Аудит по 152-ФЗ перед договором с колл-центром — это проверка того, как подрядчик защищает персональные данные ваших клиентов, ведь отвечать за утечку будете именно вы как заказчик. По нашему опыту в Wilstream большинство рисков закрывается ещё до подписания, если задать подрядчику правильные вопросы и зафиксировать ответы в договоре.
С 2025 года штрафы за нарушения при обработке персональных данных резко выросли: для юрлиц это уже сотни тысяч и миллионы рублей, а за утечки введены оборотные штрафы. Передавая клиентскую базу на обзвон или горячую линию, вы отдаёте подрядчику самое чувствительное. Разберём по-деловому, что именно проверить в контакт-центре до договора, чтобы не платить потом за чужую халатность.
Почему за данные отвечает заказчик
По 152-ФЗ вы как компания, собравшая данные клиентов, остаётесь оператором персональных данных, даже когда передаёте обзвон на аутсорс. Подрядчик действует по вашему поручению, но ответственность перед регулятором и клиентами в первую очередь на вас. Это ключевая мысль, которую многие упускают.
Поэтому выбор контакт-центра это не только про цену звонка, но и про то, не подставит ли он вас под штраф. Если у подрядчика утечка или он звонит без законных оснований, разбираться придётся вам. Аудит до договора это способ заранее убедиться, что партнёр не создаст вам проблем с законом.
Что такое договор поручения обработки ПДн
Основа законной передачи данных на аутсорс это договор поручения обработки персональных данных. Он обязателен по 152-ФЗ и описывает, какие данные, для каких целей и на каких условиях подрядчик обрабатывает по вашему заданию. Без него передача базы уже нарушение.
В договоре или приложении к нему должны быть перечислены конкретные действия с данными, требования к конфиденциальности и меры защиты. Формальная отписка в одну строку не защищает. Хороший контакт-центр сам предлагает грамотный договор поручения и не удивляется вашим вопросам о нём, а наоборот, показывает, что работает вбелую.
Как проверить меры защиты данных
Спросите, где физически хранятся записи звонков и база, кто имеет к ним доступ и как этот доступ разграничен. Данные должны лежать на защищённой инфраструктуре, а не на случайных дисках у операторов. Важно, чтобы записи не уходили за пределы согласованного контура.
Уточните, есть ли шифрование, журналирование доступа и регламент на случай инцидента. Серьёзный подрядчик применяет технические и организационные меры защиты и может о них рассказать. Если на вопрос «как вы защищаете данные» вам отвечают общими словами, это повод насторожиться и копнуть глубже до подписания.
Что должно быть в договоре с подрядчиком
Договор это ваша главная защита, поэтому важные пункты нужно закрепить письменно, а не на словах. Перед подписанием пройдитесь по короткому списку обязательных элементов:
- Договор поручения обработки ПДн с перечнем данных и целей.
- Обязанность подрядчика соблюдать конфиденциальность и меры защиты.
- Условия хранения и удаления записей звонков и базы.
- Ответственность подрядчика за утечку и порядок уведомления.
- Право заказчика на проверку соблюдения требований.
Нужна ли аттестация и оценка защищённости
В зависимости от типа данных и системы к контакт-центру могут предъявляться требования по защите информации, вплоть до аттестации по линии ФСТЭК. Уточните у подрядчика, какие у него есть подтверждающие документы и оценки защищённости информационной системы.
Не всегда нужен максимальный уровень, но подрядчик должен внятно объяснить, под какие требования он подпадает и как им соответствует. Готовность показать документы и модель угроз это хороший знак. Размытые ответы в духе «у нас всё надёжно» без бумаг это, наоборот, сигнал возможных проблем.
Согласия клиентов: на чьей стороне ответственность
Обзвон и обработка данных законны только при наличии правовых оснований, чаще всего согласия клиента. Заранее договоритесь, кто отвечает за сбор и хранение согласий: обычно это заказчик, ведь база ваша. Подрядчик звонит по вашему поручению и в рамках ваших оснований.
Опасная ситуация, когда контакт-центр предлагает обзванивать «холодную» базу без подтверждённых согласий. Это риск для вас, а не для него. Убедитесь, что схема получения согласий законна и зафиксирована. Ответственный подрядчик сам уточнит правовое основание обзвона, а не будет уговаривать звонить всем подряд.
Уведомление Роскомнадзора: когда оно нужно
Во многих случаях оператор персональных данных обязан уведомить Роскомнадзор об обработке. Проверьте, подано ли у вас такое уведомление и охватывает ли оно передачу данных подрядчику. Это ваша зона ответственности, но её стоит держать в порядке до старта проекта.
