Poruchenie Review

---
name: poruchenie-review
description: >
  Локализация РФ (dpa-review → поручение на обработку ПДн). Проверка поручения на
  обработку ПДн (ст. 6 ч. 3 ФЗ-152) со стороны оператора или обработчика: правомерность,
  восемь обязательных условий, заключённость по ГК, ответственность и регресс, требования
  к безопасности, трансграничность, локализация, субобработчики, прекращение и уничтожение.
  Используй, когда говорят «проверь поручение на обработку», «проверь DPA», «проверь пункт
  про ПДн в договоре с подрядчиком», «мы обработчик/оператор».
argument-hint: '[текст поручения/договора или путь]'
---

<!--
Независимое ревью другим провайдером (`codex`/OpenAI) выполнено 2026-08-27 — 4 находки применены:
основание «законные интересы» (п. 7 ч. 1 ст. 6) не отрицается как несуществующее в таблице GDPR→РФ;
совместное определение целей обработки (п. 2 ст. 3) признано, а не отрицается как отсутствующая
конструкция; вывод о зарубежном облаке/SaaS при локализации разграничен со сбором; смягчены две
избыточно категоричные позиции — незаключённость основного договора при дефекте поручения и
двойная маркировка требования о поимённом согласовании субобработчиков.
-->

# /poruchenie-review — проверка поручения на обработку ПДн

Проверяет поручение на обработку (ст. 6 ч. 3 ФЗ-152) против плейбука и определяет, на какой мы стороне.
Две половины проверки, и обе обязательны: **регуляторная** («законно ли») и **договорная** («что мы
получим, когда что-то пойдёт не так»). Вывод «соответствует ст. 6 ч. 3» без второй половины бесполезен:
перед субъектом всё равно отвечает оператор (ст. 6 ч. 5), а инструментов переложить риск вниз нет.

## Какая сторона?

Сначала определи: мы **оператор** (поручаем обработку) или **обработчик** (обрабатываем по поручению)? Это меняет половину проверки. Из профиля `## Кто мы и наша роль`. Если из документа неочевидно — спроси.

**Сторона меняет и договорный чек-лист, не только регуляторный.** Оператор: безлимитное возмещение
потерь (ст. 406.1), carve-out из лимита, заверения, неустойки, право немедленного отказа, аудит-право.
Обработчик: cap, закрытый перечень обстоятельств возмещения потерь, срок на уведомление, разумная
периодичность аудита. Один и тот же пункт для оператора 🔴, для обработчика 🟢 — не выдавай общий список.

## Обязательные условия поручения (ст. 6 ч. 3 ФЗ-152)

**0. Правомерность самого поручения — проверяется ПЕРВОЙ.** Оператор вправе поручить обработку другому
лицу **с согласия субъекта ПДн, если иное не предусмотрено федеральным законом**, на основании договора
(в том числе гос./мун. контракта) либо акта гос./мун. органа (ст. 6 ч. 3, первое предложение).
Проверь: покрыто ли поручение согласием субъекта либо иным основанием, предусмотренным ФЗ. Нет
покрытия → 🔴 — реквизиты поручения этого не лечат. *Отдельно и не путать: **обработчик** не обязан
получать согласие субъекта — это обязанность оператора (ст. 6 ч. 4).*

Поручение оформляется договором (в т. ч. гос./мун. контрактом) либо актом гос./мун. органа и
**должно** содержать **восемь** позиций (ст. 6 ч. 3, третье предложение; ред. ФЗ от 14.07.2022
№ 266-ФЗ, с 01.09.2022) `[текст нормы сверен по первоисточникам 2026-08-06]`:

1. **Перечень персональных данных.**
2. **Перечень действий (операций) с ПДн**, которые будут совершаться лицом, осуществляющим обработку.
3. **Цели их обработки.**
4. **Обязанность соблюдать конфиденциальность** ПДн.
5. **Требования, предусмотренные ч. 5 ст. 18 (локализация) и ст. 18.1** ФЗ-152.
6. **Обязанность по запросу оператора в течение срока действия поручения, в том числе до обработки
   ПДн, предоставлять документы и иную информацию**, подтверждающие принятие мер и соблюдение
   в целях исполнения поручения требований, установленных в соответствии со ст. 6.
7. **Обязанность обеспечивать безопасность ПДн** при их обработке.
8. **Требования к защите обрабатываемых ПДн в соответствии со ст. 19**, **в том числе требование
   об уведомлении оператора о случаях, предусмотренных ч. 3.1 ст. 21** (инцидент).

**Отсутствие любой из позиций 1–8 → 🔴.** Это не «пробел оформления»: см. раздел «Поручение как
договор» — незаключённость.

