Когда нужна лицензия и чем она отличается от других договоров

По п. 1 ст. 1235 ГК РФ лицензиар предоставляет лицензиату право использовать результат интеллектуальной деятельности или средство индивидуализации в предусмотренных договором пределах. Способ использования, который прямо не указан, не считается предоставленным.

Лицензионный договор нужен, когда правообладатель сохраняет исключительное право, но разрешает другой стороне определенное использование. Если бизнес должен получить исключительное право целиком и распоряжаться им от собственного имени, следует проверить договор отчуждения (ст. 1234 ГК РФ) и страницу услуги «Договор отчуждения исключительных прав». Если произведение еще предстоит создать, проверьте применимость авторского заказа по статье 1288 ГК РФ. Такой договор должен связать создание, приемку и права; для его подготовки есть услуга «Договор авторского заказа».

Стороны и документы о правах

Право распоряжаться исключительным правом принадлежит правообладателю. Это следует из ст. 1233 ГК РФ. Поэтому до подписания важны не только реквизиты лицензиара, но и происхождение прав на конкретный объект.

Если результат создал работник, исключительное право может принадлежать работодателю при выполнении условий о служебном произведении. Пункт 2 ст. 1295 ГК РФ связывает этот вывод с созданием произведения в пределах трудовых обязанностей. Та же норма предусматривает последствия, если работодатель в течение трех лет со дня предоставления произведения в его распоряжение не начнет использование, не передаст право и не сообщит о сохранении произведения в тайне. Одной записи «дизайнер» в штатном расписании может быть недостаточно: нужны трудовая функция, задание, дата передачи результата и доказательства действий работодателя.

Если объект создавал подрядчик, нужно изучить его договор, акты, техническое задание и условия о правах. Оплата работы сама по себе не доказывает распоряжение исключительным правом: переход или предоставление права должны следовать из применимой договорной конструкции (ст. 1229 и ст. 1233 ГК РФ). Если в цепочке несколько авторов, студия, агентство и конечный правообладатель, проверяется каждый переход.

Как точно описать объект лицензии

По договору должно быть понятно, какой объект предоставлен и к какой версии относятся разрешения. Пункт 6 ст. 1235 ГК РФ требует определить предмет договора указанием на результат интеллектуальной деятельности или средство индивидуализации, а в надлежащих случаях - номер документа, удостоверяющего исключительное право.

Общее название продукта подходит только тогда, когда стороны одинаково могут установить его состав. Для изменяемого цифрового объекта лучше указать версию, репозиторий, контрольную сумму, перечень модулей или ссылку на неизменяемое приложение, а также определить порядок включения обновлений.

Исключительная и неисключительная лицензия

Статья 1236 ГК РФ различает простую и исключительную лицензии. При простой лицензии лицензиар сохраняет право выдавать лицензии другим лицам. При исключительной - не сохраняет его в предоставленных пределах. Если договор не говорит иное, лицензия предполагается простой.

Исключительность действует не «на объект вообще», а в согласованных пределах. Например, один лицензиат получает исключительное право распространять русскую версию программы в России, а другой - неисключительное право использовать англоязычную версию внутри своей группы. Возможность такого разделения зависит от того, насколько точно описаны объект, способы, территория и срок.

Способы использования, территория и срок

Лицензиат вправе делать только то, что разрешено договором (п. 1 ст. 1235 ГК РФ). Для произведений перечень способов связан со ст. 1270 ГК РФ, но его нельзя переносить в договор без связи с деловой моделью. Установка программы, размещение изображения на сайте, переработка макета, включение музыки в ролик, распространение экземпляров и предоставление сетевого доступа - разные действия.

Если территория не указана, п. 3 ст. 1235 ГК РФ разрешает использование на всей территории России. Если срок не определен, договор по общему правилу считается заключенным на пять лет, но не дольше срока исключительного права (п. 4 ст. 1235 ГК РФ). Эти правила по умолчанию не всегда совпадают с коммерческим ожиданием сторон.

Вознаграждение, роялти, отчеты и проверка использования

Для возмездного договора размер вознаграждения или порядок его определения является критическим условием. Пункт 5 ст. 1235 ГК РФ допускает разовый или периодический платеж, процент от дохода и другую согласованную форму. Ссылка на «обычную цену» не заменяет отсутствующее условие.

Роялти требует не только процента. Стороны определяют базу расчета, вычеты, валюту, отчетный период, дату признания операции, возвраты, скидки, связанные сделки и источник данных. Если лицензиат продает пакет из нескольких услуг, нужно понять, какая часть дохода относится к лицензируемому объекту.

Пункт 1 ст. 1237 ГК РФ возлагает на лицензиата обязанность представлять отчеты, если договором не предусмотрено иное. При отсутствии условий о сроке и порядке отчет подается по требованию лицензиара. Практичнее заранее определить форму и период, чем выяснять это после требования.

Сублицензия и третьи лица

Сублицензионный договор допустим при письменном согласии лицензиара. По ст. 1238 ГК РФ сублицензиат получает права только в пределах основной лицензии, а срок сублицензии не может быть длиннее ее срока. Если договором не установлено иное, перед лицензиаром за действия сублицензиата отвечает лицензиат.

Не каждый технический доступ является сублицензией. Подрядчик может использовать объект только для выполнения задачи лицензиата и не получать самостоятельного права на коммерческое использование. Однако вывод зависит от объекта, действий подрядчика и условий основной лицензии. Одной фразы «доступ третьих лиц» недостаточно, чтобы определить правовой режим такого доступа.

Гарантии, нарушения и претензии правообладателей

Гарантия «лицензиар имеет все права» полезна, но не заменяет доказательства. Договор должен связывать заверение с конкретным объектом, известными ограничениями и порядком действий при претензии.

ПО, SaaS, обновления и открытый исходный код

Программа для ЭВМ охраняется как объект авторского права. Пункт 5 ст. 1286 ГК РФ допускает упрощенный порядок заключения лицензионного договора именно с пользователем программы или базы данных. Это специальное правило, которое нельзя автоматически применять к любому пользовательскому соглашению. Для корпоративной сделки с внедрением, поддержкой, уровнями сервиса и обработкой данных требуется больше условий, чем для согласия с общей офертой.

Контент, дизайн, бренд и базы данных

Разные объекты требуют разных проверок. Текст, иллюстрация и дизайн могут быть объектами авторского права (ст. 1259 ГК РФ); товарный знак является обозначением для индивидуализации товаров, исключительное право на которое удостоверяется свидетельством (ст. 1477 ГК РФ); закон отдельно определяет изготовителя базы данных и его исключительное право (ст. 1333 и ст. 1334 ГК РФ).

Когда требуется государственная регистрация

Письменная форма лицензионного договора является общим правилом, а ее несоблюдение влечет недействительность договора в случаях, указанных п. 2 ст. 1235 ГК РФ. Государственная регистрация предоставления права требуется не для любой лицензии, а в случаях, предусмотренных ГК РФ (п. 2 ст. 1232 ГК РФ).

По ст. 1232 ГК РФ предоставление права использования регистрируется, когда соответствующий результат или средство индивидуализации подлежит государственной регистрации. Для товарных знаков и патентных объектов процедура имеет практическое значение: без требуемой регистрации предоставление права считается несостоявшимся.

Особое правило для программ и баз данных

Для программ и баз данных действует специальное правило. Сам объект правообладатель регистрирует по желанию (п. 1 ст. 1262 ГК РФ). Если программа или база зарегистрирована, обязательной регистрации подлежат переход исключительного права и залог исключительного права, но не предоставление права использования по лицензионному или сублицензионному договору (п. 5 ст. 1262 ГК РФ). Это не вывод из одного только отсутствия лицензии в перечне. Его прямо подтверждают п. 103 Постановления Пленума Верховного Суда РФ от 23 апреля 2019 года №10 и разъяснение Роспатента о распоряжении правами на программы для ЭВМ и базы данных.

Пункт 7 статьи 1232 ГК РФ распространяет общие правила регистрации на добровольно зарегистрированные результаты только тогда, когда Кодекс не устанавливает иное. Для программ и баз данных специальное правило установлено пунктом 5 статьи 1262 ГК РФ. Поэтому регистрацию самой программы нельзя смешивать с регистрацией распоряжения правами на нее, а режим программ нельзя переносить на товарные знаки и патентные объекты.

