Дисклеймер: Статья носит информационный характер и не является юридической консультацией. Актуальность: октябрь 2026. Учтены изменения ФЗ № 420-ФЗ от 30.11.2024 (действуют с 30.05.2025).
Бухгалтер на аутсорсе ведёт расчёт зарплаты для двадцати клиентов. В её рабочей папке лежат паспортные данные, ИНН, СНИЛС, номера счетов и суммы окладов нескольких сотен человек, которые с ней никогда не встречались. Если спросить такую фирму, кто отвечает за эти данные, чаще всего услышишь: «Клиент, это же его сотрудники». Отчасти так и есть. Но только отчасти, и именно эта половинчатость превращается в проблему при первой же проверке или утечке. Разберём, как устроена ответственность в вопросе «152 ФЗ бухгалтерские услуги персональные данные» и какие бумаги нужны, чтобы не оказаться крайним.
Кто вы по закону: оператор или обработчик
Закон различает две роли. Оператор определяет цели и состав обработки: он нанял сотрудника, ему нужно платить зарплату, он решает, какие данные собирать. Обработчик действует по его поручению, ст. 6 ч. 3 152-ФЗ. Подробнее о том, как не пропустить момент, когда вы стали оператором, мы писали в материале «Оператор персональных данных: кто им является и когда вы им стали».
Бухгалтерская фирма в отношении данных сотрудников клиента — это обработчик. Цель задал клиент (выплатить зарплату, сдать отчётность), вы лишь выполняете операции: вносите, считаете, формируете ведомости, передаёте в СФР и налоговую.
При этом у той же фирмы одновременно есть другие роли, и путать их нельзя:
- по отношению к собственным сотрудникам вы оператор;
- по отношению к клиентам-ИП и контактным лицам клиентов-организаций (ФИО, телефон, почта директора) вы тоже оператор, потому что собираете эти данные для себя, чтобы заключить и исполнять договор;
- по отношению к данным сотрудников клиентов вы обработчик.
Юридическая фирма устроена похоже, но с поправкой. Когда юрист ведёт дело физического лица, он получает данные напрямую от человека и по собственному договору, поэтому обычно выступает оператором. Когда он готовит документы для компании о её работниках, он снова обработчик.
Что меняется, если вы обработчик
Первое преимущество понятное: согласие субъекта вам собирать не нужно. По ст. 6 ч. 3 за получение законного основания отвечает оператор, то есть клиент. Если он нарушил это требование, штраф по ч. 1 ст. 13.11 КоАП для юрлица составляет от 150 000 до 300 000 ₽, и штрафуют его.
Второе обстоятельство обратное: без договора поручения ваша работа с данными формально не оформлена. Оператор вправе поручить обработку другому лицу только на основании договора или иного акта, и такой документ обязан содержать определённые вещи. Полный разбор есть в статье «Договор поручения на обработку персональных данных: когда нужен и что внутри», здесь только то, что важно именно бухгалтерской фирме:
- перечень действий с данными (сбор, запись, хранение, передача в ФНС и СФР, уничтожение) и цели обработки;
- обязанность соблюдать конфиденциальность и принципы обработки;
- требования к защите по ст. 19, а также меры по ст. 18.1;
- обязанность сообщать клиенту об инцидентах и запросах субъектов.
Обратите внимание на последний пункт. Он кажется формальным, пока не случится утечка. У оператора есть 24 часа на уведомление Роскомнадзора с момента, как он узнал об инциденте, и 72 часа на результаты внутреннего расследования. Если бухгалтер молчит три дня, потому что боялся признаться в потерянной флешке, клиент теряет эти часы, а вы теряете клиента. И, скорее всего, ещё и деньги по регрессу.
Один договор на всех не работает
Типичная ошибка аутсорсера: в основной договор оказания услуг вставлен абзац «Исполнитель обязуется соблюдать конфиденциальность». Этого мало. Конфиденциальность и поручение обработки — разные вещи.
Нормально выстроенная схема выглядит так. Основной договор оказания бухгалтерских услуг остаётся как есть. К нему подписывается приложение: поручение на обработку ПДн, в котором перечислены категории субъектов (работники клиента, контрагенты-физлица), категории данных, цели, срок и судьба данных после окончания договора. В нём же прописывается, что данные хранятся в России (ст. 18 ч. 5, подробности в материале про локализацию баз персональных данных).
С двадцатью клиентами это двадцать приложений. Звучит тяжело, но шаблон один, меняются реквизиты и перечень данных. На практике фирмы делают одну типовую редакцию и подписывают её при заключении договора или на ближайшей сверке.