**Самостоятельное основание помимо ФЗ-152: ПП РФ от 01.11.2012 № 1119** `[проверить нумерацию
пункта — источники расходятся]`. Безопасность ПДн в ИСПДн обеспечивает оператор либо лицо,
осуществляющее обработку по поручению на основании договора (**«уполномоченное лицо»**), и **договор
между оператором и уполномоченным лицом должен предусматривать обязанность уполномоченного лица
обеспечить безопасность ПДн при их обработке в информационной системе**. Отсутствие → второй,
независимый от ст. 6 ч. 3, состав нарушения.

*Независимо от текста договора обработчик **в силу закона** обязан соблюдать принципы и правила
обработки ПДн, соблюдать конфиденциальность и принимать необходимые меры, направленные на обеспечение
выполнения обязанностей по ФЗ-152 (ст. 6 ч. 3, второе предложение). Молчание договора его от этого
не освобождает — это половина ответа для стороны «мы обработчик».*

*Терминология: ФЗ-152 не знает слова «обработчик» — «лицо, осуществляющее обработку ПДн по поручению
оператора»; ПП-1119 — «уполномоченное лицо». «Обработчик» ниже — рабочее сокращение. Документ,
называющий сторону «процессором/обработчиком» со ссылкой на GDPR, поручением по ст. 6 ч. 3 сам
по себе не является: квалифицируй по существу условий.*

**Ключевое распределение ответственности — по частям, не «скопом»:**
- **ст. 6 ч. 3** — основание и обязательные условия самого поручения (см. п. 0 и список выше).
- **ст. 6 ч. 4** — обработчик **не обязан** получать согласие субъекта.
- **ст. 6 ч. 5** — перед **субъектом** за действия обработчика отвечает **оператор**; обработчик отвечает **перед оператором**.
- **ст. 6 ч. 6** — при поручении обработки **иностранному** физическому или юридическому лицу
  ответственность перед субъектом за действия таких лиц несут **оператор И лицо, осуществляющее
  обработку по поручению**. Это не то же правило, что ч. 5: иностранный обработчик становится
  ответчиком перед субъектом наравне с оператором. Характер ответственности (солидарная / долевая)
  нормой не определён `[проверить]` — в договоре с иностранным обработчиком распределение и регресс
  прописывать прямо.

*Согласие субъекта, на котором держится поручение, должно, помимо прочего, содержать **сведения
о лице, осуществляющем обработку по поручению** (ст. 9 ч. 4), и с 01.09.2025 оформляться **отдельно
от иной информации и (или) документов**, которые субъект подтверждает или подписывает (ч. 1 ст. 9;
ФЗ от 24.06.2025 № 156-ФЗ). Согласие, «зашитое» в договор с субъектом, поручение не покрывает.*

## Поручение как договор (ГК РФ)

Договорный минимум внутри профильного скилла. Не заменяет договорное ревью — см. хендофф в конце раздела.

**1. Квалификация.** Поручение по ст. 6 ч. 3 ФЗ-152 — не самостоятельный поименованный договор,
а обязательное **содержание**, размещаемое в каком-то договоре (обычно возмездные услуги — гл. 39,
разработка — ст. 1296, хранение, агентирование, аренда мощностей). **Не применяй гл. 49 ГК (договор
поручения, ст. 971–979)**: там поверенный совершает **юридические** действия от имени доверителя,
а обработчик — **фактические** и от своего имени. Название «Договор поручения на обработку ПДн»
ничего не квалифицирует (толкование — ст. 431 ГК); в споре стороны будут этим играть — сними
квалификацию прямо.

**2. Где размещено — и что из этого следует.**

| Вариант | Что проверить |
|---|---|
| Раздел в теле основного договора | наследует **общий лимит ответственности** («не более цены договора») — для ПДн он заведомо мал; наследует подсудность и форс-мажор; изменение только по ст. 450, 452 ГК |
| Отдельное соглашение / приложение | **спроси прямо: часть ли оно основного договора.** Если нет — есть ли своя подсудность, лимит, порядок расторжения, адрес для юридически значимых сообщений (ст. 165.1 ГК) |
| Поручение «по ссылке» (URL, политика провайдера) с правом одностороннего изменения | это условие о праве одностороннего изменения договора (п. 1 ст. 450, ст. 310 ГК) → 🟠 минимум: состав обязанностей меняется без нашей воли, а перед субъектом отвечаем мы. Зафиксируй редакцию на дату (доказательство: какая редакция действовала на дату инцидента) |
| Рамочная конструкция (ст. 429.1 ГК) | механизм восполнения: как заявка/спецификация становится обязательной, что при расхождении с общими условиями, что если обработка началась без подписанной заявки |