Прекращение договора и судьба результатов

Прекращение лицензии должно отвечать на три разных вопроса: когда прекращается договор, когда прекращается право использования и что делать с уже созданными материалами, копиями, учетными записями и сублицензиями.

Ключевые источники

Когда бизнесу нужен агентский договор

По пункту 1 статьи 1005 ГК РФ агент за вознаграждение совершает по поручению принципала юридические и иные действия за его счет. Поэтому агентирование шире договора комиссии: посреднику можно поручить не только сделки, но и связанные фактические действия.

Риски агентского договора зависят от модели работы. Для принципала опасны неконтролируемые обещания агента, непрозрачные расходы и потеря клиентской истории. Для агента - неопределенное поручение, спор о происхождении клиента, зависимость оплаты от решения принципала и ответственность за действия, которые он не мог согласовать.

Агент и принципал: кто за что отвечает

Принципал определяет поручение, предоставляет необходимые сведения и ресурсы, принимает отчеты и рассчитывается с агентом. Агент действует в согласованных пределах, отчитывается, передает полученное и сохраняет доказательства исполнения. Конкретные обязанности сторон зависят от того, от чьего имени действует агент и что входит в поручение.

Предмет, поручение и пределы полномочий

Фраза «представлять интересы и привлекать клиентов» слишком широка для управления процессом. Она не отвечает, вправе ли агент подписывать договор, менять цену, принимать платеж, обещать возврат или передавать данные клиента (п. 1 ст. 1005 ГК РФ). Предмет и полномочия нужно раскрыть через конкретные действия и поручение.

Когда нужна доверенность

Договор и доверенность решают связанные, но не одинаковые задачи. Договор регулирует внутренние отношения сторон. Доверенность подтверждает полномочие представителя перед третьими лицами. По пункту 4 статьи 185 ГК РФ полномочие может содержаться и в договоре, в том числе между представителем и представляемым, однако конкретный контрагент, банк, площадка или государственный орган может требовать отдельный документ и определенную форму.

Отчет агента и возражения принципала

По статье 1008 ГК РФ агент представляет отчеты в порядке и сроки договора. При отсутствии условий отчеты направляются по мере исполнения или после окончания договора. К отчету прилагаются доказательства расходов за счет принципала, если стороны не предусмотрели иное.

Если договор не установил другой срок, принципал должен сообщить возражения по отчету в течение 30 дней со дня его получения (ст. 1008 ГК РФ). Иначе отчет считается принятым (ст. 1008 ГК РФ). Это правило не делает любой однострочный отчет достаточным: спор может касаться того, что именно было представлено, когда получено и подтверждает ли оно заявленный результат.

Вознаграждение, расходы и расчеты

По статье 1006 ГК РФ принципал обязан выплатить вознаграждение. Если договор не позволяет определить его размер, применяется цена, обычно взимаемая за сравнимые услуги (ст. 1006 ГК РФ). При отсутствии договорного порядка вознаграждение выплачивается в течение недели после отчета за прошедший период, если из существа договора или обычая не следует иное (ст. 1006 ГК РФ). Бизнесу безопаснее прямо согласовать расчет и не полагаться на эти правила.

Эксклюзивность, территория и клиенты

Статья 1007 ГК РФ позволяет предусмотреть обязанность принципала не заключать аналогичные агентские договоры с другими агентами на определенной территории или не вести там самостоятельную аналогичную деятельность. Можно установить и обязанность агента не заключать аналогичные договоры с другими принципалами на определенной территории. Но ограничение должно быть соразмерно реальному процессу и не превращаться в неясный запрет любой деятельности.

Субагенты

По статье 1009 ГК РФ агент вправе заключить субагентский договор, если основной договор не запрещает это, и остается ответственным перед принципалом за действия субагента. Договор может также обязывать агента привлечь субагента на определенных условиях.

Ответственность и доказательства исполнения

Ответственность можно применить, только если установлены обязанность и доказательства ее нарушения. Неустойка «за любое нарушение» не определяет, какое событие считается нарушением и чем оно подтверждается. Лучше предусмотреть отдельные последствия для выхода за лимит, непередачи денег, просрочки отчета, недостоверной регистрации клиента, раскрытия информации или привлечения несогласованного субагента.

Агентский договор и договор комиссии: отличие и выбор для бизнеса

Главное отличие агентского договора от договора комиссии состоит в объеме поручения и возможных моделях представительства. Комиссионер совершает сделки от своего имени за счет комитента по статье 990 ГК РФ. Агент может действовать и от своего имени, и от имени принципала, а его поручение может включать не только сделки, но и иные фактические действия.

Расторжение агентского договора: уведомление и окончательные расчеты

Специальная статья 1010 ГК РФ прямо называет отказ одной стороны от исполнения договора без срока окончания как основание прекращения. Для срочного договора нельзя автоматически переносить тот же вывод. Право на внесудебный отказ должно следовать из закона или быть согласовано с учетом статей 310 и 450.1 ГК РФ. Если такого права нет, стороны прекращают договор соглашением либо используют судебный механизм при наличии его оснований. Существенное нарушение само по себе не превращает письмо в автоматический внесудебный отказ.

Само уведомление не отвечает, что делать с уже начатым поручением. До отправки нужно составить реестр открытых задач, клиентов, сделок, денег, расходов, документов, доступов и доверенностей.

Продажи, поиск клиентов и другие сценарии агентирования

Условия агентирования зависят от фактического способа продаж. В каждой ситуации нужно отдельно определить действие агента, результат для третьих лиц, доказательство исполнения и случаи, когда вознаграждение не начисляется. Если посредник фактически покупает товар для перепродажи, предоставляет только рекламное место или работает под ежедневным контролем заказчика с признаками трудовых отношений, название «агент» не заменяет подходящий договор.

Когда агентский договор лучше подготовить под Ваш процесс

Если агент должен искать клиентов, заключать сделки, получать деньги, работать с CRM или действовать в нескольких каналах, общая форма не покажет, у кого возникают права и как оформляются отчеты и расчеты. Мы установим, от чьего имени и за чей счет действует агент, согласуем поручение, отчет, условия начисления вознаграждения, расходы, доверенность, ограничения и порядок прекращения, а затем подготовим договор с одним кругом правок.

Описание результата и границ находится на странице услуги «Агентский договор для бизнеса». В услугу не входят агентская сеть, налоговое структурирование, регистрационные действия и сопровождение уже возникшего спора.

Четыре части проверки

Правила обработки

Для каждой цели нужно определить допустимое основание, необходимый состав данных, срок обработки и права человека. Политика и согласие не заменяют эту работу.

Интерфейс

Форма, чекбокс, текст рядом с кнопкой, ссылка на документ и последующее действие пользователя должны соответствовать выбранному основанию. У бизнеса также должна оставаться возможность подтвердить, какую информацию видел человек.

Фактический процесс

CRM, почта, телефония, таблицы, сотрудники, исполнители и подрядчики должны использовать данные в тех целях и пределах, которые бизнес способен объяснить и подтвердить.

Доказательства исполнения

Нужны версии документов, журналы действий, договоры, распоряжения, подтверждения удаления, ответы на обращения и материалы по инцидентам. Правильный текст без исполнения не подтверждает соблюдение требований.

Что автоматический сканер может и не может проверить

Сканер полезен для инвентаризации. Он может обнаружить доступные страницы, поля форм, ссылки на документы, часть cookie-файлов, счетчиков и сетевых запросов. Это помогает найти забытый виджет или форму без ссылки на политику, но не дает готового юридического вывода.

Сканер не знает, является ли введенный номер телефона необходимым для цели, что сотрудник делает с заявкой, кто владеет учетной записью аналитики, передает ли сервис данные иностранному получателю и когда запись удаляется. Он также не может определить, нужно ли согласие или действует другое основание из части 1 статьи 6 Закона № 152-ФЗ.

Как проверить сайт на соответствие 152-ФЗ

Самостоятельную проверку удобно проводить в определенной последовательности. Она не заменит анализ сложной обработки, но поможет увидеть основные несоответствия до запуска или обращения к юристу.