Есть и обратная сторона. Клиент вправе потребовать подтверждение, что вы приняли меры защиты. Крупные заказчики всё чаще спрашивают об этом на этапе выбора подрядчика, особенно если вы работаете с их кадровой базой. Если у вас нет политики, приказа об ответственном и перечня мер, ответить вам нечем.
Особые категории: больничные и алименты
Бухгалтер по зарплате видит больше, чем кажется. Листки нетрудоспособности, удержания по исполнительным листам, сведения об инвалидности (льготы по НДФЛ и страховым взносам), данные о детях для вычетов. Часть из этого относится к специальным категориям по ст. 10: сведения о состоянии здоровья обрабатывать можно только в случаях, прямо перечисленных в законе, а трудовое и социальное законодательство среди них есть.
Для обработчика вывод практический. Доступ к таким данным должен быть у минимального числа сотрудников фирмы. Не у всех бухгалтеров, а у тех, кто ведёт конкретного клиента. Это не только требование безопасности, это то, что вы покажете проверяющему, когда он спросит, кто и зачем открывал папку с больничными. Подробнее о подходе к чувствительным данным — в статье про медицинские данные и 152-ФЗ.
Где аутсорсеры чаще всего ломаются
Не договоры, а привычки. Из того, что встречается постоянно:
- Рабочие файлы клиентов пересылаются по личной почте или в мессенджерах. Клиент прислал скан паспорта сотрудника в WhatsApp, бухгалтер переслал коллеге. Каждый такой шаг — распространение данных по каналам, которые вы не контролируете.
- Облачная бухгалтерия или учётная система на иностранном сервере. Если там хранятся ПДн граждан РФ, вы нарушаете локализацию, независимо от того, чья это база.
- Ушёл сотрудник, а доступы остались. Уволенный бухгалтер продолжает видеть базу ещё две недели.
- Нет правила о том, что делать с данными после окончания договора. Клиент ушёл, а его кадровая выгрузка лежит на диске ещё три года, хотя цели обработки давно исчезли. Здесь пригодится срок хранения и акт об уничтожении.
- Субъект пишет напрямую вам. Сотрудник клиента просит показать, какие данные о нём хранятся. Отвечать нужно не самому, а передать запрос клиенту: срок ответа по ст. 20 ч. 3 — 30 дней, и считается он на стороне оператора.
Последний пункт стоит запомнить отдельно. Не путайте его со сроком в 7 рабочих дней по ст. 21 ч. 1: он касается уточнения или уничтожения данных, когда выяснилось, что они неполные, неточные или обрабатываются незаконно. Это два разных процесса, и в договоре поручения для каждого лучше описать, кто и в какие сроки передаёт запрос.
Сколько это может стоить
Для обработчика прямой штраф за отсутствие основания обработки не применяется: основание обеспечивает оператор. Но у вас остаются собственные риски. За утечку по КоАП ст. 13.11 после ФЗ № 420-ФЗ юридическое лицо может получить штраф до 20 млн ₽, а при повторной утечке — оборотный штраф от 1 до 3% выручки (минимум 20 млн, максимум 500 млн ₽). Кого именно привлекут к ответственности, зависит от обстоятельств, договора и того, чья зона ответственности была нарушена. Подробности про санкции есть в нашем гайде по штрафам.
Плюс гражданская ответственность. Если клиента оштрафовали из-за вашей ошибки, ст. 6 ч. 5 говорит, что ответственность перед субъектом несёт оператор, а вы отвечаете перед оператором. Это значит регрессные иски, и в бухгалтерской нише они реалистичнее, чем кажутся: слишком наглядная цепочка «клиент — договор — убытки».
Что делать прямо сейчас
Начните с таблицы клиентов. Для каждого запишите: какие данные сотрудников вы получаете, откуда, где храните, кто из ваших людей имеет доступ, есть ли подписанное поручение. На сорок клиентов это вечер работы, зато вы увидите, где дыры. Затем подготовьте одну типовую редакцию поручения, назначьте ответственного за обработку и закройте мессенджеры как канал передачи документов.
Вы точно знаете, у скольких ваших клиентов есть подписанное поручение на обработку данных их сотрудников? Запустите бесплатный аудит на соответствие 152-ФЗ → Аудит покажет, каких документов у вас не хватает и какие требования закона на вашем сайте и в процессах не закрыты.
Нормативные акты: Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» (ст. 6, 10, 18, 18.1, 19, 20, 21); КоАП РФ ст. 13.11; Федеральный закон от 30.11.2024 № 420-ФЗ.