Реформа штрафов за утечку персональных данных резко повысила цену аутстаффинга медпредставителей в фарме
Когда фармацевтическая компания выводит медицинских представителей за штат, кажется, что риск остаётся на стороне агентства. На практике всё наоборот: ошибка внешнего сотрудника почти всегда бьёт по держателю регистрационного удостоверения (РУ), а с 30 мая 2025 года цена этой ошибки выросла в разы из-за реформы штрафов за утечку персональных данных.
Аутстаффинг медпредставителей давно стал массовым инструментом кадровой политики. Компании экономят на фонде оплаты труда и быстро наращивают полевые команды под запуск препарата или регионального проекта. Вместе с гибкостью они получают семь независимых зон риска, которые редко считают в одной таблице: трудовую, налоговую, рекламно-антимонопольную, фармаконадзорную, операционно-финансовую, этическую и риск защиты персональных данных.
Как раньше оценивали риски внешнего персонала
Глава 53.1 Трудового кодекса РФ действует с 2016 года и фактически запрещает заёмный труд, оставляя узкий коридор легальных исключений. Предоставлять персонал вправе только частное агентство занятости (ЧАЗ), прошедшее аккредитацию в Роструде. Часть 2 статьи 341.2 ТК РФ разрешает направлять внешних сотрудников к заказчику в трёх случаях: для личного обслуживания физических лиц, для замены временно отсутствующего работника и для заведомо временного расширения производства или объёма услуг сроком не более девяти месяцев.
Для комплаенс-службы фармкомпании это долго оставалось задачей из чек-листа. Проверили запись в реестре ЧАЗ, подписали договор, зафиксировали срок направления, закрыли вопрос. Риски защиты персональных данных стояли в этом чек-листе на последнем месте: штраф за обработку данных без надлежащего согласия по части 1 статьи 13.11 КоАП РФ составлял от 60 000 до 100 000 рублей для юридических лиц, и агентское устройство с доступом к CRM казалось второстепенной деталью.
Контроль со стороны государственных органов за это время тоже изменился. Инспекции труда и суды перешли от формальной сверки документов к анализу фактических обстоятельств: кто ставит медпредставителю задачи на неделю, кто утверждает отчёт о визитах, чей корпоративный e-mail указан в подписи. Если по этим признакам внешний сотрудник неотличим от штатного, договор с агентством рискует переквалифицироваться в трудовой с момента фактического начала работы. Дата решения суда на этот момент никак не влияет, суд лишь подтверждает уже сложившиеся отношения.
Семь зон риска, которые теперь считают вместе
Юридическая конструкция не изменилась: глава 53.1 ТК РФ по-прежнему регулирует договор о предоставлении труда работников. Бытовое слово «аутстаффинг» в законе вообще не встречается, юристы используют его только для удобства. Изменился масштаб последствий одной ошибки. Раньше эти семь направлений проверяли разные люди в разное время: трудовые риски смотрел юрист, налоговые смотрел бухгалтер, фармаконадзор смотрел отдел качества. Сейчас регуляторы способны довести дело до штрафа по каждому направлению одновременно, а один и тот же инцидент с внешним медпредставителем способен задеть сразу три из них.
Трудовой риск. Работа с неаккредитованным агентством приравнивается к незаконному использованию заёмного труда. Суды и инспекции труда всё чаще проверяют не только документы, но и фактические условия работы: подчиняется ли внешний медпредставитель распорядку заказчика, получает ли задания напрямую от его менеджеров. При уклонении от оформления трудового договора или подмене его гражданско-правовым часть 4 статьи 5.27 КоАП РФ предусматривает штраф для юридических лиц от 50 000 до 100 000 рублей, при повторном нарушении часть 5 той же статьи поднимает его до 100 000-200 000 рублей.
Налоговый риск. Статья 54.1 Налогового кодекса РФ запрещает уменьшать налоговую базу за счёт искажения фактов хозяйственной жизни. Классический триггер проверки — увольнение штатных медпредставителей и наём тех же людей через агентство в течение одного-двух дней. ФНС расценивает такую схему как искусственное дробление для снижения страховых взносов или сохранения права на упрощённую систему налогообложения. При доказанной схеме налоговая восстанавливает обязательства заказчика в полном объёме, доначисляет страховые взносы и налог на доходы физических лиц с пенями и не принимает расходы на услуги агентства для целей налога на прибыль. Отдельный маркер риска для проверяющих — общие бенефициары у заказчика и агентства или создание агентства незадолго до подписания крупного контракта.
Рекламный и антимонопольный риск. Медицинский представитель говорит от имени фармацевтической компании, даже формально не числясь в её штате. Федеральный закон №38-ФЗ «О рекламе» возлагает ответственность за его слова на держателя РУ. За нарушение требований к рекламе лекарственных средств часть 5 статьи 14.3 КоАП РФ предусматривает штраф для граждан от 2 000 до 2 500 рублей, для должностных лиц от 10 000 до 20 000 рублей, для юридических лиц от 200 000 до 500 000 рублей. Если внешний представитель распространит недостоверные сведения о конкурирующем препарате, нарушение подпадает под статью 14.33 КоАП РФ о недобросовестной конкуренции со штрафом для юридических лиц от 100 000 до 500 000 рублей.