Как составить реестр процессов и карту потоков данных

Реестр нужен не ради формального документа. Он показывает, как юридические обязанности выполняются в работе бизнеса. Единицей учета лучше сделать не систему и не документ, а цель обработки в определенном процессе. Одна CRM может обслуживать продажи, поддержку и маркетинг, но правила для этих целей различаются.

Что проверить на сайте или в приложении

Формы и обязательность полей

Для каждого поля задайте два вопроса: без него можно выполнить заявленную цель и понимает ли пользователь, зачем оно требуется. Если адрес нужен только после согласования доставки, его не обязательно собирать в первой форме обращения. Если дата рождения влияет на возрастное ограничение, нужно определить, достаточно ли подтвердить возраст или требуется точная дата.

Под кнопкой не следует объединять принятие оферты, согласие на обработку и согласие на рекламу в одно неразделимое действие. С 1 сентября 2025 года Федеральный закон №156-ФЗ дополнил часть 1 статьи 9 Закона №152-ФЗ прямым требованием оформлять согласие отдельно от иной информации и документов, которые подтверждает или подписывает человек. Это не означает, что для каждой формы обязательно нужно согласие: сначала проверяют основание.

Политика и сведения в точке сбора

Опубликованная политика объясняет систему обработки, но сама по себе не создает правового основания. Проверьте наименование оператора, цели, категории данных и субъектов, способы, сроки, прекращение, права человека, контакты и сведения о мерах защиты. Затем сравните документ с каждой формой и невидимым процессом.

Ссылка на политику должна быть доступна до отправки данных. Если документ заменен, сохраните предыдущую версию и дату действия. Это помогает установить, какой текст был доступен в конкретный момент.

Cookies, счетчики и аналитика

Cookie или идентификатор устройства может относиться к персональным данным, если позволяет прямо или косвенно определить пользователя в конкретном процессе. Название технологии не дает автоматического ответа. Нужно установить, какие значения собираются, кто их получает, для какой цели, можно ли отказаться, где находится инфраструктура и как долго хранятся сведения.

Технически необходимая авторизация, собственная агрегированная статистика и рекламный профиль решают разные задачи. Не объединяйте их одной формулировкой «улучшение сайта». Для внешнего счетчика отдельно проверьте договорную роль поставщика, передачу, локализацию и возможность выполнить запрос человека.

Личный кабинет и история действий

Установите, какие сведения видит пользователь, какие доступны сотрудникам, что попадает в журналы и резервные копии, можно ли исправить данные и что происходит после удаления учетной записи. Кнопка «Удалить аккаунт» не доказывает полное удаление, если заказы и бухгалтерские документы должны храниться по другим основаниям. Интерфейс должен объяснять результат без ложного обещания.

Что проверить вне сайта

После проверки форм нужно проверить процессы за пределами сайта. Данные могут собираться законно на первом экране и затем использоваться за пределами заявленной цели.

Какие доказательства собрать по каждому процессу

Документ подтверждает только ту часть процесса, которую он описывает. Чтобы показать исполнение, соберите документы и технические доказательства для каждого этапа. Их состав зависит от цели, но общий принцип остается тем же.

Основания обработки по каждой цели

Согласие - только одно из оснований. Часть 1 статьи 6 предусматривает, в частности, обработку для исполнения договора с субъектом, заключения договора по его инициативе, исполнения обязанности оператора по закону и другие случаи. Выбор зависит от цели и отношений, а не от желания получить один чекбокс на все действия.

Уведомление Роскомнадзора и фактические процессы

По общему правилу оператор обязан уведомить Роскомнадзор о намерении обрабатывать персональные данные до начала обработки (ч. 1 ст. 22 Закона № 152-ФЗ). После реформы 2022 года прежние широкие исключения отменены; в части 2 этой статьи остались узкие случаи, включая обработку исключительно без автоматизации и отдельные специальные режимы (ч. 2 ст. 22 Закона №152-ФЗ).

Уведомление заполняется по целям. Для каждой цели указываются категории данных и субъектов, основание, действия и способы обработки по части 3.1 статьи 22. Поэтому запись в реестре нужно сравнивать не только с политикой, но и с реестром процессов.

До начала обработки

Проверьте наличие оснований для исключения. Если их нет, подготовьте уведомление до фактического запуска процесса.

После изменения

По части 7 статьи 22 изменения сообщаются не позднее 15-го числа месяца, следующего за месяцем их возникновения. Не откладывайте внутреннюю фиксацию до этой даты.

После прекращения

О прекращении обработки уведомляют в течение десяти рабочих дней с даты прекращения (ч. 7 ст. 22 Закона №152-ФЗ). До этого нужно определить судьбу архивов и основания для оставшегося хранения.

При расхождении

Не исправляйте только запись в реестре. Сначала определите, как должен проходить процесс, затем приведите в соответствие интерфейс, документы и уведомление.

Локализация и зарубежные сервисы

Использование иностранного бренда и трансграничная передача не являются одним и тем же фактом. Российский регион хранения не исключает иностранного доступа, а зарубежная компания может использовать российскую инфраструктуру. Проверяйте, какие именно данные передаются, кто получает к ним доступ и где выполняется каждая операция.

При сборе персональных данных граждан России через интернет часть 5 статьи 18 требует обеспечить запись, систематизацию, накопление, хранение, уточнение и извлечение с использованием баз данных на территории России, кроме установленных законом случаев. Это не означает, что после первичной записи любая дальнейшая передача автоматически разрешена.

Уведомление и срок ожидания

Трансграничная передача регулируется статьей 12. До ее начала оператор направляет отдельное уведомление, предварительно получает от иностранного получателя предусмотренные сведения и учитывает режим государства.

После направления уведомления передача в государство, участвующее в Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных или включенное Роскомнадзором в специальный перечень, может начаться до решения о запрете или ограничении (ч. 10 ст. 12 Закона №152-ФЗ). Для другого государства передача по общему правилу не начинается до истечения десяти рабочих дней, отведенных на рассмотрение уведомления (ч. 10 ст. 12 Закона №152-ФЗ).

Если Роскомнадзор запросил дополнительные сведения, рассмотрение приостанавливается до ответа оператора (ч. 9 ст. 12 Закона №152-ФЗ). Закон делает узкое исключение для защиты жизни, здоровья и иных жизненно важных интересов субъекта или других лиц (ч. 10 ст. 12 Закона №152-ФЗ). Само уведомление не создает правового основания, не подтверждает безопасность такой передачи и не отменяет возможное последующее решение о запрете или ограничении (ст. 12 Закона №152-ФЗ).

Хранение, доступ, удаление и ответы субъектам

Часть 7 статьи 5 связывает хранение с целью обработки, если иной срок не установлен законом или договором. Поэтому в реестре нужен не только период, но и событие, с которого он считается: закрытие заявки, прекращение договора, окончание гарантии, отзыв согласия или истечение обязательного срока хранения.

Инциденты и внутренняя фиксация действий

Инцидент - это не только публикация базы в интернете. Неправомерная или случайная передача, предоставление, распространение либо доступ могут возникнуть из-за ошибочного письма, открытой ссылки, утраченного устройства, лишней роли в CRM или действий подрядчика.

При выявлении инцидента часть 3.1 статьи 21 Закона № 152-ФЗ предусматривает первичное уведомление Роскомнадзора в течение 24 часов и результаты внутреннего расследования в течение 72 часов с момента выявления. Поэтому заранее определите, кто сообщает об инциденте внутри компании, кто принимает меры и кто готовит уведомления.

1. Ограничить продолжающийся доступ или передачу, не уничтожая необходимые журналы.
2. Зафиксировать время выявления, источник сигнала и первоначальные факты.
3. Определить затронутые системы, данные, субъектов, получателей и возможные последствия.
4. Подключить ответственное лицо, специалистов по информационной безопасности, руководство и нужных подрядчиков.
5. Подготовить первичное уведомление в пределах 24 часов на основании сведений, доступных к этому моменту.
6. Провести внутреннее расследование, сохранить доказательства и сообщить результаты в пределах 72 часов.
7. Устранить причину, проверить аналогичные процессы и зафиксировать принятые меры.