**3. Заключённость (ст. 432 ГК) — проверяй сразу после правомерности.** Условия ст. 6 ч. 3 ФЗ-152 —
условия, названные в законе как необходимые для договоров данного вида (абз. 2 п. 1 ст. 432 ГК).
Их несогласование → **риск незаключённости поручения**, а не «дефектность оформления»: обработчик
не связан ничем, регресс строить не на чем, а передача данных теряет основание и превращается
в передачу третьему лицу. **Это риск для поручения, а не автоматически для всего основного договора**,
в тело которого оно включено разделом: незаключённость части, посвящённой ПДн, влечёт незаключённость
договора в целом только если доказано, что стороны не заключили бы сделку без этой части (по аналогии
со ст. 180 ГК о недействительности части сделки) — для типового договора услуг с блоком про ПДн это
требует отдельного обоснования, а не презюмируется `[проверить по первоисточнику]`. **Не путай незаключённость с недействительностью** (разные последствия;
реституции здесь нет). При начатом исполнении включается п. 3 ст. 432 ГК (эстоппель) — но он спасает
договор, **не** легализует обработку. Проверь также условия, о согласовании которых заявила сторона
(место размещения БД/ЦОД, закрытый перечень субобработчиков, срок уничтожения): они тоже становятся
существенными — посмотри переписку до подписания.

**4. Форма и подписание.** Письменная форма между ЮЛ/ИП (п. 1 ст. 161 ГК), в т. ч. обменом
документами и электронными документами (п. 2 ст. 160, пп. 2, 3 ст. 434 ГК). Акцепт конклюдентными
действиями (п. 3 ст. 438 ГК) — типично для облачных сервисов, формально допустим, но нужно
доказательство: кто, когда, какой редакцией. Вид ЭП и её равнозначность собственноручной подписи
(ФЗ от 06.04.2011 № 63-ФЗ): УКЭП — в силу закона, простая и неквалифицированная — только при
соглашении сторон. **МЧД** при электронном подписании представителем — требования скорректированы
Приказом Минцифры России от 05.11.2025 № 1001, применяются с 01.02.2026 `[проверить]`. Полномочия
подписанта (ст. 174, 183 ГК): неподписанное уполномоченным лицом поручение = поручения нет = обработка
без основания. Адрес для юридически значимых сообщений (ст. 165.1 ГК) — к нему привязаны уведомление
об инциденте, требование об уничтожении, отказ от договора.

**Хендофф.** Это договорный минимум. Если поручение — часть большого договора с контрагентом (услуги,
SaaS, разработка), передай договор целиком в `/dogovornoe-pravo:vendor-agreement-review`: там полная
процедура по ответственности, заверениям, подсудности и санкционному контуру. Сюда возвращай только
вывод по ПДн. **Порог серьёзности сохраняется:** оценка, выданная здесь, — пол для договорного ревью,
и наоборот.