Подрядчик со своей стороны тоже должен корректно оформлять свой статус обработчика. Обсудите этот момент заранее, чтобы не оказалось, что данные передаются в серой зоне. Прозрачность здесь снимает большую часть будущих вопросов от регулятора и защищает обе стороны сотрудничества.
Как проверить подрядчика на практике
Не ограничивайтесь обещаниями на встрече. Попросите показать шаблон договора поручения, документы по защите данных и регламент на случай инцидента. Спросите, были ли утечки и как подрядчик их отрабатывает. По реакции на такие вопросы уже видно, вбелую ли работает компания.
Полезно узнать про опыт и масштаб: сколько лет на рынке, с какими объёмами данных работает, есть ли крупные клиенты со строгими требованиями. Мы в Wilstream работаем с 2002 года и с чувствительными базами, поэтому вопросы про 152-ФЗ для нас обычная часть переговоров, а не неожиданность. Чем спокойнее подрядчик отвечает на неудобные вопросы про защиту данных, тем надёжнее он на длинной дистанции сотрудничества.
Как хранятся и удаляются записи звонков
Записи разговоров это тоже персональные данные, и с ними тот же режим, что и с базой. Уточните, как долго подрядчик хранит записи, где именно и что происходит с ними после завершения проекта. Бессрочное хранение «на всякий случай» это лишний риск для вас.
В договоре стоит прописать срок хранения и обязанность удалить или вернуть данные и записи по окончании работ. Хороший подрядчик сам предлагает понятный регламент удаления и может подтвердить факт удаления. Это закрывает распространённую дыру, когда данные годами лежат у бывшего партнёра без всякого контроля.
Чем грозит работа с ненадёжным подрядчиком
Экономия на подрядчике, который небрежен с данными, может обойтись куда дороже разницы в цене звонка. Утечка базы это не только штраф, но и удар по репутации и потеря доверия клиентов. А оборотные штрафы за утечки способны ощутимо ударить по бюджету компании.
Добавьте сюда возможные иски от самих клиентов и разбирательства с регулятором, и картина становится серьёзной. Поэтому аудит по 152-ФЗ это не бюрократия, а страховка бизнеса. Потратить несколько дней на проверку до договора дешевле, чем месяцами разбираться с последствиями чужой халатности. Один инцидент с утечкой способен перечеркнуть всю экономию, ради которой вы вообще уходили на аутсорс.
Главное
Если коротко: перед договором с колл-центром проверьте, как он соблюдает 152-ФЗ, потому что ответственность за данные клиентов остаётся на вас как на операторе. Обязательны договор поручения обработки, понятные меры защиты, условия хранения и удаления записей, ответственность за утечку и право на проверку. Уточните про аттестацию, согласия клиентов и уведомление Роскомнадзора. С 2025 года штрафы выросли, поэтому аудит до подписания это страховка, а не формальность.
Планируете передать обзвон или горячую линию на аутсорс? Рассчитайте проект с Wilstream и получите договор поручения и меры защиты данных по 152-ФЗ, оформленные заранее, а не после первого штрафа.
Боитесь штрафа за данные клиентов при аутсорсе?
Wilstream работает с чувствительными базами с 2002 года: договор поручения обработки ПДн, меры защиты и контроль доступа по 152-ФЗ. Рассчитайте стоимость проекта для вашего бизнеса.
Частые вопросы
Кто отвечает за данные клиентов при аутсорсе обзвона?
Ответственность остаётся на заказчике: собрав данные, вы остаётесь оператором персональных данных по 152-ФЗ. Подрядчик действует по вашему поручению, но перед регулятором и клиентами отвечаете в первую очередь вы.
Что такое договор поручения обработки ПДн?
Это обязательный по 152-ФЗ документ, который описывает, какие данные, для каких целей и на каких условиях подрядчик обрабатывает по вашему заданию. Без него передача базы на аутсорс уже нарушение.
Что проверить в мерах защиты данных?
Где хранятся записи и база, кто имеет доступ и как он разграничен, есть ли шифрование, журналирование и регламент на случай инцидента. Записи не должны уходить за пределы согласованного контура.
Нужна ли контакт-центру аттестация ФСТЭК?
Зависит от типа данных и системы. Подрядчик должен объяснить, под какие требования он подпадает и как им соответствует, и при необходимости показать документы и оценку защищённости. Размытые ответы без бумаг это тревожный сигнал.
Кто отвечает за согласия клиентов на обзвон?
Обычно заказчик, ведь база его. Обзвон законен только при правовом основании, чаще согласии. Если подрядчик предлагает звонить по базе без подтверждённых согласий, это риск именно для вас.
Чем грозит работа с ненадёжным подрядчиком?
Утечка базы это штраф, включая оборотный, удар по репутации, потеря доверия клиентов и возможные иски. Поэтому аудит по 152-ФЗ до договора дешевле, чем разбирательства с последствиями.