Что можно исправить самостоятельно

Без отдельного юридического проекта бизнес способен устранить несколько очевидных проблем. Можно удалить явно лишнее поле, ограничить доступ по публичной ссылке, отозвать доступ бывшего исполнителя, собрать список систем и сохранить версии документов. Полезно также описать, что происходит с заявкой после отправки, назначить ответственных за обработку данных и остановить еще не начавшуюся передачу до выяснения ее условий.

Самостоятельно не стоит выбирать основание для многофакторной обработки, переписывать уведомление без полного перечня процессов, делать вывод о трансграничной передаче только по названию сервиса или обещать удаление без проверки обязательных сроков хранения. Особого анализа требуют специальные категории, биометрия, данные детей, автоматическая оценка или профилирование, публичное распространение и процессы с несколькими операторами.

Когда нужен профессиональный аудит

Юридическая проверка нужна, когда вывод зависит от нескольких оснований, договорных ролей, стран, специальных категорий или обязательных сроков. Она также разумна, если документы и системы противоречат друг другу, обработка распределена между несколькими компаниями, уже поступило обращение или произошел инцидент.

Технический аудит безопасности решает другую задачу: проверяет архитектуру, уязвимости, настройки и меры защиты. Юридический аудит определяет цели, основания, роли, документы, уведомления и доказательства. Для сложной системы нужны оба вида проверки, но один не заменяет другой.

Что подготовить к юридической проверке

До начала аудита полезно назначить ответственных за процессы и подготовить доступные документы. Юристу нужны не административные пароли, а возможность увидеть проект как пользователь, получить описание невидимых действий, действующие версии документов, сведения уведомлений, договоры с ключевыми обработчиками и ответы сотрудников, которые действительно управляют процессом. Если разные подразделения описывают один процесс по-разному, это признак несогласованной работы, который нужно зафиксировать, а не скрывать общей формулировкой.

Профессиональная помощь нужна, когда содержание исправления зависит от правовой квалификации отношений. Например, нельзя надежно переписать форму, пока не определены оператор и получатели; нельзя обновить уведомление, пока не разделены цели; нельзя обещать удаление, пока не установлены обязательные сроки хранения. В такой ситуации точечная редактура текста способна создать новое противоречие вместо устранения старого.

Ключевые источники

Проверим один сайт или приложение и расставим правки по приоритету

Если самостоятельной проверки недостаточно, мы проведем ограниченный аудит сайта или приложения по 152-ФЗ. Изучим проект со стороны пользователя, основные формы и документы, затем запросим только те сведения о фактическом процессе, которые нельзя увидеть снаружи, и сопоставим внешнюю часть с внутренними процессами. Зафиксируем заметные несоответствия и подготовим список первоочередных правок. Вы получите письменный отчет и отдельную текстовую консультацию о выводах и о том, что нужно перепроверять при будущих изменениях. Услуга не включает полный аудит всех процессов компании, техническое тестирование безопасности и внедрение полного комплекта исправлений.

Когда возникает трансграничная передача

Пункт 11 статьи 3 Федерального закона №152-ФЗ называет трансграничной передачей передачу персональных данных на территорию иностранного государства органу власти этого государства, иностранному физическому или юридическому лицу. Для вывода важны персональные данные, фактическое действие, иностранная территория и получатель.

Когда нужно именно согласие

Статья 12 регулирует трансграничную передачу, но не устанавливает универсальное правило «любая передача возможна только с согласия». Основание обработки определяется прежде всего частью 1 статьи 6 Федерального закона №152-ФЗ.

Отдельное согласие и письменная форма

Федеральный закон №156-ФЗ изменил часть 1 статьи 9: с 1 сентября 2025 года согласие оформляется отдельно от иной информации и документов, которые человек подтверждает или подписывает. Один общий чекбокс под офертой, политикой, рекламой и обработкой данных создает риск, что самостоятельного волеизъявления не было.

Закон не вводит обязательный бланк с названием «согласие на трансграничную передачу». На практике так называют согласие на обработку, в котором зарубежная передача раскрыта среди целей, действий и получателей. Нужен ли документ, зависит от основания и специальных правил.

Что указать в согласии

Если оператор использует согласие как основание, человек должен до подтверждения понимать, кто, зачем, какие данные, кому и куда передает, что с ними произойдет и как прекратить операции, основанные на согласии.

Как встроить согласие в сайт или приложение

Текст документа и интерфейс работают вместе. Даже точный документ мало помогает, если отметка установлена заранее, ссылка появляется после отправки формы или журнал не связывает событие с версией текста.

Какие доказательства сохранить

Часть 3 статьи 9 Федерального закона №152-ФЗ возлагает на оператора обязанность доказать получение согласия или наличие другого основания. Скриншот сегодняшней страницы не показывает, какой текст видел человек месяц назад.

Как проверить иностранный сервис

Публичная политика сама по себе не дает всех сведений, которые оператор обязан получить до подачи уведомления. Часть 5 статьи 12 требует получить от иностранного получателя сведения о мерах защиты и условиях прекращения обработки, а для государства без адекватной защиты - также информацию о местном регулировании. Закон отдельно требует сведения о самом получателе и его контактах.

Локализация, статья 12 и статья 22

Эти три обязанности относятся к одному процессу, но у каждой свой предмет. Выполнение одной не подтверждает выполнение двух других.

Адекватная защита, срок ожидания и исключения

Роскомнадзор ведет перечень государств с адекватной защитой по части 2 статьи 12. Принадлежность страны к перечню влияет на момент начала передачи после уведомления, но не отменяет основание, проверку получателя и возможность запрета или ограничения.

Для страны, которая не является стороной Конвенции и не включена в перечень, по общему правилу нужно направить уведомление и дождаться истечения десяти рабочих дней, если рассмотрение не приостановлено (ч. 6 и 9 ст. 12 Закона №152-ФЗ). Исключение части 11 статьи 12 касается защиты жизни, здоровья и иных жизненно важных интересов, а не срочного запуска рекламы или удобства поставщика (ч. 11 ст. 12 Закона №152-ФЗ).

Постановление Правительства РФ №2526 предусматривает специальные исключения для выполнения функций государственных и муниципальных органов. Обычный частный бизнес не может использовать их как общее освобождение.

Несовершеннолетние и представители

Федеральный закон №152-ФЗ не устанавливает один универсальный возраст цифрового согласия для всех сайтов и приложений (ст. 9 Закона №152-ФЗ). Нужно учитывать дееспособность, действие, для которого запрашивается согласие, статью 26 ГК РФ, статью 28 ГК РФ и специальное регулирование.

Что показывает практика

При чтении судебного акта по этой теме нужно проверить дату и редакцию статьи 12: решение по прежним правилам не заменяет текущую процедуру уведомления (ст. 12 Закона №152-ФЗ). При этом акт может по-прежнему быть полезен для оценки доказательств и конкретности согласия.

Как отозвать согласие

По части 2 статьи 9 человек может отозвать согласие. Оператор вправе продолжить обработку без согласия только при наличии оснований, названных в пунктах 2-11 части 1 статьи 6, части 2 статьи 10 или части 2 статьи 11 (ч. 2 ст. 9 Закона №152-ФЗ).

Если иного основания нет и сохранение данных больше не требуется для заявленных целей, часть 5 статьи 21 требует прекратить обработку. Данные нужно уничтожить или обеспечить их уничтожение не позднее тридцати дней со дня поступления отзыва (ч. 5 ст. 21 Закона №152-ФЗ). Иной срок или продолжение обработки возможны только в предусмотренных этой нормой договорных и законных случаях (ч. 5 ст. 21 Закона №152-ФЗ).

Допсоглашение, новая редакция и новый договор: как выбрать

Название документа не определяет его последствия. Если стороны называют файл «дополнительным соглашением», но фактически заменяют старую сделку новой, документ толкуют с учетом текста договора, связи его условий, общей воли сторон, цели и последующего поведения (ст. 431 ГК РФ).

Какие условия можно изменить

Общее правило статьи 450 ГК РФ допускает изменение по соглашению сторон. Ограничения могут следовать из закона, природы договора, регулируемой процедуры, прав третьих лиц или самого договора. Например, для закупки, аренды зарегистрированного объекта, обеспеченной сделки или отношений с потребителем могут действовать специальные правила.