## Инструкции

1. **Загрузи профиль.** Плейсхолдеры → cold-start.
2. **Определи сторону** (оператор/обработчик).
3. **Проверь правомерность поручения (п. 0)** — покрыто ли согласием субъекта или иным основанием ФЗ. Не покрыто → 🔴.
4. **Проверь наличие каждого из восьми обязательных условий** (список выше) **и требование ПП-1119**.
   Отсутствие любой из позиций 1–8 → 🔴 (поручение дефектно; риск незаключённости — ст. 432 ГК).
5. **Квалифицируй как договор** — раздел «Поручение как договор»: природа, размещение, заключённость, форма и полномочия.
6. **Проверь по осям:**
   - **Границы поручения (role creep):** использует ли обработчик ПДн для **собственных** целей —
     аналитика, обогащение, статистика, **обучение моделей**, маркетинг? Любая собственная цель выводит
     его за поручение: по этим операциям он **оператор** (ст. 3 п. 2) и обязан иметь собственное
     основание (ст. 6 ч. 1), собственное согласие, собственное уведомление РКН, собственную
     локализацию, — а для нашего оператора это **передача третьему лицу**. Формулировки «may use the
     data to improve the Services» / «в обезличенном виде для развития продукта» → 🔴 до раздельного
     описания: где поручение, а где самостоятельная обработка со своим основанием.
   - **Безопасность:** конкретны ли меры/уровень защищённости (ПП-1119, ФСТЭК № 21, ФСБ) или общая фраза? Общая фраза → 🟠.
   - **Локализация (ст. 18 ч. 5, ред. ФЗ от 28.02.2025 № 23-ФЗ, с 01.07.2025):** использует ли обработчик **при сборе** ПДн граждан РФ базы данных, находящиеся за пределами РФ? Это **не допускается**, кроме случаев п. 2, 3, 4, 8 ч. 1 ст. 6. Зарубежное облако/SaaS, участвующее в сборе, → 🔴. **«Зеркало в РФ + основная БД за рубежом» больше не спасает.** Последующая обработка (не сбор) уже правомерно локализованных данных в зарубежном облаке сама по себе ч. 5 ст. 18 не нарушает — но требует проверки по ст. 12 (трансграничная передача), если к данным получает доступ обработчик или его персонал за рубежом `[сверено 2026-08-27]`. Отдельно: есть ли в поручении **условие** об этом (позиция 5 обязательного списка) — без него локализация не является договорной обязанностью обработчика.
   - **Трансграничность (ст. 12) — чья это обязанность.** Обязанности ст. 12 (получить от иностранного
     получателя сведения о правовом регулировании, мерах защиты и условиях прекращения обработки;
     подать **отдельное** уведомление РКН **до начала** передачи) лежат на **операторе** — обработчик
     своими действиями создаёт оператору нарушение. **Для государств вне перечня это не разрешительный
     порядок:** положительного решения РКН ждать не требуется — передавать нельзя до истечения срока
     рассмотрения уведомления (ч. 9 ст. 12 — десять рабочих дней со дня его поступления), а если РКН
     запросил сведения, срок рассмотрения приостанавливается до их представления (ч. 11 ст. 12).
     Исключение — передача в жизненно важных интересах, см. норму `[сверить редакцию ст. 12]`.
     Поручение должно **запрещать** обработчику любую трансграничную передачу, включая доступ
     иностранного персонала поддержки и размещение в иностранном облаке, до письменного подтверждения
     оператора о выполнении ст. 12. Иностранный обработчик — **ст. 6 ч. 6** (отвечают оба, см. выше).
     Критерии перечня государств изменены ФЗ от 26.07.2026 № 265-ФЗ — состав сверять `[проверить]`.
   - **Биометрия:** обрабатывает ли обработчик биометрические ПДн для идентификации/аутентификации вне единой биометрической системы? → 🔴. Точнее, чем «запрещено вообще»: ст. 15 ФЗ-572 запрещает вне ЕБС обработку, включая сбор и хранение, биометрии в целях **идентификации**; по **аутентификации** предусмотрены специальные исключения (проверка соответствия векторам ЕБС на условиях закона) `[сверить ст. 15 ФЗ-572 по первоисточнику до вывода]`.
   - **Субобработчики — две проверки, регуляторная и договорная.**
     *Регуляторная:* прямой нормы о субпоручении в ФЗ-152 **нет**. Поручение исходит от оператора,
     а согласие субъекта должно содержать сведения о лице, осуществляющем обработку по поручению
     (**ст. 9 ч. 4**). Отсюда — **консервативная рекомендация, не прямая норма закона**: субобработчик
     либо получает собственное поручение от оператора, либо поимённо назван (приложение + согласие)
     с правом оператора возражать. Держи это как одну позицию, а не как две противоречащие: помечай
     несогласованное субпоручение как **открытый регуляторный риск** `[позиция строится из ст. 6 ч. 3
     + ст. 9 ч. 4 по аналогии — прямой нормы нет, проверить]`, а не одновременно как «требует
     проверки» и как безусловное 🔴 по правомерности — выбери по итогам конкретного дела: без
     дополнительных фактов (масштаб субобработки, категория ПДн, содержание согласия) не выдавай
     готовый цвет светофора `[сверено 2026-08-27]`. Конструкция GDPR «general authorisation + 30 дней
     на возражение» сама по себе дополнительных гарантий правомерности по ФЗ-152 не создаёт.
     *Договорная:* привлечение субобработчика — возложение исполнения на третье лицо (п. 1 ст. 313 ГК),
     а по **ст. 403 ГК обработчик по умолчанию отвечает перед оператором за действия субобработчика**.
     Поэтому «Обработчик не несёт ответственности за действия привлечённых третьих лиц» — отступление
     от ст. 403 в свою пользу → отдельное 🔴 `[пределы диспозитивности ст. 403 — проверить]`. Требуй:
     закрытый перечень приложением; flow-down того же объёма обязанностей; заверение по ст. 431.2
     о составе; право оператора немедленно отказаться при добавлении нового.
   - **Прекращение поручения и судьба ПДн.** (1) Основания прекращения и **допустимость** одностороннего