Риск фармаконадзора. Медицинские представители — первое звено в цепочке сбора сообщений о нежелательных реакциях. Правила надлежащей практики фармаконадзора (GVP) Евразийского экономического союза, утверждённые Решением Совета ЕЭК от 03.11.2016 №87, возлагают на держателя РУ полную ответственность за работу системы фармаконадзора, включая деятельность, переданную стороннему исполнителю. Инспекции уполномоченных органов государств-членов охватывают не только держателя РУ, но и организации, которых он привлёк к фармаконадзору. Правила требуют, чтобы у организации было достаточно компетентных и обученных специалистов для фармаконадзора, а обучение включало вводный курс и подготовку на протяжении всего периода работы. Если внешний медпредставитель не обучен фиксировать сообщения о безопасности или в договоре с агентством нет чётких сроков передачи данных, держатель РУ рискует получить предписание по итогам инспекции, а при систематических пропусках в данных о безопасности — приостановку действия регистрационного удостоверения.
Операционный и финансовый риск. Ротация кадров в агентствах выше, чем в штате: внешний медпредставитель воспринимает проект как временный и реже выстраивает долгосрочные отношения с врачами. Отзыв аккредитации у ЧАЗ или его банкротство создают ещё более острую проблему. Сотни медпредставителей в один день теряют законные основания для работы, а держатель РУ остаётся без полевой команды в разгар маркетингового сезона. Если агентство задерживает зарплату или страховые взносы, сотрудники вправе инициировать трудовые споры, в которые втягивают и заказчика как фактического работодателя.
Этический риск. Кодекс этических принципов AIPM (Ассоциация международных фармацевтических производителей) требует, чтобы врач чётко понимал, интересы какой компании представляет специалист в его кабинете, независимо от формы трудоустройства этого специалиста. Правила раскрытия информации о передаче ценностей (Transfers of Value) обязывают публиковать расходы на мероприятия, гонорары и образовательные гранты для врачей, и выплаты через аутстаффинговое агентство не освобождают держателя РУ от их консолидации в отчёте. Непрозрачность таких выплат создаёт риск нарушения требований антикоррупционного законодательства, включая зарубежные нормы FCPA и UK Bribery Act для компаний с иностранным материнским холдингом. Кодекс AIPM относит использование «подставных» специалистов через агентство для формирования нужного мнения о препарате к грубым нарушениям, что грозит публичным осуждением и исключением компании из ассоциации.
Риск защиты персональных данных. Медицинские представители работают с планшетами и телефонами, где установлены CRM-системы с контактами врачей, а в программах поддержки пациентов — со сведениями о состоянии здоровья. При аутстаффинге устройство и учётная запись часто остаются вне контроля ИТ-службы заказчика. Именно эта зона риска изменилась сильнее всего.
Что изменилось для защиты данных с 30 мая 2025 года
Федеральный закон от 30.11.2024 №420-ФЗ переписал статью 13.11 КоАП РФ и впервые привязал размер штрафа к масштабу утечки, а за повторное нарушение ввёл оборотный штраф от годовой выручки компании. Параллельно Федеральный закон от 30.11.2024 №421-ФЗ добавил в Уголовный кодекс РФ статью 272.1 об уголовной ответственности за незаконный сбор, хранение и распространение персональных данных, вплоть до лишения свободы на срок до десяти лет при отягчающих обстоятельствах. Передача данных подрядчику не снимает ответственности с держателя РУ как оператора персональных данных: по Федеральному закону от 27.07.2006 №152-ФЗ «О персональных данных» (далее — 152-ФЗ) именно оператор определяет цели обработки контактов врачей и данных пациентов, а агентство выступает лишь техническим обработчиком по поручению.
| Показатель | До 30.05.2025 | После 30.05.2025 |
|---|---|---|
| Обработка без надлежащего согласия | 60 000-100 000 ₽ (ч. 1 ст. 13.11 КоАП) | без изменений |
| Утечка от 1 000 до 10 000 субъектов | отдельная норма отсутствовала | 3 000 000-5 000 000 ₽ |
| Утечка свыше 100 000 субъектов | отдельная норма отсутствовала | 10 000 000-15 000 000 ₽ |
| Утечка биометрии или спецкатегорий данных | отдельная норма отсутствовала | до 20 000 000 ₽ |
| Повторная утечка | отдельная норма отсутствовала | 1-3% годовой выручки, 20 000 000-500 000 000 ₽ |
| Неуведомление Роскомнадзора в течение 24 часов | 3 000-5 000 ₽ (ст. 19.7 КоАП) | 1 000 000-3 000 000 ₽ |
| Уголовная ответственность должностных лиц | отсутствовала | ст. 272.1 УК РФ, до 10 лет лишения свободы при отягчающих обстоятельствах |
Сведения о состоянии здоровья, которые собирают медпредставители в программах поддержки пациентов, относятся к специальной категории персональных данных. Утечка такого массива через незащищённый планшет внешнего сотрудника попадает в верхнюю строку таблицы. Типичный сценарий выглядит буднично: внешний сотрудник переходит к конкуренту и уносит выгрузку базы врачей на личном телефоне, или агентство хранит учётные записи в общей почте без разграничения доступа. До 30 мая 2025 года такой инцидент грозил штрафом в пределах 100 000 рублей и не считался критичным риском проекта. Теперь тот же инцидент способен привести к штрафу в десятки миллионов рублей и уголовному делу против ответственного должностного лица.