Почему нельзя менять только один пункт без проверки зависимостей

Условия договора зависят друг от друга. Цена зависит от объема и налогового режима, срок - от исходных данных и приемки, а ответственность - от момента нарушения. Если заменить одно предложение, остальные положения могут начать ему противоречить.

Карта зависимых условий

1. Меняется объем: предмет -> цена -> календарь -> приемка -> ответственность.
2. Меняется срок: этапы -> уведомления -> неустойка -> продление обеспечения -> срок действия.
3. Меняется цена: НДС -> аванс -> график -> счет -> закрывающий документ -> возврат переплаты.
4. Меняется исполнитель: перевод прав и обязанностей -> согласие -> реквизиты -> доступы -> персональные данные -> ответственность.
5. Меняется техническое задание: версия -> критерии -> этапы -> материалы заказчика -> приемка -> права на результат.
6. Меняется порядок отказа: уведомление -> дата прекращения -> расчеты -> возврат имущества -> конфиденциальность -> права после прекращения.

Когда изменение предмета фактически создает новую сделку

Не каждое увеличение объема требует нового договора. Но если после правки стороны выполняют другой тип работы, меняется экономическая цель или по старому документу уже нельзя определить результат, дополнительное соглашение перестает описывать фактическую сделку.

Приложения, спецификации и прежние условия

Приложение может содержать существенную часть сделки: предмет, количество, требования, цену или график. Его замена должна быть столь же определенной, как замена пункта договора.

Дата подписания, дата действия и ретроактивность

Дата подписания показывает, когда стороны совершили соглашение. Дата применения отвечает, с какого момента новые условия регулируют отношения. Эти даты могут не совпадать в предусмотренных законом пределах (п. 2 ст. 425 и п. 3 ст. 453 ГК РФ), но их нельзя смешивать.

Пункт 2 ст. 425 ГК РФ позволяет сторонам установить, что условия заключенного договора применяются к их отношениям, возникшим до заключения, если иное не установлено законом и не вытекает из существа отношений. Это основание для корректной оговорки о применении условий к прошлому периоду, а не для ложной даты на подписи.

Истекший или прекращенный договор

Фраза «срок истек» не дает готового вывода. По пункту 3 статьи 425 ГК РФ законом или договором может быть предусмотрено, что окончание срока прекращает обязательства. Если такого условия нет, договор признается действующим до определенного в нем момента окончания исполнения обязательства. Окончание срока не освобождает от ответственности за прежнее нарушение.

Несколько дополнительных соглашений и риск противоречий

Каждое соглашение вносит отдельные изменения. Номер сам по себе не гарантирует приоритет: нужно читать, какое положение, на какой период и для какого приложения изменено.

Как управлять версиями

1. Ведите реестр: номер, дата, предмет, дата применения и затронутые пункты.
2. Нумеруйте документы последовательно, но не полагайтесь только на номер.
3. Цитируйте изменяемый пункт либо приводите его полностью в новой редакции.
4. При замене приложения называйте старую и новую версии.
5. Устанавливайте приоритет только для конкретного противоречия, а не общей фразой «соглашение главнее всего».
6. После большого числа правок подготовьте сводную редакцию для чтения, сохранив подписанные документы как юридические основания.
7. Перед новым изменением проверяйте не первоначальный договор, а весь действующий комплект.

Сводная редакция удобна, но ее статус нужно определить. Если это только техническая компиляция, она не заменяет подписанные соглашения. Если стороны хотят сделать ее новым согласованным текстом, они подписывают соглашение об утверждении договора в новой редакции и отдельно регулируют прежнее исполнение.

Полномочия, форма и электронное подписание

Статья 452 требует ту же форму, что и основной договор, если не действует исключение (ст. 452 ГК РФ). Необходимость нотариальной, регистрационной или иной специальной формы не зависит от объема изменений.

Письменная форма по ст. 160 ГК РФ может соблюдаться с помощью электронных или иных технических средств, позволяющих воспроизвести неизменное содержание и достоверно определить лицо, выразившее волю. Статья 434 ГК РФ допускает один электронный документ или обмен электронными данными при соблюдении этих требований.

Как отменить или заменить ранее подписанное соглашение

Подписанное соглашение нельзя просто удалить из папки и считать несуществующим. Если оно заключено надлежащим образом, обязательства уже изменены с предусмотренного соглашением момента (пп. 1, 3 ст. 453 ГК РФ). Дальнейший документ должен определить новые последствия.

Как проверить дополнительное соглашение перед подписанием

Проверить дополнительное соглашение - значит прочитать его вместе с основным договором, всеми прежними изменениями и действующими приложениями. Отдельный файл может выглядеть аккуратно и одновременно создавать противоречие в цене, сроке, предмете, приемке или ответственности.

1. Соберите действующую редакцию договора на дату проверки.
2. Для каждой правки найдите исходное условие и все зависимые положения.
3. Сверьте форму, полномочия, дату подписания и дату применения.
4. Проверьте уже исполненное: платежи, акты, нарушения и возникшие права третьих лиц.
5. Определите, сохраняются ли обязательства в измененном виде и с какого момента по статье 453 ГК РФ.
6. Убедитесь, что новое соглашение не пытается ложной датой исправить прошлое нарушение.
7. Если после изменений действующие условия приходится собирать по множеству файлов, рассмотрите сводную новую редакцию.

Что такое коммерческая концессия и почему не каждая франшиза оформляется одним договором

Вид договора определяется не названием «франшиза», а содержанием отношений. По ст. 1027 ГК РФ пользователю предоставляется комплекс прав, обязательно включающий право на товарный знак или знак обслуживания, а также при необходимости другие объекты и коммерческий опыт правообладателя.

Если бизнес передает только право использовать программу, методику или обозначение без необходимого комплекса, отношения могут быть лицензионными. Если одна сторона ищет клиентов и заключает сделки, отношения могут быть агентскими. Если главное в сделке - передача товаров, основой может стать договор поставки с лицензией на обозначение и условиями ведения бизнеса. Иногда стороны заключают смешанный договор, который объединяет элементы нескольких договорных видов по п. 3 ст. 421 ГК РФ.

Если фактически предоставляется комплекс прав по модели ст. 1027 ГК РФ, содержание отношений оценивают по правилам о коммерческой концессии, даже когда стороны назвали документ лицензией и рассчитывали избежать регистрации.

Кто может быть стороной и какой комплекс прав нужен

Правообладатель должен не просто называть себя владельцем франшизы, а подтвердить права на все передаваемые объекты. Пользователем может быть коммерческая организация или зарегистрированный ИП.

Что описать в предмете и способах использования

Из договора должно быть понятно, какие права предоставляются и в каких пределах ими можно пользоваться. Общая фраза «право работать под брендом» не отвечает, где, на каких товарах, в каком формате и через какие каналы пользователь может действовать.

Территория, каналы, эксклюзивность и конкуренция точек

Территория без правил онлайн-продаж может не дать ожидаемой защиты. Клиент видит сайт, агрегатор, доставку и рекламу, а не юридическую границу района. Поэтому нужно отдельно ответить на вопросы о физической точке, доставке, заявках с сайта, маркетплейсах, корпоративных клиентах и рекламе в соседнем регионе.

Пять каналов, которые нужно описать отдельно

Офлайн-точка. Адрес, радиус, возможность переноса и согласование нового помещения.

Собственный сайт. Кто владеет доменом, принимает заказ и определяет территорию исполнения.

Единый сайт сети. Как распределяются заявки, кто отвечает перед клиентом и кто получает данные.

Маркетплейс или агрегатор. Кто размещает карточку, устанавливает цену, несет расходы и обрабатывает возврат.

Корпоративные клиенты. Может ли правообладатель или другой пользователь заключить сделку с клиентом, который находится на закрепленной территории, но обслуживается централизованно.

Ст. 1033 ГК РФ допускает ряд ограничений, включая территориальные и конкурентные, но устанавливает пределы. Условие о продаже исключительно покупателям, которые находятся или проживают на определенной территории, ничтожно. Иные ограничения могут быть признаны недействительными при противоречии антимонопольному законодательству с учетом рынка и положения сторон.

Поэтому нельзя обещать франчайзи «полную эксклюзивность города», не объяснив ее содержание. Нужно описать, что вправе делать правообладатель, другие пользователи и участники цифровых продаж, а затем проверить допустимость ограничения.