     отказа: ст. 310 ГК — договорное право на отказ может быть предоставлено, только когда обязательство
     связано с предпринимательской деятельностью **всех** сторон (проверь ОПФ обеих: АНО, учреждение,
     физлицо — праву на отказ у контрагента взяться неоткуда); порядок — ст. 450.1 ГК, момент увязать
     со ст. 165.1 ГК. (2) Если поручение вшито в договор возмездных услуг — право на немотивированный
     отказ по **ст. 782 ГК** императивно, договорный запрет ничтожен: так и квалифицируй, а не
     торгуйся. (3) Есть ли у оператора право прекратить поручение **немедленно и независимо
     от основного договора** (инцидент, несогласованный субобработчик, предписание РКН, утрата
     аттестации) — в типовых DPA его нет. (4) Судьба данных: выбор «возврат или уничтожение» за
     оператором; срок в календарных днях; **резервные копии, логи и срок их ротации** (иначе
     обязанность неисполнима); изъятия для случаев обязательного хранения. (5) **Форма подтверждения
     как договорная обязанность передать документ** — **Приказ РКН от 28.10.2022 № 179**: при обработке
     с использованием средств автоматизации это **акт об уничтожении И выгрузка из журнала регистрации
     событий в ИСПДн**; без средств автоматизации — акт; реквизиты акта включают сведения о лицах,
     обрабатывающих ПДн по поручению. «Письмо об удалении» подтверждением не является → 🟠.
     (6) Понуждение: неустойка за каждый день просрочки + удержание финального платежа или
     обеспечительный платёж (ст. 381.1 ГК) до предоставления акта; астрент по ст. 308.3 ГК как рычаг
     «на потом» `[практика по понуждению к уничтожению ПДн не найдена — проверить]`. (7) **Пережитие
     условий (survival):** в праве РФ автоматически его нет. Прямой оговоркой должны переживать
     прекращение: конфиденциальность, содействие по обращениям субъектов и по инцидентам, аудит-право,
     ответственность и возмещение потерь. (8) **SLA обработчика короче сроков оператора по ст. 21:**
     3 р. д. (прекращение неправомерной обработки), 7 р. д. (уточнение), 10 р. д. (уничтожение при
     невозможности сделать обработку правомерной), 30 дней (достижение цели; отзыв согласия),
     предельные 6 мес. при блокировании.
   - **Инциденты.** Уведомление оператора об инциденте — **обязательное условие поручения** (позиция 8),
     не пожелание. Проверь: (а) есть ли условие вообще — нет → 🔴; (б) **числовой** срок —
     «незамедлительно / without undue delay» → 🟠: оператору нужно уложиться в **24 часа** ст. 21
     ч. 3.1, значит порог обработчика должен быть существенно короче; (в) состав уведомления — факт,
     предполагаемые причины, предполагаемый вред правам субъектов, принятые меры, уполномоченное
     на взаимодействие лицо; к **72 часам** — результаты внутреннего расследования и лица, чьи действия
     стали причиной; (г) обязанность передать оператору технические сведения для информирования
     **НКЦКИ / ГосСОПКА** (ст. 19 ч. 12, **Приказ ФСБ России от 13.02.2023 № 77**) — это второй канал,
     не тот же самый `[статус лица, обрабатывающего по поручению, по тексту приказа — проверить]`;
     (д) запрет обработчику на самостоятельные коммуникации с регуляторами и субъектами по инциденту
     без согласования; (е) **ст. 21 ч. 3**: оператор обязан в 3 рабочих дня прекратить неправомерную
     обработку **или обеспечить её прекращение** лицом, действующим по его поручению, — значит нужно
     исполнимое право оператора на приостановку с SLA короче 3 рабочих дней.
   - **Обращения субъектов:** обязанность обработчика содействовать оператору, срок и формат.
   - **Ответственность и регресс (ГК).** Ст. 6 ч. 5 ФЗ-152 говорит, что обработчик отвечает перед
     оператором, но **не определяет ни оснований, ни объёма** — это отсылка к гл. 25 ГК. Регресс сам
     собой не возникает. Проверь наличие каждого механизма **отдельно**:
     1. **убытки** (ст. 15, 393 ГК; п. 5 ст. 393 — размер устанавливается с разумной степенью
        достоверности, суд не вправе отказать только из-за неточности размера) — не заблокированы ли
        оговоркой «единственное средство защиты» / отказом от ст. 393.1;
     2. **возмещение потерь (ст. 406.1 ГК)** под штраф РКН и требования субъектов — не требует
        нарушения, вины и причинной связи, судом **не снижается** (п. 2), только между
        предпринимателями, должно быть **явным и недвусмысленным** с размером или порядком его
        определения, иначе не применяется (п. 15–18 Постановления Пленума ВС РФ от 24.03.2016 № 7
        `[пункты проверить]`). При возмещении потерь, вызванных действиями третьего лица, требование
        к нему переходит к возместившему — работает на цепочку субобработчиков;
     3. **заверения об обстоятельствах (ст. 431.2 ГК)** о фактах, которые мы физически не можем
        проверить: место нахождения БД, состав субобработчиков, аттестация, отсутствие неисполненных
        предписаний РКН, отсутствие трансграничной передачи. П. 4: ответственность независимо от вины
        и от знания о недостоверности;
     4. **неустойка (ст. 330, 394 ГК)** там, где убытки недоказуемы, а здесь это основные нарушения:
        просрочка уведомления об инциденте, несогласованный субобработчик, неуничтожение,
        непредоставление документов по аудит-запросу. Вид и соотношение с убытками (зачётная
        по умолчанию — ст. 394) выговаривать прямо; не рассчитывай на ст. 333 как на предохранитель;
     5. **лимит** — основание п. 1 ст. 15, ст. 400 ГК; **изъятие для умысла обязательно**: заранее
        заключённое соглашение об устранении или ограничении ответственности за умышленное нарушение
        **ничтожно** (п. 4 ст. 401 ГК) `[умысел юрлица через действия работника (ст. 402 ГК) —
        квалификация спорна, проверить]`.

