Подскажите, пожалуйста, как формулируется в Договоре между Заказчиком и Подрядчиком ответственность Исполнителя перед Заказчиком за распространение персональных данных клиентов Заказчика?

Добрый день. Подскажите, пожалуйста, как формулируется в Договоре между Заказчиком и Подрядчиком ответственность Исполнителя перед Заказчиком за распространение персональных данных клиентов Заказчика? Ответственность перед Заказчиком именно, а не перед клиентами (т.к. в этом случае законодательство работает).

Здравствуйте!

Коротко: ответственность Подрядчика за утечку персональных данных клиентов нужно прописать в договоре прямо — неустойкой и возмещением убытков по статьям 330 и 15 Гражданского кодекса РФ; отдельно, независимо от договора, Подрядчику грозит ответственность по статье 13.11 КоАП РФ и статье 272.1 УК РФ.

Ниже разобрано, как сформулировать условие об ответственности в самом договоре, какая ответственность установлена законом независимо от договора, что изменилось в размерах штрафов за утечки персональных данных с 2024–2025 годов и какие ещё условия договора снижают риски Заказчика.

Как прописать ответственность подрядчика за утечку персональных данных в договоре?

Фраза «ответственность наступает в соответствии с действующим законодательством» юридически не ошибочна, но на практике ничего не даёт: при разглашении персональных данных клиентов Заказчику придётся самостоятельно доказывать размер своих убытков с нуля, без заранее согласованных ориентиров. Это верно и для договора подряда (глава 37 Гражданского кодекса РФ), и для договора возмездного оказания услуг (глава 39 Гражданского кодекса РФ) — то, называть вторую сторону Подрядчиком или Исполнителем, на механизм ответственности не влияет. Чтобы условие реально защищало Заказчика, в договор стоит включить:

• обязанность Подрядчика соблюдать конфиденциальность и принимать меры по защите переданных персональных данных клиентов Заказчика на весь срок договора и после его окончания;
• неустойку (статья 330 Гражданского кодекса РФ) — фиксированную сумму или процент от цены договора за каждый факт разглашения или утраты данных, которую Заказчику не нужно доказывать отдельно;
• право Заказчика потребовать возмещения убытков сверх неустойки, если их размер окажется больше (статьи 15 и 393 Гражданского кодекса РФ);
• обязанность Подрядчика немедленно, в согласованный короткий срок, сообщать Заказчику о любом инциденте с данными — это нужно Заказчику, чтобы успеть уложиться в собственные сроки уведомления Роскомнадзора;
• обязанность Подрядчика возместить Заказчику суммы штрафов, уплаченных Заказчиком из-за нарушения, допущенного Подрядчиком (регрессное требование).

Какая ответственность предусмотрена законом помимо договора?

Договорная ответственность перед Заказчиком и ответственность перед государством и перед самими клиентами существуют отдельно друг от друга — это и есть ответ на уточнение из вопроса. Если Подрядчик получает персональные данные клиентов Заказчика и сам определяет, как их обрабатывать, а не только хранит их по строгой инструкции Заказчика, он по Федеральному закону от 27.07.2006 № 152-ФЗ «О персональных данных» признаётся самостоятельным оператором этих данных — и отвечает перед Роскомнадзором и перед клиентами независимо от того, что написано в договоре с Заказчиком. Эта статутная ответственность не заменяет договорную: Заказчик вправе требовать неустойку и возмещение убытков по договору, даже если Подрядчика уже привлекли к ответственности по закону за то же нарушение. Подробнее о статусе оператора персональных данных и его обязанностях — в материале «Ответственность за нарушение в области персональных данных в 2026».

Что изменилось в размерах штрафов за утечки персональных данных?

Раньше статья 13.11 КоАП РФ не делила нарушения по тяжести, и даже при масштабной утечке штраф для юридического лица не превышал 100 тысяч рублей. С 30 мая 2025 года по Федеральному закону от 30.11.2024 № 420-ФЗ правила стали жёстче — размер наказания теперь зависит от числа затронутых лиц, состава утёкших данных и повторности нарушения:

Дела о привлечении юридических лиц и предпринимателей по статье 13.11 КоАП РФ с 30 мая 2025 года рассматривают арбитражные суды. Отдельно, с конца 2024 года, действует статья 272.1 Уголовного кодекса РФ — она касается не самого факта утечки, а дальнейшего незаконного использования, передачи или хранения данных, полученных преступным путём, например после хакерской атаки на Подрядчика. Разбор новых штрафов и порядка уведомления Роскомнадзора — в материале «Цена конфиденциальности: как избежать штрафов до 500 млн рублей».

Какие условия договора снижают риски заказчика?

Кроме неустойки и права на убытки, риски Заказчика снижают дополнительные условия договора:

• право Заказчика на аудит того, как Подрядчик хранит и защищает переданные ему данные клиентов;
• запрет Подрядчику передавать данные клиентов субподрядчикам без письменного согласия Заказчика, а если передача разрешена — распространение на субподрядчика тех же обязанностей;
• точный срок уведомления Заказчика об инциденте (например, не позднее 12–24 часов с момента обнаружения) — с запасом к срокам уведомления Роскомнадзора;
• условие о страховании ответственности Подрядчика или подтверждении его финансовой состоятельности — на случай оборотного штрафа;
• прямое указание, что ограничение ответственности Подрядчика не распространяется на умышленное нарушение.