Паушальный взнос, роялти и дополнительные платежи

Вознаграждение по ст. 1030 ГК РФ может быть установлено в разных формах, включая фиксированные разовые или периодические платежи, отчисления от выручки и наценку на оптовую цену. До подписания бизнесу нужен полный перечень всех обязательных платежей и правила их расчета.

Обучение, поддержка, контроль и стандарты

Ст. 1031 ГК РФ обязывает правообладателя передать техническую и коммерческую документацию, предоставить необходимую информацию и проинструктировать пользователя и его работников. Если договором не предусмотрено иное, правообладатель также оказывает постоянное техническое и консультативное содействие, содействует обучению и контролирует качество (ст. 1031 ГК РФ).

Ст. 1032 ГК РФ закрепляет обязанности пользователя, включая соблюдение инструкций, обеспечение соответствия качества, информирование клиентов об использовании коммерческого обозначения или иного средства индивидуализации и сохранение секретов производства.

Реклама, поставки и цифровые системы

Франшиза может включать несколько самостоятельных процессов, которые нельзя описать одним словом «поддержка».

Реклама

Нужно разделить общую рекламную концепцию, обязательные макеты, маркировку интернет-рекламы, локальные кампании, рекламный кабинет и ответственность за содержание. Если правообладатель утверждает каждый материал, это не освобождает пользователя от обязанностей, которые возникают у него как у рекламодателя или рекламораспространителя.

Поставки

Если франчайзи обязан покупать товар или расходники, определите ассортимент, сроки, качество, переход риска, приемку, возвраты и замену поставщика. На случай дефицита обязательного товара предусмотрите временную замену, изменение стандарта, приостановление отдельных обязательств или другое согласованное решение.

Цифровые системы

Для CRM, кассы, приложения и личного кабинета нужно определить, какая компания устанавливает цели обработки персональных данных, кто получает к ним доступ, как выполняются экспорт и резервное копирование и что происходит с данными после прекращения договора. Право пользоваться брендом не означает, что правообладатель автоматически получает доступ ко всем данным клиентов франчайзи.

Регистрация предоставления прав в Роспатенте

Письменная форма договора обязательна, а ее несоблюдение влечет ничтожность по п. 1 ст. 1028 ГК РФ. Отдельно регистрируется предоставление пользователю права использования комплекса исключительных прав. Без регистрации оно считается несостоявшимся.

Обязанность обеспечить регистрацию по умолчанию возложена на правообладателя ст. 1031 ГК РФ, но договор может распределить действия и расходы иначе. В нем стоит назначить ответственного, установить срок подачи, перечислить необходимые сведения и определить порядок исправления замечаний и последствия отказа.

Ответственность сторон по договору коммерческой концессии

Ответственность сторон по договору коммерческой концессии нельзя свести к одинаковому штрафу за любое нарушение. Франчайзер контролирует права и работу сети, франчайзи - конкретную точку, а ответственность перед клиентами закон распределяет отдельно.

Ст. 1034 ГК РФ устанавливает субсидиарную ответственность правообладателя по требованиям к пользователю о несоответствии качества товаров, работ или услуг. Если пользователь является изготовителем продукции правообладателя, по соответствующим требованиям правообладатель отвечает солидарно.

Изменение, продление и прекращение договора

Изменение договора и зарегистрированного предоставления прав нужно рассматривать вместе. Если стороны меняют права, территорию, срок или другие сведения, относящиеся к регистрации, потребуется проверить необходимость внесения изменений в реестр.

Ст. 1035 ГК РФ регулирует преимущественное право добросовестного пользователя на новый срок. Ст. 1037 содержит основания прекращения и правила отказа, включая специальные последствия прекращения права на товарный знак или коммерческое обозначение. Конкретная процедура зависит от срока договора, нарушения и условий сделки.

Когда договор франшизы лучше подготовить под Вашу модель

Мы подготовим договор коммерческой концессии и франчайзинга для одной модели: проверим комплекс прав, опишем стандарты, платежи, контроль качества, территорию, ограничения, прекращение и порядок взаимодействия сторон. Вы получите редактируемый договор, согласованные приложения и сможете задать вопросы по его применению.

Услуга не включает регистрацию в Роспатенте, создание брендбука и стандартов с нуля, финансовую модель, раскрытие франшизы и переговоры с другой стороной. До начала работы мы сверим, существует ли необходимый товарный знак и какие дополнительные документы потребуются для запуска.

Что считается трансграничной передачей

Шаг 1. Есть ли персональные данные

Персональными являются сведения, которые прямо или косвенно относятся к определенному или определяемому физическому лицу. Имя и телефон могут прямо указывать на человека. Идентификатор аккаунта, IP-адрес, cookie или рабочую почту оценивают с учетом контекста: позволяют ли эти сведения определить человека сами по себе или вместе с другими доступными данными.

Шаг 2. Происходит ли передача иностранному получателю

Нужно установить не только место хранения, но и то, предоставляются, отправляются или синхронизируются ли данные, а также получает ли к ним доступ иностранный орган, компания или человек. Доступ иностранной службы поддержки к карточке клиента может иметь большее значение, чем страна основного дата-центра.

Шаг 3. Где находится получатель

Страна разработчика, владельца бренда, головной компании и конкретного получателя могут различаться. Нужны договор, сведения о юридическом лице, список субобработчиков, регионы обработки и описание поддержки.

Шаг 4. Какова цель и правовое основание

Трансграничность не отменяет общие требования статей 5 и 6 Закона №152-ФЗ. Передача должна соответствовать определенной цели, объему данных и основанию обработки. Уведомление не заменяет основание, а согласие не исправляет избыточный сбор.

Составьте карту потока данных

Проверка начинается с одной операции бизнеса, а не со списка всех программ. Например: посетитель заполняет форму, заявка попадает в CRM, менеджер звонит, сервис отправляет письмо, а подрядчик анализирует конверсию.

Для каждого потока зафиксируйте семь узлов:

1. Источник: форма, приложение, документ, звонок, устройство или сотрудник.
2. Субъект: клиент, пользователь, работник, кандидат, представитель контрагента.
3. Состав: конкретные поля, файлы, метаданные и идентификаторы.
4. Цель: обработка заказа, поддержка, аналитика, найм или иная задача.
5. Системы: сайт, база, CRM, облако, мессенджер, аналитика.
6. Получатели и доступ: компании, сотрудники, подрядчики, субобработчики.
7. Страны и этапы: первичная запись, последующая передача, хранение и поддержка.

Карта должна описывать факты. Фраза «данные хранятся в облаке» слишком общая. Укажите, какие именно данные передаются, в каком аккаунте они находятся, какое юридическое лицо предоставляет сервис, где проходит обработка и кто может получить доступ при технической поддержке.

Что запросить у поставщика

• Полное наименование стороны договора и ее страну;
• Место основных и резервных дата-центров;
• Перечень субподрядчиков, которые получают данные или доступ;
• Страны технической поддержки и администрирования;
• Условия о возврате и удалении данных;
• Меры защиты и порядок уведомления об инциденте;
• Возможность отключить отдельные передачи или выбрать российский регион;
• Актуальную версию документа, а не рекламное обещание на сайте.

Если поставщик не раскрывает получателей или страны, это не доказывает отсутствие передачи. Без этих сведений оператор не сможет точно заполнить уведомление, оценить меры защиты и обосновать законность процесса.

Где бизнесу искать скрытые передачи

Аналитика и рекламные инструменты

Скрипт может отправлять идентификатор, сведения об устройстве, поведении и источнике перехода. Проверьте не только cookie-баннер, но и сетевые запросы, настройки аккаунта, аудитории и получателей.

Облачные документы и хранилища

Файл с клиентской базой, договором или резюме может синхронизироваться и резервироваться в нескольких регионах. Важны не только серверы, но и доступ поддержки.

CRM, телефония и рассылки

Лид проходит через форму, CRM, коллтрекинг, телефонию и сервис отправки сообщений. Каждый участник может иметь свою цепочку субобработчиков.

Мессенджеры и поддержка

Менеджер может передать персональные данные вручную, отправив скриншот, контакт или документ. Отсутствие автоматической интеграции не исключает передачу.