     Нет ни одного механизма → 🔴 на стороне оператора (риск не переложен), 🟢 на стороне обработчика
     (отметь как выгодное условие).
   - **Лимит против штрафа по ст. 13.11 КоАП — посчитай, а не отметь.** Оборотный штраф за повторную
     утечку на два-три порядка превышает типовую цену договора с обработчиком, поэтому лимит «не более
     цены договора» / «не более годовых платежей» этот риск **не покрывает** → 🔴 и эскалация.
     Нужен **carve-out** из лимита: нарушение конфиденциальности и безопасности ПДн; суммы возмещения
     потерь; умысел и грубая неосторожность; требования субъектов и органов.
     **Не строй регресс по штрафу на убытках:** практика расколота, преобладает позиция
     «административный штраф персонифицирован (ч. 1 ст. 1.5, ч. 2 ст. 2.1 КоАП) и не является убытками
     по ст. 15 ГК»; обратная позиция существует `[практика расколота — проверить]`. Рабочая конструкция —
     **возмещение потерь по ст. 406.1** с прямо названным обстоятельством («вступление в силу
     постановления о привлечении Оператора к ответственности по ст. 13.11 КоАП РФ в связи
     с обстоятельствами, возникшими на стороне Обработчика»), а не «возмещает убытки, включая штрафы».
     `[правомерность договорного переложения публичного штрафа, риск ст. 169 ГК — открытый вопрос,
     проверить]`
     Если мы **обработчик**: безлимитное возмещение потерь под чужой штраф судом не снижается
     и не страхуется (п. 1 ст. 932 ГК) → авто-эскалация.
     Размеры штрафов и нумерацию частей ст. 13.11 КоАП бери из профиля и `references/currency-watch.md`,
     не по памяти.
   - **Форум и процедура спора — три разных форума, сшей их договором.** (1) Субъект → оператор: суд
     общей юрисдикции, иск может быть предъявлен также **по месту жительства истца** (ч. 6.1 ст. 29
     ГПК), компенсация морального вреда — ч. 2 ст. 24 ФЗ-152, возможен групповой иск (гл. 22.3 ГПК);
     договорная подсудность здесь не работает. (2) Оператор → обработчик (регресс): арбитражный суд,
     договорная подсудность допустима только до принятия заявления к производству (ст. 37 АПК).
     (3) РКН → оператор: административное производство, вне договора.
     **Проверь процедуру ведения требования** (российский аналог conduct of claims): обязанность
     оператора уведомить обработчика о требовании субъекта/органа в N дней; обязанность обработчика
     предоставить доказательства и участвовать в деле; запрет признавать требования и заключать
     мировое без согласия; **последствие** — уведомлённый и не возразивший обработчик не вправе
     оспаривать обоснованность и размер в регрессном процессе. Без этого регресс = повторное
     доказывание с нуля.
     **Претензионный порядок:** ч. 5 ст. 4 АПК — обязателен для денежных требований из договоров,
     30 календарных дней, если иное не установлено законом или договором `[редакцию проверить]`.
     Проверь, не удлинён ли срок ответа (при утечке это прямая отсрочка нашего иска) и не введён ли
     он для неденежных требований (уничтожение, предоставление документов).
     **Применимое право** с иностранным обработчиком — раздел VI ГК; санкционный контур — ст. 248.1,
     248.2 АПК. `[применяются ли нормы ФЗ-152 независимо от выбранного права как нормы
     непосредственного применения (ст. 1192 ГК) — открытый вопрос, проверить]`
7. **Для каждого отклонения** — блок как в договорном ревью (норма → цитата → разрыв → 🔴/🟠/🟡/🟢 → почему → формулировка правки).
8. **Проверь, что меняется у оператора после подключения обработчика.** Место нахождения базы данных
   (п. 10.1 ч. 3 ст. 22), сведения о трансграничной передаче (п. 10), описание мер по ст. 18.1 и 19
   (п. 7): если изменились — уведомление РКН актуализируется **не позднее 15-го числа месяца,
   следующего за месяцем возникновения изменений** (ч. 7 ст. 22). Отдельного поля «обработчик» в ч. 3
   ст. 22 нет — формулируй через место нахождения БД и трансграничность. Если мы **обработчик** —
   отдельно проверь собственную обработку (как минимум работники), по которой мы оператор: уведомление
   ст. 22, ответственный ст. 22.1, политика ст. 18.1 `[обязанность обработчика по ст. 22 — проверить]`.
9. **Собери меморандум**, эскалация по профилю (спец/био/трансгранично/инцидент — авто-эскалация).

