Кто отвечает за данные сотрудников в облачной CRM

Работодатель, который решает, зачем и какие данные сотрудников вносить в облачную CRM, является оператором персональных данных. Поставщик программы, обрабатывающий эти данные для обслуживания системы, может действовать по его поручению.

Civius, юридическая компания Дарина Алексеева, юрист; правовая позиция на 2025-09-10

Короткий ответ

Владелец серверных мощностей тоже требует внимания: автоматическое хранение данных не перестаёт быть обработкой только из-за отсутствия ручного просмотра.

Кто определяет цели обработки

По п. 2 ст. 3 закона № 152-ФЗ статус оператора связан с организацией обработки и определением её целей и существенных условий.

В описанной системе работодатель ведёт внутренний документооборот и загружает имя, должность и адрес почты сотрудников. Именно он определяет эту рабочую цель. Самостоятельная загрузка сотрудником своих сведений не делает его вместо компании оператором кадрового процесса.

Компания получает соответствующие обязанности в силу фактической деятельности, а не только после оформления отдельного названия роли в договоре.

Какова роль поставщика программы

Если поставщик технически обслуживает систему, получает доступ к данным и действует в интересах работодателя без своей отдельной цели, применяют правила об обработке по поручению. Основание предусмотрено ч. 3 ст. 6.

При этом по собственным данным клиентов поставщик может быть самостоятельным оператором. У одной компании могут быть разные роли для разных процессов.

Не ограничивайтесь фразой «мы только выдаём лицензию». Проверьте реальные операции: хранение, резервное копирование, поддержка, доступ администраторов и удаление сведений.

Что включить в поручение

Оно может быть отдельным договором или блоком условий внутри договора на программу. Существенно содержание: перечень данных и операций, цели, конфиденциальность, безопасность и применимые требования к размещению и обработке.

Укажите обязанность предоставлять оператору подтверждения принятых мер и уведомлять об установленных инцидентах. Применяются также требования ст. 19.

Общая фраза «обе стороны соблюдают 152-ФЗ» не раскрывает, кто и что делает с данными. Поручение должно соответствовать используемой системе.

Что делать с хостингом

Если программу размещают на арендованных виртуальных мощностях, разберите и этот уровень. Предоставление мощностей с хранением и другими автоматическими операциями может означать участие ещё одного обработчика.

В договоре работодателя с поставщиком можно предусмотреть возможность такого привлечения и необходимые условия. Не оставляйте владельца серверов неизвестным участником цепочки, о котором заказчик узнает после инцидента.

Если для поручения требуется согласие сотрудников, его получает оператор, а не каждый технический исполнитель отдельно. В нём должны быть обозначены соответствующие цели и лица. Федеральный закон может предусматривать и другой порядок – основания нужно сопоставить с конкретными данными.

Что проверить перед загрузкой

Составьте схему: работодатель, поставщик программы, хостинг, их доступы и операции. Проверьте основания обработки сотрудников, договорные поручения, место баз и меры защиты.

Не вносите избыточные сведения только потому, что в CRM есть соответствующее поле. Состав данных определяется рабочей целью, а не возможностями программы.

Общий порядок проверки изложен в статье о персональных данных на сайте и в процессах бизнеса.

Если нужно применить ответ к Вашей ситуации или документам, Проверить сайт на соответствие 152-ФЗ: юрист проверит вводные и учтёт обстоятельства, которые короткий ответ не охватывает.