ИИ-сервисы

Текст запроса, вложение и журнал диалога могут содержать данные клиента или работника. Проверьте получателя, регион, использование данных для обучения, сроки хранения и возможность корпоративного режима.

Подрядчики и иностранные группы компаний

Если сотрудник иностранного подрядчика, материнской компании или зарубежного офиса получает доступ к российской системе, нужно проверить получателя и цель доступа. Общий корпоративный аккаунт не превращает несколько юридических лиц в одного получателя.

Локализация, трансграничная передача и поручение

С 1 июля 2025 года Федеральный закон №23-ФЗ изменил часть 5 статьи 18. При сборе персональных данных граждан РФ нельзя использовать для записи, систематизации, накопления, хранения, уточнения и извлечения базы за пределами России, кроме установленных законом случаев (ч. 5 ст. 18 Закона №152-ФЗ). Первичная локализация не запрещает любую последующую трансграничную передачу, но последующий этап должен отдельно соответствовать статье 12 (ч. 5 ст. 18 и ст. 12 Закона №152-ФЗ). Эту позицию дополнительно разъясняет письмо Минцифры от 12 мая 2025 года №П25-44929; письмо носит информационно-разъяснительный характер и не заменяет норму закона.

Российский посредник также не снимает вопрос о трансграничной передаче. Если иностранный поставщик остается получателем или получает доступ как субобработчик, его нужно указать в полной схеме передачи данных.

Как проверить один процесс самостоятельно

Выберите событие

Начните с конкретной формы, загрузки файла, обращения в поддержку или работы сотрудника. Не пытайтесь сразу описать всю инфраструктуру компании.

Выгрузите фактические поля

Сопоставьте интерфейс, сетевые запросы, интеграции и данные в системе. Политика поставщика может описывать больше, чем используется в Вашей конфигурации, или не отражать ее особенности.

Определите всех субъектов

Клиент, работник, представитель контрагента и пользователь могут находиться в одном файле. Основания и ожидания субъектов различаются.

Найдите каждого получателя

Проверьте основного поставщика, поддержку, субобработчиков, подрядчика внедрения и лиц внутри группы компаний.

Привяжите страну к получателю

Не ограничивайтесь геолокацией IP. Нужны юридическое лицо, его адрес и страна, из которой фактически организован доступ.

Проверьте цель и основание

Передача для исполнения договора с субъектом и передача для внутренней аналитики могут иметь разные основания. Отдельно оцените специальные категории и биометрию.

Сопоставьте уведомления и документы

Проверьте общее уведомление оператора по статье 22, отдельное уведомление по статье 12, политику, согласия, поручения и договоры.

Выберите действие и ответственного

Назначьте ответственного за настройку, документ, запрос поставщику или миграцию. Если у проверки нет исполнителя и срока, выявленное несоответствие, скорее всего, останется без исправления.

Что установить о стране и получателе

Статья 12 Федерального закона №152-ФЗ различает государства, включенные в перечень обеспечивающих адекватную защиту, и остальные государства. Перечень утвержден приказом Роскомнадзора от 5 августа 2022 года №128. Это влияет на момент, когда после уведомления можно начинать передачу, но не отменяет проверку цели, основания и безопасности.

До подачи уведомления оператор должен получить сведения, предусмотренные частью 5 статьи 12 (ч. 5 ст. 12 Закона №152-ФЗ). Закон делит их на три группы: меры иностранного получателя и условия прекращения обработки; правовое регулирование государства, если оно не относится к Конвенции и не включено в перечень; сведения о самом иностранном получателе. Для проверки понадобятся:

• Точное наименование и контакты получателя;
• Страну его юрисдикции;
• Категорию государства по актуальному перечню;
• Меры защиты и конфиденциальности;
• Срок, основание и порядок прекращения обработки;
• Возврат или уничтожение данных;
• Дальнейших получателей и субподрядчиков;
• Возможность ответить на запрос Роскомнадзора в установленный срок.

Какие решения доступны бизнесу

Оставить процесс

Сохранить процесс можно, если схема передачи определена, основание и документы соответствуют ей, уведомление подано, а меры защиты и договорные условия отвечают установленным требованиям.

Ограничить данные или доступ

Можно исключить поля, запретить загрузку документов, отключить журналирование, сократить круг пользователей или заменить реальные данные тестовыми.

Перенастроить

Иногда поставщик позволяет выбрать российский регион, отключить обучение, иностранную поддержку или конкретную интеграцию. Проверяйте фактический результат настройки.

Заменить поставщика

Это разумно, если поставщик не раскрывает получателей и страны, не соглашается на нужные условия или бизнес не готов принять оставшийся риск. При миграции нужно удалить старую копию данных.

Прекратить передачу

Если процесс нельзя обосновать или Роскомнадзор запретил либо ограничил его, одного удаления кнопки недостаточно. Нужно остановить интеграцию, закрыть доступ, решить судьбу копий и обновить документы.

Какие документы и действия не заменяют друг друга

Общее уведомление оператора

Статья 22 Закона №152-ФЗ регулирует уведомление о намерении обрабатывать персональные данные. Оно не является уведомлением о трансграничной передаче.

Отдельное уведомление о трансграничной передаче

Часть 3 статьи 12 требует направить его до начала деятельности по передаче и отдельно от уведомления по статье 22. В нем указываются оператор, ответственное лицо, цели, категории данных и субъектов, государства и иностранные получатели согласно действующей форме.

Согласие субъекта

Согласие требуется не автоматически для каждой передачи. Нужно определить основание обработки и проверить специальные требования. Если согласие выбрано, оно должно быть конкретным, предметным, информированным, сознательным и однозначным по статье 9.

Поручение обработки и договор с поставщиком

Если поставщик действует по поручению оператора, часть 3 статьи 6 требует определить перечень данных, операции, цели, конфиденциальность, требования к защите, документы о принятых мерах, уведомление об инцидентах и прекращение обработки. Когда поручение получает иностранное физическое или юридическое лицо, часть 6 статьи 6 возлагает ответственность перед субъектом и на оператора, и на это лицо. При этом договор не заменяет уведомление, а уведомление не создает договорных гарантий.

Сопоставьте договор с фактической схемой передачи данных. Если документ разрешает поставщику использовать данные в собственных целях, обычной формулы о поручении может быть недостаточно: нужно отдельно определить его роль и основание такой обработки. Если поставщик не раскрывает субподрядчиков, страны или порядок удаления, одной обязанности «соблюдать закон» недостаточно.

Политика и внутренние документы

Политика объясняет субъекту, как компания обрабатывает его данные. Внутреннее описание передачи данных, перечень систем и порядок подключения сервисов помогают не допустить расхождений между документами и реальной работой компании.

Когда требуется согласие и почему оно не является универсальным решением

Само наличие иностранного получателя не означает, что для передачи обязательно нужно согласие. Сначала выбирают основание каждой обработки по статьям 6, 10 и 11 Федерального закона №152-ФЗ, а затем отдельно выполняют требования статьи 12. Например, передача может быть необходима для исполнения договора, стороной которого является субъект, но это основание нельзя распространять на самостоятельную аналитику или обучение модели поставщика.

Проверьте пять вопросов:

1. Является ли субъект стороной договора и действительно ли без передачи нельзя его исполнить?
2. Возникает ли у иностранного получателя собственная цель использования данных?
3. Есть ли специальные категории или биометрические данные, для которых действуют дополнительные условия?
4. Совпадает ли заявленная цель с фактическими полями и действиями сервиса?
5. Можно ли выполнить задачу с меньшим объемом данных или без иностранного получателя?

Если основанием выбрано согласие, оператор обязан доказать его получение, содержание и связь с конкретным процессом. Согласие должно быть отдельным от иных подписываемых документов, конкретным, предметным, информированным, сознательным и однозначным по статье 9. Оно не разрешает избыточную обработку, не заменяет уведомление и не отменяет локализацию. При специальных категориях, биометрии, несовершеннолетних или нескольких независимых целях самостоятельной формы без правового разбора может быть недостаточно.