## Зона риска: DPA, переведённый с GDPR-шаблона

Модальный входящий документ у любого SaaS. Если документ называется DPA / Data Processing Agreement,
содержит controller/processor, indemnity, warranties или SCCs — это перевод шаблона GDPR. Прогони
по таблице **до** содержательной проверки: переведённый термин без квалификации по праву РФ даёт
условие, которое не работает, и ложное ощущение защиты — документ выглядит полным и при этом
не является поручением по ст. 6 ч. 3.

| В шаблоне GDPR | Что это в праве РФ |
|---|---|
| legitimate interest (Art. 6(1)(f)) как основание **для самой обработки оператором** | ближайший, но не полный аналог — п. 7 ч. 1 ст. 6 (осуществление прав и законных интересов оператора/третьих лиц при соблюдении баланса прав субъекта): самостоятельное основание, без GDPR-теста баланса как обязательной документируемой процедуры `[сверено 2026-08-27]`. Но **правомерность поручения обработчику** от этого основания не зависит: поручение правомерно с согласия субъекта либо на ином основании, предусмотренном ФЗ (ст. 6 ч. 3), — реквизиты одного поручения не лечит ни то, ни другое |
| Art. 28(3) как «полный список» | ≠ ст. 6 ч. 3: нет перечня ПДн как обязательного реквизита, отсылки к ч. 5 ст. 18 и ст. 18.1, обязанности предоставлять подтверждающие документы «в том числе до обработки», требований по ст. 19 / ПП-1119 / приказу ФСТЭК № 21 |
| controller / processor | оператор / лицо, обрабатывающее по поручению |
| joint controllers | **не пустая аналогия**: п. 2 ст. 3 ФЗ-152 прямо допускает определение целей и содержания обработки **совместно с другими лицами** — конструкция совместного операторства законом признана. Детального режима распределения ответственности между совместными операторами, как в GDPR Art. 26, в ФЗ-152 нет — это и есть реальный пробел, а не отсутствие самой конструкции `[сверено 2026-08-27]` |
| субпроцессоры: «general authorisation + 30 days to object» | не покрывает ст. 9 ч. 4 → 🔴 в части правомерности |
| SCCs, «EU adequacy decision» | в РФ юридически пусты: не заменяют ни сведения от иностранного получателя, ни отдельное уведомление РКН, ни запрет передавать до истечения срока рассмотрения уведомления (ст. 12) |
| инциденты: «without undue delay», «within 72 hours to the controller» | не позволяет оператору уложиться в 24 часа ст. 21 ч. 3.1 → 🔴/🟠 |
| audit: «not more than once a year, 30 days' notice, at controller's cost» | сужает установленное **законом** право оператора запрашивать документы в течение всего срока поручения, в том числе до обработки (ст. 6 ч. 3) → не принимать |
| «delete or return at the end of the services» | без формы подтверждения не соответствует Приказу РКН № 179 (акт + выгрузка из журнала) |
| молчание о локализации | ст. 18 ч. 5 (ред. с 01.07.2025) запрещает использование зарубежных БД при сборе; «зеркало в РФ» не спасает |
| «indemnify and hold harmless» | развилка: возмещение потерь (ст. 406.1) **или** убытки за нарушение (ст. 15, 393) — не «убытки» по умолчанию. «Hold harmless» как отказ от права требования — п. 6 ст. 450.1 ГК, для предпринимателя необратим |
| representations & warranties | заверения об обстоятельствах (ст. 431.2), безвиновная ответственность по п. 4 — не декларативный раздел |
| liquidated damages | неустойка (ст. 330), со ст. 394 и ст. 333 |
| consequential / indirect damages | такой категории в ГК нет; переводить в реальный ущерб / упущенную выгоду (ст. 15), иначе объём исключения спорен |
| liability cap, «each party liable for its own processing» | не меняет ст. 6 ч. 5 и ч. 6 перед субъектом: договорное распределение работает только во внутренних отношениях |
| Data Protection Officer | ≠ ответственный за организацию обработки ПДн (ст. 22.1 ФЗ-152) |
| определение «personal data» по GDPR | уже расхождение с «перечнем персональных данных» — обязательным реквизитом ст. 6 ч. 3 и существенным условием (ст. 432 ГК) |
| governing law England/Ireland, LCIA/ICC | ст. 248.1, 248.2 АПК при санкционном статусе любой из сторон; плюс исполнимость решения. Выбор иностранного права не отменяет императивных требований ФЗ-152 `[ст. 1192 ГК — проверить]` |
| termination for convenience, 30 days | проверять по ст. 310 и 450.1 ГК; для услуг — ст. 782 ГК |