Что делать
Прежде чем подписывать договор с аутстаффинговым агентством, стоит провести проверку по пяти направлениям сразу. Одной аккредитации в реестре Роструда для этого недостаточно.
| Критерий проверки | Что запросить | Индикатор риска |
|---|---|---|
| Статус в Роструде | Выписка из реестра аккредитованных ЧАЗ | Отсутствие записи или истекающий срок |
| Финансовое состояние | Баланс и отчёт о прибылях и убытках | Задолженность перед бюджетом, убыточность |
| Отраслевой опыт | Рекомендации от других фармкомпаний | Отсутствие понимания GVP и Кодекса AIPM |
| Страхование ответственности | Полис страхования профессиональной ответственности агентства | Отсутствие страховки от профессиональных ошибок |
| ИТ-безопасность | Описание систем защиты данных и контроля доступа | Использование публичной почты вместо корпоративной CRM |
После проверки партнёра остаётся закрыть шесть конкретных действий внутри самой компании.
Проверьте аккредитацию агентства в реестре Роструда. Отсутствие записи или истекающий срок аккредитации исключают работу с этим ЧАЗ независимо от цены услуг. Повторяйте проверку не реже раза в квартал, поскольку аккредитацию можно отозвать в течение срока действия договора.
Ограничьте срок расширения штата девятью месяцами. Зафиксируйте в договоре предельный срок направления персонала для временного расширения полевой команды и заведите календарь продлений и переоформлений. Для замены сотрудника в отпуске по беременности и родам такое ограничение не действует, но привязку к конкретному отсутствующему работнику стоит прописать отдельно.
Включите в договор раздел по фармаконадзору. Пропишите обязанность агентства обучать медпредставителей правилам фиксации сообщений о нежелательных реакциях и срок передачи данных о безопасности не позднее 24 часов с момента получения. Добавьте право держателя РУ проводить внеплановый аудит процессов агентства.
Настройте техническую защиту устройств. Внедрите многофакторную аутентификацию, шифрование данных и удалённую блокировку на планшетах и телефонах внешних сотрудников, подключённых к CRM-системе компании. Ограничьте доступ к сведениям о состоянии здоровья пациентов принципом минимальной необходимости.
Проведите комплаенс-аудит агентства до подписания договора. Запросите выписку из реестра ЧАЗ, финансовую отчётность, полис страхования ответственности и описание процедур защиты персональных данных у потенциального провайдера. Зафиксируйте результаты аудита письменно, чтобы предъявить их регулятору при проверке.
Подготовьте план на случай отзыва аккредитации агентства. Определите заранее, куда переводить полевую команду при остановке деятельности провайдера, и держите контакт запасного ЧАЗ на этот случай. Пропишите в договоре с основным агентством срок уведомления о проблемах с аккредитацией.
Ещё три года назад проверка аутстаффингового агентства укладывалась в звонок в Роструд и просмотр бухгалтерской отчётности. Реформа персональных данных изменила расчёт: одна утечка через незащищённый планшет медицинского представителя способна обойтись держателю РУ дороже, чем годовой бюджет на всю полевую команду. Компаниям, которые продолжают выбирать агентство только по цене услуг, стоит пересчитать эту экономику заново. Модель функционального аутсорсинга с оплатой за конечный результат снижает риск переквалификации отношений в трудовые и одновременно упрощает контроль за защитой данных, потому что ответственность за конкретный процесс остаётся у одного исполнителя.
Нормативная база:
1. Решение Совета Евразийской экономической комиссии от 03.11.2016 №87 «Об утверждении Правил надлежащей практики фармаконадзора Евразийского экономического союза»
2. Трудовой кодекс РФ, глава 53.1 (ст. 341.1-341.5)
3. Кодекс РФ об административных правонарушениях, ст. 5.27, ст. 13.11, ст. 14.3, ст. 14.33, ст. 19.7
4. Уголовный кодекс РФ, ст. 272.1 (введена Федеральным законом от 30.11.2024 №421-ФЗ)
5. Налоговый кодекс РФ, ст. 54.1
6. Федеральный закон от 27.07.2006 №152-ФЗ «О персональных данных» (с изменениями, внесёнными Федеральным законом от 30.11.2024 №420-ФЗ, действующими с 30.05.2025)
7. Федеральный закон от 13.03.2006 №38-ФЗ «О рекламе»
8. Федеральный закон от 26.07.2006 №135-ФЗ «О защите конкуренции»