Уведомление Роскомнадзора и начало передачи

1. Оператор составляет фактическую схему передачи данных и собирает сведения о получателе.
2. До начала деятельности он направляет отдельное уведомление по части 3 статьи 12.
3. Для государства из перечня адекватной защиты передача после уведомления возможна до решения о запрете или ограничении по правилам части 10 статьи 12.
4. Для государства, которое не включено в перечень, передача по общему правилу не начинается до окончания десяти рабочих дней, отведенных Роскомнадзору частью 9 статьи 12 на рассмотрение уведомления. Исключение части 11 относится к защите жизни, здоровья и иных жизненно важных интересов и не подходит для постоянной коммерческой интеграции.
5. Роскомнадзор может запросить сведения. По части 6 они предоставляются в течение десяти рабочих дней с возможностью мотивированного продления не более чем на пять рабочих дней.
6. При решении о запрете или ограничении оператор прекращает или ограничивает передачу в соответствии с решением. Если принято решение, предусмотренное частью 8 или 12 статьи 12, часть 14 обязывает оператора обеспечить уничтожение иностранным получателем ранее переданных данных.

Форма уведомления не должна заполняться предположениями. Если страна, получатель или перечень данных не установлены, сначала нужен запрос поставщику и техническая проверка.

Если сервис подключили несколько лет назад

Риск: компания продолжает передачу по прежней схеме, а документы описывают прежних получателей.
Почему возникает: поставщик меняет субобработчиков, регионы и условия, а внутри компании появляются новые интеграции.
Чем уменьшается: повторной проверкой передачи данных, сравнением версий договора, актуализацией уведомления и отключением лишних функций.
Что может остаться неясным: часть технических сведений зависит от прозрачности поставщика. Если получить их не удается, компании придется решить, готова ли она продолжать работу с сервисом или его следует заменить.

Не создавайте документы задним числом. Зафиксируйте текущее состояние и дату обнаружения, приостановите операции, для которых не найдено правового основания, соберите сведения и составьте план исправлений. Затем сравните действующую схему передачи с ранее поданными уведомлениями. Если добавились страны, цели, категории данных или получатели, нельзя считать, что старое уведомление автоматически охватывает изменения. До продолжения передачи нужно определить, требуется ли новое уведомление или актуализация прежнего.

Передача не становится законной только потому, что недостающий документ оформили позднее. Простое удаление сервиса также не устраняет возможные последствия. Нужны подтверждения того, что доступ прекращен, копии возвращены или удалены, договоры изменены, а текущая обработка имеет законное основание. При возможном нарушении юрист оценивает период, применимую редакцию закона и то, какие данные, кому и каким способом передавались. Техническая команда подтверждает, что прежняя передача действительно прекращена.

Шесть сценариев ООО «Ромашка»

Форма и иностранная аналитика

Сайт сначала записывает заявку в российскую базу, но аналитический скрипт отправляет идентификатор и события иностранной компании. Локализация первичного сбора не отвечает на вопрос о последующей передаче.

CRM с российским дата-центром

Данные хранятся в России, однако иностранная поддержка может открывать карточки по обращению. Нужно проверить юридическое лицо поддержки, страну, содержание доступа и возможность его отключить.

Корпоративный ИИ-сервис

Сотрудник загружает договор клиента. Даже если сервис обещает не использовать запросы для обучения, все равно нужно проверить получателя, страну обработки, сроки хранения и доступ к данным. До проверки условий лучше не загружать в сервис реальные персональные данные.

Рассылка через российского интегратора

Российский подрядчик передает базу иностранной платформе. Проверка не заканчивается на первом договоре: нужно учесть иностранного получателя и субобработку.

Иностранный мессенджер

Менеджер вручную отправляет паспорт или резюме. Отсутствие программной интеграции (API) не меняет факт возможной передачи. Компания должна определить, какие данные можно отправлять через мессенджер, а для остальных сведений предусмотреть подходящий защищенный канал.

Зарубежный офис одной группы

Сотрудник иностранной компании получает доступ к российской CRM. Общий бренд и корпоративная цель не превращают разные юридические лица в одного оператора.

Редкие случаи

Обезличивание исключает персональный характер только тогда, когда без дополнительной информации нельзя определить принадлежность данных конкретному субъекту с учетом доступных средств. Псевдонимизации с помощью одного внутреннего идентификатора может быть недостаточно. При техническом транзите нужно выяснить, кто получает доступ к данным и что может с ними делать: одно название технического канала ничего об этом не говорит.

Передача для защиты жизни и иных жизненно важных интересов имеет узкую правовую роль и не подходит как постоянное основание для обычного коммерческого сервиса. Командировки, иностранные подразделения, специальные категории и данные несовершеннолетних требуют отдельной проверки.

Ответственность без запугивания

У запроса «штраф за трансграничную передачу персональных данных» нет одного ответа: сначала нужно определить, какое именно требование нарушено. Значение имеют незаконная обработка, отсутствие требуемого уведомления, нарушение локализации, невыполнение решения Роскомнадзора, неправомерный доступ или утечка.

Статья 13.11 КоАП РФ содержит разные составы и санкции. Например, часть 1 касается обработки без предусмотренного законом основания или несовместимой с целью, часть 8 - первоначального нарушения локализации, часть 9 - повторного нарушения локализации, а часть 10 - уведомления по статье 22 (ч. 1, 8-10 ст. 13.11 КоАП РФ). Части 12-18 относятся к случаям, когда действие или бездействие повлекло неправомерную передачу, предоставление, распространение или доступ, включая специальные составы по масштабу и категории данных (ч. 12-18 ст. 13.11 КоАП РФ). Сам факт плановой передачи иностранному получателю не следует автоматически называть утечкой по этим частям.

Для отдельного уведомления по статье 12 и сведений, запрошенных Роскомнадзором, применимая ответственность определяется по конкретному нарушенному требованию и обстоятельствам (ст. 13.11 КоАП РФ). Нельзя без проверки подставлять штраф за общее уведомление по статье 22 или максимальную санкцию за массовую утечку (ст. 13.11 КоАП РФ). Если вынесено решение о запрете или ограничении, отдельно оценивается его исполнение и фактическое уничтожение ранее переданных данных.

Поэтому размер возможного взыскания проверяют по редакции КоАП РФ, действовавшей на дату события, и по конкретному составу (ст. 13.11 КоАП РФ). Бизнесу прежде всего важно остановить необоснованную передачу и сохранить сведения о принятых мерах. Максимальная санкция, предусмотренная статьей, не применяется автоматически к каждому нарушению.

Самостоятельный чек-лист

• Выбран конкретный процесс, а не абстрактный «весь интернет»;
• Установлены данные и субъекты;
• Найдены фактические получатели и субобработчики;
• Каждой стране сопоставлено юридическое лицо;
• Отделена первичная локализация от последующей передачи;
• Проверены цель и основание;
• Получены сведения части 5 статьи 12;
• Проверены общее и отдельное уведомления;
• Договоры отражают операции и меры;
• Назначен ответственный за исправление и установлен срок;
• Старые копии и доступы включены в план прекращения;
• Изменения поставщика будут отслеживаться после проверки.

Сохраните материалы, на которых основан вывод: договор и соглашение об обработке данных с поставщиком (DPA), перечень субобработчиков, заявленный регион хранения, настройки проекта, ответ поддержки, журнал сетевых запросов или техническое заключение, а также дату и версию проверки. Ни один источник по отдельности не дает полной картины.

Юриста стоит подключить, когда получатель или страна неясны, возможны несколько оснований, обрабатываются специальные категории данных, роль поставщика вызывает сомнения, обнаружено прежнее нарушение, Роскомнадзор запретил передачу либо миграция затрагивает договоры и критически важный процесс. Техническая команда должна подтвердить, как именно передаются данные, и изменить настройки: одного юридического документа для этого недостаточно.

Когда поток лучше разобрать вместе с юристом

Если сервисы, договоры и фактический доступ дают разные ответы, мы разберем один процесс от первичного сбора до иностранного получателя. На основании доступных технических и договорных сведений письменно определим, есть ли признаки трансграничной передачи, и укажем, каких подтверждений не хватает. Затем предложим дальнейшие действия: выбрать основание или получить согласие, подать уведомление, изменить договор или настройки либо заменить сервис. Подготовка документов, полный аудит всех процессов и техническая миграция являются отдельными задачами. Посмотреть консультацию по трансграничной передаче.