## Открытые вопросы — не выдавай как решённые

Помечай в выводе тегом, а не превращай в утверждение:
- характер ответственности по ст. 6 ч. 6 (солидарная / долевая) — нормой не определён `[проверить]`;
- правомерность договорного переложения публичного штрафа, риск ст. 169 ГК; практика по ст. 13.11 КоАП расколота `[проверить]`;
- пределы диспозитивности ст. 403 ГК (можно ли исключить ответственность за субобработчика) `[проверить]`;
- умысел юрлица через действия работника (п. 4 ст. 401 + ст. 402 ГК) `[проверить]`;
- нормы ФЗ-152 как нормы непосредственного применения (ст. 1192 ГК) `[проверить]`;
- нумерация пункта ПП РФ № 1119 об обязанности уполномоченного лица `[проверить]`;
- статус лица, обрабатывающего по поручению, в Приказе ФСБ России № 77 `[проверить]`;
- обязанность обработчика подавать уведомление по ст. 22 `[проверить]`;
- состав документов и вопросов контрольного мероприятия РКН по поручениям `[проверить по регламенту
  контрольной деятельности]` — **перечень по памяти не выдавай**.

## Формат вывода

```markdown
[ШАПКА]

# Ревью поручения на обработку ПДн: [Контрагент]
**Наша роль:** Оператор / Обработчик
**Где размещено поручение:** тело договора / отдельное соглашение / по ссылке / рамочное (ст. 429.1 ГК)

## Суть
[Можно ли принимать/подписывать? Что критично?]

## Правомерность поручения (ст. 6 ч. 3, первое предложение)
- Согласие субъекта / иное основание ФЗ — ✅/❌

## Обязательные условия (ст. 6 ч. 3) — 8 позиций + ПП-1119
- [позиции 1–8] — ✅/❌
- ПП РФ № 1119: обязанность уполномоченного лица обеспечить безопасность в ИСПДн — ✅/❌

## Заключённость (ст. 432 ГК)
[Согласованы ли все условия, названные законом необходимыми; риск незаключённости]

## Ответственность и регресс
[Убытки / возмещение потерь ст. 406.1 / заверения / неустойка / лимит и изъятие для умысла — по каждому да/нет]

## Отклонения по серьёзности
[блоки]

## Открытые вопросы
[из раздела выше, с тегами]

## Согласование
[из профиля]
```

## Проверки перед выдачей
- [ ] Определена сторона (оператор/обработчик); договорный чек-лист дан под нашу сторону, а не общий
- [ ] Проверена правомерность самого поручения: согласие субъекта либо иное основание ФЗ (ст. 6 ч. 3, первое предложение)
- [ ] Проверены **все восемь** обязательных условий ст. 6 ч. 3 (включая перечень ПДн, отсылку к ч. 5 ст. 18 и ст. 18.1, обязанность предоставлять подтверждающие документы, уведомление об инциденте) **и требование ПП-1119**
- [ ] Квалифицирована правовая природа: где размещено поручение, гл. 49 ГК не применена
- [ ] Проверена заключённость (ст. 432 ГК); незаключённость не спутана с недействительностью
- [ ] Проверены форма, вид ЭП, МЧД, полномочия подписанта (ст. 174, 183 ГК), адрес по ст. 165.1 ГК
- [ ] Проверены границы поручения (role creep), локализация (ред. с 01.07.2025), трансграничность и распределение обязанностей ст. 12, биометрия/ЕБС, субобработчики (ст. 313, 403 ГК + ст. 9 ч. 4), числовой срок уведомления об инцидентах и второй канал ГосСОПКА
- [ ] По каждому механизму регресса дан ответ: убытки / возмещение потерь (ст. 406.1) / заверения (ст. 431.2) / неустойка / лимит и изъятие для умысла (п. 4 ст. 401)
- [ ] Лимит сопоставлен **в цифрах** со штрафом по ст. 13.11 КоАП; регресс по штрафу построен на ст. 406.1, а не на убытках
- [ ] Прекращение: допустимость отказа (ст. 310, 782), порядок (ст. 450.1), судьба ПДн с формой подтверждения (Приказ РКН № 179), понуждение, survival
- [ ] Форумы разведены (ч. 6.1 ст. 29 ГПК / ст. 37 АПК); проверены процедура ведения требования и претензионный порядок
- [ ] Проверено, что меняется в уведомлении РКН после подключения обработчика (ст. 22 чч. 3, 7)
- [ ] Если документ переводной — прогнан по таблице «DPA с GDPR-шаблона»
- [ ] Ответственность перед субъектом отнесена на оператора (**ст. 6 ч. 5**); при иностранном обработчике — на оператора **и** обработчика (**ст. 6 ч. 6**); отсутствие у обработчика обязанности получать согласие — **ст. 6 ч. 4**
- [ ] Открытые вопросы вынесены с тегами `[проверить]`, а не выданы как готовые ответы

## Закрой деревом следующих шагов