытием доступа

До первой передачи сопоставьте раздел о конфиденциальности с заданием, правилами привлечения соисполнителей, условиями внешних сервисов и прекращения договора. Проверьте следующие пункты.

• Состав сведений и цель доступа понятны исполнителю; лишние данные исключены.
• Есть законное основание передачи и учтены ограничения прежних договоров.
• Определены разрешённые люди, соисполнители, каналы и внешние инструменты.
• Выбран способ фиксировать передачу файлов и выдачу доступа.
• Согласованы первое уведомление об инциденте, контакты и сохранение доказательств.
• Описаны возврат, удаление, резервные копии и допустимое хранение остатка.
• Срок защиты и ответственность не противоречат другим условиям договора.
• При необходимости отдельно оформлено поручение на обработку персональных данных.

Источники

• Статья 421 ГК РФ — свобода договора
• Статья 727 ГК РФ — конфиденциальность полученной информации
• Статья 783 ГК РФ — применение правил о подряде к услугам
• Статья 783.1 ГК РФ — услуги по предоставлению информации
• Статья 780 ГК РФ — исполнение договора услуг
• Статья 403 ГК РФ — ответственность за привлечённых лиц
• Статья 10 Закона № 98-ФЗ — меры охраны коммерческой тайны
• Статья 6 Закона № 152-ФЗ — условия обработки и поручение
• Статья 21 Закона № 152-ФЗ — инциденты и уничтожение данных
• Статья 330 ГК РФ — договорная неустойка
• Статья 333 ГК РФ — уменьшение неустойки
• Статья 394 ГК РФ — соотношение убытков и неустойки
• Статья 401 ГК РФ — основания и пределы ответственности