Последний пункт — не формальность. Стороны вправе заранее согласовать предельный размер ответственности по обязательству (статья 400 Гражданского кодекса РФ), но заключённое заранее соглашение об устранении или ограничении ответственности за умышленное нарушение обязательства ничтожно (статья 401 Гражданского кодекса РФ). Поэтому любой предел суммы в договоре работает только для случаев неосторожности Подрядчика, а не его умышленных действий.

Частые вопросы

Можно ли в договоре просто написать «ответственность наступает в соответствии с действующим законодательством»?

Такая фраза не запрещена, но и не даёт Заказчику никаких дополнительных гарантий сверх того, что и так закреплено Гражданским кодексом РФ. На практике это означает, что при споре Заказчику придётся доказывать размер убытков с нуля, без заранее оговорённой неустойки — надёжнее прописать конкретный механизм ответственности, как указано выше.

Отвечает ли Подрядчик перед клиентами Заказчика напрямую, если между ними нет договора?

Да, если по смыслу Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» Подрядчик признаётся самостоятельным оператором переданных ему данных. Такая ответственность перед клиентами и перед Роскомнадзором существует отдельно от договорной ответственности Подрядчика перед Заказчиком и не исключает её.

Кто в итоге платит штраф по статье 13.11 КоАП РФ, если утечка произошла у Подрядчика?

Зависит от того, кто признаётся оператором данных по факту: если Подрядчик обрабатывает данные клиентов строго по поручению Заказчика, перед Роскомнадзором может отвечать сам Заказчик, а затем предъявить Подрядчику регрессное требование по договору. Поэтому условие о возмещении Подрядчиком уплаченных Заказчиком штрафов (см. выше) и есть рабочий механизм защиты Заказчика.

Можно ли заранее ограничить сумму, которую Подрядчик обязан возместить за утечку?

Стороны вправе согласовать предельный размер ответственности по обязательству (статья 400 Гражданского кодекса РФ), но заранее исключить или ограничить ответственность за умышленное нарушение нельзя — такое условие ничтожно (статья 401 Гражданского кодекса РФ). Поэтому ограничение суммы работает только для случаев неосторожности, а не умышленных действий Подрядчика.

Куда обращаться, если утечка персональных данных клиентов уже произошла?

В течение 24 часов с момента обнаружения нужно направить первичное уведомление в Роскомнадзор, а затем в течение 72 часов — сведения о результатах внутреннего расследования. Порядок обращения и то, кто теперь возбуждает дела по статье 13.11 КоАП РФ, разобраны в материале «Ужесточение наказания за обработку персональных данных: кто возбуждает дела по статье 13.11 КоАП РФ и куда обращаться?».

Краткая сводка: ответственность за утечку персональных данных в договоре подряда

• Общая фраза «по закону» в договоре недостаточна — нужны неустойка (статья 330 Гражданского кодекса РФ) и право на возмещение убытков сверх неё (статьи 15 и 393 Гражданского кодекса РФ).
• Подрядчик, самостоятельно определяющий цели обработки данных, отвечает как оператор перед Роскомнадзором и клиентами отдельно от договора с Заказчиком (Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»).
• С 30 мая 2025 года повторная утечка персональных данных грозит юрлицу оборотным штрафом 1–3% годовой выручки, от 20 до 500 млн рублей (статья 13.11 КоАП РФ, Федеральный закон от 30.11.2024 № 420-ФЗ).
• За незаконное использование, передачу или хранение данных, полученных преступным путём, с конца 2024 года предусмотрена уголовная ответственность (статья 272.1 Уголовного кодекса РФ).
• В договор стоит включить срок уведомления Заказчика об инциденте и обязанность Подрядчика возместить штрафы, уплаченные Заказчиком по его вине.
• Ограничить ответственность Подрядчика можно (статья 400 Гражданского кодекса РФ), но не за умышленное нарушение — такое условие ничтожно (статья 401 Гражданского кодекса РФ).

Таким образом, чтобы условие об ответственности Подрядчика реально защищало Заказчика, в договоре нужно прописать конкретную неустойку, право на возмещение убытков сверх неё, срок уведомления об инциденте и регрессное возмещение штрафов, уплаченных Заказчиком по вине Подрядчика. Общая отсылка к закону эту задачу не решает, а ответственность Подрядчика перед государством и перед клиентами существует отдельно и договорную ответственность перед Заказчиком не заменяет.

С уважением, адвокат Анатолий Антонов, управляющий партнер адвокатского бюро «Антонов и партнеры».

Адвокатское бюро «Антонов и партнеры» готово оказать юридическую помощь по всем категориям дел в любых регионах России. Эффективно и качественно решаем возникшие у Вас юридические задачи любой сложности.

Получить дополнительную информацию или ознакомиться с нашими услугами по данной теме можно по ссылкам ниже:

• Защита персональных данных
• Адвокат